Guard debug logs in release and remove device-check bypass

Log.print used developer.log with no kDebugMode guard, so release
builds emitted wallet JWTs, the HMAC secret, phone numbers and full
API responses to os_log/logcat on the user's device. Both the rider
and driver apps were affected.

Also removes a hardcoded test-account condition in the rider login
flow that skipped the entire FCM-token/fingerprint comparison — and
therefore the device-change OTP — for one email address.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

siro_driver/lib/print.dart

@@ -1,9 +1,16 @@
 import 'dart:developer' as developer;
 
+import 'package:flutter/foundation.dart' show kDebugMode;
+
 class Log {
   Log._();
 
+  /// ⚠️ يُطبع في وضع التطوير فقط.
+  /// `developer.log` لا يُحذف في نسخة الإصدار — يذهب إلى os_log على iOS
+  /// و logcat على أندرويد، وكان يسرّب الـ JWT وسر الـ HMAC وأرقام الهواتف
+  /// وردود الـ API كاملة إلى سجلّ النظام على جهاز المستخدم.
   static void print(String value, {StackTrace? stackTrace}) {
+    if (!kDebugMode) return;
     developer.log(value, name: 'LOG', stackTrace: stackTrace);
   }
 

siro_rider/lib/controller/auth/login_controller.dart

@@ -418,7 +418,8 @@ class LoginController extends GetxController {
           force: true); // Fetch access token after clearing firstTimeLoadKey
 
       // ── 5. المقارنة: FCM token + fingerprint ──────────────────────
-      if (email != '962798583052@intaleqapp.com') {
+      // ملاحظة: كان هنا استثناء لحساب اختبار بعينه يتخطى الفحص بالكامل.
+      // حُذف — لا استثناءات على التحقق من تغيّر الجهاز.
       if (serverFCM == null &&
           tokenResp != null &&
           tokenResp != 'failure' &&
@@ -452,7 +453,6 @@ class LoginController extends GetxController {
           return;
         }
       }
-      }
 
       // 6) منطق الدعوة (إن وُجد) ثم الانتقال
       final invite = box.read(BoxName.inviteCode)?.toString() ?? 'none';

siro_rider/lib/print.dart

@@ -1,9 +1,16 @@
 import 'dart:developer' as developer;
 
+import 'package:flutter/foundation.dart' show kDebugMode;
+
 class Log {
   Log._();
 
+  /// ⚠️ يُطبع في وضع التطوير فقط.
+  /// `developer.log` لا يُحذف في نسخة الإصدار — يذهب إلى os_log على iOS
+  /// و logcat على أندرويد، وكان يسرّب الـ JWT وسر الـ HMAC وأرقام الهواتف
+  /// وردود الـ API كاملة إلى سجلّ النظام على جهاز المستخدم.
   static void print(String value, {StackTrace? stackTrace}) {
+    if (!kDebugMode) return;
     developer.log(value, name: 'LOG', stackTrace: stackTrace);
   }