📚 Ressources — Node.js & Express

// Middleware standard (3 params)
function logger(req, res, next) {
  console.log(req.method, req.path);
  next(); // NE PAS oublier !
}

// Monter globalement
app.use(logger);

// Error handler (4 params OBLIGATOIRES)
app.use((err, req, res, next) => {
  res.status(err.status || 500)
     .json({ error: err.message });
});

// next(err) → propage l'erreur
app.get('/test', (req, res, next) => {
  next(new Error('Oups'));
});

// routes/articles.js
const router = express.Router();

// Chaînage sur même URL
router.route('/')
  .get((req, res) => { /*...*/ })
  .post((req, res) => { /*...*/ });

router.route('/:id')
  .get((req, res) => { /*...*/ })
  .put((req, res) => { /*...*/ })
  .delete((req, res) => { /*...*/ });

// Middleware de paramètre
router.param('id', (req, res, next, id) => {
  if (isNaN(+id)) return res.status(400).json({error:'ID invalide'});
  next();
});

module.exports = router;

// server.js
app.use('/articles', require('./routes/articles'));

const jwt = require('jsonwebtoken');
const SECRET = process.env.JWT_SECRET;

// Créer un token
const token = jwt.sign(
  { id: user.id, role: user.role }, // payload
  SECRET,
  { expiresIn: '7d' }
);

// Vérifier un token
try {
  const payload = jwt.verify(token, SECRET);
  // payload.id, payload.role, payload.exp
} catch (err) {
  // TokenExpiredError ou JsonWebTokenError
}

// Middleware verifyToken
function verifyToken(req, res, next) {
  const header = req.headers.authorization;
  if (!header?.startsWith('Bearer '))
    return res.status(401).json({ error: 'Token manquant' });
  try {
    req.user = jwt.verify(header.slice(7), SECRET);
    next();
  } catch {
    res.status(401).json({ error: 'Token invalide' });
  }
}

// Header HTTP : Authorization: Bearer eyJhbG...

const bcrypt = require('bcryptjs');

// Hacher (async — à faire au register)
const hash = await bcrypt.hash(password, 10);
// 10 = salt rounds (coût de calcul)
// Stocker `hash` en base, jamais `password`

// Vérifier (async — à faire au login)
const match = await bcrypt.compare(plainText, hash);
if (!match) return res.status(401).json({ error: 'Identifiants invalides' });

// NE JAMAIS :
// ✗ stocker des mots de passe en clair
// ✗ utiliser MD5/SHA1 pour les mots de passe
// ✗ comparer avec ===

require('dotenv').config();
const helmet    = require('helmet');
const cors      = require('cors');
const rateLimit = require('express-rate-limit');

app.use(helmet());              // En-têtes HTTP sécurisés
app.use(cors({ origin: [...] })); // Whitelist origines
app.use(rateLimit({             // Anti-DDoS
  windowMs: 15 * 60 * 1000,
  max: 100
}));
app.use(express.json({ limit: '10kb' }));

// asyncHandler — plus de try/catch répétitifs
const asyncHandler = fn => (req, res, next) =>
  Promise.resolve(fn(req, res, next)).catch(next);

// Error handler production
app.use((err, req, res, next) => {
  const isDev = process.env.NODE_ENV !== 'production';
  res.status(err.status || 500).json({
    error: isDev ? err.message : 'Erreur serveur'
  });
});