# ❌ خطأ شائع — لا يوجد تحقق من الملكية
@app.route('/api/orders/<int:order_id>', methods=['GET'])
@login_required
def get_order(order_id):
    # ⚠️ يجلب الطلب بالـ ID مباشرة بدون أي تحقق
    order = Order.query.get(order_id)
    
    if not order:
        return jsonify({'error': 'Not found'}), 404
    
    # ⚠️ لم يتحقق هل هذا الطلب يخص المستخدم الحالي!
    return jsonify(order.to_dict())

# المهاجم يرسل: GET /api/orders/1337 ويقرأ طلبات أي مستخدم

# ✅ صح — التحقق من ملكية المورد قبل إرجاعه
@app.route('/api/orders/<int:order_id>', methods=['GET'])
@login_required
def get_order(order_id):
    # ✅ اجلب هوية المستخدم من الـ JWT token
    current_user_id = get_jwt_identity()
    
    # ✅ تحقق من الملكية في نفس الـ query
    order = Order.query.filter_by(
        id=order_id,
        user_id=current_user_id  # ← هذا هو المفتاح
    ).first()
    
    if not order:
        # ✅ 404 وليس 403 — لا تكشف وجود المورد
        return jsonify({'error': 'Not found'}), 404
    
    return jsonify(order.to_dict())

# المهاجم الآن يحصل على 404 حتى لو كان الطلب موجوداً

# 1. سجّل دخول بحساب User A واحصل على token
TOKEN_A="eyJhbGci..."

# 2. اجلب موردك الخاص
curl -X GET https://api.example.com/orders/100 \
  -H "Authorization: Bearer $TOKEN_A"
# ✅ يجب أن يرجع 200

# 3. حاول تغيير الـ ID لمورد مستخدم آخر
curl -X GET https://api.example.com/orders/101 \
  -H "Authorization: Bearer $TOKEN_A"
# ✅ يجب أن يرجع 404 — إذا رجع 200 فلديك ثغرة BOLA!

// ❌ خطأ 1: السماح بخوارزمية "none"
const decoded = jwt.verify(token, secret, {
  algorithms: ['HS256', 'none'] // ⚠️ خطر جداً!
});

// ❌ خطأ 2: JWT بدون انتهاء صلاحية
const token = jwt.sign(
  { userId: user.id },
  process.env.JWT_SECRET
  // ⚠️ لا يوجد expiresIn — يصلح للأبد!
);

// ❌ خطأ 3: secret ضعيف
const JWT_SECRET = "secret"; // ⚠️ قابل للتخمين

// ✅ صح — JWT محكم وآمن
const token = jwt.sign(
  {
    userId: user.id,
    role: user.role,
    jti: uuidv4() // ✅ معرف فريد للـ token
  },
  process.env.JWT_SECRET, // ✅ من متغيرات البيئة
  {
    algorithm: 'HS256',     // ✅ خوارزمية صريحة
    expiresIn: '15m',      // ✅ 15 دقيقة فقط
    issuer: 'api.myapp.com'  // ✅ مصدر محدد
  }
);

// ✅ التحقق مع تحديد الخوارزمية فقط
const decoded = jwt.verify(token, process.env.JWT_SECRET, {
  algorithms: ['HS256'],  // ✅ لا "none" أبداً
  issuer: 'api.myapp.com'
});

const rateLimit = require('express-rate-limit');
const RedisStore = require('rate-limit-redis');

// ✅ حماية endpoint تسجيل الدخول
const loginLimiter = rateLimit({
  windowMs: 15 * 60 * 1000,  // 15 دقيقة
  max: 5,                     // ✅ 5 محاولات فقط
  message: {
    error: 'Too many attempts, try again later'
  },
  store: new RedisStore({ ... }), // ✅ Redis لـ distributed systems
  standardHeaders: true,
  legacyHeaders: false,
  // ✅ Block بالـ IP + username معاً
  keyGenerator: (req) => `${req.ip}:${req.body.email}`
});

app.post('/api/auth/login', loginLimiter, authController.login);

# ❌ خطأ — إرجاع كل بيانات المستخدم بدون فلترة
@app.get("/users/{user_id}")
async def get_user(user_id: int):
    user = await db.get_user(user_id)
    return user.__dict__  # ⚠️ يرجع password_hash, role, internal_notes...

