cleanup: trim bloated multi-line comments across the project

2026-08-26 03:22:20 +03:30
parent 83435c5a5f
commit 683bd40169
27 changed files with 235 additions and 699 deletions
--- a/affiliate/views.py
+++ b/affiliate/views.py
@@ -63,24 +63,16 @@ class TrackConversionView(APIView):
    خودِ کاربرِ تازه‌ارجاع‌شده (بعد از لاگین/ثبت‌نام) زده بشه، هویتش رو
    از توکن احرازشده (request.user) می‌گیریم، نه از بدنه‌ی درخواست.

-    # ⚠️ اصلاح امنیتی: قبلاً این endpoint با AllowAny و یک
-    # referredUserId دلخواه از سمت کلاینت کار می‌کرد؛ یعنی هر کلاینتِ
-    # ناشناس می‌تونست برای هر کاربرِ واقعیِ دیگه‌ای (بدون اطلاع یا
-    # مشارکت خودش) به‌جای او Conversion بسازه، یا حتی برای فرار از
-    # قید unique روی referred_user_id، از قبل تمام userId های موجود
-    # رو برای یک کد افیلیتِ جعلی «اشغال» کنه و مسیر ارجاع واقعی رو
-    # برای همیشه مسدود کنه. با گرفتن هویت از request.user (نیازمند
-    # احراز هویت)، دیگه امکان جعل/انتساب ارجاع به کاربر دیگری وجود
-    # نداره؛ چک self-referral هم حفظ شده.
+    # هویت از request.user گرفته می‌شه (نه بدنه‌ی درخواست) چون یک
+    # referredUserIdِ کلاینت‌دار یعنی هر کلاینتِ ناشناس می‌تونست برای هر
+    # کاربرِ دیگه‌ای Conversion بسازه یا با اشغالِ همه‌ی userId ها (قیدِ
+    # unique رو دورزدن) مسیرِ ارجاعِ واقعی رو مسدود کنه.
    """

    permission_classes = [IsAuthenticated]
-    # ⚠️ اضافه شده: قبلاً این endpoint هیچ throttleای نداشت؛ referralCode
-    # نامعتبر ۴۰۴ می‌گیره (یک oracle قابل‌probe) و حدسِ درست یک
-    # Conversion واقعیِ متصل به کمیسیونِ affiliate می‌سازه. طبقِ همون
-    # الگویِ بقیه‌ی اپ‌ها، throttle_scope مجزا با GuestAwareAffiliateThrottle
-    # اضافه شد تا هم probe کردنِ کد رو کند کنه، هم چرخشِ حساب مهمان
-    # دیگه bucket تازه نده.
+    # referralCode نامعتبر ۴۰۴ می‌گیره (یک oracle قابل‌probe)، پس throttle
+    # مجزا هم probe رو کند می‌کنه هم (با GuestAwareAffiliateThrottle) جلویِ
+    # bucket تازه از چرخشِ حساب مهمان رو می‌گیره.
    throttle_scope = 'affiliate_track'
    throttle_classes = [GuestAwareAffiliateThrottle]