Update app.js

app.js

@@ -1,5 +1,6 @@
 const express = require('express');
 const admin = require('firebase-admin');
+const crypto = require('crypto'); // Telegram Security-এর জন্য ইনবিল্ট মডিউল
 
 const app = express();
 app.use(express.json());
@@ -7,8 +8,6 @@ app.use(express.json());
 // ==========================================
 // ১. ফায়ারবেজ মাল্টিপল অ্যাডমিন সেটআপ
 // ==========================================
-// Note: Environment Variable এ FIREBASE_ADMIN_1, FIREBASE_ADMIN_3, FIREBASE_ADMIN_4 এবং 
-// তাদের নিজ নিজ ডাটাবেজ URL (FIREBASE_DB_URL_1, 3, 4) থাকতে হবে।
 const initFirebase = (envAdmin, envUrl, appName) => {
     if (!process.env[envAdmin] || !process.env[envUrl]) {
         console.warn(`Warning: ${envAdmin} or ${envUrl} is missing.`);
@@ -20,9 +19,7 @@ const initFirebase = (envAdmin, envUrl, appName) => {
     }, appName);
 };
 
-// অ্যাপগুলো ইনিশিয়ালাইজ করা হচ্ছে
 const app1 = initFirebase('FIREBASE_ADMIN_1', 'FIREBASE_DB_URL_1', 'Admin1');
-// Admin 2 এর কথা লজিকে নেই, তাই ইনিশিয়ালাইজ করলাম না। প্রয়োজন হলে একই নিয়মে করতে পারবে।
 const app3 = initFirebase('FIREBASE_ADMIN_3', 'FIREBASE_DB_URL_3', 'Admin3');
 const app4 = initFirebase('FIREBASE_ADMIN_4', 'FIREBASE_DB_URL_4', 'Admin4');
 
@@ -51,23 +48,66 @@ const checkPostMethod = (req, res, next) => {
 };
 
 // ==========================================
-// ৪. API: ক্রিয়েট অ্যাকাউন্ট (/creataccoumt)
+// ৪. Telegram Security ভ্যালিডেশন মিডলওয়্যার
 // ==========================================
-app.post('/creataccoumt', checkPostMethod, async (req, res) => {
-    const { user_id, refer_id, name, username, profile_pic_url } = req.body;
+const verifyTelegramAuth = (req, res, next) => {
+    const { init_data, user_id, name } = req.body;
+
+    if (!init_data) return res.status(401).json({ error: 'Unauthorized: init_data is missing' });
+
+    try {
+        const botToken = process.env.BOT_TOKEN;
+        if (!botToken) return res.status(500).json({ error: 'Server configuration error' });
+
+        const urlParams = new URLSearchParams(init_data);
+        const hash = urlParams.get('hash');
+        urlParams.delete('hash');
+
+        const dataToCheck = [...urlParams.entries()]
+            .map(([key, value]) => `${key}=${value}`)
+            .sort()
+            .join('\n');
+
+        const secretKey = crypto.createHmac('sha256', 'WebAppData').update(botToken).digest();
+        const calculatedHash = crypto.createHmac('sha256', secretKey).update(dataToCheck).digest('hex');
+
+        if (calculatedHash !== hash) {
+            return res.status(403).json({ error: 'Forbidden: Invalid Telegram signature' });
+        }
+
+        const tgUser = JSON.parse(urlParams.get('user'));
+
+        // আইডি এবং নাম হুবহু সেম কি না তা চেক করা
+        if (String(tgUser.id) !== String(user_id)) {
+            return res.status(403).json({ error: 'Forbidden: User ID mismatch' });
+        }
 
-    if (!user_id) return res.status(400).json({ error: 'user_id is required' });
+        const tgFullName = tgUser.last_name ? `${tgUser.first_name} ${tgUser.last_name}`.trim() : tgUser.first_name;
+        if (String(tgFullName) !== String(name) && String(tgUser.first_name) !== String(name)) {
+            return res.status(403).json({ error: 'Forbidden: Name mismatch' });
+        }
+
+        next(); // সব ঠিক থাকলে মূল লজিকে যাবে
+    } catch (error) {
+        console.error('Telegram Validation Error:', error);
+        return res.status(500).json({ error: 'Internal server error during validation' });
+    }
+};
+
+// ==========================================
+// ৫. API: ক্রিয়েট অ্যাকাউন্ট (/creataccoumt)
+// ==========================================
+app.post('/creataccoumt', checkPostMethod, verifyTelegramAuth, async (req, res) => {
+    const { user_id, refer_id, name, username, profile_pic_url } = req.body;
 
     try {
         const userRef = db1.ref('user').child(user_id);
         const snapshot = await userRef.once('value');
 
-        // যদি অ্যাকাউন্ট আগে থেকেই থাকে, রিকোয়েস্ট ক্লোজ
         if (snapshot.exists()) {
             return res.status(200).json({ message: 'Account already exists. No action taken.' });
         }
 
-        // নতুন অ্যাকাউন্ট তৈরি
         const newUserData = {
             user_id,
             refer_id: refer_id || null,
@@ -82,20 +122,20 @@ app.post('/creataccoumt', checkPostMethod, async (req, res) => {
         };
         await userRef.set(newUserData);
 
-        // রেফারেল লজিক (যদি refer_id থাকে)
         if (refer_id) {
             const referUserRef = db1.ref('user').child(refer_id);
             const referUserSnap = await referUserRef.once('value');
 
             if (referUserSnap.exists()) {
-                // Admin 1 এ total refer +1 করা
                 await referUserRef.child('total_refer').transaction((currentValue) => {
                     return (currentValue || 0) + 1;
                 });
 
