ربط بوابة دفع المحفظة الإلكترونية بخادم Node.js دون أن تخسر طلباً

CREATE TABLE payments (
  provider_tx_id text PRIMARY KEY,            -- رقم العملية لدى البوابة
  order_id       uuid   NOT NULL REFERENCES orders(id),
  amount_iqd     bigint NOT NULL,             -- بالدينار، عدد صحيح
  status         text   NOT NULL DEFAULT 'pending', -- pending | paid | failed | refunded
  created_at     timestamptz NOT NULL DEFAULT now(),
  paid_at        timestamptz
);

// رمز الدخول، نحتفظ به في الذاكرة حتى قبل انتهائه بقليل
let cached = { token: null, exp: 0 };

export async function getToken() {
  if (cached.token && Date.now() < cached.exp - 30_000) return cached.token;

  const res = await fetch(process.env.PAY_TOKEN_URL, {
    method: 'POST',
    headers: { 'content-type': 'application/x-www-form-urlencoded' },
    body: new URLSearchParams({
      grant_type: 'client_credentials',
      client_id: process.env.PAY_CLIENT_ID,
      client_secret: process.env.PAY_CLIENT_SECRET,
    }),
  });
  if (!res.ok) throw new Error('token request failed: ' + res.status);

  const data = await res.json();
  cached = { token: data.access_token, exp: Date.now() + data.expires_in * 1000 };
  return cached.token;
}

// POST /orders/:id/pay — المبلغ من قاعدة البيانات، لا من المتصفح
app.post('/orders/:id/pay', async (req, reply) => {
  const { rows: [order] } = await db.query(
    'SELECT id, total_iqd, status FROM orders WHERE id = $1', [req.params.id]);
  if (!order || order.status !== 'awaiting_payment') return reply.code(409).send();

  const res = await fetch(process.env.PAY_API + '/transactions', {
    method: 'POST',
    headers: {
      authorization: 'Bearer ' + await getToken(),
      'content-type': 'application/json',
    },
    body: JSON.stringify({
      amount: order.total_iqd,       // بالدينار
      currency: 'IQD',
      externalReference: order.id,   // رقم طلبك ليعود معك في الإشعار
      successUrl: process.env.SITE + '/pay/return',
      failureUrl: process.env.SITE + '/pay/return',
    }),
  });
  if (!res.ok) return reply.code(502).send({ error: 'gateway' });
  const tx = await res.json();

  await db.query(
    `INSERT INTO payments (provider_tx_id, order_id, amount_iqd)
     VALUES ($1, $2, $3)
     ON CONFLICT (provider_tx_id) DO NOTHING`,
    [tx.id, order.id, order.total_iqd]);

  return { redirectUrl: tx.redirectUrl };
});

import jwt from 'jsonwebtoken';

// عودة الزبون: نتحقق من التوقيع ونعرض الحالة — لا نغيّر حالة الطلب هنا
app.get('/pay/return', async (req, reply) => {
  let claims;
  try {
    claims = jwt.verify(req.query.token, process.env.PAY_JWT_SECRET, { algorithms: ['HS256'] });
  } catch {
    return reply.redirect('/checkout?pay=invalid');
  }

  const { rows: [p] } = await db.query(
    'SELECT order_id, status FROM payments WHERE provider_tx_id = $1', [claims.transactionId]);
  if (!p) return reply.redirect('/checkout?pay=unknown');

  // مدفوع فعلاً؟ أكّد. وإلا صفحة «جارٍ التأكيد» تسأل الخادم كل بضع ثوانٍ
  return reply.redirect('/orders/' + p.order_id + (p.status === 'paid' ? '?paid=1' : '?pending=1'));
});

// تُستدعى من الإشعار ومن الاستعلام الدوري: تحوّل العملية إلى «مدفوعة» مرة واحدة فقط
async function markPaid(txId, amountFromGateway) {
  const { rowCount } = await db.query(
    `UPDATE payments SET status = 'paid', paid_at = now()
      WHERE provider_tx_id = $1 AND status = 'pending' AND amount_iqd = $2`,
    [txId, amountFromGateway]);
  if (rowCount === 1) await queue.add('order-paid', { txId }); // تنفيذ الطلب يحدث هنا فقط
}

app.post('/webhooks/payments', async (req, reply) => {
  if (!verifyWebhook(req)) return reply.code(401).send(); // توقيع أو رمز حسب وثائق المزوّد

  // لا نثق بجسم الإشعار وحده: نسأل البوابة عن العملية
  const tx = await fetchTransaction(req.body.transactionId);
  if (tx.status === 'PAID') await markPaid(tx.id, tx.amount);

  return reply.code(200).send(); // ردّ سريع؛ العمل الثقيل في الطابور
});

// كل دقيقة: العمليات المعلّقة أكثر من دقيقتين نسأل عنها البوابة بأنفسنا
async function reconcile() {
  const { rows } = await db.query(
    `SELECT provider_tx_id FROM payments
      WHERE status = 'pending' AND created_at < now() - interval '2 minutes'
      ORDER BY created_at LIMIT 50`);

  for (const { provider_tx_id: id } of rows) {
    const tx = await fetchTransaction(id);
    if (tx.status === 'PAID') await markPaid(id, tx.amount);
    else if (tx.status === 'EXPIRED' || tx.status === 'FAILED') {
      await db.query(
        `UPDATE payments SET status = 'failed' WHERE provider_tx_id = $1 AND status = 'pending'`, [id]);
    }
  }
}

setInterval(() => reconcile().catch(console.error), 60_000);