src/ApplicationBundle/Modules/CentralControl/Controller/CentralControlController.php line 64

Open in your IDE?
  1. <?php
  3. namespace ApplicationBundle\Modules\CentralControl\Controller;
  5. use ApplicationBundle\Controller\GenericController;
  6. use ApplicationBundle\Interfaces\SessionCheckInterface;
  7. use ApplicationBundle\Modules\Authentication\Constants\UserConstants;
  8. use ApplicationBundle\Modules\CentralControl\Service\PlatformAuditLogger;
  9. use ApplicationBundle\Modules\CentralControl\Service\PlatformFlagFleetService;
  10. use ApplicationBundle\Modules\CentralControl\Service\PlatformFlagSettingsService;
  11. use ApplicationBundle\Modules\CentralControl\Service\PlatformOpsService;
  12. use ApplicationBundle\Modules\CentralControl\Service\SupportAccessService;
  13. use ApplicationBundle\Modules\CentralControl\Service\TenantCommandService;
  14. use ApplicationBundle\Modules\CentralControl\Support\CentralControlCore;
  15. use ApplicationBundle\Modules\CentralControl\Support\PlatformFlagRegistry;
  16. use ApplicationBundle\Modules\CentralControl\Support\PlatformOpsCore;
  17. use Symfony\Component\HttpFoundation\JsonResponse;
  18. use Symfony\Component\HttpFoundation\Request;
  20. /**
  21.  * CC1+CC2 — Tenant Command Console (/admin/control): the central control plane's cockpit.
  22.  * cp-shell surface (owner decision for NEW console pages), hard-gated to the CENTRAL box +
  23.  * super-admin session, linked from the hb-admin sidebar. Every mutation goes through the central
  24.  * services (TenantCommandService / PlatformFlagSettingsService), which audit into
  25.  * platform_admin_audit. CC7 LAW: the console opens NO tenant DB connection — desired state lives in
  26.  * central platform_setting; actual state is read from the collector's fleet_health_snapshot.
  27.  */
  28. class CentralControlController extends GenericController implements SessionCheckInterface
  29. {
  30.     // ── Guards (same access set as SuperAdminDashboardController) ───────────
  32.     private function isCentral()
  33.     {
  34.         $sys = $this->container->hasParameter('system_type') ? $this->container->getParameter('system_type') : '_ERP_';
  35.         return $sys === '_CENTRAL_';
  36.     }
  38.     private function canAccessSuperAdmin(Request $request)
  39.     {
  40.         $session = $request->getSession();
  41.         if ((int) $session->get(UserConstants::USER_ID, 0) <= 0) {
  42.             return false;
  43.         }
  44.         $userType = (int) $session->get(UserConstants::USER_TYPE, 0);
  45.         $allowedTypes = array(
  46.             UserConstants::USER_TYPE_SYSTEM,
  47.             UserConstants::USER_TYPE_MANAGEMENT_USER,
  48.             UserConstants::USER_TYPE_GENERAL,
  49.         );
  50.         return (int) $session->get(UserConstants::IS_BUDDYBEE_ADMIN, 0) === 1
  51.             || (int) $session->get(UserConstants::ALL_MODULE_ACCESS_FLAG, 0) === 1
  52.             || in_array($userType, $allowedTypes, true);
  53.     }
  55.     /** @return \Symfony\Component\HttpFoundation\RedirectResponse|null null when allowed */
  56.     private function guard(Request $request)
  57.     {
  58.         if (!$this->isCentral() || !$this->canAccessSuperAdmin($request)) {
  59.             return $this->redirectToRoute('dashboard');
  60.         }
  61.         return null;
  62.     }
  64.     private function centralEm()
  65.     {
  66.         return $this->getDoctrine()->getManager('company_group');
  67.     }
  69.     private function adminCtx(Request $request)
  70.     {
  71.         $session = $request->getSession();
  72.         return array(
  73.             'user_id' => (int) $session->get(UserConstants::USER_ID, 0),
  74.             'user_name' => (string) $session->get(UserConstants::USER_NAME, ''),
  75.             'ip' => (string) $request->getClientIp(),
  76.         );
  77.     }
  79.     private function commandService()
  80.     {
  81.         $em = $this->centralEm();
  82.         return new TenantCommandService(
  83.             $em,
  84.             new PlatformAuditLogger($em),
  85.             $this->container->getParameter('kernel.root_dir')
  86.         );
  87.     }
  89.     private function opsService()
  90.     {
  91.         $projectDir = $this->container->hasParameter('kernel.project_dir')
  92.             ? $this->container->getParameter('kernel.project_dir')
  93.             : dirname($this->container->getParameter('kernel.root_dir'));
  94.         $env = $this->container->hasParameter('kernel.environment')
  95.             ? $this->container->getParameter('kernel.environment') : 'prod';
  96.         return new PlatformOpsService($this->centralEm(), $projectDir, $env);
  97.     }
  99.     // ── CC1: console ─────────────────────────────────────────────────────────
  101.     public function consoleAction(Request $request)
  102.     {
  103.         if ($redirect = $this->guard($request)) {
  104.             return $redirect;
  105.         }
  107.         $search = trim((string) $request->query->get('q', ''));
  108.         $status = trim((string) $request->query->get('status', ''));
  110.         $em = $this->centralEm();
  111.         $logger = new PlatformAuditLogger($em);
  113.         $qb = $em->createQueryBuilder()
  114.             ->select('g')
  115.             ->from('CompanyGroupBundle\\Entity\\CompanyGroup', 'g')
  116.             ->orderBy('g.lastActivityAt', 'DESC')
  117.             ->addOrderBy('g.id', 'DESC')
  118.             ->setMaxResults(300);
  119.         if ($search !== '') {
  120.             $qb->andWhere('g.name LIKE :s OR g.email LIKE :s OR g.appId LIKE :s')
  121.                 ->setParameter('s', '%' . $search . '%');
  122.         }
  123.         if ($status !== '') {
  124.             if ($status === 'readonly') {
  125.                 $qb->andWhere('g.readOnlyMode = 1');
  126.             } elseif ($status === 'disabled') {
  127.                 $qb->andWhere('g.active = 0');
  128.             } else {
  129.                 $qb->andWhere('g.companyStatus = :st')->setParameter('st', $status);
  130.             }
  131.         }
  133.         $tenants = array();
  134.         $summary = array('all' => 0, 'active' => 0, 'trial' => 0, 'suspended' => 0, 'expired' => 0, 'readonly' => 0, 'disabled' => 0);
  135.         try {
  136.             $tenants = $qb->getQuery()->getResult();
  137.             $conn = $em->getConnection();
  138.             $summary['all'] = (int) $conn->fetchOne('SELECT COUNT(*) FROM company_group');
  139.             foreach (array('active', 'trial', 'suspended', 'expired') as $st) {
  140.                 $summary[$st] = (int) $conn->fetchOne('SELECT COUNT(*) FROM company_group WHERE company_status = ?', array($st));
  141.             }
  142.             // readOnlyMode has no explicit column mapping — let DQL resolve it, never raw SQL.
