// Ядро: JWT + middleware авторизации. Ведёт Claude.
import jwt from 'jsonwebtoken';
import { db } from './db.js';

export const JWT_SECRET = process.env.JWT_SECRET || 'dev-secret-change-me';

export function signToken(user) {
  return jwt.sign({ id: user.id }, JWT_SECRET, { expiresIn: '30d' });
}

export function verifyToken(token) {
  try {
    return jwt.verify(token, JWT_SECRET);
  } catch {
    return null;
  }
}

// Fastify preHandler: кладёт request.user или бросает 401 в формате контракта.
export async function requireAuth(request, reply) {
  const header = request.headers['authorization'] || '';
  const token = header.startsWith('Bearer ') ? header.slice(7) : null;
  const decoded = token ? verifyToken(token) : null;
  if (!decoded) {
    return reply.code(401).send({ error: { code: 'UNAUTHORIZED', message: 'Требуется авторизация' } });
  }
  const user = db.prepare('SELECT id, email, name FROM users WHERE id = ?').get(decoded.id);
  if (!user) {
    return reply.code(401).send({ error: { code: 'UNAUTHORIZED', message: 'Пользователь не найден' } });
  }
  request.user = user;
}