feat(apps): تسجيل السائق والدردشة والكوبون — إكمال التغطية

فحص آليّ لنقاط docs/38 مقابل الكود كشف ثغرات لم تظهر بالقراءة.

## تسجيل السائق — أخطر ثغرة
لم يكن موجوداً أصلاً: سائق جديد يسجّل دخوله ثم يقف. بُنيت features/onboarding
كاملة — تقديم ← ملف ← مركبة ← وثائق ← انتظار الاعتماد.
- الخطوة تُشتقّ من حالة الخادم لا من تقدّم محلّي: سائق يعيد تثبيت التطبيق
  يعود إلى حيث وقف لا إلى البداية
- الاعتماد يقع على الخادم تلقائياً حين تكتمل الوثائق؛ التطبيق لا يعتمد أحداً
- عند الاعتماد خروج إجباري: الدور يتغيّر على الخادم والتوكن القديم يحمل
  القديم، فتفشل نقاط السائق بـ403 (مصيدة docs/38 §5)
- بوابة توجيه: مستخدم دوره ليس driver يُحجز في /onboarding
- الوثائق تُصوَّر بالكاميرا لا من المعرض: أصعب تزويراً

## الدردشة والكوبون
- Features.chat كان مفعّلاً بلا ميزة. features/chat باستطلاع كل خمس ثوان —
  قائمة أحداث الخادم لا تتضمّن الرسائل (docs/38 §9)، فالاستطلاع قيد خادم لا
  اختيار تصميمي
- الكوبون: حقل في ورقة التأكيد خلف طبقتَي الميزات، يُقيَّم على الخادم

## Features.calls أُطفئ صراحةً
الخادم يدعم WebRTC والتطبيق لا. عَلَم مفعّل بلا ميزة كذبٌ على القارئ التالي.

## بنية
- ApiClient.upload للرفع متعدّد الأجزاء
- AuthFailure → ApiFailure في core/api: يخدم المصادقة والملف والتسجيل
- tool/sync_from_rider.sh: المزامنة اليدوية بين التوأمين انكسرت أربع مرات،
  فصارت سكربتاً واحداً يعرّف ما يملكه كل تطبيق

flutter analyze نظيف · الراكب 101 ملف/7,809 سطر · السائق 110 ملف/8,116 سطر.
فحوص آلية: صفر استيراد بين ميزتين · صفر عَلَم مفعّل بلا ميزة · كل نقاط العقد
المخصّصة للتطبيقين مستهلكة.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

apps/rider_new/lib/core/api/api_client.dart

@@ -47,6 +47,22 @@ class ApiClient {
 
   Future<T> delete<T>(String path) => _send(() => _dio.delete<T>(path));
 
+  /// رفع ملف — الحقل اسمه `file` كما يتوقّعه `FileInterceptor` على الخادم.
+  /// يمرّ بنفس الـinterceptor فيحمل التوكن والمستأجر والجهاز.
+  Future<T> upload<T>(
+    String path, {
+    required String filePath,
+    Map<String, dynamic> fields = const {},
+  }) {
+    return _send(() async {
+      final form = FormData.fromMap({
+        ...fields,
+        'file': await MultipartFile.fromFile(filePath),
+      });
+      return _dio.post<T>(path, data: form);
+    });
+  }
+
   Future<T> _send<T>(Future<Response<T>> Function() call) async {
     try {
       final res = await call();

apps/rider_new/lib/core/api/api_failure.dart

@@ -7,7 +7,7 @@ import 'api_exception.dart';
 /// كل نص مرئي بطبقة الترجمة. والـCubit لا يعرف `BuildContext` (docs/23 §3).
 /// الجمع بينها: الـCubit يُصدر الرمز، والواجهة تترجمه سطراً واحداً — فتبقى
 /// الشاشة بلا منطق، والنص بلغتين.
-enum AuthFailure {
+enum ApiFailure {
   /// رمز خاطئ أو منتهي الصلاحية.
   invalidCode,
 
@@ -22,17 +22,17 @@ enum AuthFailure {
   server,
 }
 
-extension AuthFailureX on ApiException {
-  AuthFailure toAuthFailure() {
-    if (isRateLimited) return AuthFailure.rateLimited;
-    if (kind == ApiErrorKind.network) return AuthFailure.network;
-    if (kind == ApiErrorKind.timeout) return AuthFailure.timeout;
+extension ApiFailureX on ApiException {
+  ApiFailure toApiFailure() {
+    if (isRateLimited) return ApiFailure.rateLimited;
+    if (kind == ApiErrorKind.network) return ApiFailure.network;
+    if (kind == ApiErrorKind.timeout) return ApiFailure.timeout;
     if (isUnauthorized) {
       // الخادم يفرّق بين «رمز خاطئ» و«محاولات كثيرة» بالنصّ وحده.
       return message.contains('Too many')
-          ? AuthFailure.tooManyAttempts
-          : AuthFailure.invalidCode;
+          ? ApiFailure.tooManyAttempts
+          : ApiFailure.invalidCode;
     }
-    return AuthFailure.server;
+    return ApiFailure.server;
   }
 }