Record that CSRF protection on sign-in comes from Astro

Measured against production after the deploy: a POST to /giris/orbit with
no Origin, or a foreign one, is refused with 403 before reaching the
route, while a same-origin POST gets the 503 the handler returns while
Orbit is unconfigured. That 403 is Astro's security.checkOrigin default,
not anything in this file -- so the route has no CSRF check of its own
and would quietly lose one if that default were ever turned off.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

Author: sametbasbug

src/server/routes/giris.ts

@@ -4,6 +4,13 @@
  * kullanıcıyı başka siteye gönderiyor). GET olsaydı bir görsel etiketi ya da
  * bir önyükleyici bu akışı kullanıcının haberi olmadan tetikleyebilirdi.
  * Ayrıca kenar önbelleği yalnız GET'i tutuyor; POST hiç uğramıyor.
+ *
+ * POST seçmenin ikinci ve TAŞIYICI sonucu: Astro'nun `security.checkOrigin`
+ * varsayılanı sunucu modunda yabancı kaynaklı POST'ları 403 ile kesiyor,
+ * yani CSRF koruması buradan geliyor. Canlıda ölçüldü — Origin'siz veya
+ * yabancı Origin'li POST 403, aynı kaynaktan gelen 503 (yapılandırılmamış).
+ * `astro.config.ssr.mjs` içinde `security.checkOrigin` kapatılırsa bu rota
+ * korumasız kalır; kapatmadan önce buraya kendi kontrolünü ekle.
  */
 import type { APIRoute } from 'astro';
 import { getWorkerEnv } from '#runtime-env';