بناء نظام خلفي آمن (Secure Backend & API) ولوحة تحكم لإدارة تراخيص أكواد التفعيل PIN Codes

1- نظرة عامة (Overview)

أبحث عن مطور Backend خبير PHP/Laravel لبناء نظام مغلق لتوليد وإدارة وتوثيق أكواد التفعيل لتطبيق موبايل. ملاحظة هامة: لا علاقة لك بتطبيق الموبايل نهائياً، الدور يقتصر حصرياً على برمجة السيرفر، قاعدة البيانات، واجهات الربط (RESTful APIs)، ولوحة تحكم الإدارة (Admin Panel).

2- المكونات المطلوبة (Deliverables)

• قاعدة بيانات علائقية (MySQL): مصممة بشكل نظيف (Normalized) لمنع التكرار.

• لوحة تحكم للمدير (Web Admin Panel): واجهة بسيطة ومنسقة بصلاحيات دخول آمنة (Role-Based Access)، تتيح لي إدارة الأكواد وتوليدها. (يُشترط أن تكون محمية بنظام المصادقة الثنائية 2FA عبر البريد الإلكتروني)

• واجهة برمجة تطبيقات (APIs): لاستقبال طلبات المصادقة (Authentication) من تطبيق الموبايل والرد عليها بصيغة JSON.

3- دورة حياة الكود (The Workflow)

النظام يجب أن يدير الكود عبر 3 حالات (States):

• التوليد (Generation): أقوم من لوحة التحكم بطلب توليد (مثلاً 10,000 كود). السيرفر يقوم بخلقها بحالة (Inactive - غير مفعلة) وتصديرها لي في ملف CSV للطباعة. الكود يتكون من Serial Number مرئي+ PIN Code عشوائي مشفر

• التفعيل (Activation): أقوم بإدخال نطاق سيريالات (مثلاً من 1 إلى 500) في لوحة التحكم، وأضغط "تفعيل". تتحول حالتهم في قاعدة البيانات إلى (Active - جاهز للاستخدام

• الاستهلاك أو التشغيل عبر الـ API (Redemption) : يستقبل السيرفر طلب (POST) يحتوي على: [PIN_Code] + [Device_Hardware_ID].

• المنطق (Logic): إذا كان الكود (Active)، يقوم السيرفر بربطه بـ (Device_ID)، ويبدأ عداد الصلاحية (مثلاً 30 يوماً)، ويرد بـ {"status": "success", "token": "..."}.

• إذا حاول نفس الكود الدخول من (Device_ID) مختلف، يرد السيرفر بـ {"status": "error", "message": "Device Mismatch"}.

4- المتطلبات الأمنية الصارمة (Security Requirements)

هذا النظام سيتعرض لمحاولات اختراق، ويجب تطبيق الآتي:

• الحماية من التخمين (Rate Limiting & Brute-force): حماية نقطة فحص الـ PIN. يجب حظر الـ IP أو الـ Device_ID مؤقتاً (مثلاً 15 دقيقة) بعد 3 محاولات خاطئة متتالية.

• تحسين الحماية (Input Validation & Regex): يجب التحقق من طول وصيغة الكود في واجهة الـ API قبل استدعاء قاعدة البيانات لتقليل العبء على السيرفر ومنع إغراقه بالطلبات الوهمية.

• منع الحقن (SQL Injection Prevention): استخدام (ORM/Prepared Statements) لتنظيف أي مدخلات.

• تشفير الأكواد (Data Masking & Hashing): لا يتم تخزين الـ PIN Codes في قاعدة البيانات كنص صريح (Plaintext) ، بل كـ Hashes للتحقق.

• تأمين واجهة الربط (API Security): إرسال الردود باستخدام (JWT - JSON Web Tokens) بتشفير آمن، لضمان عدم تلاعب الهاكرز برسالة الرد.

• تأمين الدخول للإدارة (Admin 2FA / OTP): يُمنع منعاً باتاً الاعتماد على كلمة المرور فقط لدخول لوحة التحكم. يجب برمجة طبقة حماية ترسل "كود مؤقت" (OTP) إلى البريد الإلكتروني للمدير عند كل عملية تسجيل دخول ناجحة، ولا تفتح اللوحة إلا بإدخاله.

آلية التسليم والاختبار (Handover & Testing)

• رفع الكود على حسابي الشخصي في (GitHub).

• النشر وبيئة العمل (Deployment): سيتم رفع المشروع وربط قاعدة البيانات على استضافة (Hostinger) الخاصة بي.

• إعدادات الشبكة والأمان: سيُطلب منك ربط النطاق (Domain) الخاص بالـ API بخدمة (Cloudflare)، وتفعيل وضع (Proxy)، والتأكد من عمل شهادة (SSL)، لضمان مرور كل الترافيك عبر حائط صد Cloudflare قبل وصوله لـ Hostinger

الاختبارات الأساسية : تسجيل فيديو للشاشة (Screen Record) اثناء استخدام برنامج (Postman) بحيث نتأكد من النتائج عندما يتم ارسال كوداً صحيحاً للسيرفر، وماذا يحدث للسيرفر عندما يتعمد إرسال كود خاطئ 3 مرات متتالية.

يجب تسليم ملف (Postman Collection) يحتوي على كافة الـ API Endpoints لأقوم أنا باختبار النظام وإدخال بيانات صحيحة وخاطئة للتأكد من عمله كاملا قبل استلام المشروع.

اختبارات التلاعب (Edge Cases):

• إدخال كود مستخدم بالفعل: ماذا سيقول لك التطبيق؟ (يجب أن يرد السيرفر بخطأ Code Already Redeemed

• إدخال كود من 4 حروف فقط (بينما الكود الصحيح 12 حرفاً): ما رد السيرفر؟ (يجب أن يرد بخطأ في التنسيق Validation Error

• اختبار كود مفعل على أحد الأجهزة وإعادة تفعيله على نفس الجهاز؟ (يجب أن يتعرف السيرفر على تطابق الـ Device_ID ويسمح له بالدخول دون احتساب تفعيل جديد

التوثيق النهائي (Documentation)

تسليم ملفاً (Readme) يحتوي على:

• توثيق برمجي (API Documentation) باستخدام (Swagger) أو (Postman) ليكون المرجع الأساسي لمطور الأندرويد لاحقاً.

• كيفية الدخول للسيرفر (IP, Usernames, Passwords).

• كيفية أخذ نسخة احتياطية (Backup) لقاعدة البيانات.

• شرح مبسط لهيكلة الجداول