// session ของแอป note ฝั่ง server (ฉบับ token 2026-10-30 ตามคำขอผู้ใช้ "note ใช้
// แบบ add-in") — แกะ identity จาก access_token (purpose="login" ออกที่
// POST /api/note/auth/session อายุ NOTE_SESSION_TTL) ให้ Server Actions และ API
// ของแอปใช้ร่วม: token ผิด/หมดอายุ/secret ไม่ตั้ง = null เสมอ (fail closed)
// · ห้าม log ค่า token ดิบ
//
// แยกจาก lib/note-auth.ts (pure ใช้ร่วมกับ client ได้) เพราะต้อง import
// lib/docver-token ซึ่งใช้ node:crypto — ห้ามให้ client component import ไฟล์นี้
import { verifyDocverLoginToken } from "@/lib/docver-token";

/** อายุ access_token ของ session note (วินาที) — 8 ชม. เท่า session สมัย cookie:
 *  เว็บไม่มี ticket ฝังไฟล์แบบ add-in ให้ renew อัตโนมัติ หมดแล้วผู้ใช้กลับ
 *  e-Court กดลิงก์ใหม่ */
export const NOTE_SESSION_TTL = 8 * 60 * 60;

export type NoteUserIdentity = { userid: string; username: string };

/** identity จาก token — null = ไม่ผ่านทุกกรณี (ไม่ตั้ง secret รวม) */
export function noteUserFromToken(token: string | null | undefined): NoteUserIdentity | null {
  if (typeof token !== "string" || token === "") return null;
  const secret = process.env.DOCVER_TOKEN_SECRET?.trim();
  if (secret === undefined || secret === "") return null;
  const verified = verifyDocverLoginToken(token, secret);
  return verified.ok ? { userid: verified.claims.userid, username: verified.claims.username } : null;
}

/** อ่าน `Authorization: Bearer <token>` ของ request → identity (route ใช้) */
export function noteUserFromRequest(request: Request): NoteUserIdentity | null {
  const header = request.headers.get("authorization");
  if (header === null || !header.startsWith("Bearer ")) return null;
  return noteUserFromToken(header.slice("Bearer ".length).trim());
}