استقبل أموالك بسهولة

أنشئ رابط KRM أو باركود QR خاص بك وشاركه لاستقبال المدفوعات والدعم بسهولة. KRM لا تحتفظ بأموالك؛ تتم معالجة المدفوعات عبر مزود الدفع المستخدم وفق حالة حسابك المرتبط.

للأفراد، المبدعين ، صُنّاع المحتوى ، مقدمي الخدمات ، البائعين ، وأصحاب المشاريع وغيرهم الكثير .

KRM
KRM
krmqr.com
استقبل أموالك بأمان وسهولة
KRM QR
KRM
وسائل الدفع المدعومة

لماذا تختار KRM؟

كل ما تحتاجه لاستقبال المدفوعات بسهولة

بخشيش

استقبل بخشيش من جمهورك بسهولة

هدية

تلقي هدايا مالية من المتابعين

خدمة

احصل على دفعات مقابل خدماتك

منتج

بع منتجاتك عبر رابط KRM وباركود QR

اشتراك

أنشئ رابط اشتراك شهري وشاركه بسهولة

حملة

أنشئ حملة وشارك هدفها وتقدمها مع جمهورك

🌐 ٥ عملات 🔔 تتبع الدفعات 🔐 الأمان والحماية
مثال توضيحي لسمعة الدفع الموثقة
⭐ 4.9 · 127 Verified Payments❤️ 846 Supporters
تقييمات وإعجابات من مدفوعات حقيقية عبر KRM.

كيف يعمل؟

٣ خطوات بسيطة وستكون جاهزاً

01

أنشئ حسابك

سجّل واربط حساب Stripe في دقيقتين

02

شارك رابطك

انشر QR Code أو رابطك مع جمهورك

03

استلم الأموال

توصل إلى حسابك البنكي مباشرة

أموالك تذهب إليك مباشرة

شفافية واضحة من أول دفعة

KRM لا تحتفظ بأرصدة المستخدمين

لا تعمل KRM كمحفظة ولا تحتفظ بأرصدة المستخدمين. تتم معالجة المدفوعات والتحويلات عبر مزود الدفع المستخدم وفق حالة حسابك المرتبط وسياسات المزود.

KRM LINK + QR

رابط واحد. فرص أكثر.

شارك رابط KRM ورمز QR الخاص بك في الأماكن التي يتواجد فيها جمهورك وعملاؤك، واجعل الوصول إلى صفحتك والدفع لك أسهل.

QR واحد لكل طرق الدفع.
Tip · Gift · Service · Product · Subscription · Campaign
اطبعه مرة واستخدمه دائمًا.
وسائل التواصلضع رابطك في حساباتك وشارك QR مع جمهورك.
💼
في عملكشارك رابطك مع العملاء واجعل الوصول إلى صفحة الدفع أسهل.
🎨
مع إبداعكأضف رابط KRM إلى محتواك وأعمالك ومشاريعك.
نشاطكاعرض QR في المكان المناسب لنشاطك أو خدماتك.
▦
اطبع QRضعه على بطاقة العمل أو المكتب أو المعرض أو المواد المطبوعة.
أنت تختار أين تشارك رابطك، وKRM يجعل الوصول إليك أسهل.

رابط واحد لكل طرق الدفع إليك

شارك رابط دفع KRM أو رمز QR واحدًا، ويختار الداعمون والمتابعون والعملاء طريقة الدفع المناسبة.

رابط دفع ورمز QR خاص بك

احصل على رابط دفع ورمز QR مرتبطين بمعرّف KRM الخاص بك. شاركهما على وسائل التواصل أو في النبذة أو اطبع الرمز، ليتمكن الآخرون من الدفع لك أونلاين خلال ثوانٍ.

الإكراميات ودعم صناع المحتوى

يمكن لصناع المحتوى والمؤثرين ومقدمي الخدمات استقبال الإكراميات والدعم من جمهورهم عبر رابط إكرامية بسيط.

الهدايا المالية

يمكن للأصدقاء والعائلة إرسال هدية مالية لك في عيد ميلاد أو زفاف أو أي مناسبة عبر رابط KRM الخاص بك.