  143.             $summary['readonly'] = (int) $em->createQuery(
  144.                 'SELECT COUNT(g.id) FROM CompanyGroupBundle\\Entity\\CompanyGroup g WHERE g.readOnlyMode = 1'
  145.             )->getSingleScalarResult();
  146.             $summary['disabled'] = (int) $conn->fetchOne('SELECT COUNT(*) FROM company_group WHERE active = 0');
  147.         } catch (\Throwable $e) {
  148.             $this->addFlash('error', 'Central registry unreachable: ' . $e->getMessage());
  149.         }
  151.         // CC5 — usage facts for the visible tenants, read from the nightly fleet_health_snapshot
  152.         // (NEVER live cross-DB here). Fail-soft: a pre-CC5 central (no usage columns) → empty map,
  153.         // the console simply shows dashes. Keyed by appId for O(1) lookup in the row loop.
  154.         $usage = array();
  155.         try {
  156.             $conn = $em->getConnection();
  157.             $hasUsage = (int) $conn->fetchOne(
  158.                 "SELECT COUNT(*) FROM information_schema.columns WHERE table_schema = DATABASE()
  159.                  AND table_name = 'fleet_health_snapshot' AND column_name = 'sessions_7d'") > 0;
  160.             if ($hasUsage && !empty($tenants)) {
  161.                 $ids = array();
  162.                 foreach ($tenants as $t) { $ids[] = (int) $t->getAppId(); }
  163.                 foreach ($conn->fetchAllAssociative(
  164.                     'SELECT app_id, sessions_7d, sessions_30d, active_users_7d, active_users_30d,
  165.                             top_modules_json, collected_at
  166.                      FROM fleet_health_snapshot WHERE app_id IN (' . implode(',', array_fill(0, count($ids), '?')) . ')',
  167.                     $ids) as $r) {
  168.                     $usage[(int) $r['app_id']] = array(
  169.                         'sessions7d' => $r['sessions_7d'],
  170.                         'sessions30d' => $r['sessions_30d'],
  171.                         'activeUsers7d' => $r['active_users_7d'],
  172.                         'activeUsers30d' => $r['active_users_30d'],
  173.                         'topModules' => \ApplicationBundle\Modules\CentralControl\Support\UsageFactsCore::summarize($r['top_modules_json'], 3),
  174.                         'collectedAt' => $r['collected_at'],
  175.                     );
  176.                 }
  177.             }
  178.         } catch (\Throwable $e) { /* pre-CC5 central or unreachable — dashes */ }
  180.         return $this->render('@CentralControl/pages/control_console.html.twig', array(
  181.             'page_title' => 'Tenant Command Console',
  182.             'sidebar_partial' => '@CentralControl/pages/_control_sidebar.html.twig',
  183.             'cp_active' => 'console',
  184.             'tenants' => $tenants,
  185.             'summary' => $summary,
  186.             'usage' => $usage,
  187.             'search' => $search,
  188.             'status_filter' => $status,
  189.             'audit_ready' => $logger->tableExists(),
  190.             'recent_audit' => $logger->recent(12),
  191.             'flag_defs' => PlatformFlagRegistry::flags(),
  192.             'ops_defs' => PlatformOpsCore::ops(),
  193.             'ops_ready' => $this->opsService()->ready(),
  194.             'ops_local_topology' => $this->opsService()->localTopologyEnabled(),
  195.             'today' => date('Y-m-d'),
  196.         ));
  197.     }
  199.     /** One-click lifecycle action. POST only; audited; fail-closed without the audit table. */
  200.     public function tenantActionAction(Request $request, $appId)
  201.     {
  202.         if ($redirect = $this->guard($request)) {
  203.             return $redirect;
  204.         }
  206.         $action = (string) $request->request->get('control_action', '');
  207.         if (!in_array($action, CentralControlCore::ACTIONS, true)) {
  208.             $this->addFlash('error', 'Unknown control action.');
  209.             return $this->redirectToRoute('admin_control');
  210.         }
  212.         $result = $this->commandService()->apply(
  213.             (int) $appId,
  214.             $action,
  215.             $request->request->get('expiry_date'),
  216.             $request->request->get('reason'),
  217.             $this->adminCtx($request)
  218.         );
  220.         $this->addFlash($result['success'] ? (strpos($result['message'], 'AUDIT ROW FAILED') !== false || ($result['push_ok'] === false) ? 'warning' : 'success') : 'error', $result['message']);
  222.         return $this->redirectToRoute('admin_control', array(
  223.             'q' => $request->request->get('back_q', ''),
  224.             'status' => $request->request->get('back_status', ''),
  225.         ));
  226.     }
  228.     // ── AUT1: Founder Sovereignty Council register (§5) ────────────────────────
  230.     private function governanceService()
  231.     {
  232.         return new \ApplicationBundle\Modules\CentralControl\Service\GovernanceService($this->centralEm());
  233.     }
  235.     /**
  236.      * The governance register: decisions with their EXACT voted text + hash, the live evaluation
  237.      * (unanimity / silence≠consent / text-change-voids-votes), and the expiring delegation register.
