feat: استيراد كود سيرو إلى تريبز (سيرو @ecfe7568) — بلا تعديل

قرار المالك 2026-07-27: باك إند سيرو PHP هو المعتمد، وتطبيقاته المجرّبة
ميدانياً تحل محل إعادة البناء المؤرشفة. سيرو نفسه لم يُمسّ.

الخريطة:
  backend · payment_server · loction_server · ride_server ·
  passenger_server · docker · dashboard · stress_test  → الجذر
  siro_rider  → apps/rider          siro_driver  → apps/driver
  siro_admin  → dashboards/admin    siro_service → dashboards/service
  android_bot → apps/android_bot    socialBot    → apps/socialBot

نُسخ المتعقَّب في git سيرو فقط عبر `git archive` (3,198 ملفاً / ~169 م.ب)
لا `cp -r` — فاستُثنيت مخلفات البناء تلقائياً. بلا أي تعديل محتوى عمداً:
كل ما يلي يصير فرقاً مقروءاً مقابل المصدر.

لم يُستورد وسببه: siromove.com (الموقع التسويقي يبقى marketing/ في تريبز،
سيرو فيه 8 ملفات) · docs و planning (تريبز له docs/ الخاص) · deploy.sh
(ليس نشراً على سيرفر بل `git add . && git push origin --all` — فخّ في
مستودع آخر) · transit_dashboard (بانتظار قرار مصير backend-transit و
dashboards/transit-web).

⚠️ لا يبني بعد — ثلاثة نواقص متوقعة ومقصودة:
1. `.env` و `lib/env/env.g.dart` غير متعقَّبين في سيرو (أسرار لكل مستأجر):
   كل تطبيق فلاتر يحتاج .env خاصاً ثم توليد env.g.dart بـ build_runner.
2. إعدادات Firebase (9 ملفات google-services.json و GoogleService-Info.plist)
   يستبعدها .gitignore تريبز — ولكل مستأجر مشروع Firebase خاص أصلاً.
3. apps/driver في سيرو يشير إلى `../../Intaleq/packages/get` خارج المستودع →
   يجب ضمّ الحزم داخله أسوة بـ apps/rider.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/transit/admin/login_request.php

@@ -0,0 +1,62 @@
+<?php
+// transit/admin/login_request.php — الخطوة 1: هاتف المشرف → OTP
+// POST: phone
+
+require_once __DIR__ . '/../../core/bootstrap.php';
+require_once __DIR__ . '/../functions.php';
+
+// Rate limiting — حد صارم على طلبات OTP
+$limiter = new RateLimiter($redis);
+$limiter->enforce(RateLimiter::identifier(), 'api');
+
+try { $transit_con = Database::get('transit'); }
+catch (Exception $e) { jsonError('Transit service unavailable', 503); }
+
+$rawPhone = filterRequest('phone');
+if (!$rawPhone) jsonError('Phone is required');
+$phone = normalizePhone($rawPhone);
+
+if (transitIsOtpLocked($phone)) {
+    // نفس رسالة النجاح — لا نكشف أن الحساب مقفل
+    jsonSuccess(null, 'OTP sent successfully');
+}
+
+$phoneEnc = $encryptionHelper->encryptData($phone);
+// transit_org_admins يعيش في قاعدة المواصلات ولا يملك عمود فهرس بعد،
+// فتتم المطابقة على الرقم الأصلي بعد فك التشفير عند فشل المقارنة المباشرة.
+$phoneNorm = normalizePhone($phone);
+$st = $transit_con->prepare(
+    "SELECT a.id, o.contract_status
+     FROM transit_org_admins a
+     JOIN transit_orgs o ON o.id = a.org_id
+     WHERE a.phone = ? AND a.is_active = 1 LIMIT 1"
+);
+$st->execute([$phoneEnc]);
+$admin = $st->fetch();
+
+if (!$admin) {
+    // تحت التشفير العشوائي لا تتطابق النصوص المشفّرة، فنقارن الأرقام الأصلية.
+    $all = $transit_con->query(
+        "SELECT a.id, a.phone, o.contract_status
+         FROM transit_org_admins a
+         JOIN transit_orgs o ON o.id = a.org_id
+         WHERE a.is_active = 1"
+    )->fetchAll(PDO::FETCH_ASSOC);
+
+    foreach ($all as $row) {
+        $plain = $encryptionHelper->decryptData($row['phone'] ?? null);
+        if ($plain && normalizePhone($plain) === $phoneNorm) {
+            $admin = $row;
+            break;
+        }
+    }
+}
+
+// لا نكشف إن كان الهاتف موجوداً أم لا — نفس الرد دائماً
+if (!$admin || $admin['contract_status'] === 'terminated') {
+    jsonSuccess(null, 'OTP sent successfully');
+}
+
+transitSendAdminOtp($phone);
+
+jsonSuccess(null, 'OTP sent successfully');