var builder = WebApplication.CreateBuilder(args);

builder.Services
    .AddAuthentication("Cookies")
    .AddCookie("Cookies", options =>
    {
        // Назва cookie
        options.Cookie.Name = "MyApp.Auth";

        // ⚠️ Критичні параметри безпеки:
        options.Cookie.HttpOnly = true;   // JS не має доступу
        options.Cookie.SecurePolicy =
            CookieSecurePolicy.Always;    // Тільки HTTPS
        options.Cookie.SameSite =
            SameSiteMode.Strict;          // CSRF-захист

        // Час життя cookie
        options.ExpireTimeSpan =
            TimeSpan.FromHours(2);

        // Де перенаправляти для логіну (для MVC/Razor)
        // Для API — замінюємо на 401:
        options.Events.OnRedirectToLogin = context =>
        {
            context.Response.StatusCode = 401;
            return Task.CompletedTask;
        };

        options.Events.OnRedirectToAccessDenied =
            context =>
        {
            context.Response.StatusCode = 403;
            return Task.CompletedTask;
        };
    });

builder.Services.AddAuthorization();

app.MapPost("/auth/login",
    async (LoginRequest req, HttpContext ctx) =>
{
    // 1. Перевірка credentials (спрощено)
    if (req.Email != "admin@example.com"
        || req.Password != "password")
        return Results.Json(
            new { error = "Invalid credentials" },
            statusCode: 401);

    // 2. Створюємо Claims
    var claims = new List<Claim>
    {
        new(ClaimTypes.Name, "Admin"),
        new(ClaimTypes.Email, req.Email),
        new(ClaimTypes.Role, "Admin"),
        new("user_id", "1")
    };

    var identity = new ClaimsIdentity(
        claims, "Cookies");
    var principal = new ClaimsPrincipal(identity);

    // 3. Створюємо cookie
    await ctx.SignInAsync("Cookies", principal,
        new AuthenticationProperties
        {
            // Cookie зберігається між сесіями
            IsPersistent = true,
            // Абсолютне закінчення
            ExpiresUtc = DateTimeOffset.UtcNow
                .AddHours(2)
        });

    return Results.Ok(
        new { message = "Logged in!" });
});

app.MapPost("/auth/logout",
    async (HttpContext ctx) =>
{
    // Видаляємо cookie
    await ctx.SignOutAsync("Cookies");

    return Results.Ok(
        new { message = "Logged out!" });
}).RequireAuthorization();

app.MapPost("/auth/register",
    async (RegisterRequest req,
           UserManager<AppUser> userManager) =>
{
    // 1. Створюємо користувача
    var user = new AppUser
    {
        UserName = req.Email,
        Email = req.Email,
        FullName = req.Name
    };

    // 2. UserManager хешує пароль автоматично!
    var result = await userManager.CreateAsync(
        user, req.Password);

    if (!result.Succeeded)
    {
        return Results.ValidationProblem(
            result.Errors.ToDictionary(
                e => e.Code,
                e => new[] { e.Description }));
    }

    // 3. Додаємо роль
    await userManager.AddToRoleAsync(user, "User");

    return Results.Created(
        $"/users/{user.Id}",
        new { user.Id, user.Email, user.FullName });
});

app.MapPost("/auth/login",
    async (LoginRequest req,
           SignInManager<AppUser> signInManager,
           UserManager<AppUser> userManager) =>
{
    var user = await userManager
        .FindByEmailAsync(req.Email);

    if (user is null)
        return Results.Json(
            new { error = "Invalid credentials" },
            statusCode: 401);

    // SignInManager перевіряє пароль,
    // враховує lockout, 2FA тощо
    var result = await signInManager
        .CheckPasswordSignInAsync(
            user, req.Password,
            lockoutOnFailure: true);

    if (!result.Succeeded)
    {
        if (result.IsLockedOut)
            return Results.Json(
                new { error = "Account locked. " +
                    "Try again in 5 minutes." },
                statusCode: 423);

        return Results.Json(
            new { error = "Invalid credentials" },
            statusCode: 401);
    }

    // Генеруємо JWT (або SignInAsync для cookies)
    var roles = await userManager
        .GetRolesAsync(user);
    var token = tokenService.GenerateAccessToken(
        user.Id, user.FullName,
        user.Email!, roles);

    return Results.Ok(new
    {
        access_token = token,
        expires_in = 900
    });
});

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddDbContext<AppDbContext>(
    opt => opt.UseSqlite("Data Source=app.db"));

builder.Services
    .AddIdentityApiEndpoints<AppUser>()
    .AddEntityFrameworkStores<AppDbContext>();

builder.Services.AddAuthorization();

var app = builder.Build();

app.UseAuthentication();
app.UseAuthorization();

// 🪄 Одна стрічка — і всі auth ендпоінти готові!
app.MapIdentityApi<AppUser>();

app.Run();

app.MapGroup("/api/v1/auth")
    .MapIdentityApi<AppUser>();

// Тепер: /api/v1/auth/register,
// /api/v1/auth/login тощо

var hasher = new PasswordHasher<AppUser>();

// Два однакові паролі = РІЗНІ хеші!
// (через випадковий salt)
var hash1 = hasher.HashPassword(null!,"MyPassword");
var hash2 = hasher.HashPassword(null!,"MyPassword");

Console.WriteLine(hash1);
// AQAAAAIAAYagAAAAEH7+/B...
Console.WriteLine(hash2);
// AQAAAAIAAYagAAAAEC3k/p...
// Різні! ☝️

// Перевірка
var result = hasher.VerifyHashedPassword(
    null!, hash1, "MyPassword");
// PasswordVerificationResult.Success ✅