<?php
/**
 * Werbemittel-Bilder (verwaltet im CRM unter Affiliate → Werbemittel) mit Terminal-Auth.
 *
 *   GET ads-media.php?v=<view_token>&term=<hash>&f=<datei>
 *
 * Dateien liegen unter data/ads/ – Dateiname ist 32-Hex-Token + Endung,
 * es wird NIE ein Nutzer-Pfad verwendet (kein Traversal möglich).
 * Auth identisch zu pinnwand-media.php: gültiger Unlock-Cookie + Ansicht zugewiesen.
 */
require __DIR__ . '/config.inc.php';

$viewToken = (string)($_GET['v'] ?? '');
$termHash  = (string)($_GET['term'] ?? '');
$file      = (string)($_GET['f'] ?? '');

if (!preg_match('/^[a-f0-9]{32}\.(jpg|png|webp|gif)$/', $file, $m)) {
    http_response_code(404); exit;
}

$db = term_db();
if (!term_terminal_grants_for($db, $viewToken, $termHash)) { http_response_code(403); exit; }

$path = __DIR__ . '/data/ads/' . $file;
if (!is_file($path)) { http_response_code(404); exit; }

// Kompression/Pufferung aus: sonst passt der Content-Length nicht mehr zu den
// tatsächlich gesendeten Bytes und der Browser bricht mitten im Bild ab.
if (function_exists('apache_setenv')) { @apache_setenv('no-gzip', '1'); }
@ini_set('zlib.output_compression', '0');
while (ob_get_level() > 0) { ob_end_clean(); }

$fsize = filesize($path);
$mimes = ['jpg' => 'image/jpeg', 'png' => 'image/png', 'webp' => 'image/webp', 'gif' => 'image/gif'];
header('Content-Type: ' . $mimes[$m[1]]);
header('X-Content-Type-Options: nosniff');
header('Content-Length: ' . $fsize);
header('Cache-Control: public, max-age=31536000, immutable'); // Token-Dateinamen ändern sich nie

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'HEAD') { exit; }

// Blockweise streamen mit flush() – gleiches Muster wie pinnwand-media.php,
// das läuft dort auch bei großen Dateien und langsamen Verbindungen stabil.
$fh = fopen($path, 'rb');
if (!$fh) { http_response_code(500); exit; }
while (!feof($fh)) {
    $chunk = fread($fh, 262144);
    if ($chunk === false) { break; }
    echo $chunk;
    flush();
}
fclose($fh);