Update: 2026-06-15 19:39:21

backend/Admin/driver/updateDriverFromAdmin.php

@@ -3,27 +3,73 @@ require_once __DIR__ . '/../../connect.php';
 
 $driver_id = filterRequest("id");
 $phone     = filterRequest("phone");
+$status    = filterRequest("status");
 
-// تشفير رقم الهاتف
+if (empty($driver_id)) {
+    jsonError("Driver ID is required.");
+}
+
+$updateFields = [];
+$params = [':id' => $driver_id];
+
+if ($phone !== null && $phone !== '') {
     $encphone = $encryptionHelper->encryptData($phone);
+    $updateFields[] = "`phone` = :phone";
+    $params[':phone'] = $encphone;
+}
 
-$sql = "UPDATE `driver` SET `phone` = :encphone WHERE `id` = :id";
+if ($status !== null && $status !== '') {
+    $updateFields[] = "`status` = :status";
+    $params[':status'] = $status;
+}
+
+if (empty($updateFields)) {
+    jsonError("No parameters provided for update.");
+}
+
+$sql = "UPDATE `driver` SET " . implode(", ", $updateFields) . " WHERE `id` = :id";
 $stmt = $con->prepare($sql);
 
-// Bind values
-$stmt->bindParam(':encphone', $encphone, PDO::PARAM_STR);
-$stmt->bindParam(':id', $driver_id, PDO::PARAM_STR);
-
 try {
-    $stmt->execute();
+    $stmt->execute($params);
 
     if ($stmt->rowCount() > 0) {
-        // تم التحديث بنجاح
-        logAudit($con, $user_id, "تعديل رقم هاتف سائق", "driver", $driver_id, ["phone" => $phone]);
-        jsonSuccess(null, "Phone updated successfully.");
+        logAudit($con, $user_id, "تعديل بيانات سائق من لوحة التحكم", "driver", $driver_id, [
+            "phone" => $phone,
+            "status" => $status
+        ]);
+
+        // إذا تم تفعيل السائق، نرسل له رسالة ترحيبية عبر الواتساب لتأكيد التفعيل
+        if ($status === 'active' || $status === 'actives') {
+            // جلب معلومات السائق لإرسال الرسالة
+            $selectSql = "SELECT `phone`, `first_name` FROM `driver` WHERE `id` = :id";
+            $selectStmt = $con->prepare($selectSql);
+            $selectStmt->execute([':id' => $driver_id]);
+            $driverData = $selectStmt->fetch(PDO::FETCH_ASSOC);
+
+            if ($driverData) {
+                $decryptedPhone = $encryptionHelper->decryptData($driverData['phone']);
+                $firstName = $encryptionHelper->decryptData($driverData['first_name']);
+
+                $supportPhones = ['0952475740', '0952475742'];
+                $randomIndex = array_rand($supportPhones);
+                $phoneToUse = $supportPhones[$randomIndex];
+                $randomNumber = rand(1000, 999999);
+
+                $messageBody = "أهلاً وسهلاً كابتن $firstName 👋\n"
+                             . "تم تفعيل حسابك على تطبيق *سيرو*.\n"
+                             . "يمكنك الآن تسجيل الدخول والبدء بالعمل مباشرة.\n"
+                             . "للمساعدة تواصل معنا على الرقم: $phoneToUse\n"
+                             . "نتمنى لك عمل موفق 🚖\n\n"
+                             . "معرف الرسالة: $randomNumber";
+
+                sendWhatsAppFromServer($decryptedPhone, $messageBody);
+            }
+        }
+
+        jsonSuccess(null, "Driver updated successfully.");
     } else {
-        // لم يتم العثور على أي سجل للتحديث
-        jsonError("No records updated. Please check the driver ID.");
+        jsonError("No records updated or driver not found.");
     }
 } catch (PDOException $e) {
     jsonError("Error updating record: " . $e->getMessage());

backend/ride/pricing/get.php

@@ -21,11 +21,21 @@ if (!$country) {
     exit;
 }
 
-$price = 0.0;
-$price_for_driver = 0.0;
-$withCommission = 0.0;
-$kazan = 0.0;
-$isNightFare = false;
+$prices = [];
+$pricesRaw = [];
+
+$categories = [
+    'totalPassengerSpeed' => 'Speed',
+    'totalPassengerBalash' => 'Awfar Car',
+    'totalPassengerComfort' => 'Comfort',
+    'totalPassengerElectric' => 'Electric',
+    'totalPassengerLady' => 'Lady',
+    'totalPassengerScooter' => 'Delivery',
+    'totalPassengerVan' => 'Van',
+    'totalPassengerRayehGai' => 'Speed',
+    'totalPassengerRayehGaiComfort' => 'Comfort',
+    'totalPassengerRayehGaiBalash' => 'Awfar Car',
+];
 
 // Common variables
 date_default_timezone_set('Asia/Damascus');
@@ -58,26 +68,51 @@ if (!$kazanRow) {
     exit;
 }
 
-$result = calculateDynamicPrice($country, $minFare, $distance, $duration, $kazanRow, $startNameAddress, $endNameAddress, $destLat, $destLng, $passengerLat, $passengerLng);
-$price = $result['price'];
-$price_for_driver = $result['price_for_driver'];
-$withCommission = $result['withCommission'];
-$kazan = $result['kazan'];
-$isNightFare = $result['isNightFare'];
-
 // ----------------------------------------------------------------------
 // Helper Functions for Countries
 // ----------------------------------------------------------------------
 