-                // Admin 3 তে refer/uid এ ডাটা যুক্ত করা
                 const referListRef = db3.ref('refer').child(refer_id);
-                await referListRef.push(user_id); // নতুন user_id লিস্টে পুশ করা হলো
+                const referListSnap = await referListRef.once('value');
+                
+                // Admin 3 তে refer_id না থাকলে ক্রিয়েট করে পুশ করবে, থাকলে সরাসরি পুশ করবে
+                await referListRef.push(user_id); 
             }
         }
 
@@ -107,19 +147,14 @@ app.post('/creataccoumt', checkPostMethod, async (req, res) => {
 });
 
 // ==========================================
-// ৫. API: উইথড্র মেইন ব্যালেন্স (/withdraw-main)
+// ৬. API: উইথড্র মেইন ব্যালেন্স (/withdraw-main)
 // ==========================================
-app.post('/withdraw-main', checkPostMethod, async (req, res) => {
+app.post('/withdraw-main', checkPostMethod, verifyTelegramAuth, async (req, res) => {
     const { user_id, method, address, time, amount } = req.body;
     const allowedMethods = ['bkash', 'mobile-gp', 'mobile-ar', 'mobile-ro', 'mobile-bl', 'mobile-tk', 'nagad', 'binance', 'usdt', 'ton'];
 
-    if (!user_id || !method || !address || !amount) {
-        return res.status(400).json({ error: 'Missing required fields' });
-    }
-
-    if (!allowedMethods.includes(method)) {
-        return res.status(400).json({ error: 'Invalid withdrawal method' });
-    }
+    if (!method || !address || !amount) return res.status(400).json({ error: 'Missing required fields' });
+    if (!allowedMethods.includes(method)) return res.status(400).json({ error: 'Invalid withdrawal method' });
 
     try {
         const userRef = db1.ref('user').child(user_id);
@@ -131,15 +166,12 @@ app.post('/withdraw-main', checkPostMethod, async (req, res) => {
         const currentBalance = Number(userData.balance || 0);
         const requestAmount = Number(amount);
 
-        // ব্যালেন্স চেক
         if (currentBalance < requestAmount) {
             return res.status(400).json({ error: 'Insufficient balance' });
         }
 
-        // Admin 1 থেকে ব্যালেন্স কাটা
         await userRef.child('balance').set(currentBalance - requestAmount);
 
-        // Admin 3 তে পেন্ডিং উইথড্র লিস্টে যুক্ত করা
         const pendingRef = db3.ref('withdrow/painding').child(user_id);
         await pendingRef.push({
             method,
@@ -157,13 +189,14 @@ app.post('/withdraw-main', checkPostMethod, async (req, res) => {
 });
 
 // ==========================================
-// ৬. API: অ্যাড ব্যালেন্স উইথড্র (Admin 4 -> Admin 1)
+// ৭. API: অ্যাড ব্যালেন্স উইথড্র (Admin 4 -> Admin 1)
 // ==========================================
 const adWithdrawPaths = [
     '/withdraw-link-visit', '/withdraw-adsgram-1', '/withdraw-adsgram-2', 
     '/withdraw-gigapub-1', '/withdraw-gigapub-2', '/withdraw-monetag-1', '/withdraw-monetag-2'
 ];
 
+// এখানে verifyTelegramAuth দেওয়া হয়নি, কারণ তোমার ইনস্ট্রাকশন অনুযায়ী এটা শুধু আগের দুটোর জন্য
 app.post(adWithdrawPaths, checkPostMethod, async (req, res) => {
     const { user_id, amount, method } = req.body;
 
@@ -171,29 +204,23 @@ app.post(adWithdrawPaths, checkPostMethod, async (req, res) => {
         return res.status(400).json({ error: 'Invalid request. Method must be wallet and amount is required.' });
     }
 
-    // Path থেকে অরিজিনাল অ্যাড নেটওয়ার্কের নাম বের করা (যেমন: link-visit)
     const adNetworkName = req.path.replace('/withdraw-', ''); 
     const requestAmount = Number(amount);
 
     try {
-        // Admin 4 (আগের সার্ভার) এর নির্দিষ্ট পাথে ব্যালেন্স চেক
         const adRef = db4.ref(adNetworkName).child(user_id);
         const adSnapshot = await adRef.once('value');
 
         if (!adSnapshot.exists()) return res.status(404).json({ error: 'No ad earnings found for this user' });
 
-        // ধরে নিচ্ছি আগের সার্ভারে ইউজারের মোট ব্য��লেন্স `balance` নোডে আছে। 
-        // (যদি আগের সিস্টেমে ব্যালেন্স পুশ করা লিস্ট হিসেবে থাকে, তবে এখানে সেটা যোগ করার লজিক লিখতে হবে)
         let adCurrentBalance = Number(adSnapshot.val().balance || 0); 
 
         if (adCurrentBalance < requestAmount) {
             return res.status(400).json({ error: 'Insufficient ad balance' });
         }
 
-        // Admin 4 থেকে ব্যালেন্স মাইনাস করা
         await adRef.child('balance').set(adCurrentBalance - requestAmount);
 
-        // Admin 1 এর মেইন ব্যালেন্সে ট্রান্সফার (যোগ) করা
         const mainUserRef = db1.ref('user').child(user_id);
         await mainUserRef.child('balance').transaction((currentMainBalance) => {
             return (currentMainBalance || 0) + requestAmount;