const cors = require('cors');

// Engedélyezett origin-ek whitelist (környezeti változóból)
const allowedOrigins = process.env.ALLOWED_ORIGINS?.split(',') || ['http://localhost:3000'];

const corsOptions = {
  origin: function (origin, callback) {
    // TODO 1: Ha nincs origin (pl. Postman, curl, backend-backend hívás), engedélyezd
    // Tipp: if (!origin) return callback(null, true);
    
    // TODO 2: Ha az origin benne van az allowedOrigins-ban, engedélyezd
    // Tipp: if (allowedOrigins.includes(origin)) return callback(null, true);
    
    // TODO 3: Egyébként tiltsd le CORS hibával
    // Tipp: callback(new Error('Not allowed by CORS'));
  },
  credentials: true, // Cookie/Auth header engedélyezése
  methods: ['GET', 'POST', 'PUT', 'DELETE', 'OPTIONS'],
  allowedHeaders: ['Content-Type', 'Authorization']
};

module.exports = cors(corsOptions);
