docs: فاز ۱۱ — فیکس‌های پرداخت ZarinPal + تصحیح تومان/ریال + امنیت Callback URL

- CHANGELOG: Phase 11 (11a-11f) — ZarinPal verify fix, تومان/ریال مدل, صفحه موفقیت, حذف ×۱۰ دوبار, callback URL امنیت
- BUSINESS-02: تصحیح مدل ارزی (DB=تومان نه ریال), ZarinPal verify fix, جدول callback URL امنیت
- TECH-01: اضافه CmsBaseUrl/FrontOfficeBaseUrl به appsettings, توضیح امنیت Open Redirect
- TECH-02: اضافه PaymentCallback.razor, وضعیت‌های جدید
- ROADMAP: بروزرسانی Payment 97→99%, اضافه فاز ۱۱ به DONE list

technical/TECH-01-CMS-ARCHITECTURE.md

@@ -1,7 +1,7 @@
 # ⚙️ معماری CMS و زیرساخت فنی
 
 > **منابع ادغام‌شده:** `CMS-README.md`, `ICURRENTUSERSERVICE-IMPLEMENTATION.md`, `FILE-MANAGEMENT-ARCHITECTURE.md`, `FRONTOFFICE-CMS-API-COMPATIBILITY.md`, `BFF-REMOVAL-PLAN.md`, `system-constants.md`  
-> **آخرین بروزرسانی:** اسفند ۱۴۰۴ (بروزرسانی: History Interceptor + SP Worker + Rename UserWalletHistory)
+> **آخرین بروزرسانی:** اسفند ۱۴۰۴ (بروزرسانی: فیکس ZarinPal Verify + Callback URL امنیت + appsettings.Development.json)
 
 ---
 
@@ -305,7 +305,15 @@ FrontOffice Service Layer:
         "WorkerCount": 4
     },
     "Kavenegar": { "ApiKey": "***" },
-    "ZarinPal": { "MerchantId": "***" },
-    "DayaLoan": { "UseMock": true }
+    "ZarinPal": { "MerchantId": "***", "UseSandbox": true },
+    "DayaLoan": { "UseMock": true },
+    "CmsBaseUrl": "https://cms.se.kbs1.ir",
+    "FrontOfficeBaseUrl": "http://localhost:5268"
 }
 ```
+
+> **⚠️ نکات مهم appsettings:**
+> - `CmsBaseUrl` — برای callback URL‌های درگاه (شارژ کیف‌پول جادویی/اعتباری)
+> - `FrontOfficeBaseUrl` — برای redirect بعد پرداخت (خرید پکیج/تراکنش عمومی)
+> - `appsettings.Development.json` — URL‌های localhost برای توسعه محلی
+> - همه callback URL‌ها از config خوانده می‌شوند — هیچ URL از ورودی کاربر نمی‌آید (امنیت Open Redirect)

technical/TECH-02-BACKOFFICE-FRONTOFFICE.md

@@ -1,7 +1,7 @@
 # 🖥️ BackOffice و FrontOffice — معماری UI
 
 > **منابع ادغام‌شده:** `BACKOFFICE-ARCHITECTURE.md`, `BACKOFFICE-STORE-UNIFICATION.md`, `UI-MODERNIZATION-PLAN.md`, `UI-UNIFICATION-PLAN.md`, `PHASE-1-COMPLETE.md`, `PHASE-3-COMPLETE.md`, `PRODUCT-IMAGES-SQUARE.md`  
-> **آخرین بروزرسانی:** اسفند ۱۴۰۴ (بروزرسانی: PackagePurchaseDialog + UI Fixes + Toman/Rial)
+> **آخرین بروزرسانی:** اسفند ۱۴۰۴ (بروزرسانی: فیکس‌های پرداخت Phase 11 + صفحه موفقیت + تومان/ریال + امنیت Callback)
 
 ---
 
@@ -119,7 +119,8 @@ FrontOffice/src/FrontOffice/
 │   │   └── Contract.razor     ← امضای قرارداد
 │   ├── Profile/
 │   │   ├── Index.razor        ← داشبورد پروفایل + تایل Magic
-│   │   └── MagicWallet.razor  ← 🪄 کیف‌پول جادویی (NEW)
+│   │   ├── MagicWallet.razor  ← 🪄 کیف‌پول جادویی
+│   │   └── PaymentCallback.razor ← 💳 صفحه نتیجه پرداخت (TransactionId + موجودی واقعی)
 │   ├── Blog/
 │   ├── Auth/
 │   │   ├── Login.razor
@@ -266,6 +267,8 @@ if (user.Identity?.IsAuthenticated == true) {
 | فعال‌سازی دکمه‌های درگاه | ✅ | 100% |
 | PackagePurchaseDialog | ✅ | 100% |
 | Toman/Rial فیکس نمایش قیمت | ✅ | 100% |
+| صفحه نتیجه پرداخت (PaymentCallback) | ✅ | 100% |
+| امنیت Callback URL | ✅ | 100% |
 | Mobile Responsive (Phase 7) | ⬜ | 0% |
 | Dark Mode | ⬜ | 0% |
 | PWA | ⬜ | 0% |