using System.Security.Cryptography;
using System.Text;

namespace PSLauncher.Core.Migrations;

/// <summary>
/// Chiffre / déchiffre le mot de passe MySQL stocké dans <see cref="PSLauncher.Models.DatabaseConfig.EncryptedPassword"/>
/// via DPAPI scope CurrentUser. Même mécanisme que pour la clé de license : un user
/// qui copierait le config.json sur une autre machine ne pourrait pas déchiffrer.
/// </summary>
public static class DatabasePasswordProtector
{
    public static string? Protect(string? clearPassword)
    {
        if (string.IsNullOrEmpty(clearPassword)) return null;
        var data = Encoding.UTF8.GetBytes(clearPassword);
        var protectedBytes = ProtectedData.Protect(data, optionalEntropy: null, scope: DataProtectionScope.CurrentUser);
        return Convert.ToBase64String(protectedBytes);
    }

    public static string? Unprotect(string? base64)
    {
        if (string.IsNullOrEmpty(base64)) return null;
        try
        {
            var protectedBytes = Convert.FromBase64String(base64);
            var data = ProtectedData.Unprotect(protectedBytes, optionalEntropy: null, scope: DataProtectionScope.CurrentUser);
            return Encoding.UTF8.GetString(data);
        }
        catch
        {
            // Cache déplacé sur autre machine / autre user → non déchiffrable
            return null;
        }
    }
}
