feat(payment): enhance payment configuration to include active gateways and update CORS settings

.env.example

@@ -22,7 +22,8 @@ JWT_PASSPHRASE=CHANGE_ME_STRONG_PASSPHRASE
 ###< lexik/jwt-authentication-bundle ###
 
 ###> nelmio/cors-bundle ###
-CORS_ALLOW_ORIGIN='^https://your-domain\.com$'
+# regex است (origin_regex: true). همهٔ دامنه‌های عمومی چند-شهری «<city>-nobat.ir» و پنل «clinic-pro.ir» را پوشش می‌دهد.
+CORS_ALLOW_ORIGIN='^https://([a-z0-9-]+\.)*([a-z0-9-]+-nobat\.ir|clinic-pro\.ir)$'
 ###< nelmio/cors-bundle ###
 
 ###> symfony/messenger ###
@@ -56,7 +57,9 @@ UPLOAD_DIR=var/uploads
 ###< File Upload ###
 
 ###> Payment ###
-ALLOWED_FRONTEND_HOSTS=your-domain.com
-APP_BASE_URL=https://your-domain.com
+# میزبان‌های مجاز برای redirect بازگشت پرداخت (کاما-جدا): پنل + دامنه‌های عمومی نوبت‌دهی.
+ALLOWED_FRONTEND_HOSTS=clinic-pro.ir,yasuj-nobat.ir,yazd-nobat.ir
+# باید دقیقاً دامنهٔ ثبت‌شده نزد ملت/شاپرک باشد (callBackUrl از این ساخته می‌شود؛ IP مجاز نیست — کد پاسخ 62).
+APP_BASE_URL=https://clinic-pro.ir
 # کلیدهای درگاه (mellat/sep) از پنل «تنظیمات سایت» (DB) خوانده می‌شوند؛ env فقط fallback اختیاری است.
 ###< Payment ###