<?php
/**
 * Eingabe-Validierung + SSRF-/Missbrauchsschutz.
 *
 * @package SafeMyIdent\Api
 */

declare(strict_types=1);

/**
 * Validiert und normalisiert einen Domainnamen.
 *
 * @param string $domain Roh-Eingabe.
 * @return string|null Normalisierte Domain oder null bei Ungültigkeit.
 */
function smi_valid_domain(string $domain): ?string
{
    $domain = strtolower(trim($domain));
    // Evtl. Schema/Pfad entfernen.
    if (str_contains($domain, '://')) {
        $domain = (string) parse_url($domain, PHP_URL_HOST);
    }
    $domain = trim($domain, '.');
    if ($domain === '' || strlen($domain) > 253) {
        return null;
    }
    // Interne/lokale Ziele ausschließen (SSRF-Schutz).
    $blocked = ['localhost', 'localhost.localdomain'];
    if (in_array($domain, $blocked, true)) {
        return null;
    }
    if (filter_var($domain, FILTER_VALIDATE_IP)) {
        return null; // Nur Domains, keine IPs.
    }
    // Gültiges Domain-Muster (Labels, TLD ≥ 2).
    if (!preg_match('/^(?=.{1,253}$)([a-z0-9](-?[a-z0-9])*)(\.[a-z0-9](-?[a-z0-9])*)*\.[a-z]{2,}$/', $domain)) {
        return null;
    }
    // IDN → Punycode, falls verfügbar.
    if (function_exists('idn_to_ascii')) {
        $ascii = idn_to_ascii($domain, IDNA_DEFAULT, INTL_IDNA_VARIANT_UTS46);
        if (is_string($ascii) && $ascii !== '') {
            $domain = $ascii;
        }
    }
    return $domain;
}