@Configuration
public class CorsConfig implements WebMvcConfigurer {

    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**") // 1. อนุญาตทุก Path ใน API
                .allowedOrigins("http://localhost:3000", "https://mydomain.com") // 2. ระบุ Domain ของ Frontend (ห้ามใช้ * ใน Production)
                .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS") // 3. Method ที่อนุญาต
                .allowedHeaders("*") // 4. Header ที่อนุญาต
                .allowCredentials(true); // 5. อนุญาตให้ส่ง Cookie/Auth Header ได้
    }
}

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf(csrf -> csrf.disable()) // API ปกติมักปิด CSRF
            .cors(cors -> cors.configurationSource(corsConfigurationSource())) // <--- เรียกใช้ Config ที่เราสร้าง
            .authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated()
            );
            
        return http.build();
    }

    // สร้าง Bean นี้เพื่อให้ Spring Security รู้จักกฎ CORS
    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(List.of("http://localhost:3000")); // อนุญาต Frontend
        configuration.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE", "OPTIONS"));
        configuration.setAllowedHeaders(List.of("*"));
        configuration.setAllowCredentials(true);

        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration); // ใช้กฎนี้กับทุก Path
        return source;
    }
}