Update: 2026-06-12 20:40:40

backend/Admin/auth/login.php

@@ -8,6 +8,7 @@ require_once __DIR__ . '/../../functions.php';
 
 $fingerprint = filterRequest('fingerprint');
 $password    = filterRequest('password');
+$phone       = filterRequest('phone');
 $audience    = filterRequest('aud') ?? 'admin';
 $isRenewal   = filterRequest('is_renewal') === '1';
 
@@ -16,6 +17,10 @@ if (empty($fingerprint) || empty($password)) {
     exit;
 }
 
+// Rate Limiting: 5 محاولات في الدقيقة لكل IP
+$rateLimiter = new RateLimiter($redis);
+$rateLimiter->enforce(RateLimiter::identifier(), 'login');
+
 try {
     $con = Database::get('main');
     
@@ -25,6 +30,28 @@ try {
     $stmt->execute([':fp' => $fpHash]);
     $admin = $stmt->fetch(PDO::FETCH_ASSOC);
 
+    // إذا لم يتم العثور بالبصمة، وتم تمرير رقم الهاتف (تسجيل دخول لأول مرة أو جهاز جديد)
+    if (!$admin && !empty($phone)) {
+        $encPhoneInput = $encryptionHelper->encryptData($phone);
+        $stmtPhone = $con->prepare("SELECT * FROM adminUser WHERE phone = :phone LIMIT 1");
+        $stmtPhone->execute([':phone' => $encPhoneInput]);
+        $admin = $stmtPhone->fetch(PDO::FETCH_ASSOC);
+        
+        // تأكيد كلمة المرور وتحديث بصمة الجهاز إذا تم إيجاد الحساب
+        if ($admin && password_verify($password, $admin['password'])) {
+            $encFpRaw = $encryptionHelper->encryptData($fingerprint);
+            $updateStmt = $con->prepare("UPDATE adminUser SET fingerprint = :fp_raw, fingerprint_hash = :fp WHERE id = :id");
+            $updateStmt->execute([
+                ':fp_raw' => $encFpRaw,
+                ':fp' => $fpHash,
+                ':id' => $admin['id']
+            ]);
+            $admin['fingerprint_hash'] = $fpHash; // Update locally
+        } else if ($admin) {
+            // Password incorrect, fail later.
+        }
+    }
+
     if ($admin) {
         // 1. التحقق من حالة الحساب
         if ($admin['status'] === 'pending') {
@@ -69,8 +96,8 @@ try {
                 exit;
             }
 
-            // 3. توليد رمز تحقق OTP وإرساله عبر WhatsApp
-            $otp = rand(10000, 99999);
+            // 3. توليد رمز تحقق OTP (6 أرقام) وإرساله عبر WhatsApp
+            $otp = rand(100000, 999999);
             $encryptedPhone = $admin['phone'] ?? '';
             
             if (empty($encryptedPhone)) {
@@ -112,7 +139,7 @@ try {
             jsonError("كلمة المرور غير صحيحة.");
         }
     } else {
-        jsonError("الجهاز غير مسجل كمشرف.");
+        jsonError("الحساب أو الجهاز غير مسجل. يرجى إدخال رقم هاتفك وكلمة المرور إذا كان هذا أول تسجيل دخول لك.");
     }
 } catch (Exception $e) {
     error_log("[Admin Login Error] " . $e->getMessage());