Update: 2026-08-07 19:01:00
This commit is contained in:
Hamza-Ayed
@@ -0,0 +1,233 @@
|
||||
<?php
|
||||
/**
|
||||
* tools/env_keys.php — جرد مفاتيح البيئة وزراعة الناقص منها
|
||||
* ─────────────────────────────────────────────────────────────
|
||||
* الاستعمال:
|
||||
* php env_keys.php audit # جرد فقط، لا يكتب شيئاً
|
||||
* php env_keys.php seed # يزرع الناقص القابل للتوليد
|
||||
* php env_keys.php seed --dry-run # يُظهر ما سيفعله بلا كتابة
|
||||
*
|
||||
* المفاتيح ليست صنفاً واحداً، والخلط بينها هو ما يحوّل «تدوير مفتاح»
|
||||
* إلى فقدان بيانات لا رجعة فيه. أربعة أصناف:
|
||||
*
|
||||
* • generated — سرّ بيننا وبين أنفسنا. نولّده ونُدوّره متى شئنا.
|
||||
* • session — تدويره يُخرج كل المستخدمين من حساباتهم. مقبول بوعي.
|
||||
* • frozen — **لا يُدوَّر إطلاقاً**. بيانات مخزَّنة مشتقّة منه،
|
||||
* وتغييره يجعلها غير قابلة للقراءة إلى الأبد.
|
||||
* • external — من طرف ثالث. لا يمكن توليده، يُنسخ من لوحته.
|
||||
*/
|
||||
|
||||
$root = dirname(__DIR__, 2);
|
||||
$envFile = getenv('ENV_FILE_PATH') ?: "$root/docker/.env";
|
||||
|
||||
$command = $argv[1] ?? 'audit';
|
||||
$dryRun = in_array('--dry-run', $argv, true);
|
||||
|
||||
// ═══════════════════════════════════════════════════════════════
|
||||
// التصنيف
|
||||
// ═══════════════════════════════════════════════════════════════
|
||||
|
||||
/** أسرار داخلية: طرفاها كلاهما لنا. توليدها وتدويرها آمنان. */
|
||||
const GENERATED = [
|
||||
'S2S_SHARED_KEY' => 32, // خادم ↔ خادم داخلي
|
||||
'WEBHOOK_SECRET_KEY' => 32, // هاتف الرسائل ↔ الويبهوك
|
||||
'INTERNAL_SOCKET_KEY' => 32, // الباك إند ↔ خوادم السوكيت
|
||||
'BOT_SECRET_KEY' => 24, // بوت الأسعار
|
||||
'FCM_INTERNAL_API_KEY' => 32,
|
||||
'MIGRATION_ADMIN_KEY' => 24,
|
||||
'PAYMENT_KEY' => 32,
|
||||
];
|
||||
|
||||
/**
|
||||
* تدويرها يبطل كل الجلسات القائمة: كل سائق وكل راكب سيُخرَج ويُطالَب
|
||||
* بتسجيل دخول جديد. ليس عطلاً لكنه حدث تشغيلي — لا يُفعل وقت الذروة.
|
||||
*/
|
||||
const SESSION_SCOPED = [
|
||||
'JWT_SECRET_KEY' => 64,
|
||||
'SECRET_KEY_HMAC' => 32,
|
||||
];
|
||||
|
||||
/**
|
||||
* ⛔ مجمّدة. هذه ليست «مفاتيح يمكن تغييرها من عندنا» رغم أنها ملكنا:
|
||||
*
|
||||
* ENC_KEY / ENCRYPTION_KEY_PATH
|
||||
* تُشفَّر به أسماء الركّاب وهواتفهم وبرديهم ولوحات السيارات
|
||||
* **المخزَّنة في القاعدة**. تغييره لا يعيد تشفير شيء — يجعل كل
|
||||
* صف قديم رطانةً لا تُفكّ. لا استرجاع، ولا نسخة احتياطية تنفع
|
||||
* لأن النسخة نفسها مشفّرة بالمفتاح القديم.
|
||||
*
|
||||
* BLIND_INDEX_PEPPER
|
||||
* أعمدة `*_bidx` محسوبة به ومخزَّنة. تغييره يعني أن كل بحث
|
||||
* بالهاتف أو البريد يفشل — لا يجد المستخدم حسابه، ويُنشأ له
|
||||
* حساب مكرر عند أول تسجيل.
|
||||
*
|
||||
* TRACKING_SECRET_SALT / FP_PEPPER
|
||||
* قيم مشتقّة منها مخزَّنة أيضاً.
|
||||
*
|
||||
* تدويرها ممكن نظرياً لكنه **ترحيل بيانات** لا تغيير إعداد: فكّ بالقديم
|
||||
* وإعادة تشفير بالجديد على كل صف، بتوقّف مخطَّط ونسخة احتياطية أولاً.