-function calculateDynamicPrice($country, $minFare, $distance, $duration, $kazanRow, $startNameAddress, $endNameAddress, $destLat, $destLng, $passengerLat, $passengerLng) {
-    $comfortPrice = (float) $kazanRow['comfortPrice'];
-    $speedPrice = (float) $kazanRow['speedPrice'];
-    $familyPrice = (float) $kazanRow['familyPrice'];
-    $deliveryPrice = (float) $kazanRow['deliveryPrice'];
-    $naturePrice = (float) $kazanRow['naturePrice'];
-    $heavyPrice = (float) $kazanRow['heavyPrice'];
-    $latePrice = (float) $kazanRow['latePrice'];
-    $kazanPercent = (float) $kazanRow['kazan'];
+function getPerKmRate($carType, $kazanRow) {
+    $rateColumns = [
+        'Comfort'     => 'comfortPrice',
+        'Speed'       => 'speedPrice',
+        'Lady'        => 'ladyPrice',
+        'Electric'    => 'electricPrice',
+        'Van'         => 'vanPrice',
+        'Delivery'    => 'deliveryPrice',
+        'Mishwar Vip' => 'mishwarVipPrice',
+        'Fixed Price' => 'fixedPrice',
+        'Awfar Car'   => 'awfarPrice',
+    ];
+
+    $column = $rateColumns[$carType] ?? 'speedPrice';
+    $rate = floatval($kazanRow[$column] ?? 0);
+    
+    if ($rate <= 0) {
+        $oldColumnMap = [
+            'Lady'        => 'familyPrice',
+            'Mishwar Vip' => 'freePrice',
+            'Electric'    => 'naturePrice',
+            'Van'         => 'heavyPrice',
+        ];
+        $oldColumn = $oldColumnMap[$carType] ?? null;
+        if ($oldColumn && isset($kazanRow[$oldColumn])) {
+            $rate = floatval($kazanRow[$oldColumn]);
+        }
+    }
+    
+    if ($rate <= 0) {
+        $rate = floatval($kazanRow['speedPrice'] ?? 36);
+    }
+    
+    return $rate;
+}
+
+function calculateDynamicPrice($country, $minFare, $distance, $duration, $kazanRow, $startNameAddress, $endNameAddress, $destLat, $destLng, $passengerLat, $passengerLng, $carType = 'Speed') {
+    $naturePrice = (float) ($kazanRow['naturePrice'] ?? 0);
+    $heavyPrice = (float) ($kazanRow['heavyPrice'] ?? 0);
+    $latePrice = (float) ($kazanRow['latePrice'] ?? 0);
+    $kazanPercent = (float) ($kazanRow['kazan'] ?? 10);
     
     // === General Settings ===
     $minBillableKm = 0.2;
@@ -124,7 +159,8 @@ function calculateDynamicPrice($country, $minFare, $distance, $duration, $kazanR
 
     $billableDistance = ($distance < $minBillableKm) ? $minBillableKm : $distance;
     $isLongSpeed = $billableDistance > $longSpeedThresholdKm;
-    $perKmSpeedBaseFromServer = $speedPrice;
+    
+    $perKmSpeedBaseFromServer = getPerKmRate($carType, $kazanRow);
     $perKmSpeed = $isLongSpeed ? $longSpeedPerKm : $perKmSpeedBaseFromServer;
 
     $reductionPct40 = 0.0;
@@ -205,64 +241,64 @@ if (!empty($promo_code)) {
 }
 
 // 3. Fetch Passenger Wallet (Negative Balance / Debt)
-// Using Redis for ultra-fast reads, with a fallback to the Payment Server API.
 $negativeBalance = 0;
 if (!empty($passenger_id)) {
     try {
         $redis = new Redis();
         $redis->connect('127.0.0.1', 6379);
         $redisKey = "passenger_debt_" . $passenger_id;
-        
         $redisDebt = $redis->get($redisKey);
         
         if ($redisDebt !== false) {
             $negativeBalance = (float) $redisDebt;
-        } else {
-            // Fallback: If not in Redis, call the Payment Server Endpoint
-            // TODO: Replace with the actual Payment Server Endpoint URL and API Key
-            /*
-            $paymentApiUrl = "https://payment.siroapp.com/api/get_debt?passenger_id=" . urlencode($passenger_id);
-            $options = [
-                "http" => [
-                    "header" => "Authorization: Bearer YOUR_API_KEY\r\n"
-                ]
-            ];
-            $context = stream_context_create($options);
-            $response = file_get_contents($paymentApiUrl, false, $context);
-            if ($response !== false) {
-                $data = json_decode($response, true);
-                if (isset($data['debt'])) {
-                    $negativeBalance = (float) $data['debt'];
-                    // Cache the result in Redis for future pricing calls (e.g. 1 hour)
-                    $redis->setex($redisKey, 3600, $negativeBalance);
-                }
-            }
-            */
         }
     } catch (Exception $e) {
-        // If Redis fails, gracefully default to 0 or fallback API
         $negativeBalance = 0;
     }
 }
 
-$prices = ['total' => $withCommission];
+// Calculate prices for all categories
+foreach ($categories as $key => $carType) {
+    $result = calculateDynamicPrice($country, $minFare, $distance, $duration, $kazanRow, $startNameAddress, $endNameAddress, $destLat, $destLng, $passengerLat, $passengerLng, $carType);
+    $withCommission = $result['withCommission'];
+    $price_for_driver = $result['price_for_driver'];
 
-// 4. Apply Discount and Negative Balance
-foreach ($prices as $key => $price) {
-    // Apply discount (Assuming percentage discount if amount <= 100, else fixed amount)
+    // Apply discount
     if ($discount > 0 && $discount <= 100) {
-        $prices[$key] = max(0, $price - ($price * ($discount / 100)));
+        $finalPrice = max(0, $withCommission - ($withCommission * ($discount / 100)));
     } else {
-        $prices[$key] = max(0, $price - $discount);
+        $finalPrice = max(0, $withCommission - $discount);
     }
     
     // Add negative balance
-    $prices[$key] += $negativeBalance;
+    $finalPrice += $negativeBalance;
+    
+    $prices[$key] = $finalPrice;
+    
+    // For the token, we map the clean database carType to the final price and driver price
+    $pricesRaw[$carType] = [
+        'price' => $finalPrice,
+        'driver_price' => $price_for_driver
+    ];
+}
+
+// 4. Generate Cryptographically Signed Token
+$priceToken = "";
+if (isset($encryptionHelper)) {
+    $tokenPayload = [
+        'passenger_id' => $passenger_id,
+        'start_location' => $passengerLat . ',' . $passengerLng,
+        'end_location' => $destLat . ',' . $destLng,
+        'expires' => time() + 180, // Valid for 3 minutes
+        'prices' => $pricesRaw
+    ];
+    $priceToken = $encryptionHelper->encryptData(json_encode($tokenPayload));
 }
 
 echo json_encode([
     'status' => 'success',
     'data' => $prices,
+    'price_token' => $priceToken,
     'applied_discount' => $discount,
     'added_negative_balance' => $negativeBalance
 ]);

