qrcode-generator/src/app/r/[slug]/route.ts

import type { NextRequest } from "next/server";

import { prisma } from "@/lib/db";
import { ensureDefaultDomain, resolveRequestDomain } from "@/lib/domains";
import { getQrType } from "@/lib/qr/registry";
import { isValidSlug } from "@/lib/slug";

export const dynamic = "force-dynamic";

type Context = { params: Promise<{ slug: string }> };

function notFound(message: string): Response {
  return new Response(
    `<!doctype html>
<html lang="de">
  <head>
    <meta charset="utf-8" />
    <meta name="viewport" content="width=device-width, initial-scale=1" />
    <title>QR-Code nicht gefunden</title>
  </head>
  <body style="font-family: system-ui, sans-serif; margin: 0; display: grid; place-items: center; min-height: 100vh; background: #f8fafc; color: #0f172a;">
    <main style="text-align: center; padding: 2rem; max-width: 32rem;">
      <p style="font-size: 3rem; margin: 0;">🔍</p>
      <h1 style="font-size: 1.5rem; margin: 1rem 0 0.5rem;">QR-Code nicht gefunden</h1>
      <p style="color: #475569; line-height: 1.6;">${message}</p>
    </main>
  </body>
</html>`,
    { status: 404, headers: { "Content-Type": "text/html; charset=utf-8" } },
  );
}

/**
 * Weiterleitung eines dynamischen QR-Codes.
 *
 * Bewusst 302 (temporär): Das Ziel ist jederzeit änderbar, ein permanenter
 * Redirect würde in Browsern und Zwischenspeichern hängen bleiben.
 *
 * Der Slug ist nur je Domain eindeutig, deshalb wird zuerst die Domain aus
 * dem `Host`-Header bestimmt. Ein unbekannter Hostname endet hier — sonst
 * ließe sich über einen gefälschten Header ein fremder Code ansprechen.
 */
export async function GET(
  request: NextRequest,
  context: Context,
): Promise<Response> {
  const { slug } = await context.params;

  if (!isValidSlug(slug)) {
    return notFound("Diese Kurz-Adresse ist ungültig.");
  }

  const matched = await resolveRequestDomain(request.headers);

  // Aufruf über eine nicht registrierte Adresse — etwa direkt über die IP im
  // LAN. Dann gilt die Standard-Domain aus BASE_URL.
  const domain = matched ?? {
    ...(await ensureDefaultDomain()),
    isActive: true,
  };

  if (!domain.isActive) {
    return notFound(
      "Diese Adresse ist zurzeit abgeschaltet. Bitte wende dich an denjenigen, der den Code erstellt hat.",
    );
  }

  const code = await prisma.qrCode.findUnique({
    where: { domainId_slug: { domainId: domain.id, slug } },
  });

  if (!code) {
    return notFound(
      "Der Code wurde gelöscht oder hat nie existiert. Bitte wende dich an denjenigen, der ihn erstellt hat.",
    );
  }

  const qrType = getQrType(code.type);
  if (!qrType) {
    return notFound("Der Typ dieses Codes wird nicht mehr unterstützt.");
  }

  let target: string;
  if (qrType.hasLandingPage) {
    // Kein fremdes Ziel — die Seite liefern wir selbst aus. Bewusst relativ,
    // damit der Aufruf auf der Adresse bleibt, über die er hereinkam (auch
    // wenn das eine nicht registrierte ist, etwa eine IP im LAN).
    target = `/s/${slug}`;
  } else {
    try {
      // Der User-Agent geht mit: Typen wie der App-Link entscheiden daran,
      // wohin die Weiterleitung führt.
      target = qrType.redirectTarget(code.data, {
        userAgent: request.headers.get("user-agent") ?? undefined,
      });
    } catch {
      return notFound("Das Ziel dieses Codes ist nicht mehr gültig.");
    }
  }

  // Der Zähler darf die Weiterleitung nicht ausbremsen oder blockieren.
  try {
    await prisma.qrCode.update({
      where: { id: code.id },
      data: { scans: { increment: 1 }, lastScanAt: new Date() },
    });
  } catch (error) {
    console.error("Scan-Zähler konnte nicht erhöht werden:", error);
  }

  return new Response(null, {
    status: 302,
    headers: {
      Location: target,
      // Ohne dies würden Browser die Weiterleitung zwischenspeichern und
      // spätere Zieländerungen sowie der Scan-Zähler blieben wirkungslos.
      "Cache-Control": "no-store, no-cache, must-revalidate",
    },
  });
}