Dış Link Açma (openUrl) ✓ Canlı

const PANEL_ORIGIN = "https://app.restomenum.com"; // panelin gömüldüğü origin

function openUrl(url) {
  return new Promise((resolve) => {
    const requestId = "openUrl-" + Date.now();

    function onMessage(e) {
      if (e.origin !== PANEL_ORIGIN) return;
      const m = e.data;
      if (!m || m.type !== "restomenum-bridge-response" || m.requestId !== requestId) return;
      window.removeEventListener("message", onMessage);
      resolve(m.result);
    }
    window.addEventListener("message", onMessage);

    window.parent.postMessage(
      { type: "restomenum-bridge", requestId, action: "openUrl", params: { url } },
      PANEL_ORIGIN
    );
  });
}

// kullanım
const res = await openUrl("https://ornek.com/rapor");
// { success: true,  data: { opened: true } }    → kullanıcı onayladı
// { success: true,  data: { opened: false } }   → kullanıcı iptal etti
// { success: false, message: "openUrlDenied" }  → URL doğrulamayı geçemedi

// Birden fazla markada/ortamda çalışıyorsan origin'leri DİZİ tut ve gelen e.origin'i
// bu listeye karşı doğrula. Üst pencerenin origin'ini document.referrer'dan öğrenemezsin
// (iframe referrerPolicy="no-referrer" → referrer BOŞ) — hedefi listeden pinle.
const PANEL_ORIGINS = ["https://app.restomenum.com","https://test-restomenu.web.app"];

function openUrl(url) {
  return new Promise((resolve) => {
    const requestId = "openUrl-" + Date.now();

    function onMessage(e) {
      if (!PANEL_ORIGINS.includes(e.origin)) return;        // gelen origin listeyle doğrulanır
      const m = e.data;
      if (!m || m.type !== "restomenum-bridge-response" || m.requestId !== requestId) return;
      window.removeEventListener("message", onMessage);
      resolve(m.result);
    }
    window.addEventListener("message", onMessage);

    const msg = { type: "restomenum-bridge", requestId, action: "openUrl", params: { url } };
    // Hedef origin PİNLİ ('*' YASAK). targetOrigin eşleşmeyen gönderim tarayıcı tarafından
    // TESLİM EDİLMEZ → mesajı yalnız gerçekten çerçeveleyen panel alır.
    PANEL_ORIGINS.forEach((origin) => window.parent.postMessage(msg, origin));
  });
}

// ✅ Kullanıcı jestine bağla — sayfa açılışında otomatik çağırma (onay dialogu spam olur).
payBtn.addEventListener("click", async () => {
  payBtn.disabled = true;
  const res = await openUrl(checkoutUrl);   // ← TIMEOUT KOYMA: kullanıcı onayı bekleniyor
  payBtn.disabled = false;

  if (!res.success) {                       // "openUrlDenied" → URL doğrulamayı geçemedi (senin hatan)
    console.error("openUrl reddedildi:", res.message);
    return;
  }
  if (!res.data.opened) return;             // kullanıcı iptal etti → hata DEĞİL, sessizce geç
  // açıldı: kullanıcı dış sekmede işlemi tamamlayacak → sonucu webhook/backend'inden öğren
});