fix: resolve stale price display in driver ratings and remove misleading discount UI in rider ratings

backend/Admin/driver/updateDriverFromAdmin.php

@@ -1,6 +1,14 @@
 <?php
 require_once __DIR__ . '/../../connect.php';
 
+// 🔥 [Fix Broken Access Control] كان يتحقق من صلاحية التوكن فقط — أي مستخدم
+// مسجّل دخول كان يقدر يغيّر حالة أي سائق (تفعيل/رفض) أو رقم هاتفه.
+if ($role !== 'admin' && $role !== 'super_admin') {
+    http_response_code(403);
+    echo json_encode(['error' => 'Unauthorized access. Admin role required.']);
+    exit;
+}
+
 $driver_id = filterRequest("id");
 $phone     = filterRequest("phone");
 $status    = filterRequest("status");

backend/auth/syria/driver/driver_details.php

@@ -1,6 +1,15 @@
 <?php
 require_once __DIR__ . '/../../../connect.php';
 
+// 🔥 [Fix Broken Access Control] كان يتحقق من صلاحية التوكن فقط — أي مستخدم
+// مسجّل دخول (راكب/سائق آخر) كان يقدر يجلب بيانات أي سائق مفكوكة التشفير
+// (هوية وطنية، هاتف، عنوان...) بالإضافة لروابط وثائقه الشخصية.
+if ($role !== 'admin' && $role !== 'super_admin') {
+    http_response_code(403);
+    echo json_encode(['error' => 'Unauthorized access. Admin role required.']);
+    exit;
+}
+
 $driverId = filterRequest("id");
 
 if (empty($driverId)) {

backend/auth/syria/driver/drivers_pending_list.php

@@ -1,6 +1,15 @@
 <?php
 require_once __DIR__ . '/../../../connect.php';
 
+// 🔥 [Fix Broken Access Control] كان يتحقق من صلاحية التوكن فقط بدون التحقق
+// من الدور — أي توكن صالح (حتى راكب) كان يقدر يسحب قائمة السائقين المعلّقين
+// وبياناتهم الشخصية المفكوكة التشفير.
+if ($role !== 'admin' && $role !== 'super_admin') {
+    http_response_code(403);
+    echo json_encode(['error' => 'Unauthorized access. Admin role required.']);
+    exit;
+}
+
 $limit = isset($_POST['limit']) ? (int)$_POST['limit'] : (isset($_GET['limit']) ? (int)$_GET['limit'] : 10);
 $offset = isset($_POST['offset']) ? (int)$_POST['offset'] : (isset($_GET['offset']) ? (int)$_GET['offset'] : 0);
 

backend/auth/syria/register_passenger.php

@@ -58,9 +58,31 @@ try {
     $firstName_encrypted   = $encryptionHelper->encryptData($firstName);
     $lastName_encrypted    = $encryptionHelper->encryptData($lastName);
     $email_encrypted       = $encryptionHelper->encryptData($email);
-    $password_hashed       = password_hash($email, PASSWORD_DEFAULT); 
+    $password_hashed       = password_hash($email, PASSWORD_DEFAULT);
     $unknown_encrypted     = $encryptionHelper->encryptData("unknown yet");
 
+    // ======================================================
+    // Step 4.5: التحقق الفعلي من ملكية رقم الهاتف (🔥 Fix)
+    // ======================================================
+    // كانت هذه النقطة تسمح بإنشاء حساب راكب بأي رقم هاتف بدون إثبات
+    // ملكيته فعلياً — auth/otp/verify.php يُعلّم الصف verified=1 لكن
+    // register_passenger.php لم يكن يتحقق من ذلك إطلاقاً. الآن نشترط
+    // وجود صف تحقق ناجح (verified=1) لنفس رقم الهاتف خلال آخر 30 دقيقة
+    // (مهلة أوسع من صلاحية الرمز نفسه [5 دقائق] لإعطاء وقت كافٍ لإكمال
+    // نموذج التسجيل بعد التحقق مباشرة).
+    $step = 4.5;
+    $verifyCheckStmt = $con->prepare(
+        "SELECT id FROM phone_verification_passenger
+         WHERE phone_number = ? AND verified = 1 AND created_at > DATE_SUB(NOW(), INTERVAL 30 MINUTE)
+         LIMIT 1"
+    );
+    $verifyCheckStmt->execute([$phoneNumber_encrypted]);
+    if ($verifyCheckStmt->rowCount() === 0) {
+        error_log("$logTag Step 4.5 Error: Phone number not verified via OTP.");
+        jsonError("Phone number must be verified before registration.");
+        exit();
+    }
+
     // ======================================================
     // Step 5: إنشاء ID فريد
     // ======================================================