Controle de Veículos.

const autenticar = asyncH(async (req, res, next) => {
  const header = req.headers.authorization || '';
  const token = header.startsWith('Bearer ') ? header.slice(7) : null;
  if (!token) return res.status(401).json({ error: 'Token nao informado' });

  let payload;
  try {
    payload = jwt.verify(token, process.env.JWT_SECRET);
  } catch {
    return res.status(401).json({ error: 'Token invalido ou expirado' });
  }

  // Busca o usuário a cada request: bloqueio tem efeito IMEDIATO,
  // mesmo com um JWT ainda dentro da validade de 12h
  const user = await db.prepare(
    'SELECT id, nome, email, role, bloqueado FROM usuarios WHERE id = ?'
  ).get(payload.id);

  if (!user)           return res.status(401).json({ error: 'Usuario nao encontrado' });
  if (user.bloqueado)  return res.status(403).json({ error: 'Usuario bloqueado' });

  req.user = user;
  next();
});

// Guard composável — aceita N perfis
function requireRole(...roles) {
  return (req, res, next) => {
    if (!req.user) return res.status(401).json({ error: 'Nao autenticado' });
    if (!roles.includes(req.user.role)) {
      return res.status(403).json({ error: 'Acesso negado para o seu perfil' });
    }
    next();
  };
}

// Uso nas rotas (composição de middlewares Express):
// router.use(autenticar);                                  → todas exigem login
// router.post('/', requireRole('admin'), ctrl.criar);      → só admin
// router.get('/logs', requireRole('ti'), ctrl.logs);       → só TI

// Comparação em tempo constante — sem vazamento por timing
function pinIgual(a, b) {
  const ab = Buffer.from(String(a));
  const bb = Buffer.from(String(b));
  if (ab.length !== bb.length) return false;
  return crypto.timingSafeEqual(ab, bb);
}

// ── No upload da foto (checkoutController.js) ──────────────
// Pasta segregada: motorista cadastrado vs digitado à mão
if (cadastrado && pessoaId) {
  const m = await db.prepare('SELECT id, nome FROM motoristas WHERE id = ?').get(pessoaId);
  if (!m) return res.status(404).json({ error: 'Motorista nao encontrado' });
  motoristaId = m.id; nome = m.nome;
  pastaBase = sanitizeSegment(nome);                       // "João"
} else {
  if (nome.length < 2) return res.status(400).json({ error: 'Informe o nome do motorista' });
  pastaBase = `Motorista sem cadastro/${sanitizeSegment(nome)}`;
}

// Timestamp do SERVIDOR (autoritário — o relógio do tablet não manda)
const { agora } = await db.prepare(`SELECT ${db.NOW_SQL} AS agora`).get();
const fileStamp = agora.replace(' ', '_').replace(/:/g, '-'); // 2026-06-08_14-30-00
const pathKey   = `${pastaBase}/${fileStamp}_${tipo}.jpg`;

// Upload para bucket PRIVADO — leitura só com URL assinada (TI)
await storage.uploadFoto(pathKey, req.file.buffer, req.file.mimetype || 'image/jpeg');

await db.prepare(
  'INSERT INTO checkout_fotos (motorista_id, usuario_id, nome, cadastrado, tipo, storage_path) VALUES (?,?,?,?,?,?)'
).run(motoristaId, usuarioId, nome, cadastrado ? 1 : 0, tipo, pathKey);

res.status(201).json({ ok: true, nome, tipo, path: pathKey });

async function relatorio(req, res) {
  const { usuario_id, veiculo_id, status, inicio, fim, tipo } = req.query;

  // WHERE dinâmico — sempre com placeholders, nunca concatenação
  const where = [];
  const params = [];
  if (usuario_id) { where.push('r.usuario_id = ?');      params.push(usuario_id); }
  if (veiculo_id) { where.push('r.veiculo_id = ?');      params.push(veiculo_id); }
  if (status)     { where.push('r.status = ?');          params.push(status); }
  if (inicio)     { where.push('r.data_retirada  >= ?'); params.push(inicio); }
  if (fim)        { where.push('r.data_devolucao <= ?'); params.push(fim); }
  if (tipo === 'reserva')   where.push('r.liberacao_direta = 0');
  if (tipo === 'liberacao') where.push('r.liberacao_direta = 1');
  const whereSql = where.length ? 'WHERE ' + where.join(' AND ') : '';

  const rows = await db.prepare(`
    SELECT r.*, u.nome AS usuario_nome, u.email AS usuario_email,
           v.placa, v.modelo, v.marca, v.km_atual AS veiculo_km_atual
    FROM reservas r
    JOIN usuarios u ON u.id = r.usuario_id
    JOIN veiculos v ON v.id = r.veiculo_id
    ${whereSql}
    ORDER BY r.data_retirada DESC
    LIMIT 2000
  `).all(...params);

  // Agregados em UMA passada — mais rápido que N queries
  const stats = {
    total:      rows.length,
    reservas:   rows.filter(r => !r.liberacao_direta).length,
    liberacoes: rows.filter(r =>  r.liberacao_direta).length,
    porStatus: {}, porFinalidade: {}, porVeiculo: {}, porColaborador: {},
  };

  rows.forEach(r => {
    stats.porStatus[r.status]         = (stats.porStatus[r.status] || 0) + 1;
    stats.porFinalidade[r.finalidade] = (stats.porFinalidade[r.finalidade] || 0) + 1;
    const veic = `${r.marca} ${r.modelo} (${r.placa})`;
    stats.porVeiculo[veic]            = (stats.porVeiculo[veic] || 0) + 1;
    stats.porColaborador[r.usuario_nome] = (stats.porColaborador[r.usuario_nome] || 0) + 1;
  });

  res.json({ data: rows, stats });
}