// middleware/employees.js —— 员工管理的业务规则中间件

/**
 * 允许在创建员工时一并创建系统用户账号（需 user:manage 权限）
 * 将用户创建参数挂到 req._createUser，由路由在写入 employee 后处理
 */
async function allowUserCreation(req, res, next) {
  const { username, password, department_id } = req.body || {}

  // 没传用户相关字段 → 只创建员工，跳过
  if (!username && !password) return next()

  // 传了用户字段 → 必须有 user:manage 权限
  if (!req.user.permissions || !req.user.permissions.includes('user:manage')) {
    return res.status(403).json({ code: 403, message: '无权限创建用户账号' })
  }

  // 校验必填字段
  if (!username || !password || !department_id) {
    return res.status(400).json({ code: 400, message: '用户名、密码、部门为必填' })
  }

  if (typeof username !== 'string' || username.length < 3 || username.length > 50) {
    return res.status(400).json({ code: 400, message: '用户名长度需在 3-50 之间' })
  }
  if (typeof password !== 'string' || password.length < 6) {
    return res.status(400).json({ code: 400, message: '密码至少 6 位' })
  }

  // 检查是否是添加总经理办公室的用户
  try {
    const { pool } = require('../db')
    const [dept] = await pool.query('SELECT name FROM departments WHERE id = ?', [department_id])
    if (dept.length > 0 && dept[0].name === 'general_manager') {
      const operatorLevel = req.user.role_level || 4
      const operatorDept = req.user.departmentName

      // 只有信息技术部和人力资源部的部门经理才能添加总经理办公室的用户
      if (operatorLevel > 2 || !['admin', 'hr'].includes(operatorDept)) {
        return res.status(403).json({ code: 403, message: '只有信息技术部和人力资源部的部门经理才能添加总经理办公室的用户' })
      }

      // 一般科员不能添加总经理办公室的用户
      if (operatorLevel === 4) {
        return res.status(403).json({ code: 403, message: '一般科员不能添加总经理办公室的用户' })
      }

      // 只能添加副总经理，总经理是系统预设的
      // 这个检查在员工创建时通过 position 字段控制
    }
  } catch (e) {
    console.error('[allowUserCreation] error:', e)
    return res.status(500).json({ code: 500, message: e.message })
  }

  // 获取角色级别
  const { role_level } = req.body || {}

  // 挂到 req，供路由在 INSERT employee 后使用
  req._createUser = { username, password, department_id, role_level: role_level || 4 }
  next()
}

module.exports = { allowUserCreation }