Dê direção à IA antes de dar o código.

// @MindContext: Autenticação de usuários para sistema de e-commerce
// @MindFlow: Receber credenciais → Validar formato → Buscar usuário → Verificar senha → Gerar JWT → Retornar
// @MindDeps: bcrypt, jsonwebtoken, UserModel, config/jwt

import bcrypt from "bcrypt";
import jwt from "jsonwebtoken";
import { UserModel } from "@/models/User";
import { JWT_SECRET } from "@/config/jwt";

// @MindSpec: Input: {email: string, password: string} | Output: {token: string, user: User} | Error: 401
export async function login(email: string, password: string) {
  // @MindWhy: Validar formato antes de consultar DB para economizar queries
  if (!email.includes("@")) {
    throw new Error("Email inválido");
  }

  // @MindRisk: Retornar mensagem genérica para evitar enumeration attack
  const user = await UserModel.findByEmail(email);
  if (!user) throw new Error("Credenciais inválidas");

  // @MindDecision: Usar bcrypt.compare (timing-safe) ao invés de comparação direta
  const isValid = await bcrypt.compare(password, user.hashedPassword);
  if (!isValid) throw new Error("Credenciais inválidas");

  // @MindTest: __tests__/auth/login.test.ts:20-65
  return {
    token: jwt.sign({ userId: user.id }, JWT_SECRET, { expiresIn: "24h" }),
    user,
  };
}