refactor: implement single-flight JWT renewal with rate-limiting cooldown and fix storage token handling in auth controllers

intaleq_driver/lib/controller/functions/crud.dart

@@ -22,7 +22,6 @@ import 'ssl_pinning.dart';
 class CRUD {
   final NetGuard _netGuard = NetGuard();
   final _client = SslPinning.createPinnedClient();
-  static bool _isRefreshingJWT = false;
   static String _lastErrorSignature = '';
   static DateTime _lastErrorTimestamp = DateTime(2000);
   static const Duration _errorLogDebounceDuration = Duration(minutes: 1);
@@ -107,6 +106,21 @@ class CRUD {
     }
   }
 
+  // ═══════════════════════════════════════════════════════════════
+  // _ensureJwt — يضمن وجود توكن صالح قبل الإرسال
+  //   • getJWT() نفسها single-flight + فيها cooldown بعد الفشل،
+  //     فما في داعي لأي flag هون — ولا في خطر حلقة لا نهائية.
+  //   • بترجع التوكن الصالح أو '' لو التجديد فشل/بـ cooldown.
+  // ═══════════════════════════════════════════════════════════════
+  Future<String> _ensureJwt() async {
+    String token = await _getJwt();
+    if (_isJwtValid(token)) return token;
+
+    final ok = await Get.put(LoginDriverController()).getJWT();
+    if (!ok) return '';
+    return await _getJwt();
+  }
+
   // ═══════════════════════════════════════════════════════════════
   // _makeRequest — دالة مركزية لكل الطلبات
   // ───────────────────────────────────────────────────────────────
@@ -119,6 +133,7 @@ class CRUD {
     required String link,
     Map<String, dynamic>? payload,
     required Map<String, String> headers,
+    bool allowRefresh = true,
   }) async {
     // timeouts مرتفعة مناسبة للإنترنت الضعيف في سوريا
     const totalTimeout = Duration(seconds: 60);
@@ -186,19 +201,33 @@ class CRUD {
       }
     }
 
-    // 401 → تجديد التوكن (مع حماية من الحلقة اللانهائية)
+    // 429 → السيرفر رافض بسبب الضغط؛ ممنوع نجدّد التوكن أو نعيد المحاولة
+    if (sc == 429) {
+      Log.print('🛑 [RES-$requestId] 429 rate limited — $link');
+      return 'rate_limited';
+    }
+
+    // 401 → تجديد التوكن مرة واحدة ثم إعادة الطلب مرة واحدة فقط
     if (sc == 401) {
       // تخطي تجديد التوكن لـ endpoints غير حرجة (مثل تسجيل الأخطاء)
       final isNonCritical = link.contains('errorApp.php');
-      if (!_isRefreshingJWT && !isNonCritical) {
-        _isRefreshingJWT = true;
-        try {
-          await Get.put(LoginDriverController()).getJWT();
-        } finally {
-          _isRefreshingJWT = false;
-        }
-      }
-      return 'token_expired';
+      if (isNonCritical || !allowRefresh) return 'token_expired';
+
+      final refreshed = await Get.put(LoginDriverController()).getJWT();
+      if (!refreshed) return 'token_expired';
+
+      final newToken = await _getJwt();
+      if (newToken.isEmpty) return 'token_expired';
+
+      // إعادة الطلب بالتوكن الجديد — allowRefresh: false يمنع أي تكرار إضافي
+      final retryHeaders = Map<String, String>.from(headers)
+        ..['Authorization'] = 'Bearer $newToken';
+      return await _makeRequest(
+        link: link,
+        payload: payload,
+        headers: retryHeaders,
+        allowRefresh: false,
+      );
     }
 
     // 5xx
@@ -218,18 +247,9 @@ class CRUD {
     required String link,
     Map<String, dynamic>? payload,
   }) async {
-    String token = await _getJwt();
-
     // فحص صلاحية التوكن قبل الإرسال — تجنب طلب مضمون الرفض
-    if (!_isJwtValid(token) && !_isRefreshingJWT) {
-      _isRefreshingJWT = true;
-      try {
-        await Get.put(LoginDriverController()).getJWT();
-        token = await _getJwt();
-      } finally {
-        _isRefreshingJWT = false;
-      }
-    }
+    final String token = await _ensureJwt();
+    if (token.isEmpty) return 'token_expired';
 
     final headers = {
       'Content-Type': 'application/x-www-form-urlencoded',
@@ -250,16 +270,8 @@ class CRUD {
   }) async {
     try {
       // فحص صلاحية التوكن قبل الإرسال
-      String token = await _getJwt();
-      if (!_isJwtValid(token) && !_isRefreshingJWT) {
-        _isRefreshingJWT = true;
-        try {
-          await Get.put(LoginDriverController()).getJWT();
-          token = await _getJwt();
-        } finally {
-          _isRefreshingJWT = false;
-        }
-      }
+      final String token = await _ensureJwt();
+      if (token.isEmpty) return 'token_expired';
 
       var url = Uri.parse(link);
       var response = await _client.post(
@@ -279,15 +291,12 @@ class CRUD {
         var jsonData = jsonDecode(response.body);
         if (jsonData['status'] == 'success') return response.body;
         return jsonData['status'];
+      } else if (response.statusCode == 429) {
+        Log.print('🛑 get: 429 rate limited — $link');
+        return 'rate_limited';
       } else if (response.statusCode == 401) {
-        if (!_isRefreshingJWT) {
-          _isRefreshingJWT = true;
-          try {
-            await Get.put(LoginDriverController()).getJWT();
-          } finally {
-            _isRefreshingJWT = false;
-          }
-        }
+        // تجديد واحد فقط؛ getJWT فيها single-flight + cooldown
+        await Get.put(LoginDriverController()).getJWT();
         return 'token_expired';
       } else if (response.statusCode >= 500) {
         addError('Non-200: ${response.statusCode}', 'crud().get - Other',
@@ -572,12 +581,8 @@ class CRUD {
   // ── sendEmail — إصلاح: استخدام r() بدل X.r() القديم ─────────
   Future<void> sendEmail(String link, Map<String, String>? payload) async {
     // r() هي نفس دالة فك التشفير الثلاثي المختصرة
-    String token = await _getJwt();
-
-    if (!_isJwtValid(token)) {
-      await LoginDriverController().getJWT();
-      token = await _getJwt();
-    }
+    final String token = await _ensureJwt();
+    if (token.isEmpty) return;
 
     final headers = {
       'Content-Type': 'application/x-www-form-urlencoded',