Đăng nhập, phiên và phân quyền

fetch("/api/don-hang/42", { method: "DELETE" })

// Băm bằng PBKDF2 — có sẵn trong Workers, không cần thư viện
async function bamMatKhau(matKhau, muoi) {
  const key = await crypto.subtle.importKey(
    "raw", new TextEncoder().encode(matKhau), "PBKDF2", false, ["deriveBits"]
  );
  const bits = await crypto.subtle.deriveBits(
    { name: "PBKDF2", salt: muoi, iterations: 100000, hash: "SHA-256" }, key, 256
  );
  return [...new Uint8Array(bits)].map(b => b.toString(16).padStart(2, "0")).join("");
}

async function taoMatKhau(matKhau) {
  const muoi = crypto.getRandomValues(new Uint8Array(16));
  const bam = await bamMatKhau(matKhau, muoi);
  const muoiHex = [...muoi].map(b => b.toString(16).padStart(2, "0")).join("");
  return `pbkdf2$100000$${muoiHex}$${bam}`;     // lưu cả tham số vào chuỗi
}

async function kiemMatKhau(matKhau, luuTru) {
  const [thuatToan, vong, muoiHex, bamCu] = luuTru.split("$");
  if (thuatToan !== "pbkdf2") return false;
  const muoi = new Uint8Array(muoiHex.match(/../g).map(h => parseInt(h, 16)));
  const bamMoi = await bamMatKhau(matKhau, muoi, +vong);
  return soSanhAnToan(bamMoi, bamCu);
}

// So sánh thời gian không đổi — chống dò theo thời gian phản hồi
function soSanhAnToan(a, b) {
  if (a.length !== b.length) return false;
  let r = 0;
  for (let i = 0; i < a.length; i++) r |= a.charCodeAt(i) ^ b.charCodeAt(i);
  return r === 0;
}

async function dangNhap(request, env) {
  const { dangNhap: ten, matKhau } = await request.json();

  const u = await env.DB.prepare(
    "SELECT id, ten, vai_tro, mat_khau_bam, khoa FROM nguoi_dung WHERE dang_nhap = ?"
  ).bind(ten).first();

  // Thông báo GIỐNG NHAU cho sai tài khoản và sai mật khẩu
  const sai = () => json({ loi: "Tai khoan hoac mat khau khong dung" }, 401);
  if (!u || u.khoa) return sai();
  if (!(await kiemMatKhau(matKhau, u.mat_khau_bam))) return sai();

  const maPhien = crypto.randomUUID();
  await env.PHIEN.put(
    "phien:" + maPhien,
    JSON.stringify({ id: u.id, ten: u.ten, vai_tro: u.vai_tro }),
    { expirationTtl: 60 * 60 * 24 * 7 }               // 7 ngày
  );

  return new Response(JSON.stringify({ ok: true, ten: u.ten, vai_tro: u.vai_tro }), {
    headers: {
      "content-type": "application/json; charset=utf-8",
      "set-cookie": `phien=${maPhien}; HttpOnly; Secure; SameSite=Lax; Path=/; Max-Age=604800`,
    },
  });
}

async function nguoiDungTuPhien(request, env) {
  const cookie = request.headers.get("cookie") || "";
  const m = cookie.match(/(?:^|;\s*)phien=([^;]+)/);
  if (!m) return null;                       // chưa đăng nhập: KHÔNG đụng D1
  return await env.PHIEN.get("phien:" + m[1], { type: "json" });
}

function doiQuyen(u, ...vaiTro) {
  if (!u) return json({ loi: "Chua dang nhap" }, 401);
  if (!vaiTro.includes(u.vai_tro)) return json({ loi: "Khong co quyen" }, 403);
  return null;                               // null = qua cửa
}

// dùng:
if (p === "/api/don-hang" && request.method === "DELETE") {
  const u = await nguoiDungTuPhien(request, env);
  const chan = doiQuyen(u, "admin", "quan_ly");
  if (chan) return chan;
  return xoaDon(request, env, u);
}

// SAI: ai đăng nhập cũng xem được mọi đơn
"SELECT * FROM don_hang WHERE id = ?"

// ĐÚNG: ràng buộc ngay trong truy vấn
u.vai_tro === "admin"
  ? db.prepare("SELECT * FROM don_hang WHERE id = ?").bind(id)
  : db.prepare("SELECT * FROM don_hang WHERE id = ? AND tao_boi = ?").bind(id, u.id)