backend/ride/rides/add.php

@@ -1,128 +0,0 @@
-<?php
-require_once __DIR__ . '/../../connect.php';
-
-// 🚀 1. تسجيل بداية الطلب
-error_log("🚀 [add_ride.php] Request Started.");
-
-// استلام البيانات
-$start_location      = filterRequest("start_location");
-$end_location        = filterRequest("end_location");
-$date_raw            = filterRequest("date"); // نستلم القيمة الخام
-$time_raw            = filterRequest("time"); // نستلم القيمة الخام
-$endtime_raw         = filterRequest("endtime");
-$price               = filterRequest("price");
-$passenger_id        = filterRequest("passenger_id");
-$driver_id           = filterRequest("driver_id");
-$status              = filterRequest("status");
-$price_for_driver    = filterRequest("price_for_driver");
-$price_for_passenger = filterRequest("price_for_passenger");
-$distance            = filterRequest("distance");
-$carType             = filterRequest("carType");
-
-error_log("ℹ️ [add_ride.php] Data Received. Processing dates...");
-
-// 🛠️ 2. معالجة التواريخ لتناسب MySQL (الحل الجذري للمشكلة)
-// تحويل "2025-12-18 09:48:26.805" إلى "2025-12-18" فقط
-$date_formatted = date("Y-m-d", strtotime($date_raw)); 
-
-// تحويل "2025-12-18 09:48:26.810" إلى "09:48:26" فقط
-$time_formatted = date("H:i:s", strtotime($time_raw)); 
-
-// معالجة وقت الانتهاء (قد يكون مدة أو وقت)
-// نحاول استخراج الوقت منه، إذا فشل نضعه 00:00:00
-$endtime_formatted = date("H:i:s", strtotime($endtime_raw));
-if (!$endtime_formatted) {
-    $endtime_formatted = "00:00:00"; 
-}
-
-// تجهيز مصفوفة البيانات
-$data = [
-    ":start_location"      => $start_location,
-    ":end_location"        => $end_location,
-    ":date"                => $date_formatted, // نستخدم الصيغة المعالجة
-    ":time"                => $time_formatted, // نستخدم الصيغة المعالجة
-    ":endtime"             => $endtime_formatted,
-    ":price"               => $price,
-    ":passenger_id"        => $passenger_id,
-    ":driver_id"           => $driver_id,
-    ":status"              => $status,
-    ":carType"             => $carType,
-    ":price_for_driver"    => $price_for_driver,
-    ":price_for_passenger" => $price_for_passenger,
-    ":distance"            => $distance,
-];
-
-// تسجيل البيانات التي سيتم إدخالها للتأكد
-error_log("ℹ️ [add_ride.php] Prepared Data: " . json_encode($data));
-
-// ---------------------------------------------------------
-// 3. الإضافة في السيرفر المحلي (Main DB)
-// ---------------------------------------------------------
-
-$sql = "INSERT INTO `ride` (
-    `start_location`, `end_location`, `date`, `time`, `endtime`, 
-    `price`, `passenger_id`, `driver_id`, `status`, `carType`, 
-    `price_for_driver`, `price_for_passenger`, `distance`
-) VALUES (
-    :start_location, :end_location, :date, :time, :endtime, 
-    :price, :passenger_id, :driver_id, :status, :carType, 
-    :price_for_driver, :price_for_passenger, :distance
-)";
-
-try {
-    error_log("🔄 [add_ride.php] Inserting into LOCAL DB...");
-    
-    $stmt = $con->prepare($sql);
-    $stmt->execute($data);
-    
-    $insertedId = $con->lastInsertId();
-    $count = $stmt->rowCount();
-
-    error_log("✅ [add_ride.php] Local Insert Success. ID: $insertedId");
-
-    if ($count > 0) {
-        
-        // ---------------------------------------------------------
-        // 4. الإضافة في سيرفر التتبع (Tracking DB)
-        // ---------------------------------------------------------
-        
-        $sqlRemote = "INSERT INTO `ride` (
-            `id`, `start_location`, `end_location`, `date`, `time`, `endtime`, 
-            `price`, `passenger_id`, `driver_id`, `status`, `carType`, 
-            `price_for_driver`, `price_for_passenger`, `distance`
-        ) VALUES (
-            :id, :start_location, :end_location, :date, :time, :endtime, 
-            :price, :passenger_id, :driver_id, :status, :carType, 
-            :price_for_driver, :price_for_passenger, :distance
-        )";
-
-        // إضافة الـ ID للمصفوفة
-        $data[':id'] = $insertedId;
-
-        try {
-            error_log("🔄 [add_ride.php] Inserting into REMOTE DB...");
-            
-            $stmtRemote = $con_ride->prepare($sqlRemote);
-            $stmtRemote->execute($data);
-            
-            error_log("✅ [add_ride.php] Remote Insert Success.");
-            
-        } catch (PDOException $eRemote) {
-            // نسجل خطأ الريموت لكن لا نوقف العملية لأن اللوكل تم بنجاح
-            error_log("⚠️ [add_ride.php] Remote DB Error: " . $eRemote->getMessage());
-        }
-
-        // طباعة النجاح (JSON صحيح)
-        jsonSuccess($insertedId);
-        
-    } else {
-        error_log("❌ [add_ride.php] Failed to insert locally (Rows affected 0).");
-        jsonError("Failed to save ride information locally");
-    }
-
-} catch (PDOException $e) {
-    // تسجيل الخطأ بدقة
-    error_log("❌ [add_ride.php] SQL Error: " . $e->getMessage());
-    jsonError("Database Error: " . $e->getMessage());
-}
-?>

backend/ride/rides/add_ride.php

@@ -57,6 +57,7 @@ error_log("[add_ride] Request started. passenger_id=" . ($_POST['passenger_id']
 $start_location = filterRequest("start_location");
 $end_location = filterRequest("end_location");
 $price = filterRequest("price");
+$price_token = filterRequest("price_token");
 $passenger_id = filterRequest("passenger_id");
 $driver_id = filterRequest("driver_id") ?: 0;
 $status = filterRequest("status");
@@ -82,6 +83,15 @@ $step2 = filterRequest("step2");
 $step3 = filterRequest("step3");
 $step4 = filterRequest("step4");
 
+// Helper to compare coordinates (allowing slight GPS precision drift up to ~500m)
+function coordsMatch($coordStr1, $coordStr2, $tolerance = 0.005) {
+    if (empty($coordStr1) || empty($coordStr2)) return false;
+    $c1 = array_map('floatval', explode(',', $coordStr1));
+    $c2 = array_map('floatval', explode(',', $coordStr2));
+    if (count($c1) < 2 || count($c2) < 2) return false;
+    return (abs($c1[0] - $c2[0]) < $tolerance) && (abs($c1[1] - $c2[1]) < $tolerance);
+}
+
 // Validation
 if (empty($passenger_id) || empty($start_location) || empty($end_location) || empty($price)) {
     error_log("[add_ride] Validation failed — missing required fields.");
@@ -89,6 +99,50 @@ if (empty($passenger_id) || empty($start_location) || empty($end_location) || em
     exit;
 }
 
