Certificados A1

import { a1SignaturesLayer } from "@signature-kit/a1/signer"
import { signatures } from "@signature-kit/core/signatures"
import { Effect, Redacted } from "effect"

const layer = a1SignaturesLayer({
  pfx,                                          // Uint8Array — bytes do .pfx/.p12
  password: Redacted.make(process.env.A1_PASSWORD ?? ""),
})

export const readIdentity = Effect.gen(function* () {
  const identity = yield* signatures.inspect()

  console.log(identity.subject)       // titular do certificado
  console.log(identity.issuer)        // AC emissora (cadeia ICP-Brasil)
  console.log(identity.serialNumber)  // número de série
  console.log(identity.thumbprint)    // thumbprint
  console.log(identity.validFrom, identity.validTo)

  // e-CPF -> CPF; e-CNPJ -> CNPJ; ausente se o OID não for reconhecido
  if (identity.document !== undefined) {
    console.log("document:", identity.document)
  }
}).pipe(Effect.provide(layer))

// retorno de signatures.inspect()
type SignerIdentity = {
  subject: string
  issuer: string
  serialNumber: string
  thumbprint: string
  validFrom: Date
  validTo: Date
  document?: string   // CPF (e-CPF) ou CNPJ (e-CNPJ), quando reconhecido
}

import { signatures } from "@signature-kit/core/signatures"
import { Effect, Redacted } from "effect"

// forneça o mesmo a1SignaturesLayer({ pfx, password }) acima
export const inspectCertificate = Effect.gen(function* () {
  const cert = yield* signatures.certificate()

  console.log(cert.isValid)        // boolean já computado pela cadeia
  console.log(cert.fingerprint)    // fingerprint SHA-256 (hex)
  console.log(cert.subjectAltName) // subject alternative name (string | null)
  console.log(cert.brazilian)      // { cnpj, cpf } — campos ICP-Brasil

  // a chave privada é Redacted: não aparece em logs nem em JSON.stringify
  const pem = Redacted.value(cert.privateKeyPem) // apenas no ponto de uso
}).pipe(Effect.provide(layer))

// retorno de signatures.certificate()
type Certificate = {
  serialNumber: string
  subject: {
    commonName: string | null
    organization: string | null
    organizationalUnit: string | null
    country: string | null
    state: string | null
    locality: string | null
    raw: string
  }
  issuer: {
    commonName: string | null
    organization: string | null
    country: string | null
    raw: string
  }
  validity: { notBefore: Date; notAfter: Date }
  fingerprint: string
  subjectAltName: string | null
  isValid: boolean
  brazilian: { cnpj: string | null; cpf: string | null }
  certPem: string
  certificateDer: Uint8Array
  publicKeyDer: Uint8Array
  privateKeyPem: Redacted<string>   // segredo, nunca impresso
}

import { toSignerIdentity, isCertificateValid, daysUntilExpiry } from "@signature-kit/certificates"
import { signatures } from "@signature-kit/core/signatures"
import { Effect } from "effect"

// forneça o mesmo a1SignaturesLayer({ pfx, password }) acima
export const checkValidity = Effect.gen(function* () {
  // cert: Certificate vindo de signatures.certificate()
  const cert = yield* signatures.certificate()

  // identidade derivada do certificado (mesmo formato que inspect())
  const identity = toSignerIdentity(cert)
  // identity.document é preenchido pelos OIDs ICP-Brasil:
  //   2.16.76.1.3.1 -> e-CPF   (document = CPF)
  //   2.16.76.1.3.3 -> e-CNPJ  (document = CNPJ)

  // validade temporal e janela de expiração
  const valid = isCertificateValid(cert)   // boolean
  const days = daysUntilExpiry(cert)       // number

  if (!valid) {
    yield* Effect.logWarning("certificate out of validity")
  } else if (days < 30) {
    yield* Effect.logWarning(`certificate expires in ${days} day(s)`)
  }
}).pipe(Effect.provide(layer))