"> y eliminar 'unsafe-inline' de script-src.
$csp_nonce = base64_encode(random_bytes(16));
{
    $_csp_host = $_SERVER['HTTP_HOST'] ?? '';
    $_is_ship  = str_contains($_csp_host, 'ship.');
    if ($_is_ship) {
        // ship: sin 'unsafe-inline' — solo nonce; las páginas ship tienen nonce en sus <script>
        $_csp = "default-src 'self'; " .
            "script-src 'self' 'nonce-{$csp_nonce}' https://cdn.jsdelivr.net https://unpkg.com https://compralia.com.mx; " .
            "style-src 'self' 'unsafe-inline' https://unpkg.com https://compralia.com.mx; " .
            "font-src 'self' data: https://compralia.com.mx; " .
            "img-src 'self' data: blob: https:; " .
            "connect-src 'self' https://compralia.com.mx https://router.project-osrm.org; " .
            "frame-src 'none'; media-src 'self' blob:; worker-src 'self'; object-src 'none'; base-uri 'self'; form-action 'self'";
    } else {
        // apex: 'unsafe-inline' temporal mientras se migran las ~40 páginas a nonces
        $_csp = "default-src 'self'; " .
            "script-src 'self' 'unsafe-inline' 'nonce-{$csp_nonce}' https://js.stripe.com https://www.mercadopago.com https://sdk.mercadopago.com https://www.paypal.com https://www.paypalobjects.com https://cdn.jsdelivr.net https://unpkg.com https://cdn.plyr.io https://cdnjs.cloudflare.com; " .
            "style-src 'self' 'unsafe-inline' https://fonts.googleapis.com https://cdnjs.cloudflare.com https://cdn.plyr.io https://unpkg.com; " .
            "font-src 'self' https://fonts.gstatic.com https://cdnjs.cloudflare.com data:; " .
            "img-src 'self' data: blob: https:; " .
            "connect-src 'self' https://api.stripe.com https://api.mercadopago.com; " .
            "frame-src 'self' https://js.stripe.com https://www.mercadopago.com https://www.paypal.com; " .
            "media-src 'self' blob:; worker-src 'self'; object-src 'none'; base-uri 'self'; form-action 'self'";
    }
    if (!headers_sent()) {
        header("Content-Security-Policy: {$_csp}");
    }
    unset($_csp_host, $_is_ship, $_csp);
}

// ── CORS global — aplicar a todas las peticiones API ─────────────────────────
// Solo se activa cuando viene de un origen conocido (no afecta páginas normales)
if (!empty($_SERVER['HTTP_ORIGIN'])) {
    $allowed_origins = [
        'https://compralia.com.mx',
        'https://www.compralia.com.mx',
        'https://ship.compralia.com.mx',
    ];
    $origin = $_SERVER['HTTP_ORIGIN'];
    if (in_array($origin, $allowed_origins, true)) {
        header('Access-Control-Allow-Origin: ' . $origin);
        header('Access-Control-Allow-Credentials: true');
        header('Vary: Origin');
    }
    // Responder preflight OPTIONS sin llegar a la lógica del endpoint
    if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
        header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS');
        header('Access-Control-Allow-Headers: Content-Type, Authorization');
        header('Access-Control-Max-Age: 86400');
        http_response_code(204);
        exit;
    }
}
// 1. Cargar Composer
require_once __DIR__ . '/../vendor/autoload.php';

// 2. Cargar variables de entorno desde /config/.env
try {
    $dotenv = Dotenv\Dotenv::createImmutable(__DIR__ . '/../../config');
    $dotenv->load();
} catch (Exception $e) {
    error_log("Error cargando .env en autoload: " . $e->getMessage());
}

// 3. Cargar configuraciones en orden
require_once __DIR__ . '/environment.php';
require_once __DIR__ . '/site_config.php';
//require_once __DIR__ . '/db.php';
require_once __DIR__ . '/jwt.php';
require_once __DIR__ . '/email.php';
 
/**
 * Función utilitaria para nombres de imagen
 */
function generarNombreImagenProducto(
    $producto_id,
    $indice,
    $timestamp = null,
    $extension = 'jpg',
    $tipo = 'imagen'
) {
    if ($timestamp === null) {
        $timestamp = time();
    }

    $tipo = ($tipo === 'video') ? 'video' : 'imagen';
    $extension = strtolower($extension);
    $hash = substr(sha1($producto_id . $timestamp . $indice . mt_rand()), 0, 12);

    return "p_{$producto_id}_{$tipo}_{$timestamp}_{$indice}_{$hash}.{$extension}";
}

/**
 * Mapea un MIME real (detectado por el servidor) a una extensión segura de la whitelist.
 * Devuelve null si el tipo no está permitido — el llamador debe rechazar el archivo.
 */
function mime_to_safe_ext(string $mime): ?string {
    static $whitelist = [
        'image/jpeg' => 'jpg',
        'image/png'  => 'png',
        'image/webp' => 'webp',
        'image/gif'  => 'gif',
        'video/mp4'  => 'mp4',
        'video/webm' => 'webm',
    ];
    return $whitelist[strtolower($mime)] ?? null;
}

// ── Liberación automática de saldo (72h) ─────────────────────────────────────
// Función definida en helpers/liberar_saldos.php (también usada por el cron).
// Se ejecuta con probabilidad del 5% como fallback por si el cron no corre.
require_once __DIR__ . '/../helpers/liberar_saldos.php';
require_once __DIR__ . '/../helpers/csrf.php';

register_shutdown_function(function() {
    global $pdo;
    if (!isset($pdo) || !($pdo instanceof PDO)) return;
    if (random_int(1, 20) !== 1) return;
    try {
        liberarSaldosVencidos($pdo); // limit=10 por defecto (bajo impacto en request)
    } catch (Throwable $e) {
        error_log('[autoload/liberarSaldos] ' . $e->getMessage());
    }
});Error de configuración del servidor.