+// SECURE PRICE TOKEN VERIFICATION
+if (empty($price_token)) {
+    error_log("[add_ride] Security failed — price_token is missing.");
+    printFailure("Secure price token is required");
+    exit;
+}
+
+$decrypted = isset($encryptionHelper) ? $encryptionHelper->decryptData($price_token) : false;
+if (!$decrypted) {
+    error_log("[add_ride] Security failed — failed to decrypt price_token.");
+    printFailure("Invalid or tampered price token");
+    exit;
+}
+
+$tokenData = json_decode($decrypted, true);
+if (!$tokenData || !isset($tokenData['expires']) || $tokenData['expires'] < time()) {
+    error_log("[add_ride] Security failed — token is expired or invalid JSON.");
+    printFailure("Price token has expired, please request estimation again");
+    exit;
+}
+
+if ($tokenData['passenger_id'] != $passenger_id) {
+    error_log("[add_ride] Security failed — passenger_id mismatch.");
+    printFailure("Tampered price token (passenger mismatch)");
+    exit;
+}
+
+if (!coordsMatch($tokenData['start_location'], $start_location) || !coordsMatch($tokenData['end_location'], $end_location)) {
+    error_log("[add_ride] Security failed — coordinates mismatch. Token: " . ($tokenData['start_location'] . " / " . $tokenData['end_location']) . " Request: " . ($start_location . " / " . $end_location));
+    printFailure("Tampered price token (route mismatch)");
+    exit;
+}
+
+if (!isset($tokenData['prices'][$carType])) {
+    error_log("[add_ride] Security failed — car type $carType not found in token.");
+    printFailure("Invalid car type for this token");
+    exit;
+}
+
+// Securely override pricing from the cryptographically signed token
+$price = $tokenData['prices'][$carType]['price'];
+$price_for_driver = $tokenData['prices'][$carType]['driver_price'];
+$price_for_passenger = $price;
+
 // ── 2. تنسيق التواريخ ─────────────────────────────────────────
 $date_formatted = date("Y-m-d");
 $time_formatted = date("H:i:s");

backend/test_signed_pricing.php

@@ -0,0 +1,94 @@
+<?php
+// test_signed_pricing.php
+// Mock parameters and verify price token generation and booking verification.
+
+define('TESTING_BYPASS_AUTH', true);
+
+// Set mock POST parameters for pricing estimation
+$_POST['distance'] = "10.5";
+$_POST['durationToRide'] = "1200"; // 20 minutes
+$_POST['passenger_id'] = "12345";
+$_POST['country'] = "Syria";
+$_POST['passengerLat'] = "33.5138";
+$_POST['passengerLng'] = "36.2765";
+$_POST['destLat'] = "33.5200";
+$_POST['destLng'] = "36.2800";
+$_POST['startNameAddress'] = "Malki, Damascus";
+$_POST['endNameAddress'] = "Abu Rummaneh, Damascus";
+$_POST['carType'] = "Speed";
+
+echo "=== MOCKING PRICING ESTIMATION (get.php) ===\n";
+
+ob_start();
+include __DIR__ . '/ride/pricing/get.php';
+$responseJson = ob_get_clean();
+
+echo "Response received:\n" . $responseJson . "\n\n";
+
+$response = json_decode($responseJson, true);
+if (!$response || $response['status'] !== 'success' || empty($response['price_token'])) {
+    echo "❌ FAILED: Pricing token was not generated successfully.\n";
+    exit(1);
+}
+
+$priceToken = $response['price_token'];
+$estimatedPrices = $response['data'];
+echo "✅ SUCCESS: Generated price_token successfully!\n";
+echo "Estimated Speed price: " . $estimatedPrices['totalPassengerSpeed'] . "\n\n";
+
+// Test 1: Valid Booking with Token
+echo "=== TEST 1: Booking with authentic token and coordinates ===\n";
+$_POST['start_location'] = "33.5138, 36.2765";
+$_POST['end_location'] = "33.5200, 36.2800";
+$_POST['price'] = "99999.00"; // Client attempts to send garbage price, server must override it!
+$_POST['price_token'] = $priceToken;
+$_POST['passenger_id'] = "12345";
+$_POST['carType'] = "Speed";
+$_POST['status'] = "waiting";
+
+// Mock other fields for add_ride.php to prevent errors
+$_POST['passenger_name'] = "Hamza";
+$_POST['passenger_phone'] = "+963999999999";
+$_POST['passenger_token'] = "mock_fcm_token";
+$_POST['passenger_email'] = "hamza@siromove.com";
+$_POST['passenger_wallet'] = "0";
+$_POST['passenger_rating'] = "5.0";
+$_POST['start_name'] = "Malki";
+$_POST['end_name'] = "Abu Rummaneh";
+$_POST['duration_text'] = "20 min";
+$_POST['distance_text'] = "10.5 km";
+$_POST['is_wallet'] = "false";
+$_POST['has_steps'] = "false";
+
+ob_start();
+include __DIR__ . '/ride/rides/add_ride.php';
+$bookingJson = ob_get_clean();
+
+echo "Booking response:\n" . $bookingJson . "\n\n";
+$bookingRes = json_decode($bookingJson, true);
+
+if ($bookingRes && $bookingRes['status'] === 'success') {
+    echo "✅ TEST 1 PASSED: Booking succeeded and overrode client fare!\n";
+} else {
+    echo "❌ TEST 1 FAILED: Booking rejected valid token.\n";
+}
+
+// Test 2: Booking with Tampered Coordinates
+echo "=== TEST 2: Booking with mismatched start location coordinates ===\n";
+$_POST['start_location'] = "34.5000, 36.2000"; // Changed start location
+$_POST['price'] = "99999.00";
+$_POST['price_token'] = $priceToken;
+
+ob_start();
+include __DIR__ . '/ride/rides/add_ride.php';
+$tamperedJson = ob_get_clean();
+
+echo "Tampered response:\n" . $tamperedJson . "\n\n";
+$tamperedRes = json_decode($tamperedJson, true);
+
+if ($tamperedRes && $tamperedRes['status'] === 'failure' && strpos($tamperedRes['message'], 'route mismatch') !== false) {
+    echo "✅ TEST 2 PASSED: Successfully detected coordinates mismatch and rejected booking!\n";
+} else {
+    echo "❌ TEST 2 FAILED: Did not correctly reject mismatched coordinates.\n";
+}
+?>

