import test from 'node:test';
import assert from 'node:assert/strict';
import { createHmac, timingSafeEqual } from 'node:crypto';

// --- código sob teste (o que a IA gerou) ---
export function verificar(segredo, cabecalho, corpoBruto, agora = Math.floor(Date.now() / 1000)) {
  const p = Object.fromEntries(cabecalho.split(',').map(kv => kv.split('=')));
  if (!p.t || !p.v1 || Math.abs(agora - Number(p.t)) > 300) return false;
  const esperado = createHmac('sha256', segredo).update(`${p.t}.${corpoBruto}`).digest('hex');
  const a = Buffer.from(esperado), b = Buffer.from(p.v1);
  return a.length === b.length && timingSafeEqual(a, b);
}

export async function criarPix(fetchImpl, pedido) {
  const chave = `pix-${pedido.id}`;
  for (let i = 0; i < 3; i++) {
    const r = await fetchImpl('/api/pix/create', { method: 'POST', headers: { 'Idempotency-Key': chave }, body: JSON.stringify(pedido.corpo) });
    if (r.status < 500) return r;
  }
  throw new Error('falhou');
}

// --- testes ---
const corpo = '{"id":"evt_test","type":"ping"}';
const sig = t => `t=${t},v1=${createHmac('sha256', 'whsec_x').update(`${t}.${corpo}`).digest('hex')}`;

test('aceita assinatura válida', () => assert.ok(verificar('whsec_x', sig(1700000000), corpo, 1700000010)));
test('rejeita corpo alterado',   () => assert.ok(!verificar('whsec_x', sig(1700000000), corpo + ' ', 1700000010)));
test('rejeita segredo errado',    () => assert.ok(!verificar('outro',   sig(1700000000), corpo, 1700000010)));
test('rejeita replay antigo',     () => assert.ok(!verificar('whsec_x', sig(1700000000), corpo, 1700001000)));

test('repete com a MESMA Idempotency-Key após 500', async () => {
  const chaves = [];
  const falso = async (_u, init) => { chaves.push(init.headers['Idempotency-Key']); return { status: chaves.length < 2 ? 500 : 200 }; };
  const r = await criarPix(falso, { id: 'PED-1', corpo: {} });
  assert.equal(r.status, 200);
  assert.deepEqual(chaves, ['pix-PED-1', 'pix-PED-1']);
});