chore: استيراد أولي من سيرو (ecfe7568) — بلا أي تعديل

نسخة كاملة من مستودع سيرو عند ecfe7568 لتكون أساس تطبيق «انطلق». نُسخ المتعقَّب في git فقط (12,509 ملفاً / 302 م.ب) بـ git archive، لا `cp -r` — فاستُثنيت تلقائياً مخلفات البناء (build · node_modules · .dart_tool · .gradle · Pods ≈ 10.7 غ.ب) وكل ما يستثنيه .gitignore. هذا الكوميت **بلا أي تعديل عمداً** حتى يكون كل ما يليه فرقاً مقروءاً مقابل سيرو الأصلي. سيرو نفسه لم يُمسّ. ⚠️ لا يبني بعد: `.env` و`lib/env/env.g.dart` غير متعقَّبين في سيرو (وهذا صحيح — أسرار لكل مستأجر). كل تطبيق فلاتر هنا يحتاج .env خاصاً بانطلق ثم توليد env.g.dart عبر build_runner. لا تُنسخ أسرار سيرو. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-07-27 05:10:29 +03:00
commit 92dc6b3641
3654 changed files with 896478 additions and 0 deletions
@@ -0,0 +1,65 @@
+<?php
+// transit/admin/dashboard.php — لوحة اليوم
+
+require_once __DIR__ . '/../../transit/connect_admin.php';
+
+$today = date('Y-m-d');
+
+$stTrips = $transit_con->prepare(
+    "SELECT t.id, t.status, t.started_at, t.completed_at, t.delay_minutes, t.current_stop_seq,
+            r.name_ar AS route_name, sc.departure_time,
+            v.plate   AS vehicle_plate,
+            d.name    AS driver_name, d.phone AS driver_phone
+     FROM transit_trips t
+     JOIN transit_routes    r  ON r.id  = t.route_id
+     JOIN transit_schedules sc ON sc.id = t.schedule_id
+     JOIN transit_vehicles  v  ON v.id  = t.vehicle_id
+     JOIN transit_drivers   d  ON d.id  = t.driver_id
+     WHERE t.org_id = ? AND t.trip_date = ?
+     ORDER BY sc.departure_time ASC"
+);
+$stTrips->execute([$transit_org_id, $today]);
+$trips = $stTrips->fetchAll();
+
+foreach ($trips as &$trip) {
+    $trip['live_position'] = null;
+    if ($trip['status'] === 'started') {
+        $pos = transitGetBusPosition((int)$trip['id']);
+        if ($pos) $trip['live_position'] = ['lat' => (float)$pos['lat'], 'lng' => (float)$pos['lng'], 'ts' => (int)$pos['ts']];
+    }
+}
+unset($trip);
+
+$stStats = $transit_con->prepare(
+    "SELECT COUNT(*) total_trips,
+            SUM(status='started')   active_now,
+            SUM(status='completed') completed_today,
+            SUM(status='no_show')   no_show_today
+     FROM transit_trips WHERE org_id=? AND trip_date=?"
