feat(payment): add refund and reversal functionality to payment gateways

- Implemented `refund` and `reverse` methods in `PaymentGatewayInterface`.
- Added `PaymentRefundResult` class to handle refund operation results.
- Enhanced `MockGateway` and `SepGateway` to support refund and reversal operations.
- Updated `PaymentManager` to include `refundPayment` and `reversePayment` methods for handling refunds and reversals in transactions.
- Modified `ClinicSubscriptionRepository` and `SubscriptionService` to manage subscriptions during refunds.
- Added admin API endpoints for processing refunds and reversals.
- Updated security headers to allow form actions to the sandbox environment.
- Documented the new refund and reversal features in the API documentation.

src/Payment/Controller/PaymentController.php

@@ -285,8 +285,11 @@ class PaymentController extends BaseController
     public function callback(string $gateway, Request $request): \Symfony\Component\HttpFoundation\Response
     {
         $clientIp = $request->getClientIp() ?? '';
-        if (!$this->gateways->isTestMode() && !$this->isAllowedCallbackIp($clientIp)) {
-            return new JsonResponse(['success' => false, 'message' => 'دسترسی ممنوع'], 403);
+        // در حالت تست یا sandbox ملت، callback از IPی خارج از رنج شاپرک می‌آید؛ IP-check رد می‌شود.
+        $bypassIp = $this->gateways->isTestMode()
+            || ($gateway === 'mellat' && $this->gateways->isMellatSandbox());
+        if (!$bypassIp && !$this->isAllowedCallbackIp($clientIp)) {
+            return $this->renderPaymentResult('forbidden');
         }
 
         $callbackData = array_merge($request->query->all(), $request->request->all());
@@ -551,6 +554,7 @@ class PaymentController extends BaseController
             'invalid'        => ['قابل پرداخت نیست', 'این سفارش در وضعیت قابل پرداخت نیست.'],
             'gateway'        => ['درگاه نامعتبر', 'درگاه پرداخت انتخابی نامعتبر یا غیرفعال است.'],
             'invalid_return' => ['آدرس بازگشت نامعتبر', 'آدرس بازگشت مجاز نیست.'],
+            'forbidden'      => ['دسترسی غیرمجاز', 'این درخواست از مبدأ مجاز ارسال نشده است.'],
         ];
         [$title, $message] = $labels[$status] ?? ['خطا در پرداخت', 'خطایی در فرآیند پرداخت رخ داد.'];