Harden auth, AI tutor, payments, and subscriptions

README.md

@@ -11,11 +11,20 @@
 python3 -m venv venv
 source venv/bin/activate        # ویندوز: venv\Scripts\activate
 pip install -r requirements.txt
+
+# مهم: از این به بعد DEBUG دیفالتش False هست (برای امنیتِ پروداکشن).
+# برای اجرای محلی/تست با Swagger (که به DEV_MASTER_OTP و devOtp توی
+# پاسخ نیاز داره)، این env var رو ست کنید:
+export DJANGO_DEBUG=1            # ویندوز (PowerShell): $env:DJANGO_DEBUG=1
+
 python manage.py migrate
 python manage.py createsuperuser   # اختیاری، برای /admin
 python manage.py runserver
 ```
 
+در پروداکشن، `DJANGO_DEBUG` رو ست نکنید (یا `0` بذارید) و حتماً
+`DJANGO_SECRET_KEY` و `DJANGO_ALLOWED_HOSTS` (کاما-جدا) رو هم از env بدید.
+
 ## مستندات API
 
 | | |
@@ -57,7 +66,19 @@ python manage.py runserver
 
 ## قبل از دیپلوی پروداکشن
 
-- [ ] `DEBUG = False` و `SECRET_KEY` از env
-- [ ] حذف/مقیّدسازی `DEV_MASTER_OTP` به محیط توسعه
-- [ ] rate limit روی `auth/otp/request` و `auth/login`
+- [x] `DEBUG` و `SECRET_KEY` و `ALLOWED_HOSTS` از env خونده می‌شن (دیفالتِ
+      `DEBUG` روی `False` است)
+- [x] `DEV_MASTER_OTP` و برگردوندنِ `devOtp` توی پاسخ، فقط وقتی `DEBUG=True`
+      فعالن؛ در پروداکشن غیرفعالن
+- [x] rate limit (`ScopedRateThrottle`) روی `auth/otp/request` (۵/ساعت) و
+      `auth/login` (۱۰/ساعت) اضافه شد
+- [x] IDOR در `GET /api/home` و `GET /api/progress/nodes` اصلاح شد: قبلاً
+      بدون هیچ توکنی، با فرستادنِ `userId` دلخواه می‌شد آمار/پیشرفتِ هر
+      کاربرِ دیگه‌ای رو خوند؛ حالا auth اجباریه و فقط خودِ کاربر یا والدِ
+      تأییدشده‌اش (`FamilyLink` با `status='accepted'`) اجازه‌ی دسترسی دارن
 - [ ] دیتابیس Postgres به‌جای SQLite
+- [x] اتصال واقعی به سرویسِ پیامک برای ارسالِ OTP: دیگه استاب نیست؛ از طریق
+      کاوه‌نگار (kavenegar.com) ارسال می‌شه (کلید از `KAVENEGAR_API_KEY`)،
+      و هر شکست (شبکه/کلید/رد اپلیکیشنی) به‌جای موفقیتِ ساختگی، خطای صریح
+      ۵۰۳ برمی‌گردونه
+- [ ] بررسیِ دوره‌ای throttle rate ها با توجه به ترافیکِ واقعی