fix: CSRF-Origin-Pruefung faelschlich abgelehnt hinter selbst betriebenem Reverse-Proxy

isTrustedOrigin() verglich den Origin-Header ausschliesslich gegen den von
Next.js aus request.url rekonstruierten Host. Hinter dem eigenen
Caddy/nginx-Reverse-Proxy (docker-compose.yml, k8s/) ist dieser Wert nicht
in jeder Konstellation zuverlaessig derselbe wie der echte, oeffentliche
Host im Origin-Header - das fuehrte live zu "Ungueltige Anfrage." bei
jedem Admin-Upload, obwohl der Request vom eigenen Frontend kam. Prueft
jetzt zusaetzlich gegen getBaseUrl() (NEXT_PUBLIC_SITE_URL), genau wie
lib/url.ts es fuer denselben Zweck bereits vormacht - als reine
ODER-Erweiterung, damit ein falsch gesetztes NEXT_PUBLIC_SITE_URL nicht
umgekehrt bislang funktionierende Endpunkte wie /api/checkout blockiert.

Co-Authored-By: Claude Sonnet 5 <[email protected]>

src/lib/csrf.test.ts

@@ -1,6 +1,17 @@
-import { describe, test, expect } from "vitest";
+import { describe, test, expect, beforeEach, afterEach } from "vitest";
 import { isTrustedOrigin } from "./csrf";
 
+const originalSiteUrl = process.env.NEXT_PUBLIC_SITE_URL;
+
+beforeEach(() => {
+  delete process.env.NEXT_PUBLIC_SITE_URL;
+});
+
+afterEach(() => {
+  if (originalSiteUrl === undefined) delete process.env.NEXT_PUBLIC_SITE_URL;
+  else process.env.NEXT_PUBLIC_SITE_URL = originalSiteUrl;
+});
+
 function makeRequest(url: string, origin?: string): Request {
   const headers = new Headers();
   if (origin !== undefined) headers.set("origin", origin);
@@ -37,4 +48,21 @@ describe("isTrustedOrigin", () => {
     const request = makeRequest("https://wabenhain.com/api/checkout");
     expect(isTrustedOrigin(request)).toBe(true);
   });
+
+  test("accepts an origin matching NEXT_PUBLIC_SITE_URL even when it differs from request.url's host", () => {
+    // Reproduziert den Live-Bug: hinter einem selbst betriebenen
+    // Reverse-Proxy kann request.url intern einen anderen Host tragen als
+    // den echten, oeffentlichen Host im Origin-Header — ohne diesen
+    // Fallback wurde das faelschlich als CSRF-Versuch abgelehnt
+    // ("Ungueltige Anfrage."), obwohl der Request vom eigenen Frontend kam.
+    process.env.NEXT_PUBLIC_SITE_URL = "https://wabenhain.com";
+    const request = makeRequest("http://app:3000/api/admin/upload", "https://wabenhain.com");
+    expect(isTrustedOrigin(request)).toBe(true);
+  });
+
+  test("still rejects a forged cross-origin request when NEXT_PUBLIC_SITE_URL is configured", () => {
+    process.env.NEXT_PUBLIC_SITE_URL = "https://wabenhain.com";
+    const request = makeRequest("http://app:3000/api/admin/upload", "https://attacker.example");
+    expect(isTrustedOrigin(request)).toBe(false);
+  });
 });