Update: 2026-08-02 17:52:28

backend/login.php

@@ -14,6 +14,25 @@ header('Content-Type: application/json');
 
 $startTime = microtime(true);
 
+/**
+ * هل البصمة المخزّنة بالصيغة القديمة (AES-GCM) التي يستحيل مطابقتها؟
+ *
+ *  • ''            ⇒ مستخدم بلا بصمة مسجّلة بعد            → يُسمح بالترحيل
+ *  • 'GCM:…'       ⇒ ناتج AES-GCM خام (addToken/verify_otp) → يُسمح بالترحيل
+ *  • 64 محرف hex   ⇒ hash لناتج GCM كتبه الترحيل القديم     → يُسمح بالترحيل
+ *  • غير ذلك       ⇒ AES-CBC حتمي (الصيغة الجديدة)          → مقارنة صارمة
+ */
+function isLegacyGcmFingerprint(string $storedFp): bool
+{
+    if ($storedFp === '') {
+        return true;
+    }
+    if (str_starts_with($storedFp, 'GCM:')) {
+        return true;
+    }
+    return (bool)preg_match('/^[0-9a-f]{64}$/i', $storedFp);
+}
+
 try {
     $limiter = new RateLimiter($redis);
     $limiter->enforce(RateLimiter::identifier(), 'login');
@@ -26,6 +45,20 @@ try {
         jsonError('Missing required parameters', 400);
     }
 
+    // ── التحقق من الـ audience (نفس منطق loginFirstTime.php) ────────
+    // يمنع استخراج توكن بـ audience المحفظة من مسار الراكب العادي.
+    $allowed1 = getenv('allowed1');
+    $allowed2 = getenv('allowed2');
+    $allowedAudiences = array_values(array_filter([$allowed1, $allowed2]));
+
+    if (!in_array($audience, $allowedAudiences, true)) {
+        securityLog("Login rejected: invalid audience", [
+            'passengerId' => $passengerId,
+            'audience'    => $audience,
+        ]);
+        jsonError('Invalid audience', 400);
+    }
+
     $con = Database::get('main');
 
     // التحقق من الجهاز من خلال البصمة
@@ -39,11 +72,10 @@ try {
     $row = $stmt->fetch();
 
     $fpVerified = false;
-    $fpJustSaved = false;
     if ($row) {
         $fpPepper = getenv('FP_PEPPER') ?: '';
         $storedFp = $row['fingerPrint'] ?? $row['fingerprint'] ?? '';
-        
+
         // دعم الطريقة الجديدة (hash) والقديمة (مباشر)
         if ($fpPepper) {
             $expectedHash = hash('sha256', $fingerprint . $fpPepper);
@@ -55,13 +87,23 @@ try {
             $fpVerified = hash_equals($storedFp, $fingerprint);
         }
 
-        // بصمة GCM تتغير في كل مرة (random IV) لذا نقبل أي بصمة جديدة ونحدثها
-        if (!$fpVerified && !empty($fingerprint)) {
-            $fpPepper = getenv('FP_PEPPER') ?: '';
-            $newHash = $fpPepper ? hash('sha256', $fingerprint . $fpPepper) : $fingerprint;
+        // ── ترحيل لمرة واحدة: بصمات AES-GCM القديمة ────────────────
+        // النسخ القديمة من تطبيق الراكب كانت تشفّر البصمة بـ AES-GCM
+        // بـ IV عشوائي، فالناتج يختلف في كل مرة ولا يمكن مطابقته إطلاقاً.
+        // النسخة الجديدة تستخدم AES-CBC بـ IV ثابت (ناتج حتمي).
+        // لذلك نقبل استبدال البصمة مرة واحدة فقط عندما تكون المخزّنة
+        // بصيغة GCM القديمة؛ وأي بصمة بالصيغة الجديدة تُقارن بصرامة
+        // ويتكفّل مسار الـ OTP بتغيير الجهاز.
+        // ⚠️ يُحذف هذا الفرع بعد اكتمال ترحيل المستخدمين.
+        if (!$fpVerified && !empty($fingerprint) && isLegacyGcmFingerprint($storedFp)) {
+            // نخزّن القيمة الخام (كما يفعل addToken.php و verify_otp.php)
+            // كي تبقى الصيغة قابلة للتمييز في الطلبات القادمة.
             $updateStmt = $con->prepare('UPDATE tokens SET fingerPrint = :fp WHERE passengerID = :pid');
-            $updateStmt->execute([':fp' => $newHash, ':pid' => $passengerId]);
+            $updateStmt->execute([':fp' => $fingerprint, ':pid' => $passengerId]);
             $fpVerified = true;
+            securityLog("Legacy GCM fingerprint migrated to CBC", [
+                'passengerId' => $passengerId,
+            ]);
         }
     }