{{--
  L1.0 Fase 2 — Fonte unificada do token CSRF para o portal publico cacheavel.

  O HTML cacheado (public) NAO embute o _token (o CacheControl o remove do
  corpo). Este snippet obtem o token em client-side e o (re)aplica no submit de
  formularios e nos headers de AJAX (jQuery e fetch), evitando CSRF 419 mesmo
  quando a borda serve o mesmo HTML para sessoes diferentes.

  - Token vindo de /csrf-token (que devolve o token da sessao do usuario e
    grava o cookie portal_csrf, legivel por JS, para a proxima navegacao).
  - ajaxSend/fetch injetam X-CSRF-TOKEN no momento do envio (race-free apos a
    1a chamada; antes disso o token e buscado e os forms aguardam).
  - submit de <form method=POST> sem _token: preenche o _token e reenvia.
--}}
<script>
(function () {
    var TOKEN = '';

    function readCookie(n) {
        var m = document.cookie.match(new RegExp('(?:^|; )' + n + '=([^;]*)'));
        return m ? decodeURIComponent(m[1]) : '';
    }
    function setMeta(t) {
        var m = document.querySelector('meta[name="csrf-token"]');
        if (m) { m.setAttribute('content', t); }
    }
    function refresh() {
        return fetch('{{ url('/csrf-token') }}', { credentials: 'same-origin' })
            .then(function (r) { return r.json(); })
            .then(function (d) {
                TOKEN = d.token;
                setMeta(TOKEN);
                try { document.cookie = 'portal_csrf=' + TOKEN + ';path=/;samesite=lax;max-age=7200'; } catch (e) {}
                return TOKEN;
            })
            .catch(function () { return ''; });
    }

    /* Tenta o cookie (disponivel apos a 1a chamada) para evitar race no primeiro*/
    /* carregamento; caso contrario dispara a busca.*/
    TOKEN = readCookie('portal_csrf');
    if (TOKEN) { setMeta(TOKEN); } else { refresh(); }

    window.PortalCsrf = { get: function () { return TOKEN; }, refresh: refresh };

    function fill(form) {
        var t = form.querySelector('input[name="_token"]');
        if (!t) {
            t = document.createElement('input');
            t.type = 'hidden';
            t.name = '_token';
            form.appendChild(t);
        }
        t.value = TOKEN;
        setMeta(TOKEN);
        return TOKEN;
    }

    document.addEventListener('submit', function (e) {
        var form = e.target;
        if (!form || !form.method || form.method.toUpperCase() !== 'POST') { return; }
        var t = form.querySelector('input[name="_token"]');
        if (t && t.value) { return; } /* ja tem token (CMS / pagina nao cacheada)*/
        e.preventDefault();
        var go = function (token) { if (!token) { return; } fill(form); form.submit(); };
        if (TOKEN) { go(TOKEN); } else { refresh().then(go); }
    }, true);

    /* AJAX: injeta X-CSRF-TOKEN no momento do envio (jQuery).*/
    if (window.jQuery) {
        window.jQuery(document).ajaxSend(function (e, xhr) {
            if (TOKEN) { xhr.setRequestHeader('X-CSRF-TOKEN', TOKEN); }
        });
    }

    /* AJAX: injeta X-CSRF-TOKEN no momento do envio (fetch nativo).*/
    if (window.fetch) {
        var _fetch = window.fetch;
        window.fetch = function (u, o) {
            o = o || {};
            o.headers = o.headers || {};
            if (TOKEN) {
                if (typeof Headers !== 'undefined' && o.headers instanceof Headers) {
                    o.headers.set('X-CSRF-TOKEN', TOKEN);
                } else {
                    o.headers['X-CSRF-TOKEN'] = TOKEN;
                }
            }
            return _fetch(u, o);
        };
    }
})();
</script>