Unificación del Portal Ciudadano con Identidad Digital Única

// 1. Extraer datos de UserInfo devueltos por Authentik
$cuit = $attributes['cuit'] ?? ($user_info['preferred_username'] ?? '');
$dni  = $attributes['dni'] ?? '';
$mail = $user_info['email'] ?? '';

// 2. BÚSQUEDA JERÁRQUICA: Evitar duplicar registros en tabla usuarios
$usuario_encontrado = null;

// Criterio 1: Búsqueda por CUIT o Usuario
if (!empty($cuit)) {
    $stmt = $conn->prepare("SELECT * FROM usuarios WHERE cuit = ? OR usuario = ? LIMIT 1");
    $stmt->bind_param("ss", $cuit, $cuit);
    $stmt->execute();
    $res = $stmt->get_result();
    if ($res->num_rows > 0) $usuario_encontrado = $res->fetch_assoc();
}

// Criterio 2: Fallback por DNI si no se encontró por CUIT
if (!$usuario_encontrado && !empty($dni)) {
    $stmt = $conn->prepare("SELECT * FROM usuarios WHERE dni = ? LIMIT 1");
    $stmt->bind_param("s", $dni);
    $stmt->execute();
    $res = $stmt->get_result();
    if ($res->num_rows > 0) $usuario_encontrado = $res->fetch_assoc();
}

// 3. FUSIÓN O ALTA
$token_sesion = bin2hex(random_bytes(32));
if ($usuario_encontrado) {
    // REUTILIZAR id_usuario HISTÓRICO: conserva sus inmuebles, autos y pagos
    $stmt_up = $conn->prepare("UPDATE usuarios SET token = ?, activo = 1, fechaum = CURDATE() WHERE id_usuario = ?");
    $stmt_up->bind_param("si", $token_sesion, $usuario_encontrado['id_usuario']);
    $stmt_up->execute();
    $_SESSION['username']  = $usuario_encontrado['usuario'];
    $_SESSION['tokenmuni'] = $token_sesion;
} else {
    // USUARIO NUEVO: dar de alta con atributos de Authentik
    // ... INSERT INTO usuarios ...
}
header('Location: portal.php');
exit();