@Entity
@Data
@Table(name = "quyen")
public class Quyen {

    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    @Column(name = "ma_quyen")
    private int maQuyen;

    @Column(name = "ten_quyen")
    private String tenQuyen; // VD: "ROLE_ADMIN", "ROLE_USER"

    // Quan hệ ngược (inverse side) - Many-to-Many với NguoiDung
    @ManyToMany(fetch = FetchType.LAZY, cascade = {...})
    @JoinTable(name = "nguoidung_quyen",
        joinColumns = @JoinColumn(name = "ma_quyen"),
        inverseJoinColumns = @JoinColumn(name = "ma_nguoi_dung"))
    private List<NguoiDung> danhSachNguoiDung;
}

// ⭐ Quan trọng: EAGER loading - bắt buộc cho phân quyền
@ManyToMany(fetch = FetchType.EAGER, cascade = {...})
@JoinTable(name = "nguoidung_quyen",
    joinColumns = @JoinColumn(name = "ma_nguoi_dung"),
    inverseJoinColumns = @JoinColumn(name = "ma_quyen"))
private List<Quyen> danhSachQuyen;

@RepositoryRestResource(path="nguoi-dung")
public interface NguoiDungRepository extends JpaRepository<NguoiDung, Integer> {

    // Kiểm tra trùng lặp khi đăng ký
    boolean existsByTenDangNhap(String tenDangNhap);
    boolean existsByEmail(String email);

    // ⭐ Phân quyền: Spring Security gọi method này
    NguoiDung findByTenDangNhap(String tenDangNhap);
}

@RepositoryRestResource(path="quyen")
public interface QuyenRepository extends JpaRepository<Quyen, Integer> {

    // Dùng để tìm Quyen theo tên, VD: findByTenQuyen("ROLE_USER")
    Quyen findByTenQuyen(String tenQuyen);
}

public interface UserService extends UserDetailsService {
    // Thêm method riêng của project
    NguoiDung finByUsername(String username);
}

@Service
public class UserServiceImpl implements UserService {

    // ⭐ Spring Security tự động gọi method này
    @Override
    public UserDetails loadUserByUsername(String username) {
        // 1. Tìm user trong DB
        NguoiDung nguoiDung = nguoiDungRepository
            .findByTenDangNhap(username);

        if (nguoiDung == null) {
            throw new UsernameNotFoundException("Tài khoản không tồn tại");
        }

        // 2. Trả về UserDetails (gồm username, password, authorities)
        return new User(
            nguoiDung.getTenDangNhap(),
            nguoiDung.getMatKhau(),       // Mật khẩu đã BCrypt
            rolesToAuthorities(nguoiDung.getDanhSachQuyen())
        );
    }

    // 3. Chuyển List<Quyen> → Collection<GrantedAuthority>
    private Collection<? extends GrantedAuthority> rolesToAuthorities(
            Collection<Quyen> quyens) {
        return quyens.stream()
            .map(q -> new SimpleGrantedAuthority(q.getTenQuyen()))
            .collect(Collectors.toList());
    }
}

@Bean
public BCryptPasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}
// Dùng trong TaiKhoanService để hash password khi đăng ký:
// String hash = passwordEncoder.encode(nguoiDung.getMatKhau());

@Bean
public DaoAuthenticationProvider authenticationProvider(UserService userService) {
    DaoAuthenticationProvider dap = new DaoAuthenticationProvider(userService);
    dap.setPasswordEncoder(passwordEncoder());
    return dap;
    // UserService được inject tự động (Spring tìm Bean có type UserService)
}

@Bean
public SecurityFilterChain SecurityFilterChain(HttpSecurity http) throws Exception {
    http.authorizeHttpRequests(config -> config
        // 1. Endpoint công khai (GET)
        .requestMatchers(HttpMethod.GET, Endpoints.PUBLIC_GET_ENDPOINTS)
            .permitAll()

        // 2. Endpoint công khai (POST)
        .requestMatchers(HttpMethod.POST, Endpoints.PUBLIC_POST_ENDPOINTS)
            .permitAll()

        // 3. Endpoint chỉ ADMIN mới được GET
        .requestMatchers(HttpMethod.GET, Endpoints.ADMIN_GET_ENDPOINTS)
            .hasAnyAuthority("ROLE_ADMIN")

        // 4. Tất cả request còn lại: phải đăng nhập
        .anyRequest().authenticated()
    );

    // Dùng HTTP Basic Auth (gửi username:password trong header)
    http.httpBasic(Customizer.withDefaults());

    // Tắt CSRF (vì đây là REST API, không dùng form)
    http.csrf(csrf -> csrf.disable());

    return http.build();
}

# Lấy danh sách sách - không cần auth
curl -X GET http://localhost:8080/sach
# Kết quả: 200 OK + dữ liệu sách

# Gọi không có auth → 401 Unauthorized
curl -X GET http://localhost:8080/don-hang

# Gọi với Basic Auth → 200 OK
curl -X GET http://localhost:8080/don-hang \
  -u "username:password"

# User thường gọi → 403 Forbidden
curl -X GET http://localhost:8080/nguoi-dung \
  -u "user_thuong:password"

# Admin gọi → 200 OK
curl -X GET http://localhost:8080/nguoi-dung \
  -u "admin_account:password"

// Cách 1: Dùng auth option của axios
axios.get('http://localhost:8080/nguoi-dung', {
  auth: { username: 'admin', password: '123456' }
});

// Cách 2: Encode Base64 thủ công
const token = btoa('admin:123456');
axios.get('http://localhost:8080/nguoi-dung', {
  headers: { Authorization: `Basic ${token}` }
});

// Inject QuyenRepository
@Autowired
private QuyenRepository quyenRepository;

// Trong dangKyNguoiDung(), trước khi save:
Quyen quyenUser = quyenRepository.findByTenQuyen("ROLE_USER");
nguoiDung.setDanhSachQuyen(List.of(quyenUser));
nguoiDungRepository.save(nguoiDung);