Update: 2026-08-07 04:35:28

backend/serviceapp/update_complaint.php

@@ -1,6 +1,17 @@
 <?php
 require_once __DIR__ . '/../connect.php';
 
+// ‏فحص الدور — كان غائباً تماماً بينما شقيقه getComplaintAllData.php يفحصه.
+// ‏مجلد serviceapp خارج بوّابة Admin/ المسارية، فكل ملف يحمي نفسه، وهذا
+// ‏كان مكشوفاً: أي حامل JWT صالح يقدر يغلق أي شكوى ويكتب نص قرارها.
+if ($role !== 'admin' && $role !== 'super_admin') {
+    http_response_code(403);
+    exit(json_encode([
+        'status'  => 'failure',
+        'message' => 'Forbidden. Support access required.',
+    ], JSON_UNESCAPED_UNICODE));
+}
+
 $id = filterRequest("id");
 $status = filterRequest("statusComplaint");
 $resolution = filterRequest("resolution");