Update: 2026-08-07 19:10:47

2026-08-07 19:10:47 +03:00
parent 0db59647eb
commit 611b5e616d
4 changed files with 681 additions and 81 deletions
@@ -0,0 +1,142 @@
+<?php
+/**
+ * tools/env_registry.php — تصنيف مفاتيح البيئة وقراءة/كتابة .env
+ * ─────────────────────────────────────────────────────────────
+ * ‏مصدر واحد للحقيقة تستعمله الأداة السطرية (env_keys.php) واللوحة
+ * ‏(panel/index.php) معاً. نسختان من التصنيف كانتا ستتباعدان، وأخطر ما
+ * ‏فيهما التباعد هو قائمة «المجمّدة» — مفتاح يسقط منها في نسخة يعني
+ * ‏لوحةً تعرضه قابلاً للتعديل.
+ */
+
+// ═══════════════════════════════════════════════════════════════
+// الأصناف
+// ═══════════════════════════════════════════════════════════════
+
+/** ‏أسرار داخلية: طرفاها كلاهما لنا. التوليد والتدوير آمنان. */
+const ENV_GENERATED = [
+    'S2S_SHARED_KEY'       => 32,
+    'WEBHOOK_SECRET_KEY'   => 32,
+    'INTERNAL_SOCKET_KEY'  => 32,
+    'BOT_SECRET_KEY'       => 24,
+    'FCM_INTERNAL_API_KEY' => 32,
+    'MIGRATION_ADMIN_KEY'  => 24,
+    'PAYMENT_KEY'          => 32,
+];
+
+/** ‏تدويرها يبطل كل الجلسات القائمة — حدث تشغيلي واعٍ لا روتين. */
+const ENV_SESSION_SCOPED = [
+    'JWT_SECRET_KEY'  => 64,
+    'SECRET_KEY_HMAC' => 32,
+];
+
+/**
+ * ‏⛔ مجمّدة. بيانات مخزَّنة في القاعدة مشتقّة منها:
+ *   ENC_KEY            — أسماء الركّاب وهواتفهم ولوحات السيارات مشفّرة به
+ *   BLIND_INDEX_PEPPER — أعمدة *_bidx محسوبة به ومخزَّنة
+ *   TRACKING_SECRET_SALT / FP_PEPPER — قيم مشتقّة مخزَّنة
+ *
+ * ‏تغييرها لا يعيد تشفير شيء: يجعل الصفوف القديمة غير قابلة للقراءة
+ * ‏إلى الأبد، ولا نسخة احتياطية تنفع لأنها مشفّرة بالمفتاح القديم.
+ * ‏تدويرها ترحيلُ بيانات لا تغييرُ إعداد.
+ *
+ * ‏اللوحة تعرض حالتها فقط — لا قيمتها ولا حقل تعديل.
+ */
+const ENV_FROZEN = [
+    'ENC_KEY', 'ENCRYPTION_KEY_PATH', 'ENCRYPTION_MODE',
+    'BLIND_INDEX_PEPPER', 'TRACKING_SECRET_SALT', 'FP_PEPPER',
+];
+
+/** ‏لا تُولَّد — تُنسخ من لوحة المزوّد. قابلة للتحرير يدوياً. */
+const ENV_EXTERNAL = [
+    'GEMINI_API_KEY', 'NABEH_API_KEY', 'NABEH_PASSWORD', 'NABEH_OTP_APP_KEY',
+    'ELEVENLABS_API_KEY', 'CREATOMATE_API_KEY', 'SOCIAL_BOT_TOKEN',
+    'MAIL_PASSWORD', 'SIRO_SMTP_PASSWORD', 'SMS_PASSWORD_EGYPT',
+    'VOICE_CALL_API_KEY', 'RASEEL_DRIVER_ACCESS_TOKEN',
+];
+
+/**
+ * ‏كلمات مرور القواعد ← اسم المستخدم ومتغيّر اسم القاعدة.
