إنهاء TLS أمام سوكيتات Workerman — إصلاح Socket Connect Error: timeout

السبب (مثبَّت على الإنتاج): التزام c35b350b بتاريخ 2026-07-23 — وهو التزام
تلقائي برسالة "Update: <time>" — أضاف المنفذ للروابط:
  -  'https://jordan-siro.intaleqapp.com'
  +  'https://jordan-siro.intaleqapp.com:2020'
وكانت القيمة العاملة قبل ذلك بلا منفذ (443) فيُنهي البروكسي TLS ويمرّر.

بإضافة :2020 صار التطبيق يضرب حاوية Workerman مباشرة، وهي تفتح المنفذ نصاً
صريحاً (new SocketIO(2020) بلا سياق SSL)، فمصافحة TLS تتجمّد حتى المهلة:
  ❌ Socket Connect Error: timeout
  ❌ Socket Connect Timeout: 20000
ونتيجته أن السائق لا يبعث update_location إطلاقاً ⇒ لا GPS في Redis ⇒ لا
موقع للراكب لا عبر السوكيت ولا عبر الـ polling (كلاهما يقرأ من نفس المصدر).

مثبَّت بالأدلة على السيرفر:
- ss: المنفذان 2020/3030 يملكهما docker-proxy (نص صريح)، و443 nginx.
- curl على 127.0.0.1:2020 يرد {"sid":...,"upgrades":["websocket"]} — أي أن
  الحاوية سليمة تماماً والناقص هو طبقة TLS وحدها.

الحل بلا أي بناء للتطبيقات (وبلا تنزيل مستوى الأمان — الـ JWT يُرسَل في
query string فلا يجوز إطلاقاً تحويله إلى http):
- الحاويتان تُنشران على 127.0.0.1:12020 و 127.0.0.1:13030 فقط.
- nginx على المضيف يستمع على 2020/3030 بشهادة الدومين ويمرّر إليهما مع
  ترقية WebSocket (nginx/siro-sockets-tls.conf).
- proxy_read/send_timeout 3600s: اتصال السائق يعيش ساعات، وبلا ذلك يقطعه
  nginx كل 60ث فتدخل الحاوية حلقة إعادة اتصال دائمة.
- proxy_buffering off و access_log off (نبضات GPS تُغرق القرص).

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docker/docker-compose.yml

@@ -63,8 +63,12 @@ services:
       - ./keys:/keys:ro
     env_file: .env
     ports:
-      - "2020:2020"          # WS للسائقين — عام
-      # 2021 داخلي فقط: الباك إند يناديه عبر http://socket_driver:2021
+      # ‏لا نفتح 2020 للعالم مباشرة: Workerman يتكلم نصاً صريحاً، والتطبيق يطلب
+      # ‏TLS على هذا المنفذ (‎https://…:2020‎) فتتجمّد المصافحة وينتهي بـ timeout.
+      # ‏nginx على المضيف يستمع على 2020 بالشهادة ويمرّر إلى 12020 هنا.
+      # ‏انظر nginx/siro-sockets-tls.conf
+      - "127.0.0.1:12020:2020"
+      # ‏و2021 داخلي فقط: الباك إند يناديه عبر http://socket_driver:2021
     depends_on:
       - redis
     mem_limit: 768m
@@ -84,7 +88,9 @@ services:
       - ./keys:/keys:ro
     env_file: .env
     ports:
-      - "3030:3030"
+      # ‏نفس منطق سوكيت السائقين: nginx على المضيف يستمع على 3030 بالشهادة
+      # ‏ويمرّر إلى 13030 هنا. و3031 داخلي فقط (http://socket_passenger:3031).
+      - "127.0.0.1:13030:3030"
     depends_on:
       - redis
     mem_limit: 512m