<?php
define('INSTALLER_DOWNLOAD_TOKEN', 'e32dc9cd5c6797cd361bdbbbab060cce2182967f978da1fd8af406648fea4686');
/**
 * Foto CMS - One-File Installer
 * 
 * Statyczny plik instalatora. Nie jest generowany — wdrazany bezposrednio.
 * Wersja CMS pobierana dynamicznie z manifestu API.
 */

// Wymuszenie UTF-8 niezaleźnie od konfiguracji serwera klienta
if (!headers_sent()) {
    header('Content-Type: text/html; charset=utf-8');
}
ini_set('default_charset', 'UTF-8');

// Konfiguracja
define('INSTALLER_VERSION', '1.0.0');
define('API_BASE', 'https://szymonzachariasz.pl');

// Stan instalacji
$step = $_GET['step'] ?? 'check';
$error = '';
$warning = '';
$info = '';
$apiWarning = false; // fix6, fix11: flaga zamiast strpos na polskich znakach

// --- FUNKCJE POMOCNICZE -----------------------------------------------------

/**
 * Sprawdza czy serwer spełnia wymagania instalatora
 */
function check_requirements(): array {
    $req = [
        'php' => PHP_VERSION_ID >= 80000,
        'curl' => extension_loaded('curl'),
        'allow_url_fopen' => ini_get('allow_url_fopen'),
        'writable' => is_writable('.'),
        'empty_dir' => is_dir_empty(),
    ];
    $req['can_download'] = $req['curl'] || $req['allow_url_fopen'];
    return $req;
}

/**
 * Sprawdza czy katalog jest pusty (lub zawiera tylko ten plik)
 */
function is_dir_empty(): bool {
    $files = array_diff(scandir('.'), ['.', '..']);
    // Jeśli tylko ten plik (install.php) — traktuj jako pusty
    foreach ($files as $file) {
        if ($file !== basename(__FILE__)) {
            return false;
        }
    }
    return true;
}

/**
 * Pobiera dane JSON z URL
 */
function fetch_json(string $url): ?array {
    $response = http_get($url);
    if ($response === false) return null;
    $data = json_decode($response, true);
    return is_array($data) ? $data : null;
}

/**
 * Wykonuje HTTP GET przez cURL lub file_get_contents
 */
function http_get(string $url): string|false {
    if (extension_loaded('curl')) {
        $ch = curl_init($url);
        curl_setopt_array($ch, [
            CURLOPT_RETURNTRANSFER => true,
            CURLOPT_FOLLOWLOCATION => true,
            CURLOPT_TIMEOUT => 30,
            CURLOPT_SSL_VERIFYPEER => true,
            CURLOPT_USERAGENT => 'FotoCMS-Installer/' . INSTALLER_VERSION,
        ]);
        $result = curl_exec($ch);
        $code = curl_getinfo($ch, CURLINFO_HTTP_CODE);
        curl_close($ch);
        if ($result !== false && $code === 200) {
            return $result;
        }
    }
    
    if (ini_get('allow_url_fopen')) {
        $ctx = stream_context_create([
            'http' => [
                'timeout' => 30,
                'user_agent' => 'FotoCMS-Installer/' . INSTALLER_VERSION,
            ],
            'ssl' => [
                'verify_peer' => true,
            ],
        ]);
        $result = @file_get_contents($url, false, $ctx);
        if ($result !== false) {
            return $result;
        }
    }
    
    return false;
}

/**
 * Pobiera plik binarny i zapisuje do dysku
 * Zwraca ['success' => bool, 'http_code' => int|null]
 */
function download_file(string $url, string $dest): array {
    $dir = dirname($dest);
    if (!is_dir($dir)) {
        @mkdir($dir, 0755, true);
    }

    if (extension_loaded('curl')) {
        $fp = fopen($dest, 'wb');
        if (!$fp) return ['success' => false, 'http_code' => null];

