Visa Contabilidade

export async function POST(request: Request): Promise<Response> {
  // CSRF: só aceita requisições do próprio site.
  if (!isSameOrigin(request)) {
    return NextResponse.json({ ok: false, error: "forbidden" }, { status: 403 });
  }

  // Rate limit por IP (durável via Upstash se configurado, in-memory senão).
  const ip = clientIp(request.headers);
  const rl = await contactRateLimiter.check(`contato:${ip}`);
  if (!rl.success) {
    return NextResponse.json(
      { ok: false, error: "rate_limited" },
      { status: 429, headers: { "Retry-After": String(rl.retryAfter) } },
    );
  }

  // ... parse com teto de tamanho (evita payload gigante)

  // Validação autoritativa no servidor.
  const parsed = contactSchema.safeParse(body);
  if (!parsed.success) {
    return NextResponse.json({ ok: false, error: "invalid" }, { status: 422 });
  }
  const data = parsed.data;

  // Anti-spam: honeypot + timing. Bot recebe "sucesso" falso (não vaza a regra).
  if (looksLikeBot({ honeypot: data.company, renderedAt: data.renderedAt })) {
    return NextResponse.json({ ok: true, id: "ignored" }, { status: 200 });
  }

  // ... Turnstile, proteção contra injeção de cabeçalho e envio
}

/**
 * Anti-spam sem terceiros:
 * - honeypot: campo invisível que só bot preenche.
 * - timing: formulário enviado rápido demais (< limiar) = bot.
 */
export function looksLikeBot(input: {
  honeypot?: unknown;
  renderedAt?: unknown;
  minMs?: number;
}): boolean {
  if (typeof input.honeypot === "string" && input.honeypot.trim() !== "") return true;

  const minMs = input.minMs ?? 2500;
  const renderedAt = Number(input.renderedAt);
  if (Number.isFinite(renderedAt) && renderedAt > 0) {
    if (Date.now() - renderedAt < minMs) return true;
  }
  return false;
}

/**
 * CSRF básico: só aceita requisições cuja Origin/Referer bate com o próprio site.
 * Bloqueia POST forjado a partir de outro domínio.
 */
export function isSameOrigin(request: Request): boolean {
  const origin = request.headers.get("origin");
  const referer = request.headers.get("referer");

  const allowed = new Set<string>([siteConfig.url]);

  // ... origens de desenvolvimento liberadas fora de produção

  const candidate = origin ?? (referer ? safeOrigin(referer) : null);
  if (!candidate) return false;
  return allowed.has(candidate.replace(/\/$/, ""));
}