// Só redireciona para /login quando não há cookie de sessão.
// A autorização de verdade acontece sempre na API Go (ARQUITETURA.md 5.4).
import { NextResponse, type NextRequest } from "next/server";

export function middleware(req: NextRequest) {
  if (!req.cookies.get("bp_session")) {
    const url = req.nextUrl.clone();
    url.pathname = "/login";
    url.search = req.nextUrl.pathname === "/" ? "" : `?next=${encodeURIComponent(req.nextUrl.pathname)}`;
    return NextResponse.redirect(url);
  }
  return NextResponse.next();
}

export const config = {
  // Tudo, menos login, healthcheck, API (repassada ao Go) e arquivos do Next.
  matcher: ["/((?!login|healthz|api/|_next/|favicon.ico).*)"],
};