#Spring Security 与 Validation

public interface Authentication extends Serializable {
    // 主要凭证：通常用户名/密码
    Object getCredentials();

    // 认证请求的细节：IP、SessionId 等
    Object getDetails();

    // 主要身份：通常用户名或 UserDetails
    Object getPrincipal();

    // 已授权的权限列表
    Collection<? extends GrantedAuthority> getAuthorities();

    // 是否已认证
    boolean isAuthenticated();

    // 设置认证状态
    void setAuthenticated(boolean isAuthenticated);
}

// 不推荐的方案
// MD5（已破解）：不安全，不应使用
PasswordEncoder md5 = new StandardPasswordEncoder("salt");
String md5Hash = md5.encode("password");  // 不安全！

// SHA-256：比 MD5 好，但不够慢，容易被 GPU 暴力破解
PasswordEncoder sha256 = new StandardPasswordEncoder("salt");
String sha256Hash = sha256.encode("password");

// BCrypt：专为密码设计，慢 + 加盐
PasswordEncoder bcrypt = new BCryptPasswordEncoder();
String bcryptHash = bcrypt.encode("password");
boolean matches = bcrypt.matches("password", bcryptHash);
// BCrypt 工作因子默认 10，可以调整到 12-14 更安全

// 方式一：@PreAuthorize（支持 SpEL）
@PreAuthorize("hasRole('ADMIN') and hasAuthority('USER_WRITE')")
public User updateUser(User user) {
    return userService.update(user);
}

// 方式二：@Secured（简单，但不能 SpEL）
@Secured({"ROLE_ADMIN", "ROLE_USER"})
public User getUser(Long id) {
    return userService.getById(id);
}

// 方式三：方法级别安全配置
@Configuration
@EnableMethodSecurity(prePostEnabled = true, securedEnabled = true)
public class SecurityConfig {
    // 默认配置
}

// JWT 三部分：Header.Payload.Signature
public class JwtTokenProvider {
    @Autowired
    private JwtConfig jwtConfig;

    // 生成 Token
    public String generateToken(Authentication auth) {
        Map<String, Object> claims = new HashMap<>();
        claims.put("roles", auth.getAuthorities().stream()
            .map(GrantedAuthority::getAuthority)
            .collect(Collectors.toList()));
        claims.put("userId", getUserId(auth));

        return Jwts.builder()
            .setClaims(claims)
            .setSubject(auth.getName())
            .setIssuedAt(new Date())
            .setExpiration(new Date(System.currentTimeMillis() + jwtConfig.getExpiration()))
            .signWith(Keys.hmacShaKeyFor(jwtConfig.getSecret().getBytes()))
            .compact();
    }

    // 验证 Token
    public boolean validateToken(String token) {
        try {
            Jwts.parserBuilder()
                .setSigningKey(Keys.hmacShaKeyFor(jwtConfig.getSecret().getBytes()))
                .build()
                .parseClaimsJws(token);
            return true;
        } catch (JwtException e) {
            return false;
        }
    }
}

// @Valid：标准 Bean Validation 注解
public class User {
    @NotNull(message = "用户名不能为空")
    private String username;
}

// @Validated：Spring 的分组校验扩展
@RestController
@Validated  // 开启方法级别校验
public class UserController {

    @PostMapping("/user")
    // @Valid 嵌套校验
    public User create(@Valid @RequestBody User user) {
        return userService.create(user);
    }

    // 分组校验
    @PutMapping("/user")
    public User update(@Validated({UpdateGroup.class}) @RequestBody User user) {
        return userService.update(user);
    }
}

// 定义分组
public interface CreateGroup {
    // 创建时的校验分组
}
public interface UpdateGroup {
    // 更新时的校验分组
}

// 实体中使用分组
public class User {
    @NotBlank(groups = {CreateGroup.class})  // 创建时必填
    @Null(groups = {UpdateGroup.class})       // 更新时必须为空
    private String id;

    @NotBlank(message = "用户名不能为空")
    private String username;

    @Min(value = 0, message = "年龄不能小于0")
    @Max(value = 150, message = "年龄不能超过150")
    private Integer age;
}

// 第一步：定义注解
@Target({ElementType.FIELD, ElementType.PARAMETER})
@Retention(RetentionPolicy.RUNTIME)
@Constraint(validatedBy = PhoneValidator.class)
public @interface Phone {
    String message() default "手机号格式不正确";
    Class<?>[] groups() default {};
    Class<? extends Payload>[] payload() default {};
}

// 第二步：实现校验器
public class PhoneValidator implements ConstraintValidator<Phone, String> {
    // 手机号正则：1开头 + 10位数字
    private static final Pattern PHONE_PATTERN = Pattern.compile("^1[3-9]\\d{9}$");

    @Override
    public void initialize(Phone constraintAnnotation) {
        // 初始化
    }

    @Override
    public boolean isValid(String value, ConstraintValidatorContext context) {
        if (value == null || value.isEmpty()) {
            return true;  // null 由 @NotNull 控制
        }
        return PHONE_PATTERN.matcher(value).matches();
    }
}

// 第三步：使用
public class User {
    @Phone
    private String phone;
}

public class JwtAuthService {
    @Autowired
    private JwtConfig jwtConfig;

    // Access Token 过期但 Refresh Token 有效
    public AuthResult refreshToken(String refreshToken) {
        // 1. 验证 Refresh Token
        if (!validateRefreshToken(refreshToken)) {
            throw new AuthException("Refresh token 无效");
        }

        // 2. 获取用户信息
        String userId = getUserIdFromRefreshToken(refreshToken);
        User user = userService.findById(userId);

        // 3. 生成新的 Access Token
        String newAccessToken = generateAccessToken(user);

        // 4. 可选：Rotation - 生成新的 Refresh Token
        String newRefreshToken = generateRefreshToken(user);

        return new AuthResult(newAccessToken, newRefreshToken);
    }
}