المنتجات والخدمات والحجوزات

اعرض منتجاتك للبيع، واستقبل مقابل خدماتك، أو دع عملاءك يحجزون موعدًا ويدفعون مقابله — من حساب KRM نفسه.

الأسئلة الشائعة

ما هي KRM؟

KRM منصة تقنية تمنحك رابط دفع ورمز QR خاصين بك لاستقبال المدفوعات أونلاين: إكراميات ودعم وهدايا مالية ومنتجات وخدمات وحجوزات.

كيف أستقبل الأموال عبر رمز QR؟

أنشئ حسابك واربط حساب الاستلام لدى مزود الدفع، ثم شارك رمز QR الخاص بك. عند مسحه يختار الدافع نوع الدفعة والمبلغ ويدفع بالبطاقة أو بمحفظة رقمية مدعومة.

هل تحتفظ KRM بأموالي؟

لا. لا تعمل KRM كمحفظة ولا تحتفظ بأرصدة المستخدمين. تتم معالجة المدفوعات والتحويلات عبر مزود الدفع وفق حالة حسابك المرتبط وسياسات المزود.

كم تبلغ عمولة KRM؟

0% عمولة KRM للدفعات الأقل من 5 دولارات أمريكية أو ما يعادلها، ومن 5 دولارات فأعلى العمولة الأساسية 5%. قد تنطبق أيضًا رسوم معالجة يحددها مزود الدفع.

ما العملات واللغات المدعومة؟

تدعم KRM خمس عملات (USD وEUR وGBP وSAR وAED) وست لغات: العربية والإنجليزية والإسبانية والفرنسية والصينية والهندية.

اعرف المزيد عن KRM · تحتاج مساعدة؟ تواصل مع الدعم

رسوم شفافة

لا رسوم خفية، عمولة KRM تُخصم فقط عند استلام دفعة.

الصافي
رسوم المعالجة — يحددها مزود الدفع وقد تختلف حسب البلد وطريقة الدفع
عمولة KRM (5%)
المبلغ الصافي — يعتمد على رسوم المعالجة الفعلية لمزود الدفع
ℹ️ 0% عمولة KRM للدفعات الأقل من 5 دولارات أمريكية أو ما يعادلها بالعملة المدعومة. من 5 دولارات فأعلى، عمولة KRM الأساسية 5%.
الحد الافتراضي للدفعة الواحدة هو 10,000 دولار أمريكي أو الحد المقابل للعملة المدعومة. إذا احتجت إلى حد أعلى، يمكنك طلب مراجعته من KRM.
مدفوعات آمنة
دعم عبر البريد الإلكتروني
6
لغات مدعومة
رابط خاص و QR

تواصل معنا

هل لديك سؤال أو اقتراح؟ نحن هنا لمساعدتك.

راسلنا مباشرة

KRMqr@proton.me

الدعم عبر البريد الإلكتروني

جاهز لاستقبال أول دفعة؟

انضم لآلاف المبدعين الذين يحصلون على دعم جمهورهم مباشرة

تسجيل الدخول

ليس لديك حساب؟ سجل الآن

نسيت كلمة المرور؟

العودة لتسجيل الدخول

تعيين كلمة مرور جديدة

العودة لتسجيل الدخول

إنشاء حساب

لدي رمز مؤثر

لديك حساب بالفعل؟ تسجيل الدخول

إكمال حسابك باستخدام Google

تم التحقق من بريدك عبر Google. أكمل إنشاء حساب KRM.

ربط Google بحساب KRM

يوجد حساب KRM بهذا البريد. أدخل كلمة مرور حساب KRM لإثبات ملكيته وربطه بـ Google.

نسيت كلمة المرور؟

عقد المؤثر الإلكتروني

تعديل عقد المؤثر

إعدادات الحساب

الملف الشخصي

👤
الصورة الشخصية
JPEG · PNG · WebP — حد أقصى 700 KB
KRM ID: @— — يمكن استخدامه للبحث وتسجيل الدخول.
يتم إنشاء KRM ID تلقائيًا عند التسجيل ويبقى ثابتًا. تغيير اسمك أو صورتك أو وصفك لا يغيّر KRM ID أو رابطك العام أو QR.
تغيير التصميم لا يغيّر رابط KRM أو QR أو إعدادات الدفع.