+ *
+ * ‏تغييرها في .env وحده لا يفعل شيئاً: متغيّرات صورة mysql تُقرأ مرة
+ * ‏واحدة عند تهيئة مجلّد بيانات فارغ، وبعدها كلمة المرور تعيش في
+ * ‏mysql.user. الترتيب الصحيح ALTER USER ثم .env — واللوحة تفعله
+ * ‏بهذا الترتيب وتتحقّق قبل أن تكتب.
+ */
+const ENV_DB_CREDENTIALS = [
+    'DB_PRIMARY_PASS_V2' => ['user' => 'DB_PRIMARY_USER_V2', 'db' => 'DB_PRIMARY_NAME_V2'],
+    'DB_PRIMARY_PASS'    => ['user' => 'DB_PRIMARY_USER',    'db' => 'DB_PRIMARY_NAME'],
+    'DB_TRACKING_PASS'   => ['user' => 'DB_TRACKING_USER',   'db' => 'DB_TRACKING_NAME'],
+    'DB_RIDE_PASS'       => ['user' => 'DB_RIDE_USER',       'db' => 'DB_RIDE_NAME'],
+    'DB_TRANSIT_PASS'    => ['user' => 'DB_TRANSIT_USER',    'db' => 'DB_TRANSIT_NAME'],
+    'DB_FOOD_PASS'       => ['user' => 'DB_FOOD_USER',       'db' => 'DB_FOOD_NAME'],
+];
+
+/** ‏يقرأ .env إلى مصفوفة. */
+function envRead(string $file): array
+{
+    if (!is_readable($file)) return [];
+    $out = [];
+    foreach (file($file, FILE_IGNORE_NEW_LINES) as $line) {
+        if (preg_match('/^\s*([A-Z0-9_]+)\s*=\s*(.*)$/', $line, $m)) {
+            $out[$m[1]] = trim($m[2], "\"' ");
+        }
+    }
+    return $out;
+}
+
+/** ‏قيمة نائبة: موجودة شكلاً وغائبة فعلاً. */
+function envIsPlaceholder(?string $v): bool
+{
+    if ($v === null || $v === '') return true;
+    return (bool) preg_match('/^(<?CHANGE_ME|changeme|your[_-]|xxx+|TODO|REPLACE)/i', $v);
+}
+
+/**
+ * ‏يكتب مفاتيح في .env مع نسخة احتياطية.
+ *
+ * ‏الاستبدال في المكان يبقي التعليقات المجاورة مفيدة، والمفقود يُلحق
+ * ‏في النهاية.
+ *
+ * @return string|null ‏مسار النسخة الاحتياطية، أو null عند الفشل.
+ */
+function envWrite(string $file, array $changes): ?string
+{
+    if (empty($changes)) return null;
+
+    // ‏.env التالف يوقف كل شيء، وهو خارج git بطبيعته فلا مصدر لاستعادته.
+    $backup = $file . '.bak.' . date('Ymd_His');
+    if (!copy($file, $backup)) return null;
+    @chmod($backup, 0600);
+
+    $out = rtrim((string) file_get_contents($file), "\n") . "\n";
+    $append = [];
+
+    foreach ($changes as $name => $value) {
+        $line = "$name=$value";
+        if (preg_match('/^\s*' . preg_quote($name, '/') . '\s*=/m', $out)) {
+            $out = preg_replace(
+                '/^\s*' . preg_quote($name, '/') . '\s*=.*$/m',
+                str_replace('$', '\\$', $line),
+                $out,
+                1
+            );
+        } else {
+            $append[] = $line;
+        }
+    }
+
+    if ($append) {
+        $out .= "\n# ── " . date('Y-m-d H:i') . " ──\n" . implode("\n", $append) . "\n";
+    }
+
+    if (file_put_contents($file, $out) === false) return null;
+    @chmod($file, 0600);
+
+    return $backup;
+}
+
+/** ‏سرّ عشوائي بصيغة hex. */
+function envGenerate(int $bytes = 32): string
+{
+    return bin2hex(random_bytes($bytes));
+}