Function warn_if_app_base_url_unset 

pub fn warn_if_app_base_url_unset()

启动时检查 APP_BASE_URL 是否已设置，未设置则打一条 WARN。

未配置时 trusted_source 回退为“来源主机等于请求 Host 头”， 反向代理后若 Host 头可被客户端影响，该回退路径可被 CSRF 绕过。 生产环境应显式设置该变量为站点完整 origin（如 https://your-domain.example）。

本地开发同样会触发（默认不设 APP_BASE_URL），代价仅是启动时一条 WARN。 与 image.rs 的启动告警同范式：一次性 WARN，不污染每请求路径。