3. Bảo Mật & Xác Thực Nâng Cao: Sanitize Input, Security Headers Chuẩn A+, Content-Security-Policy & Rate Limiting

# CẤU HÌNH CONTENT-SECURITY-POLICY CHUẨN A+ TRONG FLASK / FASTAPI
from flask import Flask, Response

app = Flask(__name__)

CSP_POLICY = (
    "default-src 'none'; "                          # Mặc định chặn tất cả
    "script-src 'self' https://challenges.cloudflare.com; "  # Chỉ chạy JS nội bộ & Cloudflare Turnstile
    "style-src 'self' 'unsafe-inline' https://fonts.googleapis.com; "
    "font-src 'self' https://fonts.gstatic.com data:; "
    "img-src 'self' data: https: blob:; "
    "connect-src 'self' https:; "
    "frame-src 'self' https://challenges.cloudflare.com; "
    "form-action 'self'; "                          # Chỉ cho phép submit form về chính domain (+10 điểm Mozilla)
    "base-uri 'self'; "
    "frame-ancestors 'self';"                       # Chống Clickjacking thay thế X-Frame-Options
)

@app.after_request
def set_security_headers(response: Response):
    response.headers['Content-Security-Policy'] = CSP_POLICY
    response.headers['Strict-Transport-Security'] = 'max-age=31536000; includeSubDomains; preload'
    response.headers['X-Content-Type-Options'] = 'nosniff'
    response.headers['X-Frame-Options'] = 'SAMEORIGIN'
    response.headers['Referrer-Policy'] = 'strict-origin-when-cross-origin'
    response.headers['Permissions-Policy'] = 'camera=(), microphone=(), geolocation=(), payment=()'
    return response

// ON-DEMAND LAZY LOADER CHO THƯ VIỆN BÊN THỨ 3 (static/i18n.js)
let translateScriptLoaded = false;

function loadGoogleTranslateOnDemand() {
    if (translateScriptLoaded) return;
    translateScriptLoaded = true;

    const script = document.createElement('script');
    script.src = 'https://translate.google.com/translate_a/element.js?cb=googleTranslateElementInit';
    script.async = true;
    document.body.appendChild(script);
}

// Chỉ nạp khi người dùng tương tác: rê chuột, focus hoặc bấm nút chuyển ngôn ngữ
const langBtn = document.querySelector('[data-lang-toggle]');
if (langBtn) {
    langBtn.addEventListener('mouseenter', loadGoogleTranslateOnDemand, { once: true });
    langBtn.addEventListener('focus', loadGoogleTranslateOnDemand, { once: true });
    langBtn.addEventListener('click', loadGoogleTranslateOnDemand, { once: true });
}