From afb5189515f3eaf04c55f01c7e07abe3e45d1c22 Mon Sep 17 00:00:00 2001
From: Hamza-Ayed <hamzaayedflutter@gmail.com>
Date: Mon, 27 Jul 2026 01:01:42 +0300
Subject: [PATCH] =?UTF-8?q?=D8=A5=D9=86=D9=87=D8=A7=D8=A1=20TLS=20=D8=A3?=
 =?UTF-8?q?=D9=85=D8=A7=D9=85=20=D8=B3=D9=88=D9=83=D9=8A=D8=AA=D8=A7=D8=AA?=
 =?UTF-8?q?=20Workerman=20=E2=80=94=20=D8=A5=D8=B5=D9=84=D8=A7=D8=AD=20Soc?=
 =?UTF-8?q?ket=20Connect=20Error:=20timeout?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

السبب (مثبَّت على الإنتاج): التزام c35b350b بتاريخ 2026-07-23 — وهو التزام
تلقائي برسالة "Update: <time>" — أضاف المنفذ للروابط:
  -  'https://jordan-siro.intaleqapp.com'
  +  'https://jordan-siro.intaleqapp.com:2020'
وكانت القيمة العاملة قبل ذلك بلا منفذ (443) فيُنهي البروكسي TLS ويمرّر.

بإضافة :2020 صار التطبيق يضرب حاوية Workerman مباشرة، وهي تفتح المنفذ نصاً
صريحاً (new SocketIO(2020) بلا سياق SSL)، فمصافحة TLS تتجمّد حتى المهلة:
  ❌ Socket Connect Error: timeout
  ❌ Socket Connect Timeout: 20000
ونتيجته أن السائق لا يبعث update_location إطلاقاً ⇒ لا GPS في Redis ⇒ لا
موقع للراكب لا عبر السوكيت ولا عبر الـ polling (كلاهما يقرأ من نفس المصدر).

مثبَّت بالأدلة على السيرفر:
- ss: المنفذان 2020/3030 يملكهما docker-proxy (نص صريح)، و443 nginx.
- curl على 127.0.0.1:2020 يرد {"sid":...,"upgrades":["websocket"]} — أي أن
  الحاوية سليمة تماماً والناقص هو طبقة TLS وحدها.

الحل بلا أي بناء للتطبيقات (وبلا تنزيل مستوى الأمان — الـ JWT يُرسَل في
query string فلا يجوز إطلاقاً تحويله إلى http):
- الحاويتان تُنشران على 127.0.0.1:12020 و 127.0.0.1:13030 فقط.
- nginx على المضيف يستمع على 2020/3030 بشهادة الدومين ويمرّر إليهما مع
  ترقية WebSocket (nginx/siro-sockets-tls.conf).
- proxy_read/send_timeout 3600s: اتصال السائق يعيش ساعات، وبلا ذلك يقطعه
  nginx كل 60ث فتدخل الحاوية حلقة إعادة اتصال دائمة.
- proxy_buffering off و access_log off (نبضات GPS تُغرق القرص).

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
---
 docker/docker-compose.yml          |  12 +++-
 docker/nginx/siro-sockets-tls.conf | 106 +++++++++++++++++++++++++++++
 2 files changed, 115 insertions(+), 3 deletions(-)
 create mode 100644 docker/nginx/siro-sockets-tls.conf

