Audit fixes: VIP self-grant, draft leak, onboarding flag, hero personalization, gated downloads

2026-10-09 16:20:55 +03:00
parent c34611dc36
commit 5ee706ebd6
150 changed files with 24054 additions and 0 deletions
@@ -0,0 +1,60 @@
+import Topnav from '@/components/topnav'
+import Footer from '@/components/footer'
+import { getPayload } from 'payload'
+import { headers } from 'next/headers'
+import configPromise from '@payload-config'
+import Link from 'next/link'
+import VerifyActions from './verify-actions'
+import '../styles/email-verification.css'
+
+export const dynamic = 'force-dynamic'
+export const metadata = { title: 'تأكيد البريد الإلكتروني' }
+
+type Props = { searchParams: Promise<{ invalid?: string }> }
+
+/* Email verification step — design from email-verification.html. The account
+   was created; the user either clicks the emailed link (real SMTP at deploy)
+   or proceeds to onboarding via the CTA. */
+export default async function VerifyEmailPage({ searchParams }: Props) {
+  const { invalid } = await searchParams
+  let email: string | null = null
+  let verified = false
+  try {
+    const payload = await getPayload({ config: configPromise })
+    const { user } = await payload.auth({ headers: await headers() })
+    if (user) {
+      email = user.email
+      verified = !!user.emailVerified
+    }
+  } catch {
+    /* no db / no session — page still renders */
+  }
+
+  return (
+    <div id="site" className="site-page page-verify-email">
+      <Topnav />
+      <main id="content" className="verification">
+        <section className="container" data-od-id="email-verification">
+          <div className="card">
+            <p className="eyebrow">الخطوة التالية · تأكيد البريد</p>
+            <h1 data-od-id="verification-title">افتح بريدك لتفعيل الحساب.</h1>
+            <p className="lead">أرسلنا رابط التأكيد إلى:<strong className="email" id="signupEmail">{email ?? 'بريدك الإلكتروني'}</strong></p>
+            {invalid === '1' && (
+              <p className="status" role="alert">رابط التأكيد غير صالح أو استُخدم من قبل. اطلب رسالة جديدة.</p>
+            )}
+            {verified && (
+              <p className="status" role="status">بريدك الإلكتروني مؤكَّد بالفعل ✓ — تابع إلى الإعداد.</p>
+            )}
+            <ol className="steps" aria-label="خطوات تأكيد البريد">
+              <li><span className="step-num">01</span><span>افتح رسالة أنور بآي في صندوق الوارد.</span></li>
+              <li><span className="step-num">02</span><span>اضغط رابط تأكيد البريد الإلكتروني داخل الرسالة.</span></li>
+              <li><span className="step-num">03</span><span>عد هنا لإعداد حسابك ومسارك الأول.</span></li>
+            </ol>
+            <VerifyActions verified={verified} />
+          </div>
+        </section>
+      </main>
+      <Footer />
+    </div>
+  )
+}
@@ -0,0 +1,38 @@
+'use client'
+
+import Link from 'next/link'
+import { useState } from 'react'
+
+/* Resend button + status — real /api/auth/resend-verification endpoint.
+   Without SMTP configured the API answers 503 with a clear message. */
+export default function VerifyActions({ verified }: { verified: boolean }) {
+  const [status, setStatus] = useState('')
+
+  return (
+    <>
+      <div className="actions">
+        <Link className="btn btn-primary" href="/onboarding" data-od-id="continue-onboarding-cta">متابعة إعداد الحساب</Link>
+        {!verified && (
+          <button className="btn btn-secondary" id="resendButton" type="button" data-od-id="resend-email-button"
+            onClick={async (e) => {
+              const button = e.currentTarget
+              button.disabled = true
+              setStatus('جارٍ الإرسال…')
+              const res = await fetch('/api/auth/resend-verification', { method: 'POST' })
+              const data = await res.json().catch(() => null)
+              if (res.ok || data?.already) {
+                setStatus('أرسلنا الرسالة من جديد — افحص صندوق الوارد.')
+              } else {
+                setStatus(data?.error || 'تعذّر الإرسال، جرّب بعد قليل.')
+              }
+              setTimeout(() => { button.disabled = false }, 3000)
+            }}
+          >
+            إعادة إرسال الرسالة
+          </button>
+        )}
+      </div>
+      <p className="status" id="resendStatus" role="status" aria-live="polite">{status}</p>
+    </>
+  )
+}