Remove the guest system entirely: no is_guest/device_id, no guest throttles, phone login is the only way in

accounts.0008 drops the columns and refuses to run while guest rows exist.
Docs describe the current state; tests that only proved guest behaviour are gone.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

payment/views.py

@@ -48,24 +48,6 @@ def _redirect_to_configured_url(url: str) -> HttpResponseRedirect:
     return redirect_cls(url)
 
 
-class GuestAwareBazaarThrottle(ScopedRateThrottle):
-    """همون الگوی GuestAwareAIThrottle/GuestAwareDiscountThrottle/etc: چرخشِ
-    حساب مهمان (هر deviceId یه pk تازه) نباید bucket تازه‌ی bazaar_verify
-    بده، چون هر درخواستِ پذیرفته‌شده یه فراخوانیِ سرور-به-سرور به بازاره.
-    برای مهمان‌ها کلیدِ cache بر اساسِ IP هست، نه pk."""
-
-    def get_cache_key(self, request, view):
-        user = request.user
-        if user and user.is_authenticated and getattr(user, 'is_guest', False):
-            ident = f'guest-ip:{self.get_ident(request)}'
-        elif user and user.is_authenticated:
-            ident = user.pk
-        else:
-            ident = self.get_ident(request)
-
-        return self.cache_format % {'scope': self.scope, 'ident': ident}
-
-
 class CreateOrderView(APIView):
     """
     POST /api/payment/orders — ساخت سفارش (فراخوانی‌شده از اپ Subscription)
@@ -299,11 +281,9 @@ class BazaarVerifyPurchaseView(APIView):
     permission_classes = [IsAuthenticated]
     # این endpoint یک فراخوانیِ سرور-به-سرورِ واقعی به API بازار (verify_purchase)
     # تریگر می‌کنه، برای همین throttle_scope مجزا و نرخِ سخت‌گیرانه‌تر (۱۰/hour)
-    # داره. کاربرهای مهمان با هر deviceId یک pk تازه می‌گیرن، پس
-    # GuestAwareBazaarThrottle برای اون‌ها بر اساسِ IP کلید می‌سازه تا چرخشِ
-    # حساب bucket تازه نگیره؛ برای کاربرهای غیرمهمان رفتارِ per-user حفظ می‌شه.
+    # داره.
     throttle_scope = 'bazaar_verify'
-    throttle_classes = [GuestAwareBazaarThrottle]
+    throttle_classes = [ScopedRateThrottle]
 
     def get_permissions(self):
         if self.request.method == 'GET':