"""Tests: Rollen-Zugriff (admin/redakteur vs. rezensent, anonym)."""
from __future__ import annotations

from fastapi.testclient import TestClient

from tests.conftest import lege_benutzer_an, melde_an


def test_rezensent_kein_admin_bereich(app, client):
    lege_benutzer_an(app, "rez1", "rezensent")
    melde_an(client, "rez1", "test-12345678")
    assert client.get("/admin/benutzer").status_code == 403
    assert client.get("/").status_code == 200  # Dashboard erlaubt


def test_redakteur_kein_admin_bereich(app, client):
    lege_benutzer_an(app, "red1", "redakteur")
    melde_an(client, "red1", "test-12345678")
    assert client.get("/admin/benutzer").status_code == 403
    assert client.get("/").status_code == 200


def test_admin_hat_zugriff_auf_admin_bereich(client):
    melde_an(client)
    assert client.get("/admin/benutzer").status_code == 200


def test_anonym_wird_vom_admin_bereich_umgeleitet(client):
    antwort = client.get("/admin/benutzer", follow_redirects=False)
    assert antwort.status_code == 303
    assert antwort.headers["location"] == "/login"


def test_deaktivierter_benutzer_wird_rausgeworfen(app, client):
    """Sitzung eines deaktivierten Kontos verliert den Zugriff sofort."""
    lege_benutzer_an(app, "kurz", "rezensent")
    melde_an(client, "kurz", "test-12345678")
    assert client.get("/").status_code == 200

    from redaktionskern.auth.models import User
    from sqlalchemy import select

    with app.state.session_factory() as db:
        benutzer = db.scalar(select(User).where(User.username == "kurz"))
        benutzer.active = False
        db.commit()

    assert client.get("/", follow_redirects=False).status_code == 303