feat(apps): نظام التصميم والمصادقة الكاملة — المرحلتان 2 و3

## تصحيح بنيوي أولاً
بنية المرحلة 1 كانت تخالف docs/23 §1 المُلزِم. أُعيدت للشجرة المفروضة
حرفياً: app.dart في الجذر · core/{config,build_config,di,router}.dart ·
core/{design,ui,l10n,api,storage,session}/ · features/<f>/{cubit,data,view}/

## المرحلة 2 — نظام التصميم (docs/26)
- core/design: tokens (مسافات/زوايا/حركة/أحجام — الشاشة لا تخترع رقماً) ·
  typography (IBM Plex Sans Arabic + Inter محليّان، بأرقام tabular للأسعار
  والعدّادات) · TripzColors كـThemeExtension للأدوار الدلالية ·
  buildTheme(brightness, locale) بمدخلين لا ثالث لهما
- core/ui: 11 مكوّناً. TripzScaffold يحوّل status الـCubit وحده إلى
  skeleton/خطأ/فراغ/محتوى — فلا تكتب أي شاشة if (loading)
- core/l10n: ARB عربي/إنجليزي + gen_l10n. لا نص مرئي داخل widget
- SettingsCubit: المظهر واللغة. الاتجاه يتبع اللغة آلياً بلا Directionality
  مفروضة، وسقف تكبير النص 1.3

## المرحلة 3 — المصادقة
- طبقة الشبكة: تجديد استباقي بطلقة واحدة (عمر التوكن 15 دقيقة) ·
  x-app-role · x-device-id من device_info_plus — يُرسَل الآن كي يُفعَّل علم
  الخادم لاحقاً بلا تعديل التطبيق
- SessionCubit في core/session خلف واجهة SessionSource: الجلسة حالة على
  مستوى التطبيق لا ميزة، و core لا يستورد من features
- LoginCubit بخطواته الخمس، ProfileCubit، وست شاشات:
  الشروط ← إذن الموقع ← الهاتف ← الرمز ← إكمال الملف ← هيكل الرئيسية

من سيرو نُقل السلوك لا الكود: بوابتان قبل أي حقل إدخال · إعادة فحص الإذن عند
العودة من إعدادات النظام · تحقّق الهاتف الثلاثي. وأُضيف ما ينقصه: عدّاد إعادة
إرسال الرمز — بدونه تُحظر ثلاث ضغطات المستخدمَ خمس دقائق (docs/38 §2).

قراران موثّقان في docs/37: لا packages/tripz_ui (الوثيقتان المُلزِمتان تفرضان
core/design و core/ui داخل التطبيق)، والـCubit يُصدر رمز فشل لا نصّاً
(يجمع بين docs/23 §3 و docs/26 §4).

flutter analyze نظيف في التطبيقين · 48 ملف و3,140 سطر لكل تطبيق · الفرق
بينهما أربعة ملفات فقط: build_config · config · ملفّا ARB.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/37-newapps-cubit-plan.md

@@ -143,7 +143,28 @@
 9. **بوابة**: يبني على السيرفر، يقلع على المحاكي بشاشة splash،
    و`flutter analyze` نظيف.
 
