pub fn warn_if_app_base_url_unset()Expand description
启动时检查 APP_BASE_URL 是否已设置，未设置则打一条 WARN。
trusted_origin 在拿不到该变量时会回退到请求 Host 头推导本站 origin，
反向代理后若 Host 头可被客户端影响，该回退路径可被 CSRF 绕过。
生产环境应显式设置该变量为站点完整 origin（如 https://your-domain.example）。
本地开发同样会触发（默认不设 APP_BASE_URL），代价仅是启动时一条 WARN，
远小于误判 localhost 的复杂度。与 image.rs 的启动告警同范式：一次性 WARN，
不污染每请求路径。