security: make trust proxy and CORS origins configurable
Tóm tắt thay đổi (Summary of Changes)
Bảo mật IP (Trust Proxy): Chuyển cấu hình trust proxy từ mặc định true sang cấu hình động qua biến môi trường TRUST_PROXY (mặc định là false). Điều này ngăn chặn kẻ tấn công tự giả mạo header X-Forwarded-For để bypass rate limit hoặc làm sai lệch audit log khi ứng dụng không thực sự đứng sau một reverse proxy tin cậy.
Giới hạn CORS: Thay thế việc mở CORS hoàn toàn (*) bằng whitelist động qua biến môi trường ALLOWED_ORIGINS. Hỗ trợ cấu hình nhiều tên miền cụ thể của frontend và bật tính năng truyền cookie/credentials an toàn.
Cấu hình: Cập nhật file .env.example và .env mẫu để dễ dàng thiết lập ở các môi trường khác nhau.
Check out, review, and merge locally
Step 1.
Fetch and check out the branch for this merge request
