"""API 보안 모듈

- API 키 기반 인증 (Bearer token)
- 매매 실행 및 관리 API 보호
- 읽기 전용 엔드포인트는 인증 선택적

사용법:
  from app.core.security import require_api_key, optional_api_key

  @router.post("/execute", dependencies=[Depends(require_api_key)])
  async def execute_trade(...): ...

  @router.get("/data")
  async def get_data(api_key: str | None = Depends(optional_api_key)): ...
"""
import hmac
import logging
import secrets
from datetime import datetime, timedelta, timezone

from fastapi import Depends, HTTPException, Security, status
from fastapi.security import APIKeyHeader
from jose import JWTError, jwt

from app.core.config import settings

logger = logging.getLogger(__name__)

# 로그인 세션 토큰(JWT, HS256). 헤더는 기존 X-API-Key 를 그대로 사용하므로
# 프론트 api 클라이언트·WebSocket 은 변경 없이 세션 토큰을 실어 보낼 수 있다.
_SESSION_ALG = "HS256"
_SESSION_AUD = "autostock-dashboard"

# API 키 헤더 스키마
_api_key_header = APIKeyHeader(name="X-API-Key", auto_error=False)


def _constant_time_compare(a: str, b: str) -> bool:
    """타이밍 공격 방지를 위한 상수 시간 비교."""
    return hmac.compare_digest(a.encode(), b.encode())


def _get_api_key() -> str:
    """API 인증용 키 반환. API_KEY가 설정되면 우선 사용, 없으면 SECRET_KEY 폴백."""
    return settings.API_KEY if settings.API_KEY else settings.SECRET_KEY


def create_session_token(username: str) -> tuple[str, datetime]:
    """로그인 성공 시 발급하는 세션 토큰. (token, 만료시각 UTC) 반환."""
    expires_at = datetime.now(timezone.utc) + timedelta(hours=settings.SESSION_TOKEN_EXPIRE_HOURS)
    payload = {"sub": username, "aud": _SESSION_AUD, "exp": expires_at, "iat": datetime.now(timezone.utc)}
    return jwt.encode(payload, settings.SECRET_KEY, algorithm=_SESSION_ALG), expires_at


def verify_session_token(token: str) -> str | None:
    """세션 토큰 검증. 유효하면 username, 아니면 None (서명/만료/대상 불일치)."""
    try:
        payload = jwt.decode(token, settings.SECRET_KEY, algorithms=[_SESSION_ALG], audience=_SESSION_AUD)
    except JWTError:
        return None
    sub = payload.get("sub")
    return sub if isinstance(sub, str) and sub else None


def is_valid_credential(token: str) -> bool:
    """X-API-Key 값이 API 키이거나 유효한 세션 토큰이면 True."""
    if _constant_time_compare(token, _get_api_key()):
        return True
    return verify_session_token(token) is not None


async def require_api_key(api_key: str | None = Security(_api_key_header)) -> str:
    """매매 실행, 관리 API 등 민감한 엔드포인트에 필수 적용.

    X-API-Key 헤더가 없거나 불일치하면 401 반환.
    """
    if not api_key:
        logger.warning("[Security] API 키 누락 — 요청 거부")
        raise HTTPException(
            status_code=status.HTTP_401_UNAUTHORIZED,
            detail="API 키가 필요합니다. X-API-Key 헤더를 설정하세요.",
        )

    if not is_valid_credential(api_key):
        # 401: 자격증명 자체가 무효(잘못된 키·만료된 세션) — 프론트가 저장된 토큰을
        # 지우고 로그인 화면으로 보내는 트리거. 403은 권한 부족(관리자 전용)에만 사용.
        # (세션 24h 만료 후 403이 돌아와 화면 전체가 오류로 멈추던 문제, 2026-09-22)
        logger.warning("[Security] API 키/세션 토큰 불일치 — 요청 거부")
        raise HTTPException(
            status_code=status.HTTP_401_UNAUTHORIZED,
            detail="유효하지 않은 API 키이거나 만료된 세션입니다. 다시 로그인하세요.",
        )

    return api_key


async def optional_api_key(api_key: str | None = Security(_api_key_header)) -> str | None:
    """읽기 전용 엔드포인트에서 선택적 인증.

    키가 있으면 검증, 없으면 None 반환 (인증 없이 접근 허용).
    """
    if not api_key:
        return None

    if not is_valid_credential(api_key):
        raise HTTPException(
            status_code=status.HTTP_401_UNAUTHORIZED,
            detail="유효하지 않은 API 키이거나 만료된 세션입니다. 다시 로그인하세요.",
        )
    return api_key


def generate_secure_key(length: int = 64) -> str:
    """보안 키 생성 유틸리티 (운영 환경 시크릿 생성용)."""
    return secrets.token_urlsafe(length)