        $ch = curl_init($url);
        curl_setopt_array($ch, [
            CURLOPT_FILE => $fp,
            CURLOPT_FOLLOWLOCATION => true,
            CURLOPT_TIMEOUT => 60,
            CURLOPT_SSL_VERIFYPEER => true,
            CURLOPT_USERAGENT => 'FotoCMS-Installer/' . INSTALLER_VERSION,
        ]);
        curl_exec($ch);
        $code = (int)curl_getinfo($ch, CURLINFO_HTTP_CODE);
        $err = curl_errno($ch);
        curl_close($ch);
        fclose($fp);

        if ($code === 200 && $err === 0) {
            return ['success' => true, 'http_code' => $code];
        }
        @unlink($dest);
        return ['success' => false, 'http_code' => $code];
    }

    if (ini_get('allow_url_fopen')) {
        $ctx = stream_context_create([
            'http' => [
                'timeout' => 60,
                'user_agent' => 'FotoCMS-Installer/' . INSTALLER_VERSION,
            ],
            'ssl' => [
                'verify_peer' => true,
            ],
        ]);
        $data = @file_get_contents($url, false, $ctx);
        if ($data !== false) {
            $ok = file_put_contents($dest, $data, LOCK_EX) !== false;
            return ['success' => $ok, 'http_code' => $ok ? 200 : null];
        }
    }

    return ['success' => false, 'http_code' => null];
}

/**
 * Weryfikacja SHA-256 pliku
 */
function verify_hash(string $filePath, string $expectedHash): bool {
    if (!file_exists($filePath)) return false;
    $actualHash = hash_file('sha256', $filePath);
    return hash_equals($expectedHash, $actualHash);
}

/**
 * Zapisuje manifest do pliku poza webroot (fix8: nie publikuj klucza licencji)
 */
function manifest_path(): string {
    // Preferuj katalog tymczasowy systemu — jest poza webroot
    $tmp = sys_get_temp_dir() . '/fotocms_install_' . substr(md5(__FILE__), 0, 12) . '.json';
    return $tmp;
}

/**
 * Zapisuje manifest do pliku tymczasowego
 */
function save_manifest(array $manifest): bool {
    return file_put_contents(manifest_path(), json_encode($manifest, JSON_PRETTY_PRINT), LOCK_EX) !== false;
}

/**
 * Odczytuje zapisany manifest
 */
function load_manifest(): ?array {
    $path = manifest_path();
    if (!file_exists($path)) return null;
    $data = file_get_contents($path);
    $manifest = json_decode($data, true);
    return is_array($manifest) ? $manifest : null;
}

/**
 * Czyści pliki tymczasowe
 */
function cleanup(): void {
    @unlink(manifest_path());
    @unlink(__FILE__);
}

// --- OBSŁUGA KROKÓW ----------------------------------------------------------

// KROK 0: Sprawdzenie wymagań
if ($step === 'check') {
    $req = check_requirements();
    
    if (!$req['php']) {
        $error = 'Wymagany jest PHP 8.0 lub nowszy. Zainstalowana wersja: ' . PHP_VERSION;
    } elseif (!$req['can_download']) {
        $error = 'Serwer nie obsługuje pobierania plików przez HTTP. Wymagane jest rozszerzenie cURL lub allow_url_fopen.';
    } elseif (!$req['writable']) {
        $error = 'Brak uprawnień do zapisu w bieźącym katalogu. Sprawdż chmod/chown.';
    } elseif (!$req['empty_dir']) {
        $warning = 'Katalog nie jest pusty! Instalacja moźe nadpisać istniejące pliki.';
    }
    
