Update codebase

backend/core/Auth/RateLimiter.php

@@ -11,7 +11,7 @@ class RateLimiter
     // حدود مختلفة لكل نوع endpoint
     private const LIMITS = [
         'login'        => ['requests' => 5,   'window' => 60],   // 5 محاولات / دقيقة
-        'tester_login' => ['requests' => 3,   'window' => 60],   // 3 محاولات / دقيقة
+        'tester_login' => ['requests' => 30,  'window' => 60],   // 30 محاولة / دقيقة (مراجعو المتاجر يكرّرون الدخول بسرعة)
         'otp'          => ['requests' => 3,   'window' => 300],  // 3 محاولات / 5 دقائق
         'register'     => ['requests' => 3,   'window' => 3600], // 3 محاولات / ساعة
         'api'          => ['requests' => 180, 'window' => 60],   // 180 طلب / دقيقة (الإنتاج الرسمى)
@@ -79,7 +79,15 @@ class RateLimiter
     // ── بناء معرّف المستخدم ────────────────────────────────────
     public static function identifier(?string $userId = null): string
     {
-        $ip = $_SERVER['REMOTE_ADDR'] ?? 'unknown';
+        // كان REMOTE_ADDR وحده، وهو خلف دوكر دائماً عنوان الوسيط نفسه
+        // (172.24.0.1) — فيتشارك كل المستخدمين دلواً واحداً، ومحاولات دخول
+        // فاشلة من عميل واحد تحجب الجميع بـ 429 (ظهر ذلك في سجل الإنتاج).
+        // clientIp() تستخرج العميل الحقيقي من X-Forwarded-For ولا تثق به
+        // إلا إذا كان REMOTE_ADDR وسيطاً موثوقاً.
+        $ip = function_exists('clientIp')
+            ? clientIp()
+            : ($_SERVER['REMOTE_ADDR'] ?? 'unknown');
+
         return $userId ? "{$ip}:{$userId}" : $ip;
     }