MFA / 2FA

// TOTP (RFC 6238): segredo compartilhado + relogio. O app authenticator
// gera 6 digitos; o servidor verifica com janela de 1 passo (±30s).
import { verifySync } from "otplib";

function checarTotp(secret: string, codigo: string, agora = Date.now()) {
  const ok = verifySync({ token: codigo, secret, epoch: agora }).valid;
  if (!ok) throw new Error("codigo MFA invalido");
}

// Fluxo: senha OK -> desafio MFA -> so entao emite sessao.
// Backup codes de uso unico para quando o telefone morre.
async function login(email: string, senha: string, totp?: string) {
  const user = await usuarios.verificarSenha(email, senha);
  if (!user) return { status: 401 as const };
  if (user.mfaAtivo) {
    if (!totp) return { status: 401 as const, mfaRequired: true };
    checarTotp(user.mfaSecret, totp);
  }
  return { status: 200 as const, sessao: await sessoes.criar(user.id) };
}