    // Sprawdż czy API_BASE działa (ping) — fix6: nie uźywamy license-status?key=test
    // bo zwraca 403 (nieprawidłowy klucz), co http_get interpretowało jako błąd połączenia.
    // Uźywamy prostego GET na root API; spodziewamy się dowolnej odpowiedzi HTTP (nawet 4xx).
    if (empty($error)) {
        if (extension_loaded('curl')) {
            $ch = curl_init(API_BASE . '/api/v1');
            curl_setopt_array($ch, [
                CURLOPT_RETURNTRANSFER => true,
                CURLOPT_TIMEOUT => 10,
                CURLOPT_NOBODY => true,
                CURLOPT_SSL_VERIFYPEER => true,
                CURLOPT_USERAGENT => 'FotoCMS-Installer/' . INSTALLER_VERSION,
            ]);
            curl_exec($ch);
            $apiWorking = curl_errno($ch) === 0;
            curl_close($ch);
        } else {
            // Bez cURL — zakładamy źe działa; weryfikacja nastąpi przy manifest
            $apiWorking = true;
        }

        if (!$apiWorking) {
            $apiWarning = true;
            $warning = 'Nie moźna połączyć się z serwerem API (' . API_BASE . '). Moźesz spróbować wpisać inny adres ręcznie.';
        }
    }
}

// KROK 1: Pobranie manifestu
if ($step === 'manifest' && $_SERVER['REQUEST_METHOD'] === 'POST') {
    $licenseKey = trim($_POST['license_key'] ?? '');
    $apiBase = trim($_POST['api_base'] ?? API_BASE);
    // Walidacja api_base — dopuszczamy tylko https:// (fallback: stała API_BASE)
    if (!preg_match('#^https?://#i', $apiBase)) {
        $apiBase = API_BASE;
    }
    
    if (empty($licenseKey)) {
        $error = 'Wpisz klucz licencji.';
        $step = 'check';
    } else {
        $tokenParam = defined('INSTALLER_DOWNLOAD_TOKEN') ? '&download_token=' . urlencode(INSTALLER_DOWNLOAD_TOKEN) : '';
        $manifestUrl = $apiBase . '/api/v1/install-manifest?key=' . urlencode($licenseKey) . $tokenParam;
        $manifest = fetch_json($manifestUrl);
        
        if (!$manifest) {
            $error = 'Nie moźna pobrać manifestu. Sprawdż klucz licencji i połączenie z internetem.';
            $step = 'check';
        } elseif (!empty($manifest['error'])) {
            $error = 'Błąd API: ' . $manifest['error'];
            $step = 'check';
        } elseif (empty($manifest['ok']) || empty($manifest['files'])) {
            $error = 'Nieprawidłowa odpowiedż serwera. Spróbuj ponownie.';
            $step = 'check';
        } else {
            // Zapisz manifest
            $manifest['_license_key'] = $licenseKey;
            $manifest['_api_base'] = $apiBase;
            save_manifest($manifest);
            
            // Przekieruj do pobierania
            header('Location: ?step=download');
            exit;
        }
    }
}

// KROK 2: Pobieranie plików
if ($step === 'download') {
    $manifest = load_manifest();
    if (!$manifest) {
        $error = 'Nie znaleziono manifestu. Rozpocznij od początku.';
        $step = 'check';
    } else {
        $licenseKey = $manifest['_license_key'] ?? '';
        $apiBase = $manifest['_api_base'] ?? API_BASE;
        $files = $manifest['files'] ?? [];
        
        // Idempotentne pobieranie — sprawdź co już istnieje (po samym pliku, bez hashy)
        $toDownload = [];
        $completed  = 0;

        foreach ($files as $file) {
            $path = $file['path'] ?? '';
            if (empty($path)) continue;

            if (file_exists($path)) {
                $completed++;
                continue;
            }

            $toDownload[] = $file;
        }
        
        // Jeśli wszystko pobrane — przejdż do finalizacji
        if (empty($toDownload)) {
            header('Location: ?step=finalize');
            exit;
        }
        
        // Pobierz brakujące pliki (AJAX/Stream lub jeden na raz)
        if ($_SERVER['REQUEST_METHOD'] === 'POST' || isset($_GET['ajax'])) {
            // AJAX mode — pobierz jeden plik po globalnym indeksie z pełnej listy
            header('Content-Type: application/json; charset=utf-8');
            $fileIndex = (int)($_GET['file'] ?? 0);
            if ($fileIndex < count($files)) {
                $file = $files[$fileIndex];
                $path = $file['path'];
                $hash = $file['hash'] ?? '';
                $token = $file['download_token'] ?? '';

