<?php
// +----------------------------------------------------------------------
// | YwxApp [ WE CAN DO IT JUST THINK ]
// +----------------------------------------------------------------------
// | Copyright (c) 2026-2036 http://ywxapp.cn All rights reserved.
// +----------------------------------------------------------------------
// | Author: ywxapp<admin@ywxapp.cn>
// +----------------------------------------------------------------------
// CSRF 防护配置（ywxapp\middleware\VerifyCsrfToken 消费，
// 注册于 app/{backend,member,frontend}/middleware.php、
// addon/docs/middleware.php 与 addon/articles/middleware.php）。
return [
    // 启用 CSRF 校验的应用（会话型）；api 走 JWT 不注册中间件
    // 'docs' / 'articles' / 'blog' 由各自插件的 middleware.php 注册 VerifyCsrfToken 后启用同源校验
    'session_apps' => ['backend', 'member', 'frontend', 'index', 'docs', 'articles', 'blog'],

    // strict 模式：强校验 __token__ / X-CSRF-TOKEN 与 Session 令牌一致。
    // 开启前提：所有表单模板注入 {:token_field()}（或隐藏域 __token__）、
    // JS 请求携带 X-CSRF-TOKEN 头，否则现有表单会被拒绝。默认关闭，
    // 由第一层「同源校验」先行防护。
    'strict' => env('CSRF_STRICT', false),

    // 豁免路径（正则，匹配当前应用内 pathinfo）：
    // 支付异步回调、第三方 webhook 等「必然跨源」的 POST 不做同源校验。
    'exempt' => [
        '#^(pay|payment|notify|callback|webhook)/#i',
        '#/(notify|callback|webhook)$#i',
    ],
];