chore: initial deploy bundle

apps/api/src/middleware/csrf.ts

@@ -1,5 +1,6 @@
 import { Request, Response, NextFunction } from 'express';
 import { verifyCsrfToken, isCsrfConfigured } from '../services/csrf.service';
+import { env } from '../config/env';
 import { logger } from '../lib/logger';
 
 const SAFE_METHODS = new Set(['GET', 'HEAD', 'OPTIONS']);
@@ -10,8 +11,13 @@ export function csrfMiddleware(req: Request, res: Response, next: NextFunction):
     return;
   }
 
-  // If CSRF is not configured (Vault down при старте) — пропускаем, чтобы не блокировать сервис.
-  // В логах будет warning — легко заметить.
+  // CSRF отключён если VAULT_CSRF_PATH не задан
+  if (!env.vault.csrfPath) {
+    next();
+    return;
+  }
+
+  // Секрет не загрузился (Vault недоступен) — пропускаем чтобы не блокировать сервис
   if (!isCsrfConfigured()) {
     logger.warn('CSRF check skipped: secret not loaded');
     next();