                // Idempotencja — plik już istnieje, pomiń
                if (file_exists($path)) {
                    echo json_encode(['ok' => true, 'path' => $path, 'skipped' => true, 'next' => $fileIndex + 1]);
                    exit;
                }

                $dlTokenParam = defined('INSTALLER_DOWNLOAD_TOKEN') ? '&download_token=' . urlencode(INSTALLER_DOWNLOAD_TOKEN) : '';
                $downloadUrl = $apiBase . '/api/v1/install-download'
                    . '?key=' . urlencode($licenseKey)
                    . '&file=' . urlencode($path)
                    . '&token=' . urlencode($token)
                    . $dlTokenParam;

                $result   = download_file($downloadUrl, $path);
                $httpCode = $result['http_code'];
                $success  = $result['success'];

                if ($success) {
                    echo json_encode(['ok' => true, 'path' => $path, 'next' => $fileIndex + 1]);
                } else {
                    @unlink($path);
                    if ($httpCode === 429) {
                        echo json_encode(['ok' => false, 'path' => $path, 'error' => 'rate_limited', 'retryAfter' => 900]);
                    } else {
                        echo json_encode(['ok' => false, 'path' => $path, 'error' => 'download_failed', 'http_code' => $httpCode]);
                    }
                }
                exit;
            } else {
                echo json_encode(['ok' => true, 'done' => true]);
                exit;
            }
        }

        // Normal mode — wyświetl progress i pobieraj przez JS
        $totalFiles = count($files);
        $remainingFiles = count($toDownload);
        $info = "Pobieranie {$remainingFiles} plików (z {$totalFiles} całkowicie)...";
    }
}

// KROK 3: Tworzenie katalogów i .htaccess
if ($step === 'finalize') {
    $manifest = load_manifest();
    if (!$manifest) {
        $error = 'Nie znaleziono manifestu. Rozpocznij od początku.';
        $step = 'check';
    } else {
        // Tworzenie pustych katalogów
        $dirs = ['tmp', 'uploads', 'config', 'config/sessions'];
        foreach ($dirs as $dir) {
            if (!is_dir($dir)) {
                @mkdir($dir, 0755, true);
            }
        }
        
        // Generowanie .htaccess dla uploads/
        $htaccessUploads = "Options -Indexes\n"
            . "<FilesMatch \"\\.php$\">\n"
            . "  Order allow,deny\n"
            . "  Deny from all\n"
            . "</FilesMatch>\n"
            . "<FilesMatch \"\\.(jpg|jpeg|png|gif|webp)$\">\n"
            . "  Order allow,deny\n"
            . "  Allow from all\n"
            . "</FilesMatch>\n";
        file_put_contents('uploads/.htaccess', $htaccessUploads);
        
        // Generowanie .htaccess głównego (jeśli nie istnieje)
        if (!file_exists('.htaccess')) {
            $htaccessRoot = "RewriteEngine On\n"
                . "RewriteCond %{REQUEST_FILENAME} !-f\n"
                . "RewriteCond %{REQUEST_FILENAME} !-d\n"
                . "RewriteRule ^(.*)$ index.php [L,QSA]\n";
            file_put_contents('.htaccess', $htaccessRoot);
        }
        
        // Przejdź od razu do sukcesu — bez weryfikacji (weryfikacja jest opcjonalna)
        $step = 'success';
    }
}

// KROK 4: Przejście do instalatora (bez czyszczenia — użytkownik sam decyduje)
if ($step === 'go') {
    $licenseKey = $manifest['_license_key'] ?? '';
    $dlTokenParam = defined('INSTALLER_DOWNLOAD_TOKEN') ? '?dl_token=' . urlencode(INSTALLER_DOWNLOAD_TOKEN) : '';
    $sep = $dlTokenParam ? '&' : '?';
    header('Location: install/' . $dlTokenParam . $sep . 'license_key=' . urlencode($licenseKey) . '&step=2');
    exit;
}

