"use server";

import { signIn, signOut } from "@/auth";

// Anmeldung ausschliesslich über Entra ID. Es gibt bewusst keinen
// Passwort-Pfad: ein zweiter Anmeldeweg neben dem Firmenkonto hebelt jede
// Vorgabe des Mandanten aus — Mehrfaktor, bedingten Zugriff, Sperrung beim
// Austritt.
//
// Die Herkunft muss hier nicht mehr aus dem Request geholt werden: Auth.js
// baut die Rückruf-Adresse selbst und akzeptiert nur Ziele auf demselben
// Host. Ein untergeschobener Host läuft also weiterhin ins Leere.

export async function signInWithEntra() {
  // Kehrt nicht zurück: signIn löst eine Weiterleitung aus, und die wirft in
  // Next.js.
  await signIn("microsoft-entra-id", { redirectTo: "/" });
}

export async function logout() {
  await signOut({ redirectTo: "/login" });
}