Speisekarte/app/logout/route.ts

import { NextResponse } from "next/server";
import { destroySession } from "@/lib/auth/session";
import { isSameOrigin } from "@/lib/origin";

export async function POST(request: Request) {
  if (!isSameOrigin(request)) {
    return NextResponse.json({ error: "Nicht erlaubt." }, { status: 403 });
  }
  await destroySession();
  // Relative Weiterleitung: bei einer absoluten URL aus request.url landet
  // sonst die Server-Bindung (0.0.0.0) statt des aufgerufenen Hosts im
  // Location-Header.
  return new NextResponse(null, {
    status: 303,
    headers: { Location: "/login" },
  });
}