  238.      * A RECORD-KEEPER — nothing here grants authority (AUT0's capability_registry stays the gate).
  239.      */
  240.     public function governanceAction(Request $request)
  241.     {
  242.         if ($redirect = $this->guard($request)) {
  243.             return $redirect;
  244.         }
  245.         $em = $this->centralEm();
  246.         $svc = $this->governanceService();
  247.         $ready = $svc->tablesReady();
  249.         $rows = array();
  250.         $delegations = array();
  251.         if ($ready) {
  252.             foreach ($svc->decisions(null, 200) as $d) {
  253.                 $rows[] = array(
  254.                     'd' => $d,
  255.                     'eval' => $svc->evaluate($d),
  256.                     'votes' => $svc->votesFor($d),
  257.                 );
  258.             }
  259.             foreach ($svc->delegations(200) as $g) {
  260.                 $delegations[] = array('g' => $g, 'valid' => $svc->delegationStatus($g));
  261.             }
  262.         }
  264.         return $this->render('@CentralControl/pages/control_governance.html.twig', array(
  265.             'page_title' => 'Founder Sovereignty Council — governance register',
  266.             'sidebar_partial' => '@CentralControl/pages/_control_sidebar.html.twig',
  267.             'cp_active' => 'governance',
  268.             'tables_ready' => $ready,
  269.             'audit_ready' => (new PlatformAuditLogger($em))->tableExists(),
  270.             'founders' => $svc->founders(),
  271.             'rows' => $rows,
  272.             'delegations' => $delegations,
  273.             'types' => \ApplicationBundle\Modules\CentralControl\Support\GovernanceCore::TYPES,
  274.         ));
  275.     }
  277.     /** Record a founder's vote on a decision's CURRENT text. Audited; fail-closed on the audit table. */
  278.     public function governanceVoteAction(Request $request, $id)
  279.     {
  280.         if ($redirect = $this->guard($request)) {
  281.             return $redirect;
  282.         }
  283.         $em = $this->centralEm();
  284.         $logger = new PlatformAuditLogger($em);
  285.         if (!$logger->tableExists()) {
  286.             $this->addFlash('error', 'Refused: platform_admin_audit is missing — governance actions must be auditable.');
  287.             return $this->redirectToRoute('admin_control_governance');
  288.         }
  289.         $svc = $this->governanceService();
  290.         $d = $svc->decision($id);
  291.         if (!$d) {
  292.             $this->addFlash('error', 'Decision not found.');
  293.             return $this->redirectToRoute('admin_control_governance');
  294.         }
  295.         $founderId = (int) $request->request->get('founder_id', 0);
  296.         $vote = (string) $request->request->get('vote', '');
  297.         $r = $svc->recordVote($d, $founderId, $vote, array(
  298.             'user_name' => (string) $request->getSession()->get(UserConstants::USER_NAME, ''),
  299.             'note' => $request->request->get('note'),
  300.         ));
  301.         if (!empty($r['success'])) {
  302.             $logger->log(null, 'governance_vote', array(), array('decision' => (int) $d->getId(), 'founder' => $founderId, 'vote' => $vote, 'status' => $r['status'], 'hash' => $d->getContentHash()), $request->request->get('note'), null, null, $this->adminCtx($request));
  303.         }
  304.         $this->addFlash(!empty($r['success']) ? 'success' : 'error', $r['message']);
  305.         return $this->redirectToRoute('admin_control_governance');
  306.     }
  308.     /** Propose a new decision (the exact text is what gets voted + hashed). Audited. */
  309.     public function governanceProposeAction(Request $request)
  310.     {
  311.         if ($redirect = $this->guard($request)) {
  312.             return $redirect;
  313.         }
  314.         $em = $this->centralEm();
  315.         $logger = new PlatformAuditLogger($em);
  316.         if (!$logger->tableExists()) {
  317.             $this->addFlash('error', 'Refused: platform_admin_audit is missing.');
  318.             return $this->redirectToRoute('admin_control_governance');
  319.         }
  320.         $r = $this->governanceService()->propose(
  321.             (string) $request->request->get('type', ''),
  322.             (string) $request->request->get('subject', ''),
  323.             (string) $request->request->get('body', ''),
  324.             array('user_name' => (string) $request->getSession()->get(UserConstants::USER_NAME, ''))
  325.         );
  326.         if (!empty($r['success'])) {
  327.             $logger->log(null, 'governance_propose', array(), array('decision' => (int) $r['decision']->getId(), 'type' => $r['decision']->getType(), 'hash' => $r['decision']->getContentHash()), null, null, null, $this->adminCtx($request));
  328.         }
  329.         $this->addFlash(!empty($r['success']) ? 'success' : 'error', $r['message']);
  330.         return $this->redirectToRoute('admin_control_governance');
  331.     }
  333.     /**
  334.      * Amend a decision's text. §5: this VOIDS every prior vote (the hash moves) and drops it back to
  335.      * proposed — structural, not a convention. Audited loudly.
