Update: 2026-08-03 00:20:40

backend/marketing_engine/index.php

@@ -11,13 +11,18 @@ require_once __DIR__ . '/../core/Services/FcmService.php';
 
 header('Content-Type: application/json');
 
-// Simple bot authentication
+// مصادقة البوت.
+// كان هذا الفحص معطّلاً بالتعليق، فكانت النقطة مفتوحة على الإنترنت لأي أحد:
+// سحب مهام التسويق، وتعليمها منجزة، والكتابة في قاعدة البيانات.
+// القيمة الافتراضية هي نفسها المبنية حالياً في APK (BuildConfig.BOT_TOKEN)
+// حتى لا ينكسر البوت الميداني؛ غيّرها في الطرفين معاً عبر SOCIAL_BOT_TOKEN.
 $headers = getallheaders();
 $botToken = $headers['X-Bot-Token'] ?? '';
-// if ($botToken !== 'YOUR_SECRET_BOT_TOKEN') {
-//     http_response_code(401);
-//     exit(json_encode(['status' => 'error', 'message' => 'Unauthorized']));
-// }
+$expectedToken = getenv('SOCIAL_BOT_TOKEN') ?: 'YOUR_SECRET_BOT_TOKEN';
+if (!hash_equals($expectedToken, $botToken)) {
+    http_response_code(401);
+    exit(json_encode(['status' => 'error', 'message' => 'Unauthorized']));
+}
 
 $action = $_GET['action'] ?? '';
 $platform = $_GET['platform'] ?? 'facebook';