# ❌ Mass Assignment — يقبل تحديث أي حقل
@app.put("/users/{user_id}")
async def update_user(user_id: int, data: dict):
    await db.update_user(user_id, **data)  # ⚠️ يقبل {isAdmin: true}!

from pydantic import BaseModel
from typing import Optional

# ✅ Response schema — يحدد ما يُرجع فقط
class UserPublicResponse(BaseModel):
    id: int
    username: str
    email: str
    created_at: str
    # ✅ لا password_hash، لا role، لا internal_notes

# ✅ Update schema — يحدد ما يمكن تعديله فقط
class UserUpdateRequest(BaseModel):
    username: Optional[str] = None
    bio: Optional[str] = None
    # ✅ لا isAdmin، لا role، لا permissions

@app.get("/users/{user_id}", response_model=UserPublicResponse)
async def get_user(user_id: int):
    user = await db.get_user(user_id)
    return user  # ✅ Pydantic يفلتر تلقائياً

@app.put("/users/{user_id}")
async def update_user(user_id: int, data: UserUpdateRequest):
    await db.update_user(user_id, **data.dict(exclude_unset=True))

# settings.py
REST_FRAMEWORK = {
    'DEFAULT_THROTTLE_CLASSES': [
        'rest_framework.throttling.AnonRateThrottle',
        'rest_framework.throttling.UserRateThrottle',
    ],
    'DEFAULT_THROTTLE_RATES': {
        'anon': '100/hour',    # ✅ زوار غير مسجلين
        'user': '1000/hour',   # ✅ مستخدمين مسجلين
        'login': '5/minute',   # ✅ تسجيل الدخول
        'otp': '3/hour',       # ✅ رموز OTP
        'sms': '10/day',       # ✅ إرسال SMS
    }
}

# views.py
class SendOTPView(APIView):
    # ✅ throttle_classes خاص لهذا الـ endpoint
    throttle_classes = [ScopedRateThrottle]
    throttle_scope = 'otp'
    
    def post(self, request):
        # إرسال OTP بأمان
        ...

# ❌ أسوأ ما يمكن فعله
AWS_ACCESS_KEY = "AKIAIOSFODNN7EXAMPLE"  # ⚠️ مباشرة في الكود
DB_PASSWORD = "mypassword123"            # ⚠️ مرئي في Git history
STRIPE_SECRET = "sk_live_abcdefghijk"    # ⚠️ حتى لو حذفته لاحقاً

# ❌ في ملف config.js
const config = {
  apiKey: "AIzaSyD-9tSrke72...",       // ⚠️ سيظهر في GitHub
  databaseURL: "https://..."
};

# ✅ ملف .env (مُدرج في .gitignore)
AWS_ACCESS_KEY=AKIAIOSFODNN7EXAMPLE
DB_PASSWORD=mypassword123
STRIPE_SECRET=sk_live_abcdefghijk

# ✅ في الكود — اقرأ من البيئة فقط
import os
from dotenv import load_dotenv

load_dotenv()

AWS_ACCESS_KEY = os.getenv('AWS_ACCESS_KEY')
DB_PASSWORD = os.getenv('DB_PASSWORD')

# ✅ تحقق من وجود الـ secrets عند البدء
required_secrets = ['AWS_ACCESS_KEY', 'DB_PASSWORD', 'STRIPE_SECRET']
for secret in required_secrets:
    if not os.getenv(secret):
        raise ValueError(f"Missing required secret: {secret}")

# Secrets & Credentials
.env
.env.local
.env.production
.env.*.local
*.pem
*.key
*_rsa
*_dsa
secrets.json
credentials.json
service-account.json

# AWS
.aws/
aws-credentials

# IDE
.idea/
.vscode/settings.json

# Logs
*.log
logs/

# ✅ أداة trufflehog — تفحص الـ Git history كاملاً
pip install trufflehog
trufflehog git file://./  --only-verified

# ✅ أداة gitleaks — أسرع وأشمل
brew install gitleaks
gitleaks detect --source . -v

# ✅ إذا وجدت secret في الـ history، أزله بالكامل
# (لا يكفي حذفه في commit جديد — الـ history لا يزال موجوداً)
git filter-repo --path .env --invert-paths
# ثم أعد رفع الـ repo وأبطل كل الـ secrets القديمة

# تثبيت Nuclei
go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest

# ✅ فحص الـ API بقوالب متخصصة
nuclei -u https://api.example.com \
  -t api/ \
  -severity critical,high \
  -o results.txt

# ✅ فحص ملف OpenAPI spec
nuclei -t exposures/apis/ \
  -u https://api.example.com/swagger.json