Update: 2026-06-16 01:17:28

backend/Admin/Staff/add.php

@@ -7,20 +7,27 @@ require_once __DIR__ . '/../../core/bootstrap.php';
 
 $con = Database::get('main');
 
-// التحقق من الصلاحيات: فقط المشرفين (super_admin أو admin) يمكنهم الإضافة
+// التحقق من الصلاحيات: فقط المشرف العام يمكنه إضافة مشرفين جدد
 $jwtService = new JwtService($redis);
 $auth = $jwtService->authenticate();
 $authRole = $auth->role ?? '';
-if ($authRole !== 'super_admin' && $authRole !== 'admin') {
-    jsonError("غير مصرح لك. فقط المشرفون يمكنهم إضافة موظفين.");
-    exit;
-}
 
 $name        = filterRequest("name");
 $phone       = filterRequest("phone");
 $email       = filterRequest("email");
 $password    = filterRequest("password");
 $role        = filterRequest("role"); // 'admin' or 'service'
+
+// ✅ FIX H-01: تقييد إضافة المشرفين لـ super_admin فقط
+if ($role === 'admin' && $authRole !== 'super_admin') {
+    jsonError("غير مصرح لك. فقط المشرف العام يمكنه إضافة مشرفين جدد.");
+    exit;
+}
+
+if ($authRole !== 'super_admin' && $authRole !== 'admin') {
+    jsonError("غير مصرح لك. فقط المشرفون يمكنهم إضافة موظفين.");
+    exit;
+}
 $fingerprint = filterRequest("fingerprint") ?: '';
 $gender      = filterRequest("gender") ?? 'Male';
 $birthdate   = filterRequest("birthdate") ?? date('Y-m-d');
@@ -45,12 +52,9 @@ try {
     $uniqueId = bin2hex(random_bytes(16));
 
     if ($role === 'admin') {
-        // الإضافة لجدول المديرين
-        // التأكد من وجود عمود phone في الجدول (كإجراء احترازي لتجنب الأخطاء إذا لم يكن موجوداً)
-        try {
-            $con->exec("ALTER TABLE adminUser ADD COLUMN phone VARCHAR(255) NULL AFTER name");
-        } catch (Exception $e) { /* العمود موجود مسبقاً */ }
-
+        // ✅ FIX R4: إزالة ALTER TABLE من كود الإنتاج — يجب تشغيل migration منفصل
+        // قبل استخدام هذا الكود، تأكد من تشغيل:
+        // ALTER TABLE adminUser ADD COLUMN IF NOT EXISTS phone VARCHAR(255) NULL AFTER name;
         $sql = "INSERT INTO adminUser (id, fingerprint, fingerprint_hash, name, phone, password, role, created_at) 
                 VALUES (:id, :fp, :fp_hash, :name, :phone, :pass, :role, NOW())";
         $stmt = $con->prepare($sql);

backend/Admin/Staff/setup.php

@@ -2,36 +2,45 @@
 /**
  * Admin/Staff/setup.php
  * سكربت إعداد المسؤول الأول (Super Admin)
- * يستخدم لمرة واحدة فقط عندما تكون الجداول فارغة
+ * ⚠️ للاستخدام لمرة واحدة فقط. يحمي نفسه بـ MIGRATION_ADMIN_KEY.
+ * بعد أول تشغيل ناجح، امسح الملف من السيرفر.
  */
 require_once __DIR__ . '/../../core/bootstrap.php';
+
+// ── حماية بمفتاح الترحيل ────────────────────────────────
+$adminKey         = filterRequest('admin_key') ?? '';
+$expectedAdminKey = getenv('MIGRATION_ADMIN_KEY');
+if (empty($adminKey) || empty($expectedAdminKey) || !hash_equals($expectedAdminKey, $adminKey)) {
+    http_response_code(403);
+    exit(json_encode(['error' => 'Access denied. Admin key required.']));
+}
+
 $con = Database::get('main');
 
-// تم تعطيل التحقق للسماح بإعادة التهيئة
-// $count = $con->query("SELECT COUNT(*) FROM adminUser")->fetchColumn();
-// if ($count > 0) {
-//     die("Access Denied: Admin already initialized.");
-// }
+// ── منع إعادة التهيئة إذا كان هناك مشرفون مسبقاً ─────────
+$count = $con->query("SELECT COUNT(*) FROM adminUser")->fetchColumn();
+if ($count > 0) {
+    http_response_code(403);
+    exit(json_encode(['error' => 'Admin already initialized. This script runs only once.']));
+}
 
-$password = "malDev@2101"; // كلمة المرور المؤقتة
+// ── كلمة المرور من البيئة أو تُنشأ عشوائياً ──────────────
+$password = getenv('SETUP_SUPER_ADMIN_PASSWORD');
+if (!$password) {
+    $password = bin2hex(random_bytes(12));
+}
 $hashedPass = password_hash($password, PASSWORD_DEFAULT);
 
-// قائمة بالمسؤولين الأوائل (بصمات أجهزتك)
+// ── بصمات افتراضية (تُستبدل عند أول تسجيل دخول فعلي) ───
 $admins = [
     [
-        'name' => 'Hamza (iPhone)',
-        'fp'   => 'D386663E-51E1-4322-B1E2-F469C7E58063_iPhone', // مثال بناءً على وصفك (deviceId_model)
-        'role' => 'admin'
-    ],
-    [
-        'name' => 'Hamza (MacBook)',
-        'fp'   => '5449E3D3-E427-50D7-91A6-D86D973DC6E0_Mac15,3', // مثال للماك بوك
-        'role' => 'admin'
+        'name' => 'Super Admin',
+        'fp'   => 'SETUP_DEFAULT_FP_001',
+        'role' => 'super_admin'
     ]
 ];
 
 try {
-    $con->exec("DELETE FROM adminUser");
     foreach ($admins as $admin) {
         $encName  = $encryptionHelper->encryptData($admin['name']);
         $encFp    = $encryptionHelper->encryptData($admin['fp']);