public class AsymmetricTokenProvider
{
    private readonly RsaSecurityKey _signatureKey; // Người bảo vệ với bí mật
    private readonly JwtSecurityTokenHandler _tokenHandler = new(); 
    private readonly TokenConfiguration _config; 
    private readonly JsonWebKey _publicJwk; // Được lưu trữ để tái sử dụng

    public AsymmetricTokenProvider(TokenConfiguration config)
    {
        _config = config;

        var rsa = RSA.Create();
        rsa.ImportFromPem(config.PrivateKey); // Tải khóa riêng — cần cẩn thận

        _signatureKey = new RsaSecurityKey(rsa)
        {
            KeyId = GenerateKeyFingerprint(rsa) // Tạo một biệt danh cho mỗi khóa
        };

        _publicJwk = GeneratePublicJwk(_signatureKey); // Thực hiện một lần, giữ mãi
    }

    public string CreateToken(IEnumerable<Claim> assertions)
    {
        var descriptor = new SecurityTokenDescriptor
        {
            Issuer = _config.Issuer,   
            Audience = _config.Audience,
            Subject = new ClaimsIdentity(assertions),
            Expires = DateTime.UtcNow.Add(_config.DefaultDuration),
            SigningCredentials = new SigningCredentials(_signatureKey, SecurityAlgorithms.RsaSha256)
        };

        var token = _tokenHandler.CreateToken(descriptor);
        return _tokenHandler.WriteToken(token); // Xuất ra một JWT mới
    }

    public JsonWebKey GetPublicJwk() => _publicJwk; // Chỉ công khai, không gì bí mật

    private static string GenerateKeyFingerprint(RSA rsa)
    {
        var parameters = rsa.ExportParameters(false);
        using var hasher = SHA256.Create();
        var hash = hasher.ComputeHash(parameters.Modulus);
        return Base64UrlEncoder.Encode(hash.AsSpan(0, 16));
    }

    private static JsonWebKey GeneratePublicJwk(RsaSecurityKey signatureKey)
    {
        var publicParams = signatureKey.Rsa.ExportParameters(false);
        var publicKey = RSA.Create();
        publicKey.ImportParameters(publicParams);

        var jwk = JsonWebKeyConverter.ConvertFromRSASecurityKey(
            new RsaSecurityKey(publicKey) { KeyId = signatureKey.KeyId });

        jwk.Alg = SecurityAlgorithms.RsaSha256;
        jwk.Use = "sig"; // Chỉ để ký
        return jwk;
    }
}

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = configuration["Jwt:AuthorityUrl"]; // Máy chủ chia sẻ OIDC
        options.RequireHttpsMetadata = false; // Đặt thành true trong môi trường sản xuất

        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateSignature = true, // Không chấp nhận ID giả
            ValidateIssuer = true,
            ValidIssuer = configuration["Jwt:IssuingAuthority"],
            ValidateAudience = true,
            ValidAudience = configuration["Jwt:Audience"],
            ValidateLifetime = true,
            ClockSkew = TimeSpan.FromMinutes(5) // Để đồng hồ không hoàn toàn đồng bộ
        };
    });

[ApiController]
[Route(".well-known")]
[AllowAnonymous]
public class DiscoveryEndpoints : ControllerBase
{
    private readonly AsymmetricTokenProvider _tokenProvider;
    private readonly LinkGenerator _urlGenerator;

    public DiscoveryEndpoints(AsymmetricTokenProvider tokenProvider, LinkGenerator urlGenerator)
    {
        _tokenProvider = tokenProvider;
        _urlGenerator = urlGenerator; // Giúp điều hướng URL
    }

    [HttpGet("openid-configuration")]
    public IActionResult GetOpenIdConfiguration()
    {
        var keysEndpoint = _urlGenerator.GetUriByAction(
            HttpContext, 
            nameof(GetJsonWebKeys), 
            controller: "DiscoveryEndpoints");

        return Ok(new
        {
            issuer = "https://api.example.com",
            jwks_uri = keysEndpoint // "Địa chỉ công khai của khóa"
        });
    }

    [HttpGet("jwks")]
    public IActionResult GetJsonWebKeys()
    {
        var jwk = _tokenProvider.GetPublicJwk();
        return Ok(new { keys = new[] { jwk } }); // Khóa công khai, miễn phí cho người cần
    }
}