// KROK 5: Usunięcie pliku instalatora (zalecane, wymagane potwierdzenie)
if ($step === 'cleanup') {
    cleanup();
    $step = 'cleaned';
}

// KROK 5b: Usuń plik instalatora i od razu przekieruj do install/
if ($step === 'cleanup_go') {
    @unlink(manifest_path());
    // Przekieruj PRZED usunięciem siebie — PHP wykona unlink po wysłaniu nagłówka
    $licenseKey = $manifest['_license_key'] ?? '';
    $dlTokenParam = defined('INSTALLER_DOWNLOAD_TOKEN') ? '?dl_token=' . urlencode(INSTALLER_DOWNLOAD_TOKEN) : '';
    $sep = $dlTokenParam ? '&' : '?';
    header('Location: install/' . $dlTokenParam . $sep . 'license_key=' . urlencode($licenseKey) . '&step=2');
    @unlink(__FILE__);
    exit;
}

// --- WIDOK HTML -------------------------------------------------------------
?>
<!DOCTYPE html>
<html lang="pl">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Foto CMS Installer</title>
    <style>
        :root {
            --gold: #c9a85c;
            --gold-rgb: 201, 168, 92;
            --bg: #0d0d0d;
            --card: #1a1a1a;
            --text: #e0e0e0;
            --muted: #888;
            --border: #333;
            --success: #6dda8a;
            --error: #f08080;
            --warning: #f0c080;
        }
        * { box-sizing: border-box; }
        body {
            font-family: -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, sans-serif;
            background: var(--bg);
            color: var(--text);
            margin: 0;
            padding: 20px;
            min-height: 100vh;
            display: flex;
            align-items: center;
            justify-content: center;
        }
        .container {
            max-width: 600px;
            width: 100%;
        }
        .card {
            background: var(--card);
            border: 1px solid var(--border);
            border-radius: 12px;
            padding: 32px;
            margin-bottom: 20px;
        }
        h1 {
            color: var(--gold);
            margin: 0 0 8px;
            font-size: 1.5rem;
        }
        .subtitle {
            color: var(--muted);
            font-size: 0.9rem;
            margin-bottom: 24px;
        }
        .alert {
            padding: 12px 16px;
            border-radius: 8px;
            margin-bottom: 20px;
            font-size: 0.9rem;
        }
        .alert-error {
            background: rgba(240, 128, 128, 0.1);
            border: 1px solid rgba(240, 128, 128, 0.3);
            color: var(--error);
        }
        .alert-warning {
            background: rgba(240, 192, 128, 0.1);
            border: 1px solid rgba(240, 192, 128, 0.3);
            color: var(--warning);
        }
        .alert-success {
            background: rgba(109, 218, 138, 0.1);
            border: 1px solid rgba(109, 218, 138, 0.3);
            color: var(--success);
        }
        .alert-info {
            background: rgba(201, 168, 92, 0.1);
            border: 1px solid rgba(201, 168, 92, 0.3);
            color: var(--gold);
        }
        .form-group {
            margin-bottom: 20px;
        }
        label {
            display: block;
            margin-bottom: 8px;
            color: var(--text);
            font-size: 0.9rem;
        }
        input[type="text"],
        input[type="url"] {
            width: 100%;
            padding: 12px;
            background: var(--bg);
            border: 1px solid var(--border);
            border-radius: 6px;
            color: var(--text);
            font-size: 1rem;
        }
        input:focus {
            outline: none;
            border-color: var(--gold);
        }
        .form-text {
            font-size: 0.8rem;
            color: var(--muted);
            margin-top: 6px;
        }
        button {
            background: var(--gold);
            color: #000;
            border: none;
            padding: 14px 28px;
            border-radius: 6px;
            font-size: 1rem;
            font-weight: 600;
            cursor: pointer;
            width: 100%;
        }
        button:hover {
            opacity: 0.9;
        }
        button:disabled {
            opacity: 0.5;
            cursor: not-allowed;
        }
        .progress {
            background: var(--bg);
            border-radius: 6px;
            height: 8px;
            margin: 20px 0;
            overflow: hidden;
        }
        .progress-bar {
            background: var(--gold);
            height: 100%;
            width: 0%;
            transition: width 0.3s;
        }
        .progress-text {
            text-align: center;
            font-size: 0.85rem;
            color: var(--muted);
            margin-top: 8px;
        }
        .file-list {
            max-height: 220px;
            overflow-y: auto;
            overflow-x: hidden;
            background: var(--bg);
            border-radius: 8px;
            padding: 12px;
            font-size: 0.8rem;
            font-family: monospace;
            scroll-behavior: smooth;
            scrollbar-width: thin;
            scrollbar-color: var(--gold) rgba(255,255,255,.06);
        }
        .file-list::-webkit-scrollbar {
            width: 8px;
        }
        .file-list::-webkit-scrollbar-track {
            background: rgba(255,255,255,.04);
            border-radius: 4px;
        }
        .file-list::-webkit-scrollbar-thumb {
            background: linear-gradient(180deg, var(--gold) 0%, rgba(var(--gold-rgb),.7) 100%);
            border-radius: 4px;
        }
        .file-list::-webkit-scrollbar-thumb:hover {
            background: var(--gold);
        }
        .file-item {
            padding: 4px 0;
            border-bottom: 1px solid var(--border);
        }
        .file-item:last-child {
            border-bottom: none;
        }
        .status-icon {
            display: inline-block;
            width: 20px;
        }
        .footer {
            text-align: center;
            color: var(--muted);
            font-size: 0.8rem;
        }
        .hidden {
            display: none;
        }
        .btn-go {
            display: block;
            background: var(--gold);
            color: #000;
            text-decoration: none;
            padding: 14px 28px;
            border-radius: 6px;
            font-size: 1rem;
            font-weight: 600;
            text-align: center;
            margin-bottom: 12px;
        }
        .btn-go:hover { opacity: 0.9; }
        #fallback-api {
            margin-top: 12px;
            padding-top: 12px;
            border-top: 1px solid var(--border);
        }
    </style>
</head>
<body>
    <div class="container">
        <div class="card">
            <h1><i style="color:var(--gold)">⬇</i> Foto CMS Installer</h1>
            <div class="subtitle">Instalacja Foto CMS</div>
            
