مبادئ متقدمة: الأذونات المشروطة والمصادقة متعددة العوامل

const express = require('express');const app = express();app.use(express.json()); // من مصفوفة الصلاحيات (الدرس 16) إلى الكود مباشرةconst ROLE_PERMS = {  trainee:   ['course:read', 'enrollment:create', 'enrollment:read:own'],  trainer:   ['course:read', 'attendance:record'],  registrar: ['course:read', 'enrollment:read', 'enrollment:approve'],  manager:   ['course:read', 'enrollment:read', 'report:finance', 'user:manage'],};const users = [  { id: 1, name: 'سارة', role: 'trainee' },  { id: 2, name: 'نورة', role: 'registrar' },  { id: 3, name: 'أ. فهد', role: 'manager' },  { id: 4, name: 'خالد', role: 'trainer' },];// رموز دخول مبسطة للتجربة؛ في النظام الحقيقي JWT كما في مقرر أطر الويبconst tokens = { 'tok-sara': 1, 'tok-noura': 2, 'tok-fahad': 3, 'tok-khaled': 4 }; // 1) المصادقة: من أنت؟function authenticate(req, res, next) {  const t = (req.headers.authorization || '').replace('Bearer ', '');  const user = users.find(u => u.id === tokens[t]);  if (!user) return res.status(401).json({ error: 'سجّل الدخول أولًا' });  req.user = user;  next();} // 2) التفويض: هل يحق لك؟const can = (user, perm) => (ROLE_PERMS[user.role] || []).includes(perm);function authorize(perm) {  return (req, res, next) =>    can(req.user, perm) ? next() : res.status(403).json({ error: 'لا تملك الصلاحية ' + perm });} const TODAY = '2026-11-03';     // تاريخ اليوم ثابت في المثال حتى تتكرر النتيجةconst courses = [  { id: 1, title: 'تصميم الويب',    trainerId: 4, start: '2026-11-01', end: '2026-11-12' },  { id: 2, title: 'قواعد البيانات', trainerId: 9, start: '2026-11-01', end: '2026-11-12' },  { id: 3, title: 'أمن الويب',      trainerId: 4, start: '2026-12-01', end: '2026-12-10' },]; // السياسة: الدور + الملكية + الزمن، في مكان واحدfunction canRecordAttendance(user, course) {  return can(user, 'attendance:record')      && course.trainerId === user.id                       // دورته هو      && TODAY >= course.start && TODAY <= course.end;      // أثناء انعقادها} app.post('/api/courses/:id/attendance', authenticate, (req, res) => {  const course = courses.find(c => c.id === Number(req.params.id));  if (!course) return res.status(404).json({ error: 'غير موجودة' });  if (!canRecordAttendance(req.user, course))    return res.status(403).json({ error: 'لا يمكنك تسجيل الحضور لهذه الدورة الآن' });  res.status(201).json({ course: course.title, recorded: req.body.present.length });}); app.listen(3000);