# dev 模式（本机开发，brief 实施原则 5）
# 二者必须同时设置；后端启动期校验，缺一即 panic
CDROP_AUTH_MODE=dev
CDROP_DEV_TOKEN=replace-with-32-byte-random-base64

# prod 模式所需（填入你的 OIDC provider，如自建 Casdoor / Keycloak）
# CDROP_AUTH_MODE=prod
# CDROP_OIDC_AUTHORIZE_URL=https://your-idp.example/login/oauth/authorize
# CDROP_OIDC_TOKEN_URL=https://your-idp.example/api/login/oauth/access_token
# CDROP_OIDC_JWKS_URL=https://your-idp.example/.well-known/jwks
# CDROP_OIDC_ISSUER=https://your-idp.example/
# prod 强制非空：填你的 OAuth client_id（多值逗号分隔，web + 桌面端共用时填同一个）
# CDROP_OIDC_AUDIENCE=your-client-id
# CDROP_OIDC_CLIENT_ID=your-client-id
# CDROP_OIDC_REDIRECT_URI=https://your-domain.example/oauth/callback
# CDROP_OIDC_SCOPES=openid profile email
# prod 强制非空：浏览器免重登会话的 refresh_token 落盘加密密钥（任意长度高熵串，
# 内部 SHA-256 派生为 32 字节 AES-256 密钥）。留空则 prod 启动期校验失败、拒启动。
# CDROP_SESSION_SECRET=
# CDROP_HS256_SECRET=
# CDROP_TURN_URL=stun:your-stun.example:3478

# 可选：Web Push（VAPID）推送通知。用 `just vapid-keygen` 生成一对密钥；二者须同时
# 设置（半对即启动期校验失败），都留空则推送惰性关闭、不阻塞启动。生成后固定不变
# ——更换会使所有既有浏览器订阅失效。
# CDROP_VAPID_PUBLIC_KEY=
# CDROP_VAPID_PRIVATE_KEY=
# CDROP_VAPID_SUBJECT=mailto:you@your-domain.example

# 可选：扫码登录（QR）与 cdrop 自签会话。SESSION_SECRET 已设时默认开启；下列均有默认值，
# 不配即用默认，各项可单独调整 / 关闭对应行为。
# CDROP_QR_LOGIN_ENABLED=true            # 关闭则 /api/auth/qr/* 返回 503
# CDROP_QR_REQUEST_TTL_SECONDS=120       # 二维码 / 登录请求有效期（秒）
# CDROP_QR_GUEST_TTL_SECONDS=3600        # 仅此次（受限访客）会话 TTL（秒）
# CDROP_QR_PERSIST_TTL_HOURS=168         # 信任此设备（持久）会话 TTL（小时）
# CDROP_SESSION_TOKEN_TTL_SECONDS=900    # cdrop 自签 access token TTL（秒）
# CDROP_STEP_UP_ENABLED=false            # 批准扫码设备等敏感动作要求 provider 再认证
# CDROP_STEP_UP_MAX_AGE_SECONDS=300      # step-up 的 auth_time 新鲜度窗口（秒）
# CDROP_ACCOUNT_MATCH_CLAIM=email        # 写入 accounts.match_key 的 JWT claim

# 通用
CDROP_DB_PATH=./cdrop.db
CDROP_LISTEN=:8080
# Device row max age (sliding via auth-middleware UPSERT and SSE keepalive).
# Bound by brief §2 refresh_token sliding window (196h ≈ 8 days). Default 196.
CDROP_DEVICE_TTL_HOURS=196

# Cloudflare Realtime TURN（可选；不配则 /api/calls/credentials 返回 STUN-only fallback）。
# 申请：dash.cloudflare.com → Realtime → TURN → "Create TURN App"，拿到 Key ID 与 API Token。
# CDROP_CF_TURN_KEY_ID=
# CDROP_CF_TURN_API_TOKEN=