Update: 2026-06-12 20:40:40

backend/Admin/auth/register.php

@@ -1,9 +1,10 @@
 <?php
 /**
  * Admin/auth/register.php
- * التسجيل الذاتي للمشرفين - الحساب يكون بحالة pending بانتظار موافقة السوبر أدمن
+ * التسجيل الذاتي للمشرفين (Admins) مع التحقق من الصلاحيات من ملف .env
  */
 require_once __DIR__ . '/../../core/bootstrap.php';
+require_once __DIR__ . '/../../functions.php';
 
 $name        = filterRequest('name');
 $phone       = filterRequest('phone');
@@ -11,49 +12,75 @@ $password    = filterRequest('password');
 $fingerprint = filterRequest('fingerprint');
 
 if (empty($name) || empty($phone) || empty($password) || empty($fingerprint)) {
-    jsonError("All fields are required.");
+    jsonError("جميع الحقول مطلوبة بما فيها بصمة الجهاز.");
     exit;
 }
 
 try {
-    $con = Database::get('main');
-
-    // 1. التحقق من عدم وجود الحساب مسبقاً (عن طريق الهاتف أو البصمة)
-    $fpHash = hash('sha256', $fingerprint);
-    $check = $con->prepare("SELECT id FROM adminUser WHERE phone = ? OR fingerprint_hash = ? LIMIT 1");
-    $check->execute([$phone, $fpHash]);
+    // 1. التحقق من البيئة (Environment Whitelist)
+    $allowedPhonesStr = getenv('AUTHORIZED_ADMIN_PHONES');
+    if (!$allowedPhonesStr) {
+        // في حال لم يتم إعداد المتغير، نرفض الجميع للأمان
+        jsonError("غير مصرح لك بالتسجيل كمشرف (القائمة البيضاء غير معدة).");
+        exit;
+    }
     
-    if ($check->rowCount() > 0) {
-        jsonError("هذا الحساب أو الجهاز مسجل مسبقاً.");
+    $allowedPhones = array_map('trim', explode(',', $allowedPhonesStr));
+    if (!in_array($phone, $allowedPhones)) {
+        jsonError("أنت غير مصرح لك بالتسجيل كمشرف. يرجى مراجعة الإدارة.");
         exit;
     }
 
-    // 2. تجهيز البيانات
-    $id = bin2hex(random_bytes(16));
-    $hashedPassword = password_hash($password, PASSWORD_DEFAULT);
-    $encName = $encryptionHelper->encryptData($name);
-    $encFp   = $encryptionHelper->encryptData($fingerprint);
+    $con = Database::get('main');
 
-    // 3. الإدخال في قاعدة البيانات (الحالة الافتراضية هي pending)
-    $sql = "INSERT INTO adminUser (id, name, phone, password, fingerprint, fingerprint_hash, role, status, created_at) 
-            VALUES (:id, :name, :phone, :pass, :fp, :fp_hash, 'admin', 'pending', NOW())";
+    // 2. التحقق من عدم وجود الحساب مسبقاً (عن طريق الهاتف أو البصمة)
+    $fpHash = hash('sha256', $fingerprint);
+    $encPhoneInput = $encryptionHelper->encryptData($phone);
+    
+    $check = $con->prepare("SELECT id FROM adminUser WHERE phone = ? OR fingerprint_hash = ? LIMIT 1");
+    $check->execute([$encPhoneInput, $fpHash]);
+    
+    if ($check->rowCount() > 0) {
+        jsonError("رقم الهاتف أو الجهاز مسجل مسبقاً.");
+        exit;
+    }
+
+    // 3. تجهيز البيانات
+    $uniqueId = bin2hex(random_bytes(16)); // UUID آمن (32 حرف hex عشوائي)
+    $hashedPassword = password_hash($password, PASSWORD_DEFAULT);
+    
+    $encName  = $encryptionHelper->encryptData($name);
+    $encPhone = $encPhoneInput;
+    $encFp    = $encryptionHelper->encryptData($fingerprint);
+
+    // التأكد من وجود عمود phone و status في الجدول
+    try {
+        $con->exec("ALTER TABLE adminUser ADD COLUMN phone VARCHAR(255) NULL AFTER name");
+        $con->exec("ALTER TABLE adminUser ADD COLUMN status VARCHAR(50) DEFAULT 'pending' AFTER role");
+    } catch (Exception $e) { /* الأعمدة موجودة مسبقاً */ }
+
+    // 4. الإدخال في قاعدة البيانات بحالة pending
+    $sql = "INSERT INTO adminUser (id, fingerprint, fingerprint_hash, name, phone, password, role, status, created_at) 
+            VALUES (:id, :fp, :fp_hash, :name, :phone, :pass, 'admin', 'pending', NOW())";
             
     $stmt = $con->prepare($sql);
     $stmt->execute([
-        ':id'      => $id,
-        ':name'    => $encName,
-        ':phone'   => $phone,
-        ':pass'    => $hashedPassword,
+        ':id'      => $uniqueId,
         ':fp'      => $encFp,
-        ':fp_hash' => $fpHash
+        ':fp_hash' => $fpHash,
+        ':name'    => $encName,
+        ':phone'   => $encPhone,
+        ':pass'    => $hashedPassword
     ]);
 
     printSuccess([
         "status" => "pending",
-        "message" => "تم تقديم طلب التسجيل بنجاح. يرجى انتظار موافقة الإدارة."
+        "message" => "تم تسجيل حسابك بنجاح وهو الآن قيد المراجعة. يرجى انتظار تفعيل المشرف العام."
     ]);
 
 } catch (Exception $e) {
     error_log("[Admin Register Error] " . $e->getMessage());
     jsonError("خطأ في السيرفر: " . $e->getMessage());
 }
+
+exit();