استقبال الأموال

فعّل استقبال الأموال إلى حسابك البنكي بأمان عبر مزود الدفع المتاح لحسابك.

⏳
قيد التحقق
فعّل استقبال الأموال لإكمال التحقق والبدء في استلام المدفوعات

KRM لا تخزن بياناتك البنكية ولا تديرها ولا تصل إليها. يتم إدخال بياناتك البنكية وإدارتها مباشرة لدى مزود الدفع المرتبط بحسابك.

🔒 KRM لا تخزن بياناتك البنكية ولا تديرها ولا تصل إليها. يتم إدخال بياناتك البنكية وإدارتها مباشرة لدى مزود الدفع المرتبط بحسابك.

رابط KRM الخاص بك — لاستلام المدفوعات والدعم

شارك هذا الرابط مع العملاء أو المتابعين أو أي شخص يريد الدفع لك أو دعمك عبر KRM.

هذا هو رابط الاستلام العام الخاص بك، وليس رابط الإحالة.

إدارة الحساب

يمكنك تعطيل حسابك مؤقتًا. ستتوقف صفحتك العامة عن الظهور واستقبال المدفوعات، وسيتم تسجيل خروجك من الجلسات الحالية. يمكنك إعادة تفعيل الحساب لاحقًا.

الإحالة والمكافآت

شارك KRM واكسب

شارك رابطك، ادعُ أصدقاءك، وافتح مكافآتك مع KRM. تُفتح المكافآت تدريجيًا عند 5 ثم 10 ثم 20 ثم 40 ثم 80 ثم 160 ثم 320 مستخدمًا مسجلًا عبر رابطك، وتستمر المستويات بالمضاعفة. لكل مستخدم مؤهل داخل مستوى مفتوح، دفعة مؤهلة واحدة فقط تمنحك 2.5% من مبلغها من عمولة KRM.

جارِ التحميل...

حدود الدفع

الحد الأقصى للدفعة الواحدة

حد KRM الافتراضي هو 10,000 دولار أمريكي للدفعة الواحدة أو الحد المقابل للعملة المدعومة.
تحتاج إلى استقبال مبلغ أكبر؟

⭐❤️ التقييمات والإعجابات

⭐ 0.00 · 0
تقييمات موثقة
❤️ 0
إعجابات موثقة

جارِ التحميل...

⏳ جارِ التحميل...
جارِ تحميل الحملة...

إنشاء حملة

أنشئ حملتك داخل KRM. بعد الإنشاء ستحصل مباشرة على رابط الحملة وQR وأزرار مشاركة تقدمها.

حملاتي

جارِ التحميل...

لوحة التحكم

—
إجمالي البخشيش
—
صافي أرباحك
—
عدد العمليات
—
عمولة المنصة

⭐❤️ التقييمات والإعجابات

⭐ 0.00 · 0
تقييمات موثقة
❤️ 0
إعجابات موثقة
أحدث التقييمات والإعجابات

جارِ التحميل...

سجل المدفوعات (0)

جارِ التحميل...

الإشعارات

جارِ التحميل...

🎉
تهانينا!
—
دعم جميل يستحق الاحتفال ✨
هذه معاينة فقط لصفحتك العامة. زر "ادفع الآن" هنا لا ينفذ أي دفعة. الدفع الحقيقي يتم من رابطك العام أو QR الخاص بك.
🎨
$20.00

اختر المبلغ

اختر العملة

المبلغ

$

طريقة الدفع

من المرسل (اختياري)

تفاصيل المبلغ

المبلغ الإجمالي$20.00
عمولة المنصة (5%)-$1.00
يستلم المستقبل$19.00

رسوم معالجة Stripe تُحدَّد وتُخصم عند إتمام الدفع فعلياً — تختلف حسب الدولة والبطاقة، ولا نعرض رقماً تقديرياً لها هنا. عمولة KRM ومبلغك الإجمالي هما الرقمان الملزمان قبل الدفع.