+);
+$stStats->execute([$transit_org_id, $today]);
+$stats = $stStats->fetch();
+
+$stMembers = $transit_con->prepare(
+    "SELECT COUNT(*) active_members FROM transit_enrollments WHERE org_id=? AND status='active'"
+);
+$stMembers->execute([$transit_org_id]);
+
+$stBc = $transit_con->prepare(
+    "SELECT id, title_ar, body_ar, sent_at, target_type FROM transit_broadcasts
+     WHERE org_id=? ORDER BY created_at DESC LIMIT 5"
+);
+$stBc->execute([$transit_org_id]);
+
+jsonSuccess([
+    'date'   => $today,
+    'trips'  => $trips,
+    'stats'  => [
+        'total_trips'     => (int)$stats['total_trips'],
+        'active_now'      => (int)$stats['active_now'],
+        'completed_today' => (int)$stats['completed_today'],
+        'no_show_today'   => (int)$stats['no_show_today'],
+        'active_members'  => (int)$stMembers->fetchColumn(),
+    ],
+    'recent_broadcasts' => $stBc->fetchAll(),
+]);
@@ -0,0 +1,62 @@
+<?php
+// transit/admin/login_request.php — الخطوة 1: هاتف المشرف → OTP
+// POST: phone
+
+require_once __DIR__ . '/../../core/bootstrap.php';
+require_once __DIR__ . '/../functions.php';
+
+// Rate limiting — حد صارم على طلبات OTP
+$limiter = new RateLimiter($redis);
+$limiter->enforce(RateLimiter::identifier(), 'api');
+
+try { $transit_con = Database::get('transit'); }
+catch (Exception $e) { jsonError('Transit service unavailable', 503); }
+
+$rawPhone = filterRequest('phone');
+if (!$rawPhone) jsonError('Phone is required');
+$phone = normalizePhone($rawPhone);
+
+if (transitIsOtpLocked($phone)) {
+    // نفس رسالة النجاح — لا نكشف أن الحساب مقفل
+    jsonSuccess(null, 'OTP sent successfully');
+}
+
+$phoneEnc = $encryptionHelper->encryptData($phone);
+// transit_org_admins يعيش في قاعدة المواصلات ولا يملك عمود فهرس بعد،
+// فتتم المطابقة على الرقم الأصلي بعد فك التشفير عند فشل المقارنة المباشرة.
+$phoneNorm = normalizePhone($phone);
+$st = $transit_con->prepare(
+    "SELECT a.id, o.contract_status
+     FROM transit_org_admins a
+     JOIN transit_orgs o ON o.id = a.org_id
+     WHERE a.phone = ? AND a.is_active = 1 LIMIT 1"
+);
+$st->execute([$phoneEnc]);
+$admin = $st->fetch();
+
+if (!$admin) {
+    // تحت التشفير العشوائي لا تتطابق النصوص المشفّرة، فنقارن الأرقام الأصلية.
+    $all = $transit_con->query(
+        "SELECT a.id, a.phone, o.contract_status
+         FROM transit_org_admins a
+         JOIN transit_orgs o ON o.id = a.org_id
+         WHERE a.is_active = 1"
+    )->fetchAll(PDO::FETCH_ASSOC);
+
+    foreach ($all as $row) {
+        $plain = $encryptionHelper->decryptData($row['phone'] ?? null);
+        if ($plain && normalizePhone($plain) === $phoneNorm) {
+            $admin = $row;
+            break;
+        }
+    }
+}
+
+// لا نكشف إن كان الهاتف موجوداً أم لا — نفس الرد دائماً
+if (!$admin || $admin['contract_status'] === 'terminated') {
+    jsonSuccess(null, 'OTP sent successfully');
+}
+
+transitSendAdminOtp($phone);
+
+jsonSuccess(null, 'OTP sent successfully');
@@ -0,0 +1,73 @@
+<?php
+// transit/admin/login_verify.php — الخطوة 2: OTP → session token
+// POST: phone, otp
+
+require_once __DIR__ . '/../../core/bootstrap.php';
+require_once __DIR__ . '/../functions.php';
+
+// Rate limiting
+$limiter = new RateLimiter($redis);
+$limiter->enforce(RateLimiter::identifier(), 'api');
+
+try { $transit_con = Database::get('transit'); }
+catch (Exception $e) { jsonError('Transit service unavailable', 503); }
+
+requireTransitFields(['phone', 'otp']);
+$phone = normalizePhone(filterRequest('phone'));
+$otp   = preg_replace('/\D/', '', filterRequest('otp'));
+
+if (!transitVerifyAdminOtp($phone, $otp)) jsonError('Invalid or expired OTP', 401);
+
+$phoneEnc = $encryptionHelper->encryptData($phone);
+// transit_org_admins يعيش في قاعدة المواصلات ولا يملك عمود فهرس بعد،
+// فتتم المطابقة على الرقم الأصلي بعد فك التشفير عند فشل المقارنة المباشرة.