|
||||
*/
|
||||
const FROZEN = [
|
||||
'ENC_KEY', 'ENCRYPTION_KEY_PATH', 'ENCRYPTION_MODE',
|
||||
'BLIND_INDEX_PEPPER', 'TRACKING_SECRET_SALT', 'FP_PEPPER',
|
||||
];
|
||||
|
||||
/** لا تُولَّد — تُنسخ من لوحة المزوّد. */
|
||||
const EXTERNAL = [
|
||||
'GEMINI_API_KEY', 'NABEH_API_KEY', 'NABEH_PASSWORD', 'NABEH_OTP_APP_KEY',
|
||||
'ELEVENLABS_API_KEY', 'CREATOMATE_API_KEY', 'SOCIAL_BOT_TOKEN',
|
||||
'MAIL_PASSWORD', 'SIRO_SMTP_PASSWORD', 'SMS_PASSWORD_EGYPT',
|
||||
'VOICE_CALL_API_KEY', 'RASEEL_DRIVER_ACCESS_TOKEN',
|
||||
'FIREBASE_SERVICE_ACCOUNT_PATH', 'SERVICE_ACCOUNT_FILE_PATH',
|
||||
];
|
||||
|
||||
/**
|
||||
* كلمات مرور قواعد البيانات — صنف قائم بذاته.
|
||||
*
|
||||
* تغييرها في .env **لا يغيّر شيئاً في MySQL**. متغيّرات صورة mysql
|
||||
* (ومنها MYSQL_ROOT_PASSWORD) تُقرأ مرة واحدة فقط عند تهيئة مجلّد
|
||||
* البيانات الفارغ أول مرة. بعد ذلك كلمة المرور تعيش داخل جدول
|
||||
* mysql.user لا في .env — فتعديل .env وحده يعني تطبيقاً يحمل كلمة
|
||||
* لا يقبلها الخادم: انقطاع كامل بلا أي تغيير في القاعدة نفسها.
|
||||
*
|
||||
* الترتيب الصحيح: ALTER USER في MySQL أولاً، ثم .env، ثم إعادة تشغيل
|
||||
* حاويات php (لا mysql، ولا إعادة بناء، ولا مساس بالبيانات إطلاقاً).
|
||||
*/
|
||||
const DB_CREDENTIALS = [
|
||||
'DB_PRIMARY_PASS_V2', 'DB_PRIMARY_PASS', 'DB_TRACKING_PASS',
|
||||
'DB_RIDE_PASS', 'DB_TRANSIT_PASS', 'DB_FOOD_PASS', 'DB_PAYMENT_PASS',
|
||||
'MYSQL_ROOT_PASSWORD', 'REDIS_PASSWORD', 'REDIS_MAIN_PASSWORD',
|
||||
'REDIS_LOCATION_PASSWORD', 'REDIS_AUTH', 'REDIS_MAIN_AUTH',
|
||||
];
|
||||
|
||||
// ═══════════════════════════════════════════════════════════════
|
||||
// القراءة
|
||||
// ═══════════════════════════════════════════════════════════════
|
||||
|
||||
if (!is_readable($envFile)) {
|
||||
fwrite(STDERR, "لا يمكن قراءة $envFile\n");
|
||||
exit(1);
|
||||
}
|
||||
|
||||
$lines = file($envFile, FILE_IGNORE_NEW_LINES);
|
||||
$present = [];
|
||||
foreach ($lines as $line) {
|
||||
if (preg_match('/^\s*([A-Z0-9_]+)\s*=\s*(.*)$/', $line, $m)) {
|
||||
$present[$m[1]] = trim($m[2], "\"' ");
|
||||
}
|
||||
}
|
||||
|
||||
/** قيمة نائبة لا سرّاً: موجودة شكلاً وغائبة فعلاً. */
|
||||
$isPlaceholder = static function (string $v): bool {
|
||||
if ($v === '') return true;
|
||||
return (bool) preg_match('/^(<?CHANGE_ME|changeme|your[_-]|xxx+|TODO|REPLACE)/i', $v);
|
||||
};
|
||||
|
||||
echo "ملف البيئة: $envFile\n";
|
||||
echo str_repeat('─', 62) . "\n";
|
||||
|
||||
$toSeed = [];
|
||||
|
||||
$report = static function (string $title, array $keys, array $present,
|
||||
callable $isPlaceholder, ?array &$toSeed = null,
|
||||
bool $seedable = false) {
|
||||
echo "\n▸ $title\n";
|
||||
foreach ($keys as $k => $v) {
|
||||
$name = is_int($k) ? $v : $k;
|
||||
$bytes = is_int($k) ? 0 : $v;
|
||||
|
||||
$exists = array_key_exists($name, $present);
|
||||
$blank = $exists && $isPlaceholder($present[$name]);
|
||||
|
||||
$state = !$exists ? 'مفقود' : ($blank ? 'نائب' : 'مضبوط');
|
||||
printf(" %-30s %s\n", $name, $state);
|
||||
|
||||
if ($seedable && ($state !== 'مضبوط') && $toSeed !== null) {
|
||||
$toSeed[$name] = $bytes ?: 32;
|
||||
}
|
||||
}
|
||||
};
|
||||
|
||||
$report('أسرار داخلية (تُولَّد وتُدوَّر بحرية)', GENERATED, $present, $isPlaceholder, $toSeed, true);