استكشاف

جميع المنتجات

...
...

بيع منتج

صورة المنتج (اختياري)

روابط المنتجات

...
🗓️

تم الدفع بنجاح!

شكراً لك! تم إرسال البخشيش بنجاح وسيصل للمستقبل قريباً.

✅ تم تأكيد المعاملة وسيتم التحويل للحساب البنكي تلقائياً

إدارة اشتراكك الشهري

جارِ التحميل...

لوحة الإدارة

مباشر
—
إجمالي المستخدمين
—
المستخدمون النشطون (30 يوم)
—
إجمالي المعاملات
—
معاملات ناجحة
—
مؤثرون نشطون
—
جاهزون لاستقبال الدفع

مخطط الإيرادات

الرسم البياني التاريخي غير متوفر بعد — يحتاج تجميع بيانات دوري على مستوى الخادم

مخطط المعاملات

الرسم البياني التاريخي غير متوفر بعد — يحتاج تجميع بيانات دوري على مستوى الخادم

صحة النظام

🟢
حالة الخادم
كل شيء جيد
⏳
قاعدة البيانات
جارِ التحميل...
⏳
Stripe API
جارِ التحميل...
⏳
خدمة البريد
جارِ التحميل...
الاسم البريد الحالة التسجيل إجراءات
جارِ التحميل...

سياسة الخصوصية لـ KRM

آخر تحديث: 11 أكتوبر 2026

📑 المحتويات

المقدمة البيانات التي نجمعها كيف نستخدم بياناتك مشاركة البيانات إحصاءات الاستخدام المجمّعة والاستكشاف ومحركات البحث أمان البيانات ملفات تعريف الارتباط حقوقك الاحتفاظ بالبيانات

تواصل معنا

إذا كان لديك أي استفسار حول سياسة الخصوصية، راسلنا على KRMqr@proton.me

شروط الاستخدام لـ KRM

آخر تحديث: 7 سبتمبر 2026

📑 المحتويات

المقدمة الأهلية المدفوعات المحظورات التحقق من الهوية إنهاء الحساب حد المسؤولية حل النزاعات تعديل الشروط

تواصل معنا

للاستفسارات القانونية، راسلنا على KRMqr@proton.me

إخلاء المسؤولية

آخر تحديث: 7 سبتمبر 2026

📑 المحتويات

إخلاء المسؤولية العام المسؤولية المالية خدمات الطرف الثالث محتوى المستخدمين الأعطال التقنية الالتزام الضريبي

محتوى المستخدمين

يتحمل المستخدمون مسؤولية المحتوى والأنشطة والالتزامات التي يقدمونها أو ينشرونها أو يتفقون عليها من خلال المنصة، بما في ذلك:

  • محتوى ملفاتهم الشخصية والأوصاف والروابط والمعلومات التي ينشرونها.
  • السلع أو الخدمات أو المحتوى أو الالتزامات التي يقدمونها أو يتفقون عليها مقابل المدفوعات.
  • الامتثال للقوانين والمتطلبات المطبقة عليهم، بما في ذلك الضرائب والتراخيص عند الحاجة.
  • عدم استخدام المنصة لنشر أو تقديم محتوى أو نشاط غير قانوني أو مخالف لشروط KRM.

لا تضمن KRM المراجعة المسبقة لجميع محتوى المستخدمين أو التحقق منه. ويجوز لـ KRM إزالة أو تقييد المحتوى أو الحسابات التي تخالف الشروط أو القانون المطبق أو تنطوي على احتيال أو إساءة استخدام، وفق ما تراه مناسبًا وبما يسمح به القانون المطبق.

⚖️ القانون المطبق

تخضع علاقة المستخدم بـ KRM والشروط القانونية ذات الصلة بالقانون المحدد في شروط الخدمة، مع مراعاة أي قوانين أو حقوق إلزامية قد تنطبق على المستخدم. وتُعامل النزاعات القانونية المباشرة بين المستخدم وKRM بشكل منفصل عن نزاعات الدفع بين الدافع والمستلم.

