// Limite baixo de propósito: esta suíte existe para provar que o bloqueio de
// tentativas de login (AC-2 BE-3) funciona. Definido antes do import do
// AppModule porque o ConfigService lê env no boot.
process.env.THROTTLE_LOGIN_LIMIT = '3';

import { INestApplication, ValidationPipe } from '@nestjs/common';
import { Test } from '@nestjs/testing';
import request from 'supertest';
import { App } from 'supertest/types';
import { AppModule } from '../src/app.module';
import { PrismaService } from '../src/prisma/prisma.service';

describe('Limite de tentativas de login (e2e)', () => {
  let app: INestApplication<App>;
  let prisma: PrismaService;

  const email = 'ratelimit@e2e.teste';
  const password = 'senhaSegura123';

  beforeAll(async () => {
    const mod = await Test.createTestingModule({
      imports: [AppModule],
    }).compile();
    app = mod.createNestApplication();
    app.useGlobalPipes(
      new ValidationPipe({
        whitelist: true,
        forbidNonWhitelisted: true,
        transform: true,
      }),
    );
    await app.init();
    // Servidor escutando **uma vez** por suíte: sem isto o supertest faz
    // listen/close por requisição, e o ciclo repetido produz "socket hang up"
    // aleatório na suíte completa — gate que falha sozinho não serve de gate.
    await app.listen(0);
    prisma = app.get(PrismaService);

    await request(app.getHttpServer())
      .post('/auth/register')
      .send({ email, password, displayName: 'Rate' })
      .expect(201);
  });

  afterAll(async () => {
    await prisma.user.deleteMany({
      where: { email: { contains: 'ratelimit@e2e.teste' } },
    });
    await app.close();
  });

  it('bloqueia com 429 depois do limite de tentativas erradas', async () => {
    const errada = () =>
      request(app.getHttpServer())
        .post('/auth/login')
        .send({ email, password: 'senhaErrada9999' });

    for (let i = 0; i < 3; i++) await errada().expect(401);

    // 4ª tentativa: bloqueada, não mais "senha inválida".
    await errada().expect(429);
  });

  it('o bloqueio também vale para a senha correta — protege contra enumeração', async () => {
    // O limite é por origem, não por resultado: quem estourou não passa nem
    // acertando a senha. É o que impede varredura de credenciais.
    await request(app.getHttpServer())
      .post('/auth/login')
      .send({ email, password })
      .expect(429);
  });
});