  336.      */
  337.     public function governanceAmendAction(Request $request, $id)
  338.     {
  339.         if ($redirect = $this->guard($request)) {
  340.             return $redirect;
  341.         }
  342.         $em = $this->centralEm();
  343.         $logger = new PlatformAuditLogger($em);
  344.         if (!$logger->tableExists()) {
  345.             $this->addFlash('error', 'Refused: platform_admin_audit is missing.');
  346.             return $this->redirectToRoute('admin_control_governance');
  347.         }
  348.         $svc = $this->governanceService();
  349.         $d = $svc->decision($id);
  350.         if (!$d) {
  351.             $this->addFlash('error', 'Decision not found.');
  352.             return $this->redirectToRoute('admin_control_governance');
  353.         }
  354.         $before = array('hash' => $d->getContentHash(), 'status' => $d->getStatus());
  355.         $r = $svc->amend($d, (string) $request->request->get('body', ''), array('user_name' => (string) $request->getSession()->get(UserConstants::USER_NAME, '')));
  356.         $logger->log(null, 'governance_amend', $before, array('hash' => $d->getContentHash(), 'status' => $d->getStatus(), 'votes_voided' => $r['voided']), null, null, null, $this->adminCtx($request));
  357.         $this->addFlash('warning', $r['message']);
  358.         return $this->redirectToRoute('admin_control_governance');
  359.     }
  361.     /** Record a scoped, EXPIRING delegation (§5 forbids indefinite/unrestricted). Audited. */
  362.     public function governanceDelegateAction(Request $request)
  363.     {
  364.         if ($redirect = $this->guard($request)) {
  365.             return $redirect;
  366.         }
  367.         $em = $this->centralEm();
  368.         $logger = new PlatformAuditLogger($em);
  369.         if (!$logger->tableExists()) {
  370.             $this->addFlash('error', 'Refused: platform_admin_audit is missing.');
  371.             return $this->redirectToRoute('admin_control_governance');
  372.         }
  373.         $scopeRaw = (string) $request->request->get('scope', '');
  374.         $scope = json_decode($scopeRaw, true);
  375.         if (!is_array($scope)) { $scope = $scopeRaw !== '' ? array('scope' => $scopeRaw) : array(); }
  376.         $r = $this->governanceService()->addDelegation(
  377.             (string) $request->request->get('subject', ''),
  378.             $scope,
  379.             $request->request->get('delegate_id'),
  380.             $request->request->get('delegate_name'),
  381.             (string) $request->request->get('expires_at', ''),
  382.             $request->request->get('decision_id') ?: null,
  383.             array('user_name' => (string) $request->getSession()->get(UserConstants::USER_NAME, ''))
  384.         );
  385.         if (!empty($r['success'])) {
  386.             $logger->log(null, 'governance_delegate', array(), array('subject' => $request->request->get('subject'), 'expires_at' => $request->request->get('expires_at')), null, null, null, $this->adminCtx($request));
  387.         }
  388.         $this->addFlash(!empty($r['success']) ? 'success' : 'error', $r['message']);
  389.         return $this->redirectToRoute('admin_control_governance');
  390.     }
  392.     // ── CC4: ops buttons ───────────────────────────────────────────────────────
  394.     /**
  395.      * Launch a whitelisted ops command in an isolated process. POST only; fail-closed on the audit
  396.      * + ops-run tables; the command name never comes from the form — only the op KEY selects a
  397.      * PlatformOpsCore whitelist entry. Destructive ops are dry-run unless armed by PlatformOpsCore.
  398.      */
  399.     public function opsRunAction(Request $request, $appId)
  400.     {
  401.         if ($redirect = $this->guard($request)) {
  402.             return $redirect;
  403.         }
  404.         $opKey = (string) $request->request->get('op_key', '');
  405.         if (!PlatformOpsCore::isOp($opKey)) {
  406.             $this->addFlash('error', 'Unknown ops action.');
  407.             return $this->redirectToRoute('admin_control');
  408.         }
  410.         $tenant = $this->tenantMeta((int) $appId);
  411.         if ($tenant === null) {
  412.             $this->addFlash('error', 'Tenant not found in the central registry.');
  413.             return $this->redirectToRoute('admin_control');
  414.         }
  416.         $params = array(
  417.             'apply' => $request->request->get('apply'),
  418.             'confirm' => $request->request->get('confirm'),
  419.             'days' => $request->request->get('days'),
  420.             'keepOpening' => $request->request->get('keep_opening'),
  421.             'reason' => $request->request->get('reason'),
  422.         );
  424.         $r = $this->opsService()->run($opKey, $tenant, $params, $this->adminCtx($request));
  425.         if (empty($r['ok'])) {
  426.             $this->addFlash('error', $r['error']);
  427.         } else {
  428.             $head = trim((string) $r['snippet']);
  429.             if (strlen($head) > 500) {
  430.                 $head = substr($head, 0, 500) . '…';
  431.             }
  432.             $label = PlatformOpsCore::def($opKey)['label'];
  433.             $msg = $label . ' — ' . ($r['applied'] ? 'APPLIED' : 'dry-run') . ': ' . strtoupper((string) $r['status'])
  434.                 . ' (exit ' . ($r['exit'] === null ? '?' : $r['exit']) . ')';
  435.             if ($head !== '') {
  436.                 $msg .= ' · ' . $head;
  437.             }
  438.             $this->addFlash($r['status'] === 'ok' ? 'success' : 'warning', $msg);
  439.         }
  441.         return $this->redirectToRoute('admin_control', array(
  442.             'q' => $request->request->get('back_q', ''),
  443.             'status' => $request->request->get('back_status', ''),
  444.         ));
  445.     }
  447.     /**
  448.      * CC8 — JSON tenant user directory for the selectize pickers (applicant / accountable owner /
  449.      * support-access user). Read from the CENTRAL fleet_health_snapshot (`user_directory_json`,
  450.      * collected ON the tenant box) — never a live cross-DB read. Missing snapshot → empty options
  451.      * (the picker keeps its manual-id create fallback, so an action is never blocked).
