chore: استيراد أولي من سيرو (ecfe7568) — بلا أي تعديل

نسخة كاملة من مستودع سيرو عند ecfe7568 لتكون أساس تطبيق «انطلق».
نُسخ المتعقَّب في git فقط (12,509 ملفاً / 302 م.ب) بـ git archive، لا
`cp -r` — فاستُثنيت تلقائياً مخلفات البناء (build · node_modules ·
.dart_tool · .gradle · Pods ≈ 10.7 غ.ب) وكل ما يستثنيه .gitignore.

هذا الكوميت **بلا أي تعديل عمداً** حتى يكون كل ما يليه فرقاً مقروءاً
مقابل سيرو الأصلي. سيرو نفسه لم يُمسّ.

⚠️ لا يبني بعد: `.env` و`lib/env/env.g.dart` غير متعقَّبين في سيرو (وهذا
صحيح — أسرار لكل مستأجر). كل تطبيق فلاتر هنا يحتاج .env خاصاً بانطلق ثم
توليد env.g.dart عبر build_runner. لا تُنسخ أسرار سيرو.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/transit/admin/login_verify.php

@@ -0,0 +1,73 @@
+<?php
+// transit/admin/login_verify.php — الخطوة 2: OTP → session token
+// POST: phone, otp
+
+require_once __DIR__ . '/../../core/bootstrap.php';
+require_once __DIR__ . '/../functions.php';
+
+// Rate limiting
+$limiter = new RateLimiter($redis);
+$limiter->enforce(RateLimiter::identifier(), 'api');
+
+try { $transit_con = Database::get('transit'); }
+catch (Exception $e) { jsonError('Transit service unavailable', 503); }
+
+requireTransitFields(['phone', 'otp']);
+$phone = normalizePhone(filterRequest('phone'));
+$otp   = preg_replace('/\D/', '', filterRequest('otp'));
+
+if (!transitVerifyAdminOtp($phone, $otp)) jsonError('Invalid or expired OTP', 401);
+
+$phoneEnc = $encryptionHelper->encryptData($phone);
+// transit_org_admins يعيش في قاعدة المواصلات ولا يملك عمود فهرس بعد،
+// فتتم المطابقة على الرقم الأصلي بعد فك التشفير عند فشل المقارنة المباشرة.
+$phoneNorm = normalizePhone($phone);
+$st = $transit_con->prepare(
+    "SELECT a.id, a.org_id, a.name, a.role, a.permissions,
+            o.name_ar, o.name_en, o.type, o.contract_status, o.logo_url
+     FROM transit_org_admins a
+     JOIN transit_orgs o ON o.id = a.org_id
+     WHERE a.phone = ? AND a.is_active = 1 LIMIT 1"
+);
+$st->execute([$phoneEnc]);
+$admin = $st->fetch();
+
+if (!$admin) {
+    // تحت التشفير العشوائي لا تتطابق النصوص المشفّرة، فنقارن الأرقام الأصلية.
+    $all = $transit_con->query(
+        "SELECT a.id, a.phone, o.contract_status
+         FROM transit_org_admins a
+         JOIN transit_orgs o ON o.id = a.org_id
+         WHERE a.is_active = 1"
+    )->fetchAll(PDO::FETCH_ASSOC);
+
+    foreach ($all as $row) {
+        $plain = $encryptionHelper->decryptData($row['phone'] ?? null);
+        if ($plain && normalizePhone($plain) === $phoneNorm) {
+            $admin = $row;
+            break;
+        }
+    }
+}
+if (!$admin) jsonError('Admin not found', 401);
+
+$token = transitCreateSession((int)$admin['id'], (int)$admin['org_id']);
+
+jsonSuccess([
+    'token'      => $token,
+    'expires_in' => 86400,
+    'admin' => [
+        'id'          => (int)$admin['id'],
+        'name'        => $admin['name'],
+        'role'        => $admin['role'],
+        'permissions' => json_decode($admin['permissions'] ?? '{}', true),
+    ],
+    'org' => [
+        'id'              => (int)$admin['org_id'],
+        'name_ar'         => $admin['name_ar'],
+        'name_en'         => $admin['name_en'],
+        'type'            => $admin['type'],
+        'contract_status' => $admin['contract_status'],
+        'logo_url'        => $admin['logo_url'],
+    ],
+], 'Login successful');