"""登录接口：账号密码换访问令牌。

`docs/05` §11 把 JWT 的签发划给统一身份认证模块，本路由只做**登录**这一步，
刷新与注销留待后续（`app/core/security.py` 的 `RevocationStore` 协议已经留好）。

三点与其它接口不同的地方，都是有意为之：

1. **不依赖 `build_request_context`** —— 登录时本来就还没有身份，要求带令牌就成了
   "要登录先登录"。追踪标识改从 `X-Trace-ID` 请求头取，与 `auth.py:38` 的取法一致。
2. **挂在 `enforce_rate_limit` 上** —— 这是全平台最需要限流的端点（密码爆破的入口）。
3. **不写 `Audit` 之外的东西、也不回显失败原因** —— 失败一律 401，消息由
   `AuthService` 统一给出，见那里的模块文档第 1 条。
"""

from fastapi import APIRouter, Depends, Request
from sqlalchemy.ext.asyncio import AsyncSession

from app.api.dependencies.database import get_session
from app.api.dependencies.rate_limit import enforce_login_rate_limit
from app.api.schemas.auth import LoginRequest
from app.service.auth_service import AuthService

router = APIRouter(
    prefix="/api/v1/auth",
    tags=["auth"],
    # 用 `enforce_login_rate_limit` 而不是通用的 `enforce_rate_limit`：后者声明依赖
    # `build_request_context`，挂在这里就成了"要登录先登录"。详见该函数的文档字符串。
    dependencies=[Depends(enforce_login_rate_limit)],
)


@router.post("/tokens")
async def create_access_token(
    payload: LoginRequest,
    request: Request,
    session: AsyncSession = Depends(get_session),  # noqa: B008
) -> dict[str, object]:
    """用工号/账号与密码换一个访问令牌。

    成功响应是 `docs/05` §3.3 的信封：业务字段全在 `data` 里，`meta` 只有 `trace_id`。
    `data.roles` 与 `data.data_scope` 是**给前端决定进哪个界面用的**——
    真正的鉴权每次请求都由 `IdentityService` 查库解析，不看这里。
    """
    # 认证失败时请求上下文尚未建立，请求头是唯一可复用的追踪标识（同 `auth.py:38`）。
    trace_id = request.headers.get("X-Trace-ID") or ""
    data = await AuthService(session).login(
        payload.username, payload.password, trace_id=trace_id
    )
    return {"data": data, "meta": {"trace_id": trace_id}}