knowledge/CODE_REVIEW_REPORT_AR.md

@@ -0,0 +1,276 @@
+# تقرير المراجعة البرمجية الشاملة لنظام Siro (طلب السيارات)
+
+---
+
+## مقدمة
+
+هذا التقرير يقدم مراجعة برمجية شاملة ومحاكاة تفصيلية لمسار الرحلة الكامل في تطبيق طلب السيارات **Siro**. تم تحليل الكود المصدري للمشروع بما يشمل الواجهة الخلفية (PHP)، سيرفرات الـ WebSockets (PHP + Socket.IO)، والواجهة الأمامية (Flutter/Dart). يغطي التقرير أربعة محاور رئيسية: معالجة الرحلة في الخلفية، الاتصالات اللحظية عبر WebSockets، أداء الواجهات الأمامية، وتقرير المشاكل والحلول المقترحة.
+
+---
+
+## المحور الأول: الواجهة الخلفية (Backend)
+
+### 1.1 إنشاء الرحلة — `add.php` (rides)
+
+**الملف:** `backend/ride/rides/add.php`
+
+**تحليل سير العمل:**
+
+1. **استلام البيانات:** يستقبل الملف بيانات الرحلة (موقع البداية، الوجهة، التاريخ، الوقت، السعر، معرف الراكب، معرف السائق، الحالة، نوع السيارة، إلخ).
+2. **معالجة التواريخ:** يتم تحويل التواريخ الخام باستخدام `strtotime()` و `date()` لتتوافق مع تنسيق MySQL.
+3. **إدراج مزدوج (Dual Insertion):**
+   - إدراج السجل في قاعدة البيانات المحلية (`intaleqDB1`).
+   - إدراج نسخة مطابقة في قاعدة بيانات التتبع عن بعد (`intaleq-ridesDB`) باستخدام نفس `insertedId`.
+
+**نقاط القوة:**
+   - ✅ استخدام الـ Prepared Statements يمنع ثغرات SQL Injection.
+   - ✅ تسجيل الأخطاء المفصل عبر `error_log()` يساعد في تتبع المشاكل.
+   - ✅ النسخ الاحتياطي عبر قاعدة بيانات التتبع يوفر تكرارية (Redundancy).
+
+**نقاط الضعف والمخاطر:**
+   - ❌ **لا يوجد Transaction (معاملة ذرية):** إذا نجح الإدراج في قاعدة البيانات المحلية وفشل في قاعدة التتبع، يصبح النظام في حالة عدم تناسق (Inconsistent State). الحل: لفّ العمليتين داخل `$con->beginTransaction()` مع `$con->rollBack()` عند فشل أي منهما.
+   - ❌ **لا يوجد قفل (Lock) لمنع التكرار:** يمكن إرسال طلب الرحلة مرتين في نفس الوقت (Race Condition)، مما قد يؤدي إلى إنشاء رحلتين مكررتين. الحل: إضافة `INSERT ... ON DUPLICATE KEY UPDATE` أو استخدام `SELECT ... FOR UPDATE` قبل الإدراج.
+   - ❌ **السعر يُرسل من العميل (Client-Side):** قيمة `price` تُستلم مباشرة من الطلب دون أي تحقق أو إعادة حساب على الخادم. هذا يشكل خطراً أمنياً كبيراً حيث يمكن للعميل التلاعب بالسعر. الحل: إعادة حساب السعر على الخادم بناءً على المسافة ونوع السيارة وتسعيرة الدولة الحالية.
+
+### 1.2 حساب التكلفة — `pricing/get.php`
+
+**المسار:** `backend/ride/pricing/`
+
+**تحليل معمق:**
+- يتم حساب السعر عن طريق إرسال المسافة والمدة المتوقعة من العميل إلى الخادم.
+- الخادم يستعلم جدول `kazan` (نسبة العمولة) وجدول `pricing` (تسعيرة الدولة).
+- يتم تطبيق الخصومات والعروض الترويجية (Promo Codes) عبر استعلام SQL.
+
+**نقاط الضعف:**
+   - ❌ **إرسال البيانات من العميل (`distance`, `durationToRide`):** يمكن التلاعب بالمسافة والمدة مما يؤثر على السعر.
+   - ❌ **لا يوجد تحقق من توافق السعر المُرسل مع السعر المُحتسب:** التطبيق يرسل السعر النهائي ويتم إدراجه مباشرة دون مقارنته بالسعر الذي حسبه الخادم.
+
+**الحل المقترح:**
+  - إعادة حساب السعر بالكامل على الخادم باستخدام إحداثيات البداية والنهاية (`start_location`, `end_location`).
+  - استخدام Map SaaS أو OSRM لحساب المسافة والمدة على الخادم وليس على العميل.
+  - رفض الطلب إذا كان السعر المُرسل من العميل لا يتطابق مع السعر المُحتسب.
+
+### 1.3 عملية الخصم المالي (Server-to-Server / Wallet)
+
+**المسار:** `walletintaleq.intaleq.xyz/v2/main/`
+
+**سير العمل الحالي:**
+- يتم الاتصال بسيرفر المحفظة المالية عبر `CRUD().postWallet()` الذي يرسل HMAC + JWT للمصادقة.
+- العملية تتم بعد انتهاء الرحلة عبر `payment_method.page.dart`.
+
+**تحليل الأمان:**
+- ✅ استخدام HMAC للمصادقة بين الخادمين (S2S) يوفر طبقة أمان جيدة.
+- ✅ JWT منفصل للمحفظة يوفر فصل الصلاحيات (Wallet JWT).
+
+**المخاطر:**
+- ❌ **لا توجد معاملة ذرية (Atomic Transaction) بين إنهاء الرحلة والخصم المالي:** إذا تم إنهاء الرحلة وفشل الخصم المالي (مثلاً بسبب انقطاع الشبكة)، تبقى الرحلة منتهية بدون دفع.
+  - **الحل:** استخدام نمط Saga (عكس المعاملة): إذا فشل الخصم، إعادة الرحلة إلى الحالة "غير منتهية" عبر `COMPENSATING TRANSACTION`.
+- ❌ **تكرار طلب الدفع:** إذا أرسل العميل طلب الدفع مرتين (Double Payment)، قد يتم الخصم مرتين.
+  - **الحل:** إضافة `idempotency_key` لكل معاملة دفع، والتأكد من أن الخادم لا يعالج نفس المفتاح مرتين.
+
+---
+
+## المحور الثاني: سيرفرات الويب سوكيت (WebSockets)
+
+### 2.1 سيرفر السائقين — `driver_socket.php` (بورت 2020)
+
+**الملف:** `socket_intaleq/driver_socket.php`
+
+**تحليل المعمارية:**
+
+**المستوى المتقدم (Level 2 Architecture):**
+1. **Event Buffering (تجميع الأحداث):** بدلاً من إرسال كل تحديث موقع إلى Redis بشكل منفصل، يتم تجميع التحديثات في `$eventBuffer` وإرسالها كل 500ms عبر Redis Pipeline.
+2. **تقليل عمليات Redis:** يتم تجاهل التحديثات إذا لم يتغير الموقع بأكثر من 10 أمتار، أو لم تتغير السرعة بأكثر من 1 م/ث، أو لم يتغير الاتجاه بأكثر من 5 درجات.
+3. **Forward غير متزامن (Async):** يتم إرسال موقع السائق إلى سيرفر الراكب عبر HTTP غير متزامن مع Throttle (كل 3 ثوانٍ و 15 متراً كحد أدنى).
+
+**نقاط القوة:**
+- ✅ **Redis Pipeline:** يقلل عدد اتصالات Redis من مئات إلى اتصال واحد كل نصف ثانية.
+- ✅ **Async HTTP Forward:** لا يحجب سير العمل الرئيسي عن إرسال التحديثات.
+- ✅ **Throttle ذكي:** يمنع إغراق سيرفر الراكب بالتحديثات المتكررة.
+
+**نقاط الضعف:**
+- ❌ **فقدان الأحداث عند انهيار السيرفر:** `$eventBuffer` مخزّن في الذاكرة (RAM)، فإذا انهار السيرفر، تُفقد جميع الأحداث المجمّعة قبل كتابتها في Redis.
