// 认证 cookie 名（前后端必须严格一致）：
// 生产构建（HTTPS）启用 __Host- 前缀，浏览器强制 Secure + Path=/ + 无 Domain；
// 后端按 !DevMode 同步启用（见 backend/service/auth.go ConfigureCookieNames）。
const HOST_PREFIX = process.env.NODE_ENV === "production" ? "__Host-" : "";

export const TOKEN_COOKIE = `${HOST_PREFIX}j13_token`;
export const REFRESH_COOKIE = `${HOST_PREFIX}j13_refresh`;
export const CSRF_COOKIE = `${HOST_PREFIX}j13_csrf`;

type CookieReader = {
  get(name: string): { value: string } | undefined;
};

// 构造转发给后端的最小 Cookie 头：SSR 公开/鉴权接口只需要 access token 来
// 识别用户（填充 liked 等状态），不应把 refresh token、主题等无关 cookie 全量转发。
// 返回空串表示当前无登录凭据，调用方应省略 Cookie 头。
export function authCookieHeader(store: CookieReader): string {
  const token = store.get(TOKEN_COOKIE);
  return token ? `${TOKEN_COOKIE}=${token.value}` : "";
}

// 客户端判断浏览器是否可能持有登录态：j13_csrf 非 HttpOnly 可读，
// 生命周期与 refresh 一致，适合作为挂载后静默校正的触发信号。
export function hasAuthCookieHint(): boolean {
  if (typeof document === "undefined") return false;
  const escaped = CSRF_COOKIE.replace(/[.*+?^${}()|[\]\\]/g, "\\$&");
  return new RegExp(`(?:^|;\\s*)${escaped}=`).test(document.cookie);
}