<?php
require_once __DIR__ . '/db.php';

iniciar_sessao();
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    responder(['erro' => 'Método não permitido'], 405);
}

$d = corpo_json();
$email = mb_strtolower(trim($d['email'] ?? ''));
$senha = $d['senha'] ?? '';

$u = usuario_por_email($email);
if (!$u || !password_verify($senha, $u['senha_hash'])) {
    usleep(400000); // freio simples contra tentativa em massa
    responder(['erro' => 'E-mail ou senha incorretos.'], 401);
}

session_regenerate_id(true);
$_SESSION['usuario_id'] = (int) $u['id'];

responder(['ok' => true, 'nome' => $u['nome']]);