+  - **الحل:** استخدام Redis Queue (قائمة انتظار) بدلاً منBuffer الذاكرة، أو إضافة Write-Ahead Log (WAL).
+- ❌ **عدم وجود Watchdog للسائق:** إذا انقطع اتصال السائق (مثلاً فقدان الإنترنت)، لا توجد آلية لكشف ذلك وتحديث حالته إلى `offline` بشكل فوري.
+  - **الحل:** إضافة `Heartbeat Timeout` في السيرفر: إذا لم يستقبل نبضاً من السائق لمدة 30 ثانية، يُعتبر مفصولاً.
+
+### 2.2 سيرفر الركاب — `passenger_socket.php` (بورت 3030)
+
+**الملف:** `socket_intaleq/passenger_socket.php`
+
+**تحليل سير العمل:**
+- السيرفر يستمع على بورت 3030 لاتصالات WebSocket من الركاب.
+- بورت 3031 هو HTTP Internal Server لتلقي الأحداث من سيرفر السائقين.
+- عند استقبال حدث `update_driver_location` من سيرفر السائقين، يُبث فوراً للراكب المعني عبر `$io->to('passenger_' . $passengerId)->emit(...)`.
+
+**نقاط القوة:**
+- ✅ **فصل القنوات:** كل راكب لديه قناة خاصة (`passenger_ID`)، مما يضمن الخصوصية.
+- ✅ **مصادقة داخلية:** جميع الطلبات الداخلية تتطلب `x-internal-key` لمنع الوصول غير المصرح به.
+
+**نقاط الضعف:**
+- ❌ **تسجيل مفرط في الملفات:** كل حدث يُسجل في `socket_debug.log`، مما قد يؤدي إلى امتلاء القرص الصلب بسرعة في الإنتاج.
+  - **الحل:** استخدام تدوير السجلات (Log Rotation) وتقليل مستوى التسجيل إلى `ERROR` فقط في الإنتاج، أو للاحداث الهامة فقط كفشل الاتصال.
+- ❌ **لا يوجد Polling Fallback من جهة السيرفر:** إذا فشل WebSocket مع الراكب، السيرفر لا يقوم بإعادة الإرسال عبر HTTP.
+  - **الحل:** إضافة آلية `Message Acknowledgment`: الراكب يرسل `ack` لاستلام الموقع، وإذا لم يستلم، يُعاد الإرسال عبر FCM/Push.
+
+### 2.3 اتصال WebSocket من جهة العميل (الراكب)
+
+**الملف:** `siro_rider/lib/controller/home/map/map_socket_controller.dart`
+
+**تحليل:**
+1. **الاتصال:** يتم تهيئة WebSocket عند بدء البحث عن سائق.
+2. **إعادة الاتصال:** 20 محاولة مع تأخير تصاعدي (2-10 ثوانٍ).
+3. **الاشتراك:** بعد الاتصال، يُرسل `subscribe_driver_location` لربط الرحلة.
+4. **النّبضات الحية (Heartbeat):** تُرسل كل 15 ثانية للحفاظ على الاتصال.
+5. **مراقب الصحة:** `isSocketHealthy()` تتحقق من آخر تحديث (أقل من 20 ثانية).
+
+**نقاط القوة:**
+- ✅ **آلية إعادة اتصال قوية** مع تأخير تصاعدي.
+- ✅ **التبديل التلقائي للاقتراع (Polling Fallback):** عند فقدان الاتصال، يتم تفعيل الاقتراع كل 4 ثوانٍ.
+- ✅ **الكشف عن استقرار WebSocket:** بعد 3 تحديثات موثوقة عبر Socket، يتم إيقاف الاقتراع.
+
+**مشاكل محتملة:**
+- ❌ **مقاطعة Stream:** إذا تم إغلاق الـ Stream (`_timerStreamController`) بشكل غير متوقع، يتوقف المؤقت عن العمل.
+  - **الحل:** التحقق من `!streamController.isClosed` قبل كل إضافة.
+- ❌ **تسريب الذاكرة:** إذا لم يتم استدعاء `disposeRideSocket()` عند تدمير الـ Widget، يبقى الاتصال مفتوحاً.
+  - **الحل:** استخدام `onClose()` في GetX Controller والتحقق من إغلاق جميع الموارد.
+
+---
+
+## المحور الثالث: الواجهة الأمامية (Frontend Clients)
+
+### 3.1 متحكم دورة حياة الرحلة — `RideLifecycleController`
+
+**الملف:** `siro_rider/lib/controller/home/map/ride_lifecycle_controller.dart` (4359 سطر)
+
+**تحليل الأداء:**
+
+**نقاط القوة:**
+- ✅ **آلة حالة متكاملة (State Machine):** `RideState` يغطي جميع حالات الرحلة (`noRide` → `searching` → `driverApplied` → `driverArrived` → `inProgress` → `finished`).
+- ✅ **حرّاس التكرار (Race Condition Guards):** 
+  - `_isFinishProcessed` لمنع تكرار معالجة إنهاء الرحلة.
+  - `_isReviewProcessed` لمنع فتح شاشة التقييم مرتين.
+  - `_isAcceptanceProcessed` و `_isRideStartedProcessed` لنفس الغرض.
+- ✅ **مؤقت رئيسي (Master Timer):** يتحكم في دورة حياة الرحلة بالكامل مع فترات استقصاء متغيرة حسب الحالة.
+- ✅ **مراقب الانحراف (Deviation Detection):** يكتشف إذا انحرف السائق عن المسار بأكثر من 30 متراً ويعيد حساب المسار تلقائياً.
+- ✅ **الصوت والتحذيرات:** تحذير عند السرعة الزائدة (100 كم/س) مع زر مشاركة الرحلة.
+
+**المشاكل الهيكلية:**
+- ❌ **حجم الملف كبير جداً (~4359 سطر):** هذا يعتبر Anti-Pattern. يصعب صيانته واختباره.
+  - **الحلول المقترحة:**
+    1. تقسيم الـ Controller إلى Services متخصصة:
+       - `RideStateMachine` — إدارة الحالات والانتقالات
+       - `RideRouteService` — حساب المسار والانحرافات وإعادة الرسم
+       - `RideTimerService` — إدارة المؤقتات
+       - `RideUIService` — تحديث واجهة المستخدم والعناصر المنبثقة
+       - `RidePaymentService` — معالجة الدفع والخصم
+    2. استخدام `mixins` لتوزيع الوظائف عبر ملفات متعددة.
+
+### 3.2 رسم المسار والملاحة
+
+**تحليل سير العمل:**
+1. **حساب المسار الأولي:** عند قبول السائق، يتم الاتصال بـ `routec.intaleq.xyz` لحساب المسار.
+2. **رسم المسار على الخريطة:** يتم فك تشفير الـ Polyline وعرضه بلون أصفر (قدوم السائق) أو أزرق (الرحلة الحالية).
+3. **تحديث المسار المتبقي:** `updateRemainingRoute()` تحسب أقرب نقطة للسائق على المسار وتقص النقاط السابقة.
+4. **إعادة الرسم عند الانحراف:** إذا انحرف السائق بأكثر من 30 متراً، يُعاد حساب المسار بالكامل.
+
+**نقاط القوة:**
+- ✅ **فك التشفير في Isolate:** استخدام `compute(decodePolylineIsolate, ...)` يمنع تجميد واجهة المستخدم.
+- ✅ **التحريك الانسيابي (Smooth Animation):** دالة `smoothlyUpdateMarker()` تنقل أيقونة السياره بسلاسة بين النقاط.
+
+**المشاكل:**
+- ❌ **إعادة حساب المسار بشكل متكرر:** إذا كان السائق في منطقة ذات إشارات GPS ضعيفة، قد يتأرجح الموقع مسبباً إعادة حساب مستمرة.