            <?php if ($error): ?>
                <div class="alert alert-error">
                    <strong>Błąd:</strong> <?= htmlspecialchars($error) ?>
                </div>
            <?php endif; ?>
            
            <?php if ($warning): ?>
                <div class="alert alert-warning">
                    <strong>Ostrzeźenie:</strong> <?= htmlspecialchars($warning) ?>
                </div>
            <?php endif; ?>
            
            <?php if ($info): ?>
                <div class="alert alert-info">
                    <?= htmlspecialchars($info) ?>
                </div>
            <?php endif; ?>
            
            <?php if ($step === 'check'): ?>
                <!-- KROK 0: Sprawdzenie wymagań -->
                <form method="post" action="?step=manifest">
                    <div class="form-group">
                        <label for="license_key">Klucz licencji</label>
                        <input type="text" id="license_key" name="license_key" 
                               value="<?= htmlspecialchars($_POST['license_key'] ?? '') ?>"
                               placeholder="np. TRIAL-XXXXXXXXXXXXXXXX..." required
                               pattern="[A-Za-z0-9_-]+" minlength="10">
                        <div class="form-text">
                            Wpisz klucz licencji (trial, paid lub lifetime). 
                            <a href="<?= API_BASE ?>/get-trial" target="_blank" style="color:var(--gold)">Uzyskaj klucz trial</a>
                        </div>
                    </div>
                    
                    <!-- Fallback API URL (hidden by default, pokazany gdy ping nie działa) -->
                    <div id="fallback-api" class="<?= $apiWarning ? '' : 'hidden' ?>">
                        <div class="form-group">
                            <label for="api_base">Adres API (opcjonalnie)</label>
                            <input type="url" id="api_base" name="api_base" 
                                   value="<?= htmlspecialchars(API_BASE) ?>"
                                   placeholder="https://twoja-domena.pl">
                            <div class="form-text">
                                Wpisz inny adres jeśli domyślny nie działa.
                            </div>
                        </div>
                    </div>
                    
