<?php
define('DS_APP', true);
require_once dirname(__DIR__) . '/includes/init.php';

if (auth_check()) redirect('app/dashboard.php');

$sent = false;

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    csrf_verify();
    $email = sanitize_email(post('email')) ?: '';
    if ($email) {
        auth_forgot_password($email);
    }
    $sent = true; // Toujours true (sécurité)
}

$pageTitle = 'Mot de passe oublié';
ob_start();
?>

<div class="auth-header">
  <div class="auth-icon">🔒</div>
  <h1 class="auth-title">Mot de passe oublié</h1>
  <p class="auth-subtitle">
    <?= $sent
      ? 'Si cet email existe, un lien de réinitialisation a été envoyé.'
      : 'Entrez votre email pour recevoir un lien de réinitialisation.' ?>
  </p>
</div>

<?php if ($sent): ?>
  <div class="flash flash-success">
    Vérifiez votre boîte mail (et vos spams). Le lien est valable 24h.
  </div>
  <div class="auth-footer" style="margin-top:20px;">
    <a href="<?= url('auth/login.php') ?>">← Retour à la connexion</a>
  </div>
<?php else: ?>
  <form method="POST" action="" novalidate>
    <?= csrf_field() ?>
    <div class="form-group">
      <label class="form-label" for="email"><?= _e('auth.email') ?></label>
      <input type="email" id="email" name="email"
        class="form-input"
        placeholder="vous@exemple.fr"
        autocomplete="email" required>
    </div>
    <button type="submit" class="btn-primary">
      <span>Envoyer le lien</span>
      <div class="spinner"></div>
    </button>
  </form>
  <div class="auth-footer" style="margin-top:20px;">
    <a href="<?= url('auth/login.php') ?>">← Retour à la connexion</a>
  </div>
<?php endif; ?>

<?php
$content = ob_get_clean();
require DS_VIEWS . 'layouts/auth.php';