+  - **الحل:** إضافة `Cooldown 10 ثوانٍ` بين عمليات إعادة الحساب، واستخدام **ترشيح كالمان (Kalman Filter)** لتنعيم إحداثيات GPS.
+- ❌ **تخزين المسار في ذاكرة GETX:** `_currentDriverRoutePoints` يمكن أن تصبح كبيرة جداً في الرحلات الطويلة (آلاف النقاط).
+  - **الحل:** ضغط النقاط باستخدام خوارزمية **Douglas-Peucker** لتقليل عدد نقاط المسار مع الحفاظ على الدقة.
+
+### 3.3 التوجيه الصوتي (TTS)
+
+**تحليل:**
+- يتم استخدام `audio_record1.dart` و `NotificationController` للتوجيه الصوتي والتنبيهات.
+- لا يوجد نظام TTS (Text-to-Speech) منفصل للتوجيه الصوتي خطوة بخطوة.
+
+**نقطة الضعف:**
+- ❌ **عدم وجود TTS متكامل مع المسار:** التطبيق لا يقرأ التعليمات الصوتية تلقائياً (مثل "انعطف يميناً بعد 200 متر").
+  - **الحل المقترح:** دمج **Google TTS** مع المسار من OSRM حيث يوفر تعليمات صوتية نصية يمكن تحويلها إلى صوت عبر `flutter_tts` package.
+
+---
+
+## المحور الرابع: تقرير المشاكل والأخطاء (Error Report)
+
+### 4.1 ثغرات Race Conditions
+
+| المشكلة | الموقع | الوصف | الحل المقترح |
+|---------|--------|-------|--------------|
+| **تكرار تقييم الرحلة** | `addRateToDriver.php` | يمكن للراكب إرسال تقييمين في نفس الوقت (Double Rating) | إضافة UNIQUE KEY على `(ride_id, passenger_id)` في جدول `ratingDriver` |
+| **تكرار إنشاء الرحلة** | `rides/add.php` | إرسال طلب إنشاء رحلة مرتين يؤدي إلى رحلتين مكررتين | إضافة `idempotency_key` في الطلب والتأكد من عدم معالجة المفتاح مراراً |
+| **تكرار الخصم المالي** | `payment_method.page.dart` | الضغط على زر الدفع مرتين قد يؤدي إلى خصمين | تعطيل الزر فور الضغط الأولى مع `loading state` |
+| **معالجة الإنهاء المزدوج** | `ride_lifecycle_controller.dart` | وصول حدث `finished` من السيرفر ومن المقبس في نفس الوقت | ✅ تم حلها باستخدام `_isFinishProcessed` |
+
+### 4.2 حالات التعارض في WebSockets
+
+| المشكلة | الوصف | الحل |
+|---------|-------|------|
+| **فقدان `ride_taken`** | إذا تم قبول الرحلة من سائقين في نفس الوقت (نادر)، قد يتم إرسال طلبين | استخدام `zrem` في Redis كعملية ذرية مع التحقق من الحذف |
+| **تأخير Forward** | إذا كان الضغط على السيرفر عالياً، قد يتأخر forward موقع السائق إلى الراكب | ترقية إلى WebSocket مباشر بين السائق والراكب بدلاً من HTTP Forward |
+| **فقدان النبضات** | إذا انقطع الإنترنت فجأة، قد يظل السائق متصلاً في قاعدة البيانات | إضافة `Heartbeat Timeout` في السيرفر (30 ثانية بدون نبض = فصل تلقائي) |
+
+### 4.3 مشاكل الأداء
+
+| المشكلة | الوصف | الحل |
+|---------|-------|------|
+| **حجم ملف التحكم** | `ride_lifecycle_controller.dart` (4359 سطر) يؤثر على وقت الترجمة والذاكرة | تقسيمه إلى موديولات أصغر |
+| **استعلامات متكررة** | `getDriverCarsLocationToPassengerAfterApplied` يتم استدعاؤه كل 4-6 ثوانٍ حتى عبر polling | تقليل التردد إلى كل 15 ثانية أو الاعتماد الكامل على WebSocket |
+| **ذاكرة التخزين المؤقت** | بيانات المسار الكامل مخزنة في الذاكرة قد تسبب OutOfMemory في الرحلات الطويلة | استخدام Douglas-Peucker لتقليل عدد النقاط |
+| **Logging غير محكوم** | `socket_debug.log` و `errors.log` قد تملأ القرص | تفعيل Log Rotation وتحديد مستوى logs الإنتاجي |
+
+### 4.4 مشاكل أمنية خطيرة
+
+| المشكلة | الخطر | الحل |
+|---------|-------|------|
+| **سعر الرحلة من العميل** | يمكن للمخترق تعديل سعر الرحلة عبر وسائل الطرف الثالث (مان-إن-ذا-ميدل) أو تعديل الطلب | إعادة حساب السعر بالكامل على الخادم |
+| **لا يوجد تحقق من المسافة** | يمكن تقليل المسافة المُرسلة للحصول على سعر أقل | حساب المسافة على الخادم من الإحداثيات |
+| **تسريب Internal Key** | مفتاح `x-internal-key` مخزّن في ملف نصي على السيرفر | استخدام متغيرات البيئة فقط مع Hashicorp Vault |
+
+---
+
+## خطة التحسينات المقترحة (Roadmap)
+
+### المرحلة الأولى — فورية (عالية الأولوية)
+- [ ] إعادة حساب السعر على الخادم بدلاً من العميل
+- [ ] إضافة `UNIQUE KEY (ride_id, passenger_id)` على جدول `ratingDriver` لمنع التقييم المزدوج
+- [ ] إضافة `idempotency_key` لطلبات إنشاء الرحلة والدفع
+- [ ] إضافة Heartbeat Timeout (30 ثانية) في سيرفر السائقين
+
+### المرحلة الثانية — قصيرة المدى
+- [ ] تحويل `add.php` (rides) إلى استخدام Atomic Transactions مع Rollback
+- [ ] إضافة Kalman Filter لتنعيم إحداثيات GPS
+- [ ] تقليل حجم ملف `ride_lifecycle_controller.dart` عبر التقسيم
+- [ ] إضافة Log Rotation وتحديد مستوى التسجيل
+
+### المرحلة الثالثة — طويلة المدى
+- [ ] استبدال HTTP Forward في WebSocket باتصال مباشر (Peer-to-Peer)
+- [ ] دمج نظام TTS للتوجيه الصوتي
+- [ ] ترحيل Event Buffer من الذاكرة إلى Redis Queue
+- [ ] استخدام Douglas-Peucker لتقليل نقاط المسار
+
+---
+
+## الخلاصة والتقييم العام
+
+| المحور | التقييم | الدرجة |
+|--------|---------|--------|
+| Backend Architecture | جيد مع وجود مخاطر أمنية | 7/10 |
+| WebSocket Architecture | ممتاز مع نظام تجميع الأحداث (Level 2) | 9/10 |
+| Frontend Performance | متكامل لكن يحتاج إعادة هيكلة | 7.5/10 |
+| Race Condition Handling | جيد جداً مع وجود حرّاس مناسبة | 8/10 |
+| Security | يوجد ثغرات خطيرة (سعر الرحلة من العميل) | 5/10 |
+| Code Maintainability | مدمج في ملف واحد كبير جداً | 4/10 |
+
+**التقييم العام: 6.8/10**
+
+النظام قوي من ناحية البنية التحتية للـ WebSocket مع نظام التجميع الذكي، لكنه يعاني من مشاكل أمنية حرجة تتعلق بتسعير الرحلة من جهة العميل، وهيكلة الكود الموحّدة في ملف ضخم يصعب صيانته. الأولوية القصوى يجب أن تكون لإعادة حساب السعر على الخادم وتقسيم الـ Controller الضخم.
+
+---
+
+*إعداد: تحليل برمجي تلقائي - يونيو 2026*

