Bazaar: subscriptions (subscribeProduct), dynamic price token, RSA key; Zarinpal and Bazaar side by side at checkout

- Checkout sheet always shows both methods as two tiles; Bazaar tile disabled with the reason
  (not in Bazaar / Android app only / update the app) instead of hidden; default is Bazaar inside an app that can buy.
- Bridge v2: TadrisinoAndroid.bazaarBuy(sku, orderId, productType, dynamicPriceToken); inAndroidApp() split
  from canBuyFromBazaar() so the pay.html workaround still applies to the installed APK.
- Bazaar flow: order -> optional discount code -> POST /payment/bazaar/orders/{id}/start -> Poolakey -> verify;
  consume only packs.
- Android: RSA key, subscribeProduct/getSubscribedProducts for subscriptions, dynamicPriceToken, versionCode 2.
  compileDebugKotlin green; no purchase tested on a phone.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

src/lib/bazaar.ts

@@ -5,22 +5,27 @@ import { store } from './storage';
  *
  * خریدِ درون‌برنامه‌ایِ بازار فقط از کدِ بومیِ اندروید (کتابخانه‌ی Poolakey) شدنی است، پس
  * اپِ اندروید یک شیء به نامِ `window.TadrisinoAndroid` در صفحه می‌گذارد و این فایل تنها
- * جایی است که با آن حرف می‌زند. در مرورگرِ معمولی آن شیء نیست، `inBazaarApp()` false است و
- * خرید مثلِ قبل به زرین‌پال می‌رود.
+ * جایی است که با آن حرف می‌زند. در مرورگرِ معمولی آن شیء نیست و خرید با زرین‌پال است.
  *
  * قرارداد (سمتِ اندروید: `android/` در همین ریپو):
- *   JS → اندروید   TadrisinoAndroid.bazaarPurchase(sku, orderId)   خرید را شروع کن؛ orderId همان
- *                                                                   developerPayloadِ خرید است.
- *   JS → اندروید   TadrisinoAndroid.bazaarConsume(purchaseToken)   بعد از تأییدِ سرور؛ بدونِ آن
- *                                                                   همان بسته دوباره خریدنی نیست.
+ *   JS → اندروید   TadrisinoAndroid.bazaarBuy(sku, orderId, productType, dynamicPriceToken)
+ *                    productType «inapp» (بسته، purchaseProduct) یا «subscription» (subscribeProduct)؛
+ *                    orderId همان payloadِ خرید است؛ dynamicPriceToken رشته‌ی خالی یعنی قیمتِ پیشخان.
+ *   JS → اندروید   TadrisinoAndroid.bazaarConsume(purchaseToken)   فقط بسته، بعد از تأییدِ سرور.
  *   اندروید → JS   رویدادِ window به نامِ «tadrisino:bazaar» با detail:
  *                    { orderId, purchaseToken }                     خرید انجام شد
  *                    { orderId, error: 'canceled' | 'failed', message? }
  *
- * هیچ‌کدام از این‌ها هنوز روی گوشیِ واقعی اجرا نشده (۲۰۲۶-۱۰-۰۳): اپِ اندروید ساخته نشده.
+ * `bazaarBuy` از APKهای پس از ۲۰۲۶-۱۰-۱۲ است. APKهای قبلی کلیدِ RSA نداشتند و Poolakey در آن‌ها خاموش بود، پس از
+ * بازار هیچ خریدی نکرده‌اند؛ در آن‌ها کاشیِ بازار غیرفعال است و «اپ را به‌روز کن» می‌گوید.
+ * هیچ‌کدام از این‌ها هنوز روی گوشیِ واقعی اجرا نشده (۲۰۲۶-۱۰-۱۲).
  */
 
+export type BazaarProductType = 'inapp' | 'subscription';
+
 interface AndroidBridge {
+  bazaarBuy?: (sku: string, orderId: string, productType: BazaarProductType, dynamicPriceToken: string) => void;
+  /** APKِ قدیمی؛ فقط برای این‌که بدانیم داخلِ اپیم ولی خرید از بازار در آن ممکن نیست. */
   bazaarPurchase?: (sku: string, orderId: string) => void;
   bazaarConsume?: (purchaseToken: string) => void;
   /** اولین صفحه‌ی واقعی کشیده شد؛ اسپلشِ سیستم می‌تواند برود (APKهای قدیمی‌تر این را ندارند). */
@@ -43,17 +48,23 @@ export class BazaarPurchaseError extends Error {
   }
 }
 
-export function inBazaarApp(): boolean {
-  return typeof window.TadrisinoAndroid?.bazaarPurchase === 'function';
+/** داخلِ اپِ اندرویدِ تدریسینوییم (هر نسخه‌ای). */
+export function inAndroidApp(): boolean {
+  return typeof window.TadrisinoAndroid === 'object' && window.TadrisinoAndroid !== null;
+}
+
+/** اپی که می‌تواند از بازار بخرد (بسته و اشتراک). */
+export function canBuyFromBazaar(): boolean {
+  return typeof window.TadrisinoAndroid?.bazaarBuy === 'function';
 }
 
 /** صفحه‌ی خریدِ بازار ممکن است طول بکشد (ورود به بازار، کارتِ بانکی)؛ این سقف فقط جلوی گیر کردنِ همیشگی را می‌گیرد. */
 const PURCHASE_TIMEOUT_MS = 10 * 60 * 1000;
 
 /** خرید را به اپِ اندروید می‌سپارد و purchaseToken را برمی‌گرداند. */
-export function bazaarPurchase(sku: string, orderId: string): Promise<string> {
+export function bazaarBuy(sku: string, orderId: string, productType: BazaarProductType, dynamicPriceToken: string | null): Promise<string> {
   const bridge = window.TadrisinoAndroid;
-  if (!bridge?.bazaarPurchase) return Promise.reject(new BazaarPurchaseError('failed', 'not in the Android app'));
+  if (!bridge?.bazaarBuy) return Promise.reject(new BazaarPurchaseError('failed', 'not in the Android app'));
   return new Promise((resolve, reject) => {
     const timer = window.setTimeout(() => finish(() => reject(new BazaarPurchaseError('timeout'))), PURCHASE_TIMEOUT_MS);
     function finish(settle: () => void) {
@@ -69,7 +80,7 @@ export function bazaarPurchase(sku: string, orderId: string): Promise<string> {
     }
     window.addEventListener('tadrisino:bazaar', onResult);
     try {
-      bridge.bazaarPurchase!(sku, orderId);
+      bridge.bazaarBuy!(sku, orderId, productType, dynamicPriceToken ?? '');
     } catch (err) {
       finish(() => reject(new BazaarPurchaseError('failed', String(err))));
     }