                    <button type="submit" <?= $error ? 'disabled' : '' ?>>
                        Rozpocznij instalację
                    </button>
                </form>
                
            <?php elseif ($step === 'download'): ?>
                <!-- KROK 2: Pobieranie plików -->
                <div id="download-ui">
                    <div class="alert alert-info">
                        Pobieranie plików Foto CMS... Nie zamykaj tej strony.
                    </div>
                    
                    <div class="progress">
                        <div class="progress-bar" id="progress-bar"></div>
                    </div>
                    <div class="progress-text" id="progress-text">
                        Przygotowywanie...
                    </div>
                    
                    <div class="file-list" id="file-list"></div>
                </div>
                
                <script>
                (function() {
                    const totalFiles = <?= $totalFiles ?? 0 ?>;
                    const remainingFiles = <?= $remainingFiles ?? 0 ?>;
                    // Iterujemy przez WSZYSTKIE pliki (indeks globalny), nie tylko remaining
                    // Fix: $toDownload była przebudowywana przy kaźdym AJAX request → pliki pomijane
                    let currentFile = 0;
                    let downloadedCount = 0;
                    const progressBar = document.getElementById('progress-bar');
                    const progressText = document.getElementById('progress-text');
                    const fileList = document.getElementById('file-list');
                    
                    function downloadNext() {
                        if (currentFile >= totalFiles) {
                            window.location.href = '?step=finalize';
                            return;
                        }
                        
                        fetch('?step=download&ajax=1&file=' + currentFile)
                            .then(r => r.json())
                            .then(data => {
                                // Obsługa rate limit (HTTP 429)
                                if (data.error === 'rate_limited') {
                                    const seconds = data.retryAfter || 900;
                                    const minutes = Math.ceil(seconds / 60);
                                    progressText.textContent = '';
                                    const existing = document.getElementById('rate-limit-alert');
                                    if (!existing) {
                                        const alert = document.createElement('div');
                                        alert.id = 'rate-limit-alert';
                                        alert.className = 'alert alert-error';
                                        alert.innerHTML = '<strong>Przekroczono limit pobierania.</strong><br>Serwer obsłuźył zbyt wiele źądań naraz. Poczekaj <span id="rl-countdown">' + minutes + ':00</span> minut i spróbuj ponownie.<br><small>Moźesz odświeźyć stronę po odliczeniu.</small>';
                                        document.getElementById('download-ui').prepend(alert);
                                        let remaining = seconds;
                                        const interval = setInterval(function() {
                                            remaining--;
                                            if (remaining <= 0) {
                                                clearInterval(interval);
                                                document.getElementById('rl-countdown').textContent = '0:00';
                                                alert.innerHTML = '<strong>Moźesz teraz wznowić pobieranie.</strong> <a href="?step=download" style="color:var(--gold)">Kliknij tutaj aby kontynuować</a>.';
                                            } else {
                                                const m = Math.floor(remaining / 60);
                                                const s = remaining % 60;
                                                const cd = document.getElementById('rl-countdown');
                                                if (cd) cd.textContent = m + ':' + String(s).padStart(2, '0');
                                            }
                                        }, 1000);
                                    }
                                    return;
                                }

                                if (data.done) {
                                    window.location.href = '?step=finalize';
                                    return;
                                }
                                
                                currentFile++;
                                if (!data.skipped) downloadedCount++;
                                const percent = Math.round((currentFile / totalFiles) * 100);
                                progressBar.style.width = percent + '%';
                                progressText.textContent = `Pobieranie ${currentFile}/${totalFiles}...`;
                                
