<?php
/**
 * estados-lista.php — Devuelve la lista de estados, opcionalmente filtrados por país
 * GET /admin/api/estados-lista.php?pais=1
 */
header('Content-Type: application/json; charset=utf-8');
header('Access-Control-Allow-Origin: *');
header('Access-Control-Allow-Headers: Authorization, Content-Type');
if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { http_response_code(204); exit; }

require_once __DIR__ . '/../../config.php';
$db = getDB();

// ── Validar token ────────────────────────────────────────────────────────────
$headers    = getallheaders();
$authHeader = $headers['Authorization'] ?? $headers['authorization'] ?? '';
if (!preg_match('/Bearer\s+(.+)/i', $authHeader, $m)) {
    http_response_code(401);
    echo json_encode(['ok' => false, 'error' => 'Token requerido']);
    exit;
}
$token = trim($m[1]);
$stmtTok = $db->prepare("SELECT idusuarios_sist FROM admin_sessions WHERE token = ? AND expira > NOW()");
$stmtTok->execute([$token]);
if (!$stmtTok->fetch()) {
    http_response_code(401);
    echo json_encode(['ok' => false, 'error' => 'Sesión inválida o expirada']);
    exit;
}

// ── Obtener estados — si pais=0 o no se pasa, usar pais=1 como fallback ──────
$idPais = isset($_GET['pais']) ? (int)$_GET['pais'] : 0;
if ($idPais <= 0) $idPais = 1; // fallback a México

$stmt = $db->prepare("SELECT idestado, nombre FROM estados WHERE pais_idpais = ? ORDER BY nombre ASC");
$stmt->execute([$idPais]);

$estados = $stmt->fetchAll(PDO::FETCH_ASSOC);

echo json_encode(['ok' => true, 'estados' => $estados]);
