// 1. 生成 code_verifier（客户端实现）
SecureRandom random = new SecureRandom();
byte[] bytes = new byte[32];
random.nextBytes(bytes);
String codeVerifier = Base64.getUrlEncoder()
    .withoutPadding()
    .encodeToString(bytes);

// 2. 计算 code_challenge（客户端实现）
MessageDigest digest = MessageDigest.getInstance("SHA-256");
byte[] hash = digest.digest(codeVerifier.getBytes(StandardCharsets.US_ASCII));
String codeChallenge = Base64.getUrlEncoder()
    .withoutPadding()
    .encodeToString(hash);

// 3. 验证（服务器端实现）
public boolean verifyPKCE(String codeVerifier, String storedChallenge) {
    String computedChallenge = computeChallenge(codeVerifier);
    return computedChallenge.equals(storedChallenge);
}

// ❌ 标准 Base64（RFC 4648 Section 4）
Base64.getEncoder().encodeToString(bytes);
// 可能包含 +、/、= 字符，不适合 URL

// ✅ Base64 URL（RFC 4648 Section 5）
Base64.getUrlEncoder().withoutPadding().encodeToString(bytes);
// 使用 -、_ 替代 +、/，去除 = 填充

public LocalCodeManager(int timeout) {
    this.timeout = timeout;
  
    // TODO: 初始化授权码缓存
    // 提示：
    // - 使用 CacheBuilder.newBuilder()
    // - 设置过期时间（expireAfterWrite），建议 5 分钟
    // - 设置最大容量（maximumSize），防止内存溢出
    // - 添加 RemovalListener 记录授权码被移除的日志
    // 思考：为什么授权码的过期时间要远短于 TGT？
  
    // TODO: 记录初始化日志
    // 提示：记录过期时间
}

@Override
public void create(String code, CodeContent content) {
    // TODO 1: 验证参数
    // 提示：检查 code 和 content 是否为 null 或空
  
    // TODO 2: 存储到缓存
    // 提示：使用 codeCache.put() 方法
  
    // TODO 3: 记录日志
    // 提示：
    // - 记录授权码（部分）、用户 ID、应用 ID
    // - 记录是否使用了 PKCE（通过检查 codeChallenge 是否为 null）
}

@Override
public CodeContent getAndRemove(String code) {
    // TODO 1: 原子性获取并移除
    // 提示：
    // - 先使用 getIfPresent() 获取内容
    // - 立即调用 invalidate() 使授权码失效
    // 思考：为什么必须先 get 再 invalidate？
  
    // TODO 2: 处理授权码不存在的情况
    // 提示：
    // - 如果内容为 null，记录警告日志
    // - 返回 null
  
    // TODO 3: 记录使用日志
    // 提示：记录授权码已被使用并销毁
  
    // TODO 4: 返回内容
}

// 场景：两个请求同时使用同一个授权码
// 请求 1: getIfPresent(code) → 返回 content
// 请求 2: getIfPresent(code) → 返回 content ← 问题！

// 如何解决这个问题？
// 提示：考虑 Guava Cache 的原子性操作

@Override
public boolean validatePKCE(CodeContent content, String codeVerifier) {
    // TODO 1: 检查是否需要验证 PKCE
    // 提示：
    // - 获取存储的 codeChallenge 和 codeChallengeMethod
    // - 如果 codeChallenge 为 null 或空，说明未使用 PKCE
    // - 返回 true（向后兼容，允许不使用 PKCE）
  
    // TODO 2: 验证 verifier 不能为空
    // 提示：
    // - 如果授权码要求 PKCE，但未提供 code_verifier
    // - 记录警告日志
    // - 返回 false
  
    // TODO 3: 根据 method 计算 challenge
    // 提示：
    // - 如果 method 是 "S256"，使用 SHA-256 哈希
    // - 如果 method 是 "plain"，直接使用 verifier
    // - 其他 method 不支持，返回 false
  
    // TODO 3.1: 实现 S256 方法
    // 提示：
    // - 使用 MessageDigest.getInstance("SHA-256")
    // - 对 codeVerifier 的 ASCII 字节进行哈希
    // - 使用 Base64.getUrlEncoder().withoutPadding() 编码
    // - 处理 NoSuchAlgorithmException
  
    // TODO 3.2: 实现 plain 方法
    // 提示：直接将 codeVerifier 作为 computedChallenge
  
    // TODO 4: 比对 challenge
    // 提示：
    // - 使用 equals() 比较 computedChallenge 和 storedChallenge
    // - 记录验证成功或失败的日志
    // - 返回比对结果
}

# 在 IDEA 中右键运行
src/test/java/com/smart/sso/server/code/LocalCodeManagerTest.java

@Test
public void testCreateAndGetOnce() {
    // TODO: 测试基本创建和一次性使用
    // 验证：
    // 1. 第一次使用成功
    // 2. 第二次使用返回 null
}

@Test
public void testCodeExpiration() throws InterruptedException {
    // TODO: 测试授权码自动过期
    // 提示：需要等待超过过期时间
}

@Test
public void testPKCE_S256_Success() throws Exception {
    // TODO: 测试 PKCE S256 验证成功
    // 步骤：
    // 1. 生成 code_verifier
    // 2. 计算 code_challenge（使用 SHA-256）
    // 3. 创建授权码
    // 4. 验证
}

@Test
public void testPKCE_WrongVerifier() {
    // TODO: 测试错误的 verifier
    // 预期：验证失败
}

@Test
public void testNoPKCE() {
    // TODO: 测试不使用 PKCE 的情况
    // 预期：跳过验证，返回 true
}

# 步骤 1：模拟授权请求（带 PKCE）
# TODO: 客户端生成 verifier 和 challenge
# 提示：参考理论背景中的算法示例

# 步骤 2：用户登录后创建授权码
# TODO: POST /api/code/create
# 提示：包含 codeChallenge 和 codeChallengeMethod

# 步骤 3：客户端用授权码换取令牌
# TODO: POST /oauth/token
# 提示：包含 code_verifier 参数

# 步骤 4：再次使用同一授权码
# TODO: 重复步骤 3
# 预期：失败，返回 invalid_grant 错误

// TODO: 实现生成授权码的方法
// 提示：
// 方法 1：使用 UUID
// 方法 2：使用 SecureRandom + Base64 URL 编码