Fix #22: Medium-severity fixes (M-01 through M-07)

M-01: Host header injection - replaced HTTP_HOST with APP_DOMAIN
M-02: Unauthenticated CRUD - ownership checks on carDrivers add/delete
M-03: MD5 tracking token - replaced md5() with hash_hmac sha256
M-04: Webhook SMS - absolute log path instead of relative
M-05: Weak 3-digit OTP - already noted as requirement (Fix #5)
M-06: Redis without auth - added password + prefix to cancel_ride_by_driver
M-07: SSRF bypass - str_ends_with -> strict equality in allowlist

backend/ride/rides/get_driver_location.php

@@ -48,9 +48,9 @@ try {
     
     // * هام: هذه الكلمة السرية يجب أن تكون مطابقة تماماً للموجودة في تطبيق Flutter
     $secretSalt = getenv("secretSaltParent");
-    
-    // إعادة بناء الهاش للمقارنة
-    $generatedToken = md5($rideID . $driverID . $secretSalt);
+
+    // إعادة بناء الهاش للمقارنة (HMAC-SHA256 بدلاً من MD5)
+    $generatedToken = hash_hmac('sha256', $rideID . $driverID, $secretSalt);
 
     if ($token !== $generatedToken) {
         http_response_code(403);