from flask import abort, g, send_from_directory
from werkzeug.wrappers import Response

import auth
from core.flask_app import app


@app.route("/assets/<int:user_id>/<path:filename>")
def serve_user_asset(user_id: int, filename: str) -> Response:
    """403 si le compte connecté n'est pas le propriétaire — même esprit
    que l'isolation par propriétaire des projets (core/auth_guard.py) :
    "Mes assets" ne doit jamais fuiter d'un compte à l'autre."""
    if user_id != g.current_user["id"]:
        abort(403)
    return send_from_directory(auth.user_assets_dir(user_id), filename)