"""认证 API — 对接 MOM sys_user + 双 Token 刷新"""
from fastapi import APIRouter, Depends, Request
from app.schemas.user import (
    LoginRequest,
    LoginResponse,
    RefreshRequest,
    RefreshResponse,
    UserResponse,
)
from app.core.security import peek_token_identity
from app.services.auth_service import login, refresh_access_token, get_current_user

router = APIRouter(prefix="/auth", tags=["认证"])


@router.post("/login", response_model=LoginResponse)
def login_endpoint(data: LoginRequest, request: Request):
    """登录 — 验证 MOM sys_user 表，返回 Access + Refresh 双 Token"""
    # 登录请求本身尚未认证，中间件拿不到操作人。但「谁在尝试登录、失败了多少次」
    # 恰恰是审计里最该有的信息，所以在校验之前就把尝试的账号写进 state：
    # 登录失败时同样留痕，且能按账号追踪暴力破解。
    # 注意：绝不把 data.password 写进 state / 审计，密码不落库。
    request.state.audit_user = data.username
    result = login(data.username, data.password)

    # 登录成功后补上显示名 / 角色 —— 否则审计里这条记录的「操作人」会退化成账号
    # （前端按 display_name || user_id 渲染，见 AdminAuditLogPage）。
    # 能在这里补的原因：中间件是在 call_next 返回【之后】才落库的，此刻写入
    # request.state 依然会被采集到。
    # 失败登录走不到这里，保持「只有账号可追责」——这正是想要的语义。
    if result.user:
        request.state.audit_display_name = result.user.display_name
        request.state.audit_role = result.user.role
    return result


@router.post("/refresh", response_model=RefreshResponse)
def refresh_endpoint(data: RefreshRequest, request: Request):
    """刷新 Access Token — 使用 Refresh Token 换取新的 Access Token"""
    # 本接口刻意不挂 get_current_user：能用到这里，正是因为 access token 已经
    # 过期/缺失，请求里没有 Authorization 头，JWT 依赖不会执行 → 审计拿不到操作人，
    # 记录只能显示「未认证」。
    # 但 refresh token 里本来就带着完整身份（sub/username/display_name/role），
    # 解出来写进 state，审计才能记到人 —— 而"谁在何时尝试刷新"正是要留痕的。
    # 注意 peek 只用于审计标注，鉴权判断一律走 get_current_user。
    identity = peek_token_identity(data.refresh_token)
    if identity:
        request.state.audit_user = identity.get("username") or identity.get("sub")
        request.state.audit_display_name = identity.get("display_name") or ""
        request.state.audit_role = identity.get("role") or ""
    return refresh_access_token(data.refresh_token)


@router.post("/logout")
def logout_endpoint(current_user: dict = Depends(get_current_user)):
    """登出 —— 仅用于审计留痕。

    JWT 是无状态的，服务端没有可吊销的会话，因此本接口**不做任何令牌失效**
    （客户端清掉本地 token 即为登出），返回体也没有实际语义。

    它存在的唯一目的：让审计中间件记下「谁在何时退出了系统」。
    没有这个端点时，前端「退出」只清本地存储、不产生任何请求，
    退出动作在审计里完全不可见 —— 而"谁在什么时候退掉了系统"
    在追责场景下和"谁登录了"同等重要。

    挂 Depends(get_current_user) 是为了让 JWT 依赖把操作人写进 request.state
    （见 auth_service.get_current_user），记录到真实姓名而非「未认证」。
    """
    return {"ok": True}


@router.get("/me", response_model=UserResponse)
def get_me(current_user: dict = Depends(get_current_user)):
    """获取当前用户信息（从 Access Token 解析）"""
    return UserResponse(
        id=current_user["sub"],
        username=current_user.get("username", ""),
        display_name=current_user.get("display_name", ""),
        role=current_user.get("role", "operator"),
    )