<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

/**
 * Applikationsseitige Security-Header (R6.2) — bewusst unabhängig vom
 * Reverse-Proxy gesetzt, damit der Schutz auch bei Proxy-Wechsel bleibt.
 * Bereits vorhandene Header (z. B. vom Proxy) werden nicht überschrieben.
 * CSP fehlt absichtlich: Livewire/Alpine/Vite brauchen eine eigene
 * Inline-Script-Strategie — separat einführen, nicht nebenbei.
 */
class SecurityHeaders
{
    public function handle(Request $request, Closure $next): Response
    {
        $response = $next($request);

        foreach ([
            'X-Content-Type-Options' => 'nosniff',
            'X-Frame-Options' => 'SAMEORIGIN',
            'Referrer-Policy' => 'strict-origin-when-cross-origin',
            'Permissions-Policy' => 'camera=(), microphone=(), geolocation=()',
        ] as $header => $value) {
            if (! $response->headers->has($header)) {
                $response->headers->set($header, $value);
            }
        }

        return $response;
    }
}