JWT Tokens

const checkJwtBase = auth({
    // El 'issuer' (emisor) que firmó el token debe ser Microsoft.
    issuerBaseURL: process.env.AZURE_ISSUER_BASE_URL, 
    
    // La 'audience' (audiencia) para la que fue emitido el token debe ser tu API.
    audience: process.env.AZURE_AUDIENCE,
});

export const authenticateAndExtract = (req, res, next) => {
    // Primero, se ejecuta el middleware de verificación de JWT.
    checkJwtBase(req, res, async (err) => {
        // Si hay un error de JWT (token expirado, inválido, etc.), lo manejamos y salimos.
        if (err) {
            console.error("Error de autenticación JWT:", err.message);
            //Si el error es por token inválido o expirado, responder con 401
            if (err.name === 'InvalidTokenError' || err.code === 'credentials_required') {
                return res.status(401).json({ 
                    message: "Acceso Denegado. Token inválido, expirado o faltante.",
                    code: "invalid_auth_token"
                });
            }
            //Para otros errores, pasa al 500
            return next(err);
        }

        // Si checkJwt fue exitoso, el payload del token está en req.auth.payload
        if (req.auth && req.auth.payload) {
            const userEmail = req.auth.payload.upn || req.auth.payload.preferred_username;
            const name = req.auth.payload.name;
            
            console.log(`Autenticación Exitosa: ${userEmail}`);
            
            // Se adjunta la identidad al objeto que el controlador espera.
            req.userIdentity = {
                email: userEmail,
                azureId: req.auth.payload.oid // El ID de Objeto único de Azure
            };
        }
        
        console.log("-> Solicitud entrante a ruta protegida.");
        next(); 
    });
};

const router = express.Router();
router.use(authenticateAndExtract)
router.use(cargarUsuario);

router.get('/profile', empleadoController.getEmpleado);