  452.      */
  453.     public function userDirectoryAction(Request $request, $appId)
  454.     {
  455.         if ($this->guard($request)) {
  456.             return new JsonResponse(array('error' => 'forbidden'), 403);
  457.         }
  458.         try {
  459.             $conn = $this->centralEm()->getConnection();
  460.             $hasCol = (int) $conn->fetchOne(
  461.                 "SELECT COUNT(*) FROM information_schema.columns WHERE table_schema = DATABASE()
  462.                  AND table_name = 'fleet_health_snapshot' AND column_name = 'user_directory_json'") > 0;
  463.             if (!$hasCol) {
  464.                 return new JsonResponse(array('options' => array(), 'hasSnapshot' => false, 'note' => 'user_directory_json not migrated on central'));
  465.             }
  466.             $r = $conn->fetchAssociative(
  467.                 'SELECT user_directory_json, collected_at FROM fleet_health_snapshot WHERE app_id = ? LIMIT 1',
  468.                 array((int) $appId));
  469.             $json = $r ? (string) $r['user_directory_json'] : '';
  470.             return new JsonResponse(array(
  471.                 'options' => \ApplicationBundle\Modules\CentralControl\Support\UserDirectoryCore::options($json),
  472.                 'hasSnapshot' => $r && $json !== '',
  473.                 'snapshotAt' => $r ? $r['collected_at'] : null,
  474.             ));
  475.         } catch (\Throwable $e) {
  476.             return new JsonResponse(array('options' => array(), 'hasSnapshot' => false, 'error' => $e->getMessage()));
  477.         }
  478.     }
  480.     /** JSON: recent ops runs for one tenant (loaded lazily when the drawer opens). */
  481.     public function opsHistoryAction(Request $request, $appId)
  482.     {
  483.         if ($this->guard($request)) {
  484.             return new JsonResponse(array('error' => 'forbidden'), 403);
  485.         }
  486.         $out = array();
  487.         foreach ($this->opsService()->recent((int) $appId, 6) as $run) {
  488.             $out[] = array(
  489.                 'op' => $run->getOpKey(),
  490.                 'applied' => (bool) $run->getApplied(),
  491.                 'status' => $run->getStatus(),
  492.                 'exit' => $run->getExitCode(),
  493.                 'when' => $run->getStartedAt() ? $run->getStartedAt()->format('Y-m-d H:i') : '',
  494.                 'by' => $run->getAdminUserName() ?: ('#' . $run->getAdminUserId()),
  495.                 'ms' => $run->getDurationMs(),
  496.             );
  497.         }
  498.         return new JsonResponse(array('runs' => $out));
  499.     }
  501.     /** Minimal tenant meta (appId + dbName) for an ops target; null when the tenant is unknown. */
  502.     private function tenantMeta($appId)
  503.     {
  504.         try {
  505.             $g = $this->centralEm()->getRepository('CompanyGroupBundle\\Entity\\CompanyGroup')
  506.                 ->findOneBy(array('appId' => (int) $appId));
  507.             if (!$g) {
  508.                 return null;
  509.             }
  510.             return array('appId' => (int) $g->getAppId(), 'dbName' => (string) $g->getDbName());
  511.         } catch (\Throwable $e) {
  512.             return null;
  513.         }
  514.     }
  516.     // ── CC2: flags ───────────────────────────────────────────────────────────
  518.     /** Fleet-wide flag matrix (live cross-DB reads, one try/catch per tenant). */
  519.     public function flagsFleetAction(Request $request)
  520.     {
  521.         if ($redirect = $this->guard($request)) {
  522.             return $redirect;
  523.         }
  525.         $em = $this->centralEm();
  526.         $companies = array();
  527.         try {
  528.             $companies = $em->createQueryBuilder()
  529.                 ->select('g')->from('CompanyGroupBundle\\Entity\\CompanyGroup', 'g')
  530.                 ->andWhere('g.active = 1')
  531.                 ->andWhere("g.dbName IS NOT NULL AND g.dbName <> ''")
  532.                 ->orderBy('g.appId', 'ASC')
  533.                 ->getQuery()->getResult();
  534.         } catch (\Throwable $e) {
  535.             $this->addFlash('error', 'Central registry unreachable: ' . $e->getMessage());
  536.         }
  538.         // CC7 — desired (central platform_setting) vs actual (collector snapshot), central-local only.
  539.         // NO live cross-DB read: the console never opens a tenant DB connection anymore.
