// src/app/staff-2fa/page.tsx — enrôlement 2FA des opérateurs SYS.
// Un Staff SYS ne peut pas atteindre /settings/account ((app) le redirige vers
// /admin) et (superadmin) est muré tant que le 2FA n'est pas actif : cette
// page hors groupes est sa porte d'enrôlement (spec §7).
import { redirect } from "next/navigation";
import { getTranslations } from "next-intl/server";
import { StaffTwoFactorEnroll } from "@/components/admin/staff-2fa-enroll";
import { getSysOperatorSession } from "@/lib/auth/sys-permissions";

export default async function StaffTwoFactorPage() {
  const op = await getSysOperatorSession();
  if (!op) redirect("/login");
  if (op.twoFactorEnabled) redirect("/admin");
  const t = await getTranslations("SuperAdmin");
  return (
    <div className="mx-auto flex min-h-svh w-full max-w-lg flex-col justify-center gap-6 p-6">
      <div className="space-y-1">
        <h1 className="font-semibold text-xl">{t("staffTwoFaTitle")}</h1>
        <p className="text-muted-foreground text-sm">{t("staffTwoFaBody")}</p>
      </div>
      <StaffTwoFactorEnroll />
    </div>
  );
}