|
||||
$report('مرتبطة بالجلسات (تدويرها يُخرج الجميع)', SESSION_SCOPED, $present, $isPlaceholder, $toSeed, true);
|
||||
$report('⛔ مجمّدة — لا تُدوَّر (بيانات مخزَّنة مشتقّة منها)', FROZEN, $present, $isPlaceholder);
|
||||
$report('اعتماد قواعد البيانات (يُغيَّر في MySQL أولاً لا هنا)', DB_CREDENTIALS, $present, $isPlaceholder);
|
||||
$report('طرف ثالث (تُنسخ من لوحة المزوّد)', EXTERNAL, $present, $isPlaceholder);
|
||||
|
||||
echo "\n" . str_repeat('─', 62) . "\n";
|
||||
|
||||
if ($command !== 'seed') {
|
||||
echo empty($toSeed)
|
||||
? "لا ينقص شيء قابل للتوليد.\n"
|
||||
: 'قابل للزراعة: ' . count($toSeed) . " مفتاحاً. شغّل: php env_keys.php seed\n";
|
||||
exit(0);
|
||||
}
|
||||
|
||||
// ═══════════════════════════════════════════════════════════════
|
||||
// الزراعة
|
||||
// ═══════════════════════════════════════════════════════════════
|
||||
|
||||
if (empty($toSeed)) {
|
||||
echo "لا ينقص شيء قابل للتوليد.\n";
|
||||
exit(0);
|
||||
}
|
||||
|
||||
// لا نلمس مفتاحاً مضبوطاً أبداً: هذه الأداة تملأ الفراغ فقط. التدوير
|
||||
// قرار واعٍ له تبعات (جلسات، خوادم أخرى تحمل نفس السرّ)، ولا يجوز أن
|
||||
// يقع كأثر جانبي لتشغيل أداة جرد.
|
||||
$additions = [];
|
||||
foreach ($toSeed as $name => $bytes) {
|
||||
$value = bin2hex(random_bytes($bytes));
|
||||
$additions[$name] = $value;
|
||||
echo "توليد $name (" . ($bytes * 2) . " حرفاً)\n";
|
||||
}
|
||||
|
||||
if ($dryRun) {
|
||||
echo "\n[dry-run] لم يُكتب شيء.\n";
|
||||
exit(0);
|
||||
}
|
||||
|
||||
// نسخة احتياطية قبل أي كتابة. ملف .env تالف يعني توقف كل شيء، وهو
|
||||
// غير موجود في git بطبيعته فلا مصدر آخر لاستعادته.
|
||||
$backup = $envFile . '.bak.' . date('Ymd_His');
|
||||
if (!copy($envFile, $backup)) {
|
||||
fwrite(STDERR, "تعذّرت النسخة الاحتياطية — أُلغيت العملية.\n");
|
||||
exit(1);
|
||||
}
|
||||
@chmod($backup, 0600);
|
||||
echo "\nنسخة احتياطية: $backup\n";
|
||||
|
||||
$out = rtrim(file_get_contents($envFile), "\n") . "\n";
|
||||
|
||||
// نستبدل السطر النائب في مكانه، ونُلحق المفقود في النهاية — الاستبدال
|
||||
// في المكان يبقي التعليقات المجاورة مفيدة.
|
||||
foreach ($additions as $name => $value) {
|
||||
if (array_key_exists($name, $present)) {
|
||||
$out = preg_replace(
|
||||
'/^\s*' . preg_quote($name, '/') . '\s*=.*$/m',
|
||||
"$name=$value",
|
||||
$out,
|
||||
1
|
||||
);
|
||||
unset($additions[$name]);
|
||||
}
|
||||
}
|
||||
|
||||
if (!empty($additions)) {
|
||||
$out .= "\n# ── زُرعت تلقائياً بـ tools/env_keys.php في " . date('Y-m-d H:i') . " ──\n";
|
||||
foreach ($additions as $name => $value) {
|
||||
$out .= "$name=$value\n";
|
||||
}
|
||||
}
|
||||
|
||||
if (file_put_contents($envFile, $out) === false) {
|
||||
fwrite(STDERR, "تعذّرت الكتابة. النسخة الاحتياطية سليمة: $backup\n");
|
||||
exit(1);
|
||||
}
|
||||
@chmod($envFile, 0600);
|
||||
|
||||
echo "\nتمّت الزراعة.\n";
|
||||
echo "الخطوة التالية — أعد تشغيل حاويات php لتقرأ الجديد:\n";
|
||||
echo " docker compose restart php php_food php_transit\n\n";
|
||||
echo "تذكير: WEBHOOK_SECRET_KEY يجب أن يطابق RELAY_SECRET في\n";
|
||||
echo "sms_relay/app/build.gradle.kts — وهو يحتاج إعادة بناء للتطبيق.\n";
|
||||
Reference in New Issue
Block a user