Function trusted_origin 

fn trusted_origin(headers: &HeaderMap) -> Option<String>

计算本站可信 origin：优先 APP_BASE_URL 环境变量（生产域名）， 否则用请求 Host 头 + X-Forwarded-Proto（反代后）或 https 推导。

返回 None 表示无法确定本站 origin（此时放行，避免误杀——CSRF 漏判 是请求被拒，但拿不到本站 origin 时误杀合法请求代价更高，故保守放行）。