Android WebView: bridge only on our own https page, external schemes blocked, file access off; payment URL must be http(s)

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

src/screens/SubscriptionScreen.tsx

@@ -210,6 +210,8 @@ function CheckoutSheet({ plan, bazaar, onClose, onPaid }: { plan: Plan | null; b
         }
       }
       if (!order.paymentUrl) throw new Error('order without paymentUrl');
+      // فقط http(s): یک «javascript:» یا «data:» از پاسخِ API نباید با assign اجرا شود.
+      if (!/^https?:\/\//i.test(order.paymentUrl)) throw new Error('paymentUrl is not http(s)');
       window.location.assign(order.paymentUrl);
     } catch (err) {
       setError(friendlyError(err, 'اتصال به درگاه انجام نشد، دوباره امتحان کن'));