إذا اعتُبر أي بند من بنود إخلاء المسؤولية هذا غير قانوني أو غير قابل للتنفيذ، فلا يؤثر ذلك على سريان باقي البنود إلى الحد الذي يسمح به القانون المطبق.

تواصل معنا

إذا كان لديك أي استفسار حول إخلاء المسؤولية، راسلنا على KRMqr@proton.me

الدعم الفني

نحن هنا لمساعدتك في كل خطوة

📑 المحتويات

الأسئلة الشائعة تواصل معنا ساعات العمل

حقوق المستخدمين

نوضح لك حقوقك المتعلقة ببياناتك وكيفية ممارستها وفق القانون المطبق

📑 المحتويات

الحق في الوصول الحق في التصحيح الحق في الحذف الحق في النقل الحق في الاعتراض الحق في الشكوى

ممارسة حقوقك

لممارسة حقوق الخصوصية المتاحة لك أو إرسال طلب متعلق ببياناتك، راسلنا على KRMqr@proton.me مع ذكر "طلب حقوق المستخدم" في الموضوع. وقد نطلب معلومات مناسبة للتحقق من هويتك وحماية حسابك وبياناتك.

عن KRM

استقبل الدعم والمدفوعات وشاركها بسهولة

رؤيتنا

KRM منصة تقنية تتيح للأفراد والمبدعين وصُنّاع المحتوى ومقدمي الخدمات والبائعين وأصحاب المشاريع وغيرهم استقبال الدعم والمدفوعات عبر رابط خاص ورمز QR ووسائل الوصول المتاحة، ضمن فئات تشمل البخشيش والهدايا والخدمات والمنتجات والاشتراكات والحملات.

هدفنا هو تبسيط استقبال الدعم والمدفوعات وإتاحة طريقة سهلة لمشاركة وسيلة الدفع مع الجمهور والعملاء، مع بناء تجربة واضحة وآمنة قدر الإمكان.

قصتنا

انطلقت KRM في عام 2026 من الولايات المتحدة الأمريكية بفكرة بسيطة: جعل استقبال الدعم والمدفوعات ومشاركتها أسهل من خلال رابط أو رمز QR.

اليوم، تدعم المنصة 6 لغات و5 عملات (USD, EUR, GBP, SAR, AED)، وتتكامل مع مزودي الدفع المتاحين لمعالجة المدفوعات وفق توفرهم ومتطلباتهم. وما زلنا في مرحلة الإطلاق ونواصل تطوير KRM تدريجيًا.

ما يميزنا

الأمان والحماية

اتصال SSL/TLS وممارسات أمان قياسية لحماية بياناتك.

تتبع الدفعات

تتبّع حالة كل دفعة الحقيقية (قيد المعالجة/مكتملة) من لوحة التحكم.

عالمي

6 لغات و5 عملات، مع توفر خدمات الدفع وفق البلد ومزود الدفع.

رسوم شفافة

لا رسوم خفية، عمولة KRM تُخصم فقط عند استلام دفعة.

بالأرقام

🔒
مدفوعات آمنة
✉️
دعم عبر البريد الإلكتروني
6
لغات مدعومة
رابط خاص و QR

قارن KRM بأدوات أخرى

تبحث عن بدائل؟ تعرّف على أوجه الاختلاف بين KRM وأدوات معروفة لصناع المحتوى والمدفوعات، استنادًا إلى معلوماتها الرسمية.

مقرنا

الولايات المتحدة الأمريكية - ولاية وايومنغ
البريد: KRMqr@proton.me

KRM 与 Ko-fi 对比

两者都帮助创作者从支持者那里收款。本页对比各自提供的功能以及费用规则。

信息于 2026 年 10 月 18 日 依据官方来源核实。功能和费用可能会变化，做决定前请查看各服务的官方网站。

各项服务的定位

KRM

KRM 为个人、创作者、服务提供者和卖家提供一个与其 KRM ID 绑定的收款链接和二维码。付款人打开链接或扫描二维码后，选择付款用途——打赏、现金礼物、服务、商品、月度订阅或活动——并使用银行卡付款，设备支持时也可使用 Apple Pay 或 Google Pay。付款人无需 KRM 账户。付款由支付服务提供商（目前为 Stripe）通过收款人已连接的账户处理；KRM 不是钱包，也不持有余额。