  540.         $matrix = (new PlatformFlagFleetService($em))->matrix($companies);
  542.         return $this->render('@CentralControl/pages/control_flags.html.twig', array(
  543.             'page_title' => 'Platform Flags',
  544.             'sidebar_partial' => '@CentralControl/pages/_control_sidebar.html.twig',
  545.             'cp_active' => 'flags',
  546.             'flag_defs' => PlatformFlagRegistry::flags(),
  547.             'companies' => $companies,
  548.             'matrix' => $matrix,
  549.             'audit_ready' => (new PlatformAuditLogger($em))->tableExists(),
  550.             'settings_ready' => (new PlatformFlagSettingsService($em))->tableExists(),
  551.         ));
  552.     }
  554.     /** Per-tenant flag states for the console drawer (JSON). */
  555.     public function tenantFlagsAction(Request $request, $appId)
  556.     {
  557.         if (!$this->isCentral() || !$this->canAccessSuperAdmin($request)) {
  558.             return new JsonResponse(array('success' => false, 'message' => 'Central super-admin only.'), 403);
  559.         }
  561.         try {
  562.             $company = $this->centralEm()->getRepository('CompanyGroupBundle\\Entity\\CompanyGroup')
  563.                 ->findOneBy(array('appId' => (int) $appId));
  564.             if (!$company) {
  565.                 return new JsonResponse(array('success' => false, 'message' => 'Tenant not found.'), 404);
  566.             }
  567.             // CC7 — desired (central) vs actual (snapshot), central-local only. No cross-DB.
  568.             $m = (new PlatformFlagFleetService($this->centralEm()))->matrix(array($company));
  569.             $row = isset($m[(int) $appId]) ? $m[(int) $appId] : array('flags' => array(), 'hasSnapshot' => false, 'snapshotAt' => null, 'ageHours' => null);
  570.             return new JsonResponse(array(
  571.                 'success' => true,
  572.                 'flags' => $row['flags'],
  573.                 'hasSnapshot' => $row['hasSnapshot'],
  574.                 'snapshotAt' => $row['snapshotAt'],
  575.                 'ageHours' => $row['ageHours'],
  576.                 'defs' => PlatformFlagRegistry::flags(),
  577.             ));
  578.         } catch (\Throwable $e) {
  579.             return new JsonResponse(array('success' => false, 'message' => $e->getMessage()), 500);
  580.         }
  581.     }
  583.     /**
  584.      * AI-QUOTA — per-tenant AI allocation/usage panel for the console drawer (JSON).
  585.      * CC7: read the panel from the CENTRAL fleet_health_snapshot (`ai_usage_json`, written by the
  586.      * tenant's own collector run ON the tenant box) — never a live cross-DB read. Reports the
  587.      * snapshot age so the drawer can say how fresh it is; missing snapshot → an honest empty state.
  588.      */
  589.     public function tenantAiUsageAction(Request $request, $appId)
  590.     {
  591.         if (!$this->isCentral() || !$this->canAccessSuperAdmin($request)) {
  592.             return new JsonResponse(array('success' => false, 'message' => 'Central super-admin only.'), 403);
  593.         }
  595.         try {
  596.             $conn = $this->centralEm()->getConnection();
  597.             $hasCol = (int) $conn->fetchOne(
  598.                 "SELECT COUNT(*) FROM information_schema.columns WHERE table_schema = DATABASE()
  599.                  AND table_name = 'fleet_health_snapshot' AND column_name = 'ai_usage_json'") > 0;
  600.             if (!$hasCol) {
  601.                 return new JsonResponse(array('success' => false, 'message' => 'AI usage snapshot not migrated on this central box yet (update_database_schema).', 'stale' => true));
  602.             }
  603.             $r = $conn->fetchAssociative(
  604.                 'SELECT ai_usage_json, collected_at FROM fleet_health_snapshot WHERE app_id = ? LIMIT 1',
  605.                 array((int) $appId));
  606.             if (!$r || $r['ai_usage_json'] === null || $r['ai_usage_json'] === '') {
  607.                 return new JsonResponse(array('success' => false, 'message' => 'No snapshot yet — the tenant collector has not reported AI usage.', 'stale' => true));
  608.             }
  609.             $panel = json_decode((string) $r['ai_usage_json'], true);
  610.             return new JsonResponse(array(
  611.                 'success' => is_array($panel),
  612.                 'panel' => is_array($panel) ? $panel : null,
  613.                 'snapshotAt' => $r['collected_at'],
  614.             ));
  615.         } catch (\Throwable $e) {
  616.             return new JsonResponse(array('success' => false, 'message' => $e->getMessage()), 500);
  617.         }
  618.     }
  620.     /** Write one flag on one tenant. Audited; fail-closed without the audit table. */
  621.     public function flagSetAction(Request $request, $appId)
  622.     {
  623.         if (!$this->isCentral() || !$this->canAccessSuperAdmin($request)) {
  624.             return new JsonResponse(array('success' => false, 'message' => 'Central super-admin only.'), 403);
  625.         }
  627.         $key = (string) $request->request->get('flag_key', '');
  628.         $flagValue = (string) $request->request->get('flag_value', '');
  629.         $clear = $flagValue === 'clear';
  630.         $on = $flagValue === '1';
  632.         $em = $this->centralEm();
  633.         $logger = new PlatformAuditLogger($em);
  634.         if (!$logger->tableExists()) {
  635.             return new JsonResponse(array('success' => false, 'message' => 'Refused: platform_admin_audit table is missing — run update_database_schema on CENTRAL first.'), 409);
  636.         }
  637.         $settings = new PlatformFlagSettingsService($em);
  638.         if (!$settings->tableExists()) {
  639.             return new JsonResponse(array('success' => false, 'message' => 'Refused: platform_setting table is missing — run update_database_schema on CENTRAL first.'), 409);
  640.         }
  641.         if (!PlatformFlagRegistry::has($key)) {
  642.             return new JsonResponse(array('success' => false, 'message' => 'Unknown platform flag.'), 400);
  643.         }
  645.         try {
  646.             $company = $em->getRepository('CompanyGroupBundle\\Entity\\CompanyGroup')
  647.                 ->findOneBy(array('appId' => (int) $appId));
  648.             if (!$company) {
  649.                 return new JsonResponse(array('success' => false, 'message' => 'Tenant not found.'), 404);
  650.             }
  652.             // CC7 — write the central DESIRED state (per-app override). NO tenant DB write: the
  653.             // tenant reads this centrally with a fail-safe local fallback. 'clear' removes the
  654.             // override so the tenant falls back to its own local acc_setting.
