iframe Güvenliği (ZORUNLU)

Content-Security-Policy: frame-ancestors https://app.restomenum.com https://test-restomenu.web.app

// Panel origin'leri — Custom UI iframe'ini çerçeveleyen üst pencere (DEV panel dahil):
//   https://app.restomenum.com  ·  https://test-restomenu.web.app

// 1) Custom UI sayfan SADECE panel tarafından çerçevelenebilmeli (anti-clickjacking).
//    Sayfanın HTTP yanıtında şu header ZORUNLU ve İKİ origin'i de içermeli (onayda otomatik denetlenir):
Content-Security-Policy: frame-ancestors https://app.restomenum.com https://test-restomenu.web.app
//    ❌ header yok · ❌ frame-ancestors '*' · ❌ 'none' · ❌ panel origin'i yoksa  → onay reddedilir.

// 2) App Bridge postMessage'ı wildcard '*' DEĞİL, panel origin'ine pinli gönder + gelen mesajda
//    event.origin doğrula (manuel review'da teyit edilir). Panel iki origin'den açılabildiği için
//    üst pencerenin origin'ini referrer'dan tespit et ve listeyle doğrula:
const PANEL_ORIGINS = ["https://app.restomenum.com","https://test-restomenu.web.app"];
const PARENT = (() => { try { return new URL(document.referrer).origin; } catch { return ''; } })();
if (!PANEL_ORIGINS.includes(PARENT)) throw new Error('panel dışında açıldı');

window.parent.postMessage({ type: 'ready' }, PARENT);          // hedef origin pinli (wildcard yok)
window.addEventListener('message', (e) => {
  if (!PANEL_ORIGINS.includes(e.origin)) return;               // gelen origin doğrula
  // ... güvenli: e.data işle
});