var builder = WebApplication.CreateBuilder(args);

builder.Services.AddCors(options =>
{
    // Іменована політика для production
    options.AddPolicy("Production", policy =>
    {
        policy
            // ✅ Тільки ваші домени
            .WithOrigins(
                "https://myshop.com",
                "https://admin.myshop.com")
            // ✅ Тільки потрібні методи
            .WithMethods(
                "GET", "POST", "PUT", "DELETE")
            // ✅ Тільки потрібні заголовки
            .WithHeaders(
                "Authorization",
                "Content-Type",
                "Accept")
            // ✅ Дозволити credentials (cookies)
            .AllowCredentials();
    });

    // Окрема політика для dev
    options.AddPolicy("Development", policy =>
    {
        policy
            .WithOrigins(
                "http://localhost:3000",
                "http://localhost:5173")
            .AllowAnyMethod()
            .AllowAnyHeader()
            .AllowCredentials();
    });
});

var app = builder.Build();

// Обираємо політику залежно від середовища
if (app.Environment.IsDevelopment())
    app.UseCors("Development");
else
    app.UseCors("Production");

// Публічний API — дозволяємо CORS
var publicApi = app.MapGroup("/api/v1")
    .RequireCors("Production");

// Внутрішній API — без CORS (server-to-server)
var internalApi = app.MapGroup("/internal");
// CORS не потрібен — запити не з браузера

var app = builder.Build();

if (!app.Environment.IsDevelopment())
{
    // Перенаправляє HTTP → HTTPS
    app.UseHttpsRedirection();

    // HSTS — каже браузеру:
    // "Наступні N секунд звертайся тільки по HTTPS"
    app.UseHsts();
}

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddAntiforgery();

var app = builder.Build();

app.UseAntiforgery();

// Ендпоінт, що отримує CSRF-токен
app.MapGet("/antiforgery/token",
    (IAntiforgery antiforgery, HttpContext ctx) =>
{
    var tokens = antiforgery.GetAndStoreTokens(ctx);
    return Results.Ok(new
    {
        token = tokens.RequestToken,
        headerName = tokens.HeaderName
    });
}).AllowAnonymous();

// Захищеий ендпоінт — перевіряє CSRF
app.MapPost("/orders", (OrderRequest req) =>
    Results.Created("/orders/1", req))
    .RequireAuthorization()
    .ValidateAntiforgery(); // ← Perевірка CSRF-токена

using System.Threading.RateLimiting;

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddRateLimiter(options =>
{
    // Глобальний ліміт: 100 запитів / хвилина
    options.GlobalLimiter = PartitionedRateLimiter
        .Create<HttpContext, string>(ctx =>
            RateLimitPartition.GetFixedWindowLimiter(
                partitionKey:
                    ctx.Connection.RemoteIpAddress?
                        .ToString() ?? "unknown",
                factory: _ => new FixedWindowRateLimiterOptions
                {
                    PermitLimit = 100,
                    Window = TimeSpan.FromMinutes(1)
                }));

    // Іменована політика для auth ендпоінтів
    options.AddFixedWindowLimiter("auth", opt =>
    {
        opt.PermitLimit = 5;
        opt.Window = TimeSpan.FromMinutes(1);
    });

    // Що повертати при перевищенні?
    options.RejectionStatusCode = 429; // Too Many Requests
});

var app = builder.Build();

app.UseRateLimiter();

// Auth — максимально суворо (brute-force захист)
app.MapPost("/auth/login", Login)
    .RequireRateLimiting("auth");  // 5/хв

// Публічне читання — вільніше
app.MapGet("/products", GetProducts);
// Глобальний ліміт: 100/хв

// Запис — помірно
app.MapPost("/orders", CreateOrder)
    .RequireRateLimiting("write");  // 30/хв

app.Use(async (ctx, next) =>
{
    var headers = ctx.Response.Headers;

    // Заборона відображення у iframe
    // (захист від Clickjacking)
    headers["X-Frame-Options"] = "DENY";

    // Блокувати MIME-sniffing
    // (браузер не «вгадує» тип контенту)
    headers["X-Content-Type-Options"] = "nosniff";

    // Суворий TLS (браузер запам'ятовує HTTPS)
    headers["Strict-Transport-Security"] =
        "max-age=31536000; includeSubDomains";

    // Не передавати Referrer при переході
    // на зовнішні сайти
    headers["Referrer-Policy"] =
        "strict-origin-when-cross-origin";

    // Content Security Policy
    // (захист від XSS)
    headers["Content-Security-Policy"] =
        "default-src 'self'";

    // Вимкнути кеш для API-відповідей
    // з персональними даними
    headers["Cache-Control"] =
        "no-store, no-cache";

    await next(ctx);
});