Update: 2026-08-03 00:20:40

backend/marketing_engine/social_worker.php

@@ -7,14 +7,17 @@
 require_once __DIR__ . '/../core/bootstrap.php';
 require_once __DIR__ . '/../functions.php';
 
-// Authentication and validation could be added here similar to driver_socket.php
-// For now, let's keep it simple or use a static token for the bot
+// مصادقة البوت.
+// كان جسم الشرط معطّلاً بالتعليق، فكان الفحص بلا أثر والنقطة مفتوحة على
+// الإنترنت: أي أحد يستطيع سحب المهام والكتابة في social_logs وقراءة الحسابات.
+// القيمة الافتراضية هي نفسها المبنية حالياً في APK (BuildConfig.BOT_TOKEN)
+// حتى لا ينكسر البوت الميداني؛ غيّرها في الطرفين معاً عبر SOCIAL_BOT_TOKEN.
 $headers = getallheaders();
 $botToken = $headers['X-Bot-Token'] ?? '';
-if ($botToken !== 'YOUR_SECRET_BOT_TOKEN') {
-    // In production, use a secure token or JWT
-    // http_response_code(401);
-    // exit(json_encode(['status' => 'error', 'message' => 'Unauthorized']));
+$expectedToken = getenv('SOCIAL_BOT_TOKEN') ?: 'YOUR_SECRET_BOT_TOKEN';
+if (!hash_equals($expectedToken, $botToken)) {
+    http_response_code(401);
+    exit(json_encode(['status' => 'error', 'message' => 'Unauthorized']));
 }
 
 $action = $_GET['action'] ?? '';