+$phoneNorm = normalizePhone($phone);
+$st = $transit_con->prepare(
+    "SELECT a.id, a.org_id, a.name, a.role, a.permissions,
+            o.name_ar, o.name_en, o.type, o.contract_status, o.logo_url
+     FROM transit_org_admins a
+     JOIN transit_orgs o ON o.id = a.org_id
+     WHERE a.phone = ? AND a.is_active = 1 LIMIT 1"
+);
+$st->execute([$phoneEnc]);
+$admin = $st->fetch();
+
+if (!$admin) {
+    // تحت التشفير العشوائي لا تتطابق النصوص المشفّرة، فنقارن الأرقام الأصلية.
+    $all = $transit_con->query(
+        "SELECT a.id, a.phone, o.contract_status
+         FROM transit_org_admins a
+         JOIN transit_orgs o ON o.id = a.org_id
+         WHERE a.is_active = 1"
+    )->fetchAll(PDO::FETCH_ASSOC);
+
+    foreach ($all as $row) {
+        $plain = $encryptionHelper->decryptData($row['phone'] ?? null);
+        if ($plain && normalizePhone($plain) === $phoneNorm) {
+            $admin = $row;
+            break;
+        }
+    }
+}
+if (!$admin) jsonError('Admin not found', 401);
+
+$token = transitCreateSession((int)$admin['id'], (int)$admin['org_id']);
+
+jsonSuccess([
+    'token'      => $token,
+    'expires_in' => 86400,
+    'admin' => [
+        'id'          => (int)$admin['id'],
+        'name'        => $admin['name'],
+        'role'        => $admin['role'],
+        'permissions' => json_decode($admin['permissions'] ?? '{}', true),
+    ],
+    'org' => [
+        'id'              => (int)$admin['org_id'],
+        'name_ar'         => $admin['name_ar'],
+        'name_en'         => $admin['name_en'],
+        'type'            => $admin['type'],
+        'contract_status' => $admin['contract_status'],
+        'logo_url'        => $admin['logo_url'],
+    ],
+], 'Login successful');
@@ -0,0 +1,39 @@
+<?php
+// transit/admin/logout.php — تسجيل خروج مشرف المؤسسة (حذف الجلسة)
+// POST: — (التوكن في الهيدر Authorization: Bearer)
+
+require_once __DIR__ . '/../../core/bootstrap.php';
+require_once __DIR__ . '/../functions.php';
+
+// حد معدّل — يمنع إغراق حذف الجلسات (يحمّل bootstrap مباشرة كباقي مسارات admin/)
+$limiter = new RateLimiter($redis);
+$limiter->enforce(RateLimiter::identifier(), 'api');
+
+try { $transit_con = Database::get('transit'); }
+catch (Exception $e) { jsonError('Transit service unavailable', 503); }
+
+// استخرج التوكن من الهيدر
+$authHeader = $_SERVER['HTTP_AUTHORIZATION'] ?? '';
+$token = '';
+if (preg_match('/Bearer\s+(\S+)/i', $authHeader, $m)) {
+    $token = $m[1];
+} else {
+    $token = filterRequest('token') ?? '';
+}
+
+if (!$token) jsonError('No session token provided', 400);
+
+$hash = hash('sha256', $token);
+
+// حذف من Redis — بلا بادئة siro: يدوية (العميل يضيفها تلقائياً عبر OPT_PREFIX)
+// كتابة "siro:transit:..." هنا كانت تنتج siro:siro:... فلا تُحذف الجلسة فعلياً
+if ($redis) $redis->del("transit:session:{$hash}");
+
+// حذف من MySQL
+try {
+    $transit_con->prepare("DELETE FROM transit_sessions WHERE token_hash=?")->execute([$hash]);
+} catch (Throwable $e) {
+    // لا بأس — الجلسة انتهت بالـ Redis
+}
+
+jsonSuccess(null, 'Logged out successfully');