<?php

// Empêche "session already started"
if (session_status() === PHP_SESSION_NONE) {
    session_start();
}

// Vérifie si l’utilisateur est admin
if (!isset($_SESSION['admin']) || $_SESSION['admin'] !== 1) {
    header("Location: login.php");
    exit();
}

// Token CSRF pour sécuriser les requêtes POST
if (!isset($_SESSION['admin_token'])) {
    $_SESSION['admin_token'] = bin2hex(random_bytes(32));
}

// Vérification du token sur POST
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!isset($_POST['token']) || !hash_equals($_SESSION['admin_token'], $_POST['token'])) {
        header("Location: login.php");
        exit();
    }
}
?>
