// 1. Створюємо набір тверджень (Claims)
var claims = new List<Claim>
{
    new(ClaimTypes.Name, "Іван Петренко"),
    new(ClaimTypes.Email, "ivan@example.com"),
    new(ClaimTypes.Role, "Admin"),
    new("user_id", "42"),
    new("subscription", "premium")
};

// 2. Загортаємо у «посвідку» (Identity)
//    "Bearer" — назва схеми аутентифікації
var identity = new ClaimsIdentity(claims, "Bearer");

// 3. Загортаємо у «користувача» (Principal)
var principal = new ClaimsPrincipal(identity);

// Тепер можемо перевірити:
Console.WriteLine(principal.Identity?.Name);
// → "Іван Петренко"

Console.WriteLine(
    principal.Identity?.IsAuthenticated);
// → true (бо вказали AuthenticationType)

Console.WriteLine(
    principal.IsInRole("Admin"));
// → true

Console.WriteLine(
    principal.FindFirst("user_id")?.Value);
// → "42"

var builder = WebApplication.CreateBuilder(args);

// Реєстрація сервісів аутентифікації
builder.Services.AddAuthentication();
builder.Services.AddAuthorization();

var app = builder.Build();

// ⚠️ ПОРЯДОК КРИТИЧНИЙ!
app.UseAuthentication();   // 1. Хто ти?
app.UseAuthorization();    // 2. Чи маєш ти право?

app.MapGet("/secret", () => "Top Secret Data!")
    .RequireAuthorization();

app.Run();

builder.Services.AddAuthentication(options =>
{
    // Схема за замовчуванням
    options.DefaultScheme = "Cookies";
    // Схема для Challenge (401)
    options.DefaultChallengeScheme = "Bearer";
})
.AddJwtBearer("Bearer", options =>
{
    // Конфігурація JWT...
})
.AddCookie("Cookies", options =>
{
    // Конфігурація Cookie...
});

app.MapGet("/me", (HttpContext ctx) =>
{
    // Перевірка аутентифікації
    if (ctx.User.Identity?.IsAuthenticated != true)
        return Results.Json(
            new { error = "Not authenticated" },
            statusCode: 401);

    // Читання Claims
    var userId = ctx.User.FindFirst("user_id")?.Value;
    var name = ctx.User.Identity.Name;
    var email = ctx.User
        .FindFirst(ClaimTypes.Email)?.Value;
    var roles = ctx.User
        .FindAll(ClaimTypes.Role)
        .Select(c => c.Value)
        .ToList();

    return Results.Ok(new
    {
        userId,
        name,
        email,
        roles,
        isAdmin = ctx.User.IsInRole("Admin")
    });
}).RequireAuthorization();

// Замість HttpContext — отримуємо User напряму
app.MapGet("/me", (ClaimsPrincipal user) =>
{
    var name = user.Identity?.Name;
    var email = user.FindFirst(ClaimTypes.Email)?.Value;

    return Results.Ok(new { name, email });
}).RequireAuthorization();

// 🔓 Публічний — без авторизації
app.MapGet("/products", () =>
    Results.Ok(new[] { "Кава", "Чай" }));

// 🔒 Захищений — тільки для аутентифікованих
app.MapGet("/orders", (ClaimsPrincipal user) =>
    Results.Ok($"Orders for {user.Identity?.Name}"))
    .RequireAuthorization();

// 🔒 Захищений — тільки для ролі Admin
app.MapDelete("/products/{id}", (int id) =>
    Results.NoContent())
    .RequireAuthorization(policy =>
        policy.RequireRole("Admin"));

// Усе, що в /admin/* — тільки для Admin
var admin = app.MapGroup("/admin")
    .RequireAuthorization(policy =>
        policy.RequireRole("Admin"));

admin.MapGet("/users", () => "Users list");
admin.MapGet("/stats", () => "Statistics");
// Обидва ендпоінти захищені! ✅

var api = app.MapGroup("/api")
    .RequireAuthorization();  // Все захищено

api.MapGet("/products", () => "Products")
    .AllowAnonymous();  // Крім цього! 🔓

api.MapPost("/orders", () => "Created");
// Цей — захищений 🔒

using System.Security.Claims;

var builder = WebApplication.CreateBuilder(args);

// Додаємо сервіси auth
builder.Services.AddAuthentication();
builder.Services.AddAuthorization();

var app = builder.Build();

// Порядок middleware!
app.UseAuthentication();
app.UseAuthorization();

// 🔓 Публічний ендпоінт
app.MapGet("/", () => "Welcome! Login at /login");

// ⚙️ «Логін» — створюємо ClaimsPrincipal вручну
// (у реальності тут буде JWT — наступна стаття)
app.MapGet("/login", () =>
{
    var claims = new List<Claim>
    {
        new(ClaimTypes.Name, "Іван"),
        new(ClaimTypes.Role, "Admin"),
        new("user_id", "42")
    };

    var identity = new ClaimsIdentity(claims, "Demo");
    var principal = new ClaimsPrincipal(identity);

    // Виводимо Claims для демонстрації
    return Results.Ok(new
    {
        message = "Authenticated (demo)!",
        name = principal.Identity?.Name,
        isAuthenticated = principal
            .Identity?.IsAuthenticated,
        claims = claims.Select(c =>
            new { c.Type, c.Value })
    });
});

// 🔒 Захищений
app.MapGet("/me", (ClaimsPrincipal user) =>
{
    return Results.Ok(new
    {
        name = user.Identity?.Name,
        userId = user.FindFirst("user_id")?.Value,
        isAdmin = user.IsInRole("Admin")
    });
}).RequireAuthorization();

app.Run();