package middleware

import (
	"github.com/gin-gonic/gin"
)

// SecurityHeaders 添加安全相关 HTTP 响应头
// 作为纵深防御，不影响业务逻辑，纯附加
func SecurityHeaders() gin.HandlerFunc {
	return func(c *gin.Context) {
		// Content-Security-Policy
		// script-src/style-src: 本站 + inline（highlight.js 主题已本地化在 static/vditor/ 下）
		// img-src: 本站 + data: URI（头像裁切）+ blob:（粘贴图片）
		c.Header("Content-Security-Policy",
			"default-src 'self'; "+
				"script-src 'self' 'unsafe-inline'; "+
				"style-src 'self' 'unsafe-inline'; "+
				"img-src 'self' data: blob:; "+
				"connect-src 'self'")

		// 禁止 MIME 类型嗅探
		c.Header("X-Content-Type-Options", "nosniff")

		// 禁止被 frame 嵌入（防点击劫持）
		c.Header("X-Frame-Options", "DENY")

		// 引用策略
		c.Header("Referrer-Policy", "strict-origin-when-cross-origin")

		c.Next()
	}
}