  655.             $write = $settings->setOverride((int) $appId, $key, $clear ? null : $on, $this->adminCtx($request));
  656.             if (empty($write['success'])) {
  657.                 return new JsonResponse(array('success' => false, 'message' => $write['message']), 400);
  658.             }
  660.             $logger->log(
  661.                 (int) $appId,
  662.                 'flag:' . $key,
  663.                 array($key => $write['before']),
  664.                 array($key => $write['after']),
  665.                 $request->request->get('reason'),
  666.                 null,
  667.                 'central desired-state (platform_setting) — tenant honours it, no cross-DB write',
  668.                 $this->adminCtx($request)
  669.             );
  671.             $label = PlatformFlagRegistry::flags()[$key]['label'];
  672.             return new JsonResponse(array(
  673.                 'success' => true,
  674.                 'message' => $clear
  675.                     ? $label . ' override cleared for tenant #' . (int) $appId . ' — reverts to the tenant\'s local setting.'
  676.                     : $label . ' desired → ' . ($on ? 'ON' : 'OFF') . ' for tenant #' . (int) $appId . ' (applies on the tenant\'s next read).',
  677.                 'desired' => $clear ? null : PlatformFlagRegistry::effective($key, $write['after']),
  678.                 'raw' => $write['after'],
  679.             ));
  680.         } catch (\Throwable $e) {
  681.             return new JsonResponse(array('success' => false, 'message' => 'Flag write failed: ' . $e->getMessage()), 500);
  682.         }
  683.     }
  685.     // ── CC6: support access (impersonation) — GO per 2026-07-10 rulings ─────
  687.     /** Tenant user list for the support picker (cross-DB, JSON). */
  688.     public function supportUsersAction(Request $request, $appId)
  689.     {
  690.         if (!$this->isCentral() || !$this->canAccessSuperAdmin($request)) {
  691.             return new JsonResponse(array('success' => false, 'message' => 'Central super-admin only.'), 403);
  692.         }
  693.         try {
  694.             $company = $this->centralEm()->getRepository('CompanyGroupBundle\\Entity\\CompanyGroup')
  695.                 ->findOneBy(array('appId' => (int) $appId));
  696.             if (!$company) {
  697.                 return new JsonResponse(array('success' => false, 'message' => 'Tenant not found.'), 404);
  698.             }
  699.             $res = (new SupportAccessService($this->centralEm()))->listTenantUsers($company);
  700.             return new JsonResponse(array('success' => $res['error'] === null, 'users' => $res['users'], 'message' => $res['error']));
  701.         } catch (\Throwable $e) {
  702.             return new JsonResponse(array('success' => false, 'message' => $e->getMessage()), 500);
  703.         }
  704.     }
  706.     /**
  707.      * Mint a support token (ruling: mandatory reason; single-use; 60 min; audited). Returns
  708.      * the tenant-box entry URL — the admin opens it; the secret is never a password.
  709.      */
  710.     public function supportTokenAction(Request $request, $appId)
  711.     {
  712.         if (!$this->isCentral() || !$this->canAccessSuperAdmin($request)) {
  713.             return new JsonResponse(array('success' => false, 'message' => 'Central super-admin only.'), 403);
  714.         }
  716.         $em = $this->centralEm();
  717.         $logger = new PlatformAuditLogger($em);
  718.         if (!$logger->tableExists()) {
  719.             return new JsonResponse(array('success' => false, 'message' => 'Refused: platform_admin_audit table missing — run update_database_schema on CENTRAL first.'), 409);
  720.         }
  722.         $tenantUserId = (int) $request->request->get('tenant_user_id', 0);
  723.         $reason = (string) $request->request->get('reason', '');
  724.         if ($tenantUserId <= 0) {
  725.             return new JsonResponse(array('success' => false, 'message' => 'Pick a tenant user.'), 400);
  726.         }
  728.         try {
  729.             $company = $em->getRepository('CompanyGroupBundle\\Entity\\CompanyGroup')
  730.                 ->findOneBy(array('appId' => (int) $appId));
  731.             if (!$company) {
  732.                 return new JsonResponse(array('success' => false, 'message' => 'Tenant not found.'), 404);
  733.             }
  735.             $adminCtx = $this->adminCtx($request);
  736.             $res = (new SupportAccessService($em))->mint($company, $tenantUserId, $reason, $adminCtx);
  737.             if (!$res['success']) {
  738.                 return new JsonResponse(array('success' => false, 'message' => $res['message']), 400);
  739.             }
  741.             $logger->log((int) $appId, 'impersonate_token_minted', array(), array(
  742.                 'tenant_user_id' => $tenantUserId,
  743.                 'token_id' => $res['token_id'],
  744.                 'ttl_min' => 60,
  745.             ), $reason, null, 'single-use entry link issued', $adminCtx);
  747.             return new JsonResponse(array('success' => true, 'message' => $res['message'], 'entry_url' => $res['entry_url']));
  748.         } catch (\Throwable $e) {
  749.             return new JsonResponse(array('success' => false, 'message' => 'Mint failed: ' . $e->getMessage()), 500);
  750.         }
  751.     }
  753.     // ── CC3: enforcement arming (central-readable switches, no %param%) ────────
  755.     public function enforcementAction(Request $request)
  756.     {
  757.         if ($redirect = $this->guard($request)) {
  758.             return $redirect;
  759.         }
  760.         $em = $this->centralEm();
  761.         $svc = new \ApplicationBundle\Modules\CentralControl\Service\EnforcementSettingsService($em);
  762.         $logger = new PlatformAuditLogger($em);
  764.         $keys = array();
  765.         foreach (\ApplicationBundle\Modules\CentralControl\Service\EnforcementSettingsService::KEYS as $k) {
  766.             $eff = $svc->effectiveGlobal($k);
  767.             $keys[$k] = array(
  768.                 'global' => $svc->global($k),          // raw '1'/'0'/null
  769.                 'effective' => $eff['value'],
  770.                 'source' => $eff['source'],
  771.                 'overrides' => $svc->overrides($k),
  772.             );
  773.         }
  775.         // CC8 — tenant options for the app-id selectize picker (central-local read; label "name — #id").