Ko-fi

Ko-fi 让创作者接受打赏，出售会员、约稿（Commissions）和店铺商品，并设置目标（Goals）。Ko-fi 表示，付款会直接进入创作者自己的 PayPal 或 Stripe 账户。

一览

功能KRMKo-fi
打赏与支持一次性打赏、支持和现金礼物一次性和月度打赏
定期支持金额由您设定的月度订阅方案会员
商品与店铺商品链接以及带图片、价格和库存的店铺页面店铺商品
服务与预约固定价格的服务链接和付费预约来自受众的约稿（Commissions）
筹款目标显示目标和进度的活动目标（Goals）
资金去向进入收款人在支付服务提供商处已连接的账户；KRM 不持有余额直接进入您自己的 PayPal 或 Stripe 账户
月费无无月费；Ko-fi Gold 为可选订阅
平台费低于 5 美元（或等值金额）为 0%；达到或超过该金额收取 5% 基础费Ko-fi Free：一次性打赏和目标 0%，其他类型 5%；Standard：全部 5%
处理费由支付服务提供商决定并另行收取；因国家和支付方式而异另收 PayPal 或 Stripe 费用（Ko-fi 称通常约为 3% + 0.30 美元）

费用：平台费与支付处理费

KRM

KRM 的标准平台费：低于 5 美元（或 5 欧元、4 英镑、18 沙特里亚尔、18 阿联酋迪拉姆）的付款为 0%，达到或超过该金额的付款收取 5% 的基础平台费。支付服务提供商的处理费另行收取：由提供商决定，可能因国家和支付方式而异。KRM 没有月费；只有在您收到付款时才扣除平台费。经单独约定的 KRM 合作伙伴合同可能适用不同的平台费。

Ko-fi

Ko-fi 帮助中心列出了两种方式：使用 Ko-fi Free 时，一次性打赏和目标的 Ko-fi 费用为 0%，月度打赏、会员、约稿和店铺销售为 5%；使用 Standard 时，以上全部为 5%。此外，PayPal 和 Stripe 会照常收取处理费，Ko-fi 称通常约为 3% + 0.30 美元，并因账户类型、地区和币种而异。

哪种方式费用更低，取决于金额、付款类型、币种、国家和套餐，请根据自己的情况对照各方公布的收费结构。

哪些人可能更适合 KRM？

  • 除打赏外，您还需要付费预约和固定价格的服务链接。
  • 您希望用一个二维码让付款人自行选择打赏、礼物、服务、商品、订阅或活动。
  • 您经常收到小额付款：低于 5 美元或等值金额时，KRM 平台费为 0%。

哪些人可能更适合 Ko-fi？

  • 您希望除 Stripe 外也能通过 PayPal 收款——KRM 的 PayPal 选项尚未启用。
  • 您接受受众的约稿或定制请求。
  • 您希望通过 Ko-fi Free 让一次性打赏和目标享受 0% 的 Ko-fi 费用。

常见问题

KRM 和 Ko-fi 有什么区别？

Ko-fi 专注于创作者打赏、会员、约稿、店铺和目标，款项进入您的 PayPal 或 Stripe 账户。KRM 专注于一个收款链接和二维码，支持打赏、礼物、服务、预约、商品、月度订阅和活动，通过您已连接的 Stripe 账户处理。

