feat: استيراد كود سيرو إلى تريبز (سيرو @ecfe7568) — بلا تعديل

قرار المالك 2026-07-27: باك إند سيرو PHP هو المعتمد، وتطبيقاته المجرّبة
ميدانياً تحل محل إعادة البناء المؤرشفة. سيرو نفسه لم يُمسّ.

الخريطة:
  backend · payment_server · loction_server · ride_server ·
  passenger_server · docker · dashboard · stress_test  → الجذر
  siro_rider  → apps/rider          siro_driver  → apps/driver
  siro_admin  → dashboards/admin    siro_service → dashboards/service
  android_bot → apps/android_bot    socialBot    → apps/socialBot

نُسخ المتعقَّب في git سيرو فقط عبر `git archive` (3,198 ملفاً / ~169 م.ب)
لا `cp -r` — فاستُثنيت مخلفات البناء تلقائياً. بلا أي تعديل محتوى عمداً:
كل ما يلي يصير فرقاً مقروءاً مقابل المصدر.

لم يُستورد وسببه: siromove.com (الموقع التسويقي يبقى marketing/ في تريبز،
سيرو فيه 8 ملفات) · docs و planning (تريبز له docs/ الخاص) · deploy.sh
(ليس نشراً على سيرفر بل `git add . && git push origin --all` — فخّ في
مستودع آخر) · transit_dashboard (بانتظار قرار مصير backend-transit و
dashboards/transit-web).

⚠️ لا يبني بعد — ثلاثة نواقص متوقعة ومقصودة:
1. `.env` و `lib/env/env.g.dart` غير متعقَّبين في سيرو (أسرار لكل مستأجر):
   كل تطبيق فلاتر يحتاج .env خاصاً ثم توليد env.g.dart بـ build_runner.
2. إعدادات Firebase (9 ملفات google-services.json و GoogleService-Info.plist)
   يستبعدها .gitignore تريبز — ولكل مستأجر مشروع Firebase خاص أصلاً.
3. apps/driver في سيرو يشير إلى `../../Intaleq/packages/get` خارج المستودع →
   يجب ضمّ الحزم داخله أسوة بـ apps/rider.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/serviceapp/updatePackages.php

@@ -0,0 +1,53 @@
+<?php
+require_once __DIR__ . '/../connect.php';
+
+// رقم الإصدار يقرره العميل: كل تطبيقات سيرو تقارن نفسها به وتفرض التحديث،
+// فتغييره يؤثر على كل المستخدمين. connect.php يتحقق من صحة التوكن فقط.
+if ($role !== 'admin' && $role !== 'super_admin') {
+    http_response_code(403);
+    echo json_encode([
+        'status'  => 'failure',
+        'message' => 'Forbidden. Admin access required.',
+    ], JSON_UNESCAPED_UNICODE);
+    exit;
+}
+
+$id      = filterRequest("id");
+$version = filterRequest("version");
+
+if (empty($id) || empty($version)) {
+    jsonError("Both id and version are required.", 400);
+}
+
+// شكل الإصدار: أرقام ونقاط فقط (مثل 1.2.3) — يمنع أي محتوى آخر.
+if (!preg_match('/^\d+(\.\d+){0,3}$/', $version)) {
+    jsonError("Invalid version format. Use digits separated by dots, e.g. 1.4.2", 400);
+}
+
+/**
+ * سابقاً كان الاستعلام يُبنى بدمج القيم مباشرة:
+ *   "UPDATE packageInfo SET version ='$version' WHERE id = '$id'"
+ * وهو حقن SQL مباشر — أي مستخدم يملك توكناً صالحاً كان يستطيع تنفيذ ما يشاء
+ * على قاعدة البيانات عبر حقل الإصدار. الآن القيم مرتبطة كمعاملات.
+ */
+$stmt = $con->prepare("UPDATE `packageInfo` SET `version` = :version WHERE `id` = :id");
+$stmt->execute([
+    ':version' => $version,
+    ':id'      => $id,
+]);
+
+if (function_exists('logAudit')) {
+    try {
+        logAudit($con, (string) ($user_id ?? 'unknown'), 'تحديث إصدار التطبيق', 'packageInfo', $id, [
+            'version' => $version,
+        ]);
+    } catch (Throwable $e) {
+        error_log("[updatePackages] audit failed: " . $e->getMessage());
+    }
+}
+
+if ($stmt->rowCount() > 0) {
+    jsonSuccess(['id' => $id, 'version' => $version], "Package version updated successfully for ID $id");
+} else {
+    jsonError("No package row was updated — check that ID $id exists and the version differs.", 404);
+}