  776.         $tenants = array();
  777.         try {
  778.             foreach ($em->createQueryBuilder()
  779.                          ->select('g')->from('CompanyGroupBundle\\Entity\\CompanyGroup', 'g')
  780.                          ->orderBy('g.appId', 'ASC')->getQuery()->getResult() as $g) {
  781.                 $tenants[] = array('appId' => (int) $g->getAppId(), 'name' => (string) $g->getName());
  782.             }
  783.         } catch (\Throwable $e) { /* registry unreachable — picker falls back to manual id entry */ }
  785.         return $this->render('@CentralControl/pages/control_enforcement.html.twig', array(
  786.             'page_title' => 'Enforcement Arming',
  787.             'sidebar_partial' => '@CentralControl/pages/_control_sidebar.html.twig',
  788.             'cp_active' => 'enforcement',
  789.             'keys' => $keys,
  790.             'tenants' => $tenants,
  791.             'schema_ready' => $svc->tableExists(),
  792.             'audit_ready' => $logger->tableExists(),
  793.         ));
  794.     }
  796.     /** Set/clear a global or per-app enforcement switch. Audited; fail-closed on the audit table. */
  797.     public function enforcementSetAction(Request $request)
  798.     {
  799.         if ($redirect = $this->guard($request)) {
  800.             return $redirect;
  801.         }
  802.         $em = $this->centralEm();
  803.         $svc = new \ApplicationBundle\Modules\CentralControl\Service\EnforcementSettingsService($em);
  804.         $logger = new PlatformAuditLogger($em);
  806.         if (!$logger->tableExists() || !$svc->tableExists()) {
  807.             $this->addFlash('error', 'Refused: run update_database_schema on CENTRAL (platform_setting + platform_admin_audit) first.');
  808.             return $this->redirectToRoute('admin_control_enforcement');
  809.         }
  811.         $key = (string) $request->request->get('key', '');
  812.         if (!\ApplicationBundle\Modules\CentralControl\Service\EnforcementSettingsService::isKey($key)) {
  813.             $this->addFlash('error', 'Unknown enforcement key.');
  814.             return $this->redirectToRoute('admin_control_enforcement');
  815.         }
  816.         $appId = (int) $request->request->get('appId', 0);
  817.         $state = (string) $request->request->get('state', ''); // 'on' | 'off' | 'clear'
  818.         $on = $state === 'on' ? true : ($state === 'off' ? false : null);
  820.         $ctx = $this->adminCtx($request);
  821.         $res = $appId > 0 ? $svc->setOverride($appId, $key, $on, $ctx) : $svc->setGlobal($key, $on, $ctx);
  823.         if ($res['success']) {
  824.             try {
  825.                 $logger->log($appId > 0 ? $appId : null, 'enforcement_set',
  826.                     array($key => $res['before']), array($key => $res['after'], 'scope' => $appId > 0 ? ('app#' . $appId) : 'global'),
  827.                     $request->request->get('reason'), null, null, $ctx);
  828.             } catch (\Throwable $e) {
  829.                 $this->addFlash('warning', 'Saved BUT audit write failed: ' . $e->getMessage());
  830.                 return $this->redirectToRoute('admin_control_enforcement');
  831.             }
  832.             $this->addFlash('success', $res['message']);
  833.         } else {
  834.             $this->addFlash('error', $res['message']);
  835.         }
  836.         return $this->redirectToRoute('admin_control_enforcement');
  837.     }
  839.     // ── Audit trail ──────────────────────────────────────────────────────────
  841.     public function auditAction(Request $request)
  842.     {
  843.         if ($redirect = $this->guard($request)) {
  844.             return $redirect;
  845.         }
  847.         $appId = $request->query->get('appId');
  848.         $logger = new PlatformAuditLogger($this->centralEm());
  850.         return $this->render('@CentralControl/pages/control_audit.html.twig', array(
  851.             'page_title' => 'Platform Admin Audit Trail',
  852.             'sidebar_partial' => '@CentralControl/pages/_control_sidebar.html.twig',
  853.             'cp_active' => 'audit',
  854.             'audit_ready' => $logger->tableExists(),
  855.             'rows' => $logger->recent(200, $appId !== null && $appId !== '' ? (int) $appId : null),
  856.             'app_id_filter' => $appId !== null && $appId !== '' ? (int) $appId : null,
  857.         ));
  858.     }
  859. }