scratch/process_images.py

@@ -0,0 +1,56 @@
+import os
+import sys
+from PIL import Image
+
+def make_transparent_smooth(img_path, output_path, size):
+    if not os.path.exists(img_path):
+        print(f"Error: {img_path} does not exist.")
+        return False
+        
+    img = Image.open(img_path).convert("RGBA")
+    img = img.resize(size, Image.Resampling.LANCZOS)
+    
+    datas = img.getdata()
+    new_data = []
+    
+    for item in datas:
+        r, g, b, a = item
+        closeness = min(r, g, b)
+        if closeness >= 240:
+            if closeness >= 253:
+                alpha = 0
+            else:
+                alpha = int(a * (253 - closeness) / (253 - 240))
+            new_data.append((255, 255, 255, alpha))
+        else:
+            new_data.append(item)
+            
+    img.putdata(new_data)
+    img.save(output_path, "PNG")
+    print(f"Successfully saved processed image to {output_path}")
+    return True
+
+if __name__ == "__main__":
+    artifact_dir = "scratch"
+
+    
+    jobs = [
+        ("car_marker_normal_1781540915043.png", "siro_rider/assets/images/car.png", (80, 90)),
+        ("car_marker_normal_1781540915043.png", "siro_driver/assets/images/car.png", (80, 90)),
+        ("car_marker_lady_1781540926836.png", "siro_rider/assets/images/lady1.png", (80, 90)),
+        ("car_marker_lady_1781540926836.png", "siro_driver/assets/images/lady1.png", (80, 90)),
+        ("category_fixed_price_1781540942631.png", "siro_rider/assets/images/carspeed.png", (500, 500)),
+        ("category_comfort_1781540956914.png", "siro_rider/assets/images/blob.png", (500, 500)),
+        ("category_electric_1781540970352.png", "siro_rider/assets/images/electric.png", (500, 500)),
+        ("category_lady_1781540984745.png", "siro_rider/assets/images/lady.png", (500, 500)),
+    ]
+
+    
+    for src, dst, size in jobs:
+        make_transparent_smooth(
+            os.path.join(artifact_dir, src),
+            dst,
+            size
+        )
+
+

siro_rider/lib/controller/home/map/ride_lifecycle_controller.dart

@@ -142,6 +142,7 @@ class RideLifecycleController extends GetxController {
   String totalPassengerRayehGai = '0';
   String totalPassengerRayehGaiComfort = '0';
   String totalPassengerRayehGaiBalash = '0';
+  String priceToken = '';
 
   double latePrice = 0;
   double fuelPrice = 0;
@@ -1455,6 +1456,7 @@ class RideLifecycleController extends GetxController {
       "step2": placesCoordinate.length > 2 ? placesCoordinate[2] : "",
       "step3": placesCoordinate.length > 3 ? placesCoordinate[3] : "",
       "step4": placesCoordinate.length > 4 ? placesCoordinate[4] : "",
+      "price_token": priceToken,
     };
 
     Log.print('   📦 Payload: $payload');
@@ -1910,6 +1912,9 @@ class RideLifecycleController extends GetxController {
           totalPassengerRayehGaiBalash =
               data['totalPassengerRayehGaiBalash']?.toString() ?? '0';
 
+          // Save price_token from server response
+          priceToken = response['price_token']?.toString() ?? '';
+
           totalPassenger = totalPassengerSpeed;
           totalCostPassenger = totalPassenger;
         }