KRM 可以替代 Ko-fi 吗？

如果是通过链接或二维码接收打赏和付款，可以。如果您需要通过 PayPal 收款或接受约稿，目前 Ko-fi 提供这些功能，而 KRM 没有。

KRM 支持二维码付款吗？

支持。每个 KRM 账户都有一个二维码，打开的付款页面与其链接相同；付款人选择付款类型和金额，再用银行卡或支持的数字钱包付款。

获取您的 KRM 收款链接

创建账户，连接您的收款账户，然后分享一个链接和二维码，用于打赏、礼物、服务、预约、商品和订阅。

创建收款链接 了解 KRM 的使用方式

官方来源

Ko-fi 以及其他产品名称和商标归其各自所有者所有。KRM 是独立平台，与 Ko-fi 无任何关联，也未获得其认可或赞助。

مرجع الـ Backend

تنفيذ JWT + HttpOnly Cookies بـ Node.js/Express

package.json

{
  "name": "krm-backend",
  "version": "1.0.0",
  "dependencies": {
    "express": "^4.18.0",
    "jsonwebtoken": "^9.0.0",
    "bcryptjs": "^2.4.3",
    "cookie-parser": "^1.4.6",
    "cors": "^2.8.5",
    "express-rate-limit": "^6.7.0",
    "helmet": "^7.0.0",
    "dotenv": "^16.0.0"
  }
}

server.js — التنفيذ الكامل

const express = require('express');
const jwt = require('jsonwebtoken');
const bcrypt = require('bcryptjs');
const cookieParser = require('cookie-parser');
const cors = require('cors');
const rateLimit = require('express-rate-limit');
const helmet = require('helmet');
require('dotenv').config();

const app = express();

// ═════ Security Middleware ═════
app.use(helmet());
app.use(express.json());
app.use(cookieParser());

// CORS: allow frontend origin, allow credentials (cookies)
app.use(cors({
  origin: process.env.FRONTEND_URL || 'https://krm.app',
  credentials: true,
  methods: ['GET', 'POST', 'PUT', 'DELETE'],
  allowedHeaders: ['Content-Type', 'Authorization']
}));

// Rate limiting for auth endpoints
const authLimiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15 minutes
  max: 10, // 10 attempts per IP
  message: { error: 'Too many attempts. Try again later.' }
});

// ═════ JWT Config ═════
const JWT_SECRET = process.env.JWT_SECRET; // 256-bit random string
const JWT_EXPIRES = '30d'; // Token expiry
const COOKIE_MAX_AGE = 30 * 24 * 60 * 60 * 1000; // 30 days in ms

// ═════ Cookie Options (HttpOnly + Secure + SameSite) ═════
const cookieOptions = (remember = false) => ({
  httpOnly: true,        // ❌ JavaScript cannot read this cookie
  secure: true,          // ✅ HTTPS only (production)
  sameSite: 'strict',    // ✅ CSRF protection
  maxAge: remember ? COOKIE_MAX_AGE : undefined, // Session cookie if not remembered
  path: '/'
});

// ═════ Middleware: Verify JWT from Cookie ═════
function authMiddleware(req, res, next) {
  const token = req.cookies.token;
  if (!token) return res.status(401).json({ error: 'Not authenticated' });

  try {
    const decoded = jwt.verify(token, JWT_SECRET);
    req.user = decoded; // { id, email, name }
    next();
  } catch (err) {
    res.clearCookie('token', cookieOptions());
    return res.status(401).json({ error: 'Invalid token' });
  }
}

// ═════ Mock Database (replace with MongoDB/PostgreSQL) ═════
const users = []; // In production: use real database

// ═════ REGISTER ═════
app.post('/api/auth/register', authLimiter, async (req, res) => {
  const { name, email, password } = req.body;

  // Validation
  if (!name || !email || !password || password.length < 8) {
    return res.status(400).json({ error: 'Invalid input' });
  }

  // Check if user exists
  if (users.find(u => u.email === email)) {
    return res.status(409).json({ error: 'Email already registered' });
  }

  // Hash password
  const hashedPassword = await bcrypt.hash(password, 12);

  // Create user
  const user = {
    id: 'u_' + Math.random().toString(36).substr(2, 8),
    name,
    email,
    password: hashedPassword,
    createdAt: new Date()
  };
  users.push(user);

  // Generate JWT
  const token = jwt.sign(
    { id: user.id, email: user.email, name: user.name },
    JWT_SECRET,
    { expiresIn: JWT_EXPIRES }
  );

  // Set HttpOnly cookie
  res.cookie('token', token, cookieOptions(true));

  res.status(201).json({
    message: 'Registered successfully',
    user: { id: user.id, name: user.name, email: user.email }
  });
});

