<?php
// branch_switch.php (SECURE: block STAFF from switching branches)
declare(strict_types=1);
session_start();

if (empty($_SESSION['user_id'])) {
  header("Location: index.html?e=1");
  exit;
}

$role = strtoupper((string)($_SESSION['role'] ?? 'STAFF'));

/*
  ✅ منع الموظف من تغيير الفرع:
  - إذا كان STAFF
  - أو لو branch_locked=1 (حتى لو تغير الدور لاحقاً)
*/
if ($role === 'STAFF' || !empty($_SESSION['branch_locked'])) {
  // رجّعه للصفحة السابقة إن وجدت
  $back = (string)($_SERVER['HTTP_REFERER'] ?? 'dashboard.php');
  header("Location: " . $back . (str_contains($back, '?') ? '&' : '?') . "e=branch_locked");
  exit;
}

/* ADMIN/OWNER فقط يصلون هنا */
$branchId = (int)($_POST['branch_id'] ?? 1);
if (!in_array($branchId, [1,2], true)) $branchId = 1;

$_SESSION['branch_id'] = $branchId;

// رجّعه لنفس الصفحة اللي كان فيها
$back = (string)($_SERVER['HTTP_REFERER'] ?? 'dashboard.php');
header("Location: " . $back);
exit;