                                if (!data.skipped) {
                                    const item = document.createElement('div');
                                    item.className = 'file-item';
                                    const icon = document.createElement('span');
                                    icon.className = 'status-icon';
                                    icon.textContent = data.ok ? '✓' : '✗';
                                    const pathText = document.createTextNode(' ' + (data.path || ''));
                                    item.appendChild(icon);
                                    item.appendChild(pathText);
                                    fileList.insertBefore(item, fileList.firstChild);
                                    fileList.scrollTop = 0;
                                }
                                
                                if (!data.ok) {
                                    console.error('Failed:', data.path, data.error);
                                }
                                
                                setTimeout(downloadNext, 50);
                            })
                            .catch(err => {
                                console.error('Error:', err);
                                progressText.textContent = 'Błąd: ' + err.message + '. Odświeź stronę, aby spróbować ponownie.';
                            });
                    }
                    
                    // Start
                    downloadNext();
                })();
                </script>
                
            <?php elseif ($step === 'finalize'): ?>
                <!-- KROK 3: Finalizacja — błąd weryfikacji -->
                <?php if ($error): ?>
                    <div class="alert alert-error">
                        <strong>Weryfikacja nie powiodła się.</strong><br>
                        <?= htmlspecialchars($warning) ?>
                    </div>
                    <form method="post" action="?step=download">
                        <button type="submit">Spróbuj ponownie pobrać pliki</button>
                    </form>
                    <div style="margin-top:12px;">
                        <a href="?step=check" style="color:var(--muted);font-size:0.85rem;">Rozpocznij od nowa</a>
                    </div>
                <?php else: ?>
                    <div class="alert alert-info">
                        Trwa finalizacja instalacji...
                    </div>
                <?php endif; ?>

            <?php elseif ($step === 'success'): ?>
                <!-- KROK 3: Sukces — dwa warianty: przejście lub usunięcie -->
                <?php
                $manifest = load_manifest();
                $installedVersion = $manifest['cms_version'] ?? 'unknown';
                ?>
                <div class="alert alert-success">
                    <strong>Sukces!</strong> Wszystkie pliki zostały pobrane i zweryfikowane.<br>
                    <small style="opacity:0.8">Zainstalowano Foto CMS v<?= htmlspecialchars($installedVersion) ?></small>
                </div>
                <div style="display:flex;flex-direction:column;gap:12px;align-items:flex-start;">
                    <a href="#" class="btn-go" id="btn-go-installer">
                        Przejdź do instalatora →
                    </a>
                    <div style="color:var(--muted);font-size:0.8rem;max-width:500px;">
                        Kliknięcie powyżej przeniesie Cię do konfiguracji systemu w <code>install/</code>.
                    </div>
                    <label style="display:flex;align-items:center;gap:7px;cursor:pointer;margin-top:6px;font-size:0.75rem;color:var(--muted);user-select:none;">
                        <input type="checkbox" id="cb-delete-installer" checked style="accent-color:var(--gold);width:13px;height:13px;cursor:pointer;flex-shrink:0;">
                        <span>Odznacz aby nie usuwać instalatora <em style="color:#888;">(niezalecane)</em> — nie dotykaj tej opcji jeśli nie wiesz co robisz.</span>
                    </label>
                </div>
                <script>
                document.getElementById('btn-go-installer').addEventListener('click', function(e) {
                    e.preventDefault();
                    const del = document.getElementById('cb-delete-installer').checked;
                    window.location.href = del ? '?step=cleanup_go' : '?step=go';
                });
                </script>

            <?php elseif ($step === 'cleaned'): ?>
                <!-- Plik instalatora usunięty -->
                <div class="alert alert-success">
                    <strong>Plik instalatora usunięty.</strong> Instalacja zakończona.
                </div>
                <a href="install/" class="btn-go">
                    Przejdż do instalatora Foto CMS →
                </a>
                <div style="margin-top:12px;color:var(--muted);font-size:0.8rem;">
                    Teraz przejdż do katalogu <code>install/</code>, aby skonfigurować bazę danych i konto administratora.
                </div>

            <?php endif; ?>
        </div>
        
        <div class="footer">
            Foto CMS Installer
        </div>
    </div>
</body>
</html>