<?php
/**
 * POST /api/auth/logout
 *
 * Wir nutzen stateless JWT — server-seitig gibt's nichts zu löschen.
 * Klient löscht das Token aus LocalStorage. Endpoint loggt nur den
 * Logout in activity_log und antwortet 200.
 *
 * (Bei späterer Token-Blacklist-Einführung: hier eintragen.)
 */

declare(strict_types=1);
require_once __DIR__ . '/../../bootstrap.php';

v2_validate_method('POST');
$payload = v2_auth_current();
if ($payload) {
    try {
        $userType = ($payload['role'] === 'student') ? 'student' : 'teacher';
        v2_db_exec(
            "INSERT INTO activity_log (user_type, user_id, action) VALUES (:t, :id, 'v2_logout')",
            [':t' => $userType, ':id' => (int) ($payload['sub'] ?? 0)]
        );
    } catch (Throwable $e) { /* optional */ }
}

v2_response_ok(['ok' => true]);