// ═════ LOGIN ═════
app.post('/api/auth/login', authLimiter, async (req, res) => {
  const { email, password, remember } = req.body;

  // Find user
  const user = users.find(u => u.email === email);
  if (!user) {
    return res.status(401).json({ error: 'Invalid credentials' });
  }

  // Verify password
  const isValid = await bcrypt.compare(password, user.password);
  if (!isValid) {
    return res.status(401).json({ error: 'Invalid credentials' });
  }

  // Generate JWT
  const token = jwt.sign(
    { id: user.id, email: user.email, name: user.name },
    JWT_SECRET,
    { expiresIn: JWT_EXPIRES }
  );

  // Set HttpOnly cookie (session or persistent)
  res.cookie('token', token, cookieOptions(remember));

  res.json({
    message: 'Logged in successfully',
    user: { id: user.id, name: user.name, email: user.email }
  });
});

// ═════ GET CURRENT USER (auto-sent cookie) ═════
app.get('/api/auth/me', authMiddleware, (req, res) => {
  // req.user is set by authMiddleware from JWT payload
  const user = users.find(u => u.id === req.user.id);
  if (!user) {
    res.clearCookie('token', cookieOptions());
    return res.status(404).json({ error: 'User not found' });
  }
  res.json({
    user: { id: user.id, name: user.name, email: user.email }
  });
});

// ═════ LOGOUT (clear cookie) ═════
app.post('/api/auth/logout', (req, res) => {
  res.clearCookie('token', cookieOptions());
  res.json({ message: 'Logged out successfully' });
});

// ═════ PROTECTED EXAMPLE ═════
app.get('/api/profile', authMiddleware, (req, res) => {
  res.json({ message: 'Protected data', userId: req.user.id });
});

// ═════ START SERVER ═════
const PORT = process.env.PORT || 3000;
app.listen(PORT, () => console.log(`Server running on port ${PORT}`));

ملف .env

# Generate with: node -e "console.log(require('crypto').randomBytes(64).toString('hex'))"
JWT_SECRET=your-super-secret-256-bit-key-here-change-in-production

FRONTEND_URL=https://krm.app
PORT=3000

# Database (MongoDB example)
MONGODB_URI=mongodb+srv://user:pass@cluster.mongodb.net/krm

لماذا HttpOnly Cookies أفضل من localStorage؟

التهديد localStorage HttpOnly Cookie
XSS Attack ❌ عرضة — يمكن سرقة التوكن ✅ محمي — JavaScript لا يمكنه القراءة
CSRF Attack ❌ عرضة — يُرسل يدوياً ✅ محمي — SameSite=Strict
Token Expiry ❌ يدوي ✅ تلقائي (Max-Age)
HTTPS Enforcement ❌ غير ممكن ✅ Secure flag

⚡ Frontend Integration

// On page load — check session via API (cookie sent automatically)
async function checkSession() {
  const res = await fetch('/api/auth/me', {
    method: 'GET',
    credentials: 'include' // IMPORTANT: sends cookies
  });
  if (res.ok) {
    const data = await res.json();
    currentUser = data.user;
    updateNav();
  }
}

// Login
async function login(email, password, remember) {
  const res = await fetch('/api/auth/login', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    credentials: 'include',
    body: JSON.stringify({ identifier: email, password, remember })
  });
  const data = await res.json();
  if (res.ok) {
    currentUser = data.user;
    updateNav();
  }
}

// Logout

async function logout() {
  await fetch('/api/auth/logout', {
    method: 'POST',
    credentials: 'include'
  });
  currentUser = null;
  updateNav();
}
🎯

بوابة المؤثرين

سجّل الدخول إلى حسابك KRM لعرض لوحة تحكم المؤثر

ℹ️ هذه الصفحة مخصصة للمؤثرين المعتمدين لدى إدارة KRM. إذا لم تكن مؤثراً معتمداً، يمكنك التسجيل كمستخدم عادي والتقدم لبرنامج المؤثرين لاحقاً.

ليس لديك حساب؟ سجّل الآن