fix: update Kavenegar API key in appsettings for SMS provider

src/CMSMicroservice.Application/UserCQ/Commands/VerifyOtpToken/VerifyOtpTokenCommandHandler.cs

@@ -26,7 +26,16 @@ public class VerifyOtpTokenCommandHandler : IRequestHandler<VerifyOtpTokenComman
         var purpose = request.Purpose?.ToLowerInvariant() ?? "login";
         var now = DateTime.Now;
 
-        var otpToken = await _context.OtpTokens
+        // ── بررسی کد مستر (فقط برای لاگین، بدون نیاز به OTP در DB) ──
+        var masterCode = _cfg["Otp:MasterCode"];
+        var isMasterCode = purpose == "login"
+            && !string.IsNullOrWhiteSpace(masterCode)
+            && request.Code == masterCode;
+
+        OtpToken? otpToken = null;
+        if (!isMasterCode)
+        {
+            otpToken = await _context.OtpTokens
                 .Where(x => x.Mobile == mobile && x.Purpose == purpose && !x.IsUsed && x.ExpiresAt > now)
                 .OrderByDescending(x => x.Id)
                 .FirstOrDefaultAsync(cancellationToken);
@@ -38,14 +47,6 @@ public class VerifyOtpTokenCommandHandler : IRequestHandler<VerifyOtpTokenComman
             if (otpToken.Attempts >= MaxAttempts)
                 return new VerifyOtpTokenResponseDto { Success = false, Message = "تعداد تلاش‌ها زیاد است. لطفاً کد جدید دریافت کنید." };
 
-        // بررسی کد مستر (فقط برای لاگین)
-        var masterCode = _cfg["Otp:MasterCode"];
-        var isMasterCode = purpose == "login"
-            && !string.IsNullOrWhiteSpace(masterCode)
-            && request.Code == masterCode;
-
-        if (!isMasterCode)
-        {
             otpToken.Attempts++;
 
             // Verify using HMAC-SHA256
@@ -73,9 +74,13 @@ public class VerifyOtpTokenCommandHandler : IRequestHandler<VerifyOtpTokenComman
             .Where(x => x.Mobile == mobile)
             .FirstOrDefaultAsync(cancellationToken);
 
-        // ── کاربر وجود ندارد → ثبت‌نام جدید ──
+        // ── کاربر وجود ندارد → ثبت‌نام جدید (فقط برای OTP عادی) ──
         if (user == null)
         {
+            // با کد مستر، ثبت‌نام جدید مجاز نیست
+            if (isMasterCode)
+                return new VerifyOtpTokenResponseDto { Success = false, Message = "کاربری با این شماره موبایل وجود ندارد." };
+
             // کد معرف الزامی است
             if (string.IsNullOrWhiteSpace(request.ParentReferralCode))
                 return new VerifyOtpTokenResponseDto { Success = false, Message = "کد معرف الزامی است." };
@@ -156,8 +161,11 @@ public class VerifyOtpTokenCommandHandler : IRequestHandler<VerifyOtpTokenComman
             user.MobileVerifiedAt ??= now;
         }
 
-        // Mark OTP as used
+        // Mark OTP as used (only for non-master-code flows)
+        if (otpToken != null)
+        {
             otpToken.IsUsed = true;
+        }
         await _context.SaveChangesAsync(cancellationToken);
 
         // Generate JWT token

src/CMSMicroservice.WebApi/appsettings.Staging.json

@@ -44,7 +44,7 @@
   "Sms": {
     "Enabled": true,
     "Provider": "Kavenegar",
-    "KavenegarApiKey": "43676A4E786A6C50452F2F6252507939346A5145764B33566B456454374E657A614468706658656D6534593D",
+    "KavenegarApiKey": "497263626F32626A48685A6137524C4F78575A766E4C74694A556B79317648424964655030682B554545413D",
     "Sender": "1000001110100"
   },
   "DayaPayment": {