#!/usr/bin/env perl
use strict;
use warnings;
use Test::More;
use CGI;
use CGI::Emulate::PSGI;    # cpan CGI::Emulate::PSGI
use Plack::Test;           # cpan Plack
use HTTP::Request::Common;
use lib '.';               # якщо ваш скрипт у поточній директорії

# Завантажуємо ваш CGI-скрипт як модуль
# (треба трохи адаптувати ваш скрипт, щоб він міг працювати як PSGI app)
require 'process_form.pl';   # ваш оригінальний скрипт

# Обгортаємо CGI-скрипт у PSGI-сумісну функцію
my $app = CGI::Emulate::PSGI->handler(sub {
    # Тут викликається ваш оригінальний код CGI
    # (зазвичай це просто main:: код вашого скрипту)
    main::handler();   # або просто весь код, якщо він не в підпрограмі
});

# Тестовий клієнт
my $test = Plack::Test->create($app);

subtest 'GET - показ форми' => sub {
    my $res = $test->request(GET '/');
    is $res->code, 200, 'Повертає 200 OK';
    like $res->content, qr{<form.*method="post"}i, 'Містить форму POST';
    like $res->content, qr{csrf_token.*value="[^"]+"}i, 'Містить CSRF-токен';
    unlike $res->content, qr{<script>alert}, 'Не містить небезпечного JS';
};

subtest 'POST - валідні дані' => sub {
    my $res = $test->request(
        POST '/',
        Content_Type => 'application/x-www-form-urlencoded',
        Content      => {
            csrf_token => 'valid_token_123',   # тут треба генерувати реальний
            name       => 'Олег Коваленко',
            age        => '34',
            email      => 'oleg@example.com'
        }
    );

    is $res->code, 200, 'Успішна обробка';
    like $res->content, qr{Дані успішно збережено}, 'Показує повідомлення про успіх';
    like $res->content, qr{Олег Коваленко}, 'Виводить екрановане ім’я';
};

subtest 'POST - невалідний CSRF' => sub {
    my $res = $test->request(
        POST '/',
        Content_Type => 'application/x-www-form-urlencoded',
        Content      => {
            csrf_token => 'fake-wrong-token',
            name       => 'Test',
            age        => '25',
            email      => 'test@example.com'
        }
    );

    is $res->code, 403, '403 при невалідному CSRF';
    like $res->content, qr{Недійсний CSRF-токен}, 'Повідомлення про помилку CSRF';
};

subtest 'POST - XSS спроба в імені' => sub {
    my $res = $test->request(
        POST '/',
        Content_Type => 'application/x-www-form-urlencoded',
        Content      => {
            csrf_token => 'valid_token_123',
            name       => '<script>alert("XSS")</script>',
            age        => '30',
            email      => 'xss@test.com'
        }
    );

    is $res->code, 200, 'Оброблено, але екрановано';
    unlike $res->content, qr{<script>alert}, 'Скрипт екранований';
    like $res->content, qr{&lt;script&gt;alert\("XSS"\)&lt;/script&gt;}, 'Показує entities';
};

subtest 'POST - невалідний вік' => sub {
    my $res = $test->request(
        POST '/',
        Content_Type => 'application/x-www-form-urlencoded',
        Content      => {
            csrf_token => 'valid_token_123',
            name       => 'Test',
            age        => '999',
            email      => 'test@example.com'
        }
    );

    is $res->code, 200, 'Повертає сторінку з помилкою';
    like $res->content, qr{Вік: ціле число 1–120}, 'Показує помилку валідації';
};

done_testing;