<?php
session_start();
if(!isset($_SESSION['admin'])){
    http_response_code(403);
    echo json_encode(['ok' => false, 'msg' => 'No autorizado']);
    exit;
}

if($_SERVER['REQUEST_METHOD'] !== 'POST'){
    http_response_code(405);
    echo json_encode(['ok' => false, 'msg' => 'Método no permitido']);
    exit;
}

include("conexion.php");

header('Content-Type: application/json');

// Validar CSRF
if(!validar_csrf($_POST['csrf_token'] ?? '')){
    echo json_encode(['ok' => false, 'msg' => 'Token inválido']);
    exit;
}

$area_id = intval($_POST['area_id'] ?? 0);
$titular_nombre = sanitizar($_POST['titular_nombre'] ?? '');
$titular_cargo = sanitizar($_POST['titular_cargo'] ?? '');

if($area_id <= 0){
    echo json_encode(['ok' => false, 'msg' => 'ID de área inválido']);
    exit;
}

$stmt = $conexion->prepare("UPDATE areas SET titular_nombre = ?, titular_cargo = ? WHERE id = ?");
$stmt->bind_param("ssi", $titular_nombre, $titular_cargo, $area_id);

if($stmt->execute()){
    echo json_encode(['ok' => true, 'msg' => 'Titular actualizado']);
} else {
    echo json_encode(['ok' => false, 'msg' => 'Error al actualizar']);
}

$stmt->close();
?>