diff --git a/docker/docker-compose.yml b/docker/docker-compose.yml
index e87ac8c3..46e1fc1e 100644
--- a/docker/docker-compose.yml
+++ b/docker/docker-compose.yml
@@ -63,8 +63,12 @@ services:
       - ./keys:/keys:ro
     env_file: .env
     ports:
-      - "2020:2020"          # WS للسائقين — عام
-      # 2021 داخلي فقط: الباك إند يناديه عبر http://socket_driver:2021
+      # ‏لا نفتح 2020 للعالم مباشرة: Workerman يتكلم نصاً صريحاً، والتطبيق يطلب
+      # ‏TLS على هذا المنفذ (‎https://…:2020‎) فتتجمّد المصافحة وينتهي بـ timeout.
+      # ‏nginx على المضيف يستمع على 2020 بالشهادة ويمرّر إلى 12020 هنا.
+      # ‏انظر nginx/siro-sockets-tls.conf
+      - "127.0.0.1:12020:2020"
+      # ‏و2021 داخلي فقط: الباك إند يناديه عبر http://socket_driver:2021
     depends_on:
       - redis
     mem_limit: 768m
@@ -84,7 +88,9 @@ services:
       - ./keys:/keys:ro
     env_file: .env
     ports:
-      - "3030:3030"
+      # ‏نفس منطق سوكيت السائقين: nginx على المضيف يستمع على 3030 بالشهادة
+      # ‏ويمرّر إلى 13030 هنا. و3031 داخلي فقط (http://socket_passenger:3031).
+      - "127.0.0.1:13030:3030"
     depends_on:
       - redis
     mem_limit: 512m
diff --git a/docker/nginx/siro-sockets-tls.conf b/docker/nginx/siro-sockets-tls.conf
new file mode 100644
index 00000000..3b98809e
--- /dev/null
+++ b/docker/nginx/siro-sockets-tls.conf
@@ -0,0 +1,106 @@
+# ══════════════════════════════════════════════════════════════════
+# ‏إنهاء TLS أمام سوكيتات Workerman
+# ══════════════════════════════════════════════════════════════════
+# ‏يُنسَخ على **المضيف** لا داخل الحاويات:
+#   /etc/nginx/sites-enabled/siro-sockets-tls.conf
+#
+# ‏المشكلة التي يحلّها: حاويتا السوكيت تفتحان المنفذين نصاً صريحاً
+# (‏new SocketIO(2020)‎ و ‎new SocketIO(3030)‎ بلا سياق SSL)، بينما
+# ‏التطبيقان يطلبان ‎https://jordan-siro.intaleqapp.com:2020‎ و ‎:3030‎.
+# ‏مصافحة TLS ضد منفذ لا يتكلم TLS تتجمّد حتى المهلة، فيظهر في اللوج:
+#   Socket Connect Error: timeout
+#
+# ‏الحل: الحاويتان تُنشران على 127.0.0.1 فقط (12020 / 13030 — انظر
+# ‏docker-compose.yml)، و nginx هنا يستمع على 2020 / 3030 بشهادة الدومين
+# ‏ويمرّر إليهما مع ترقية WebSocket. النتيجة: روابط التطبيقين تبقى كما هي
+# ‏بلا أي بناء جديد، والـ JWT في الـ query string يبقى داخل نفق TLS.
+# ══════════════════════════════════════════════════════════════════
+
+# ‏اسم مميّز يتفادى التضارب مع أي map باسم ‎$connection_upgrade‎ قد يكون
+# ‏CloudPanel معرِّفه أصلاً في سياق http.
+map $http_upgrade $siro_connection_upgrade {
+    default upgrade;
+    ''      close;
+}
+
+# ── سوكيت السائقين — GPS ─────────────────────────────────────────
+server {
+    listen 2020 ssl;
+    listen [::]:2020 ssl;
+    http2 on;
+
+    server_name jordan-siro.intaleqapp.com;
+
+    # ‏عدّل المسارين إن كانت شهادتك في مكان آخر — تحقّق بالأمر:
+    #   grep -rh ssl_certificate /etc/nginx/sites-enabled/ | sort -u
+    ssl_certificate     /etc/nginx/ssl-certificates/jordan-siro.intaleqapp.com.crt;
+    ssl_certificate_key /etc/nginx/ssl-certificates/jordan-siro.intaleqapp.com.key;
+
+    ssl_protocols       TLSv1.2 TLSv1.3;
+    ssl_session_cache   shared:SiroSock:10m;
+    ssl_session_timeout 1d;
+
+    # ‏لا سجلّ وصول: نبضات GPS تصل كل ثوانٍ وتُغرق القرص
+    access_log off;
+    error_log  /var/log/nginx/siro-socket-driver-error.log warn;
+
+    location / {
+        proxy_pass http://127.0.0.1:12020;
+
+        proxy_http_version 1.1;
+        proxy_set_header Upgrade    $http_upgrade;
+        proxy_set_header Connection $siro_connection_upgrade;
+
+        proxy_set_header Host              $host;
+        proxy_set_header X-Real-IP         $remote_addr;
+        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
+        proxy_set_header X-Forwarded-Proto $scheme;
+
+        # ‏اتصال السائق يعيش ساعات وهو أونلاين — بلا هذه المهل يقطعه nginx
+        # ‏كل 60 ثانية فتدخل الحاوية في حلقة إعادة اتصال دائمة.
+        proxy_connect_timeout 10s;
+        proxy_send_timeout    3600s;
+        proxy_read_timeout    3600s;
+
+        # ‏التخزين المؤقّت يُعطّل الدفع الفوري في WebSocket
+        proxy_buffering off;
+    }
+}
+
+# ── سوكيت الركاب — حالة الرحلة وموقع السائق ──────────────────────
+server {
+    listen 3030 ssl;
+    listen [::]:3030 ssl;
+    http2 on;
+
+    server_name jordan-siro.intaleqapp.com;
+
+    ssl_certificate     /etc/nginx/ssl-certificates/jordan-siro.intaleqapp.com.crt;
+    ssl_certificate_key /etc/nginx/ssl-certificates/jordan-siro.intaleqapp.com.key;
+
+    ssl_protocols       TLSv1.2 TLSv1.3;
+    ssl_session_cache   shared:SiroSock:10m;
+    ssl_session_timeout 1d;
+
+    access_log off;
+    error_log  /var/log/nginx/siro-socket-passenger-error.log warn;
+
+    location / {
+        proxy_pass http://127.0.0.1:13030;
+
+        proxy_http_version 1.1;
+        proxy_set_header Upgrade    $http_upgrade;
+        proxy_set_header Connection $siro_connection_upgrade;
+
+        proxy_set_header Host              $host;
+        proxy_set_header X-Real-IP         $remote_addr;
+        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
+        proxy_set_header X-Forwarded-Proto $scheme;
+
+        proxy_connect_timeout 10s;
+        proxy_send_timeout    3600s;
+        proxy_read_timeout    3600s;
+
+        proxy_buffering off;
+    }
+}