-### المرحلة 2 — نظام التصميم (هنا يُكسب الشكل أو يُخسر)
+### المرحلة 2 — نظام التصميم — **نُفّذت 2026-08-04**
+
+مُنجز: `core/design/` (tokens · typography · TripzColors · buildTheme) ·
+`core/ui/` عدّة من 11 مكوّناً · `core/l10n/` ARB عربي/إنجليزي مع `gen_l10n` ·
+`SettingsCubit` (المظهر واللغة محفوظان محلياً).
+
+**تصحيح بنيوي**: بنية م1 كانت تخالف `docs/23 §1` المُلزِم (`lib/app/` و
+`core/config/` و`core/network/`). أُعيدت للشجرة المفروضة حرفياً:
+`app.dart` · `core/{config,build_config,di,router}.dart` ·
+`core/{design,ui,l10n,api,storage,session}/` · `features/<f>/{cubit,data,view}/`.
+
+**قراران يستحقّان المراجعة:**
+1. **لا `packages/tripz_ui`.** خطتي الأصلية (م2.11) اقترحت حزمة مشتركة، لكن
+   `docs/23 §1` و`docs/26 §10` كلاهما مُلزِم ويفرض `lib/core/design` و
+   `lib/core/ui` **داخل** كل تطبيق. اتُّبعت الوثيقتان، والملفّان متطابقان
+   حرفياً بين التطبيقين (يُزامنان بـ`rsync` وأي تباعد يُكتشف بـ`diff -rq`).
+2. **رمز الفشل لا نصّه.** `docs/23 §3` يقول إن الـCubit يبني الرسالة العربية،
+   و`docs/26 §4` يوجب مرور كل نص بالترجمة — والـCubit لا يعرف `BuildContext`.
+   الحل: الـCubit يُصدر `AuthFailure` كرمز، وتترجمه الواجهة في ملف واحد
+   (`auth_failure_text.dart`). الشاشة تبقى بلا منطق، والنص بلغتين.
+
+### (الأصل المعتمد للمرحلة 2)
 10. تطبيق `docs/26-flutter-design-system.md` + `docs/23-flutter-conventions.md`:
     theme · ألوان · تايبوغرافي · مسافات · حركة · RTL/LTR بأربع لغات.
 11. حزمة مشتركة `packages/tripz_ui` يستهلكها التطبيقان (تجنّب ازدواج الشاشات).
@@ -152,7 +173,25 @@
     قوائم كسولة · بلا عمل ثقيل في `build`. سبب الأداء السيئ سابقاً يُشخّص من
     `*-archive-cubit` **مرة واحدة** ويُكتب هنا كقائمة ممنوعات.
 
-### المرحلة 3 — التسجيل والدخول (OTP) كاملاً
+### المرحلة 3 — التسجيل والدخول — **نُفّذت 2026-08-04، البوابة معلّقة**
+
+مُنجز: طبقة الشبكة (Dio + تجديد استباقي بطلقة واحدة + `x-app-role` +
+`x-device-id` من `device_info_plus`) · `AuthRepository` · `SessionCubit` في
+`core/session/` خلف واجهة `SessionSource` (كي لا يستورد `core` من `features`) ·
+`LoginCubit` بخطواته الخمس · `ProfileCubit` · ست شاشات:
+الشروط ← إذن الموقع ← الهاتف ← الرمز ← إكمال الملف ← هيكل الرئيسية.
+
+نُقلت من سيرو كسلوك لا ككود: بوابتان **قبل** أي حقل إدخال · إعادة فحص الإذن
+عند العودة من إعدادات النظام (`didChangeAppLifecycleState`) · تحقّق الهاتف
+الثلاثي (فارغ/صفر بادئ/قصير).
+أُضيف ما ينقص سيرو: **عدّاد إعادة الإرسال** — بدونه تُحظر ثلاث ضغطات المستخدمَ
+خمس دقائق (`docs/38 §2`).
+
+`flutter analyze` نظيف في التطبيقين · 48 ملف · 3,140 سطر لكل تطبيق ·
+الفرق بينهما **أربعة ملفات فقط** (`build_config` · `config` · ملفّا ARB).
+البوابة (دخول حقيقي على الخادم) تنتظر التشغيل.
+
+### (الأصل المعتمد للمرحلة 3)
 13. طبقة الشبكة: Dio + interceptors + تجديد التوكن + `x-app-role`.
 14. شاشات: onboarding → إدخال الهاتف → OTP → إكمال الملف → استعادة الجلسة.
 15. مراعاة قرار **هوية الراكب/السائق المنفصلة** (قيد `tenant,phone_bidx,role`