@alizadefaig/pos-server 1.2.25 → 1.2.27

package/routes/common/api/auth.js

@@ -0,0 +1,38 @@
+const express = require('express');
+const router = express.Router();
+const {registerOfflineRoutes} = require('../../../app/core');
+const scope = require('../../../app/core/auth/scope');
+const {HttpError} = require('../../../app/core/errors');
+
+/**
+ * Порт AuthController::check — «этот токен действительно работает от имени этих заголовков?».
+ * Его спрашивает сокет облака (app/socket/auth.js) перед тем, как пустить кассу в комнату
+ * компании. Токен, команду и лицензию уже проверил облачный контур ядра (app/core/auth),
+ * здесь остаётся сверка принадлежности — всегда, при любом PLATFORM_SCOPE_CHECK.
+ *
+ * Только облако: на кассе токенов облака нет, событие уходит в прокси как раньше.
+ */
+registerOfflineRoutes(router, '/api', {
+    'auth.check': [{mutation: false, cloudOnly: true}, async (services, params, {event, ip, auth}) => {
+        if (!auth) {
+            // CORE_AUTH=false: проверять нечем — лучше отказ, чем «ok» без токена.
+            throw new HttpError(401, {message: 'Unauthenticated.'});
+        }
+        const reason = await scope.check(services.db, auth.auth, auth.platform, true);
+        if (reason !== null) {
+            scope.report(reason, {event, auth: auth.auth, platform: auth.platform, ip}, 'check');
+            const {status, body} = scope.checkFailed(reason);
+            throw new HttpError(status, body);
+        }
+        return {
+            ok: true,
+            user_id: auth.auth.userId,
+            team_id: scope.value(auth.platform.teamId),
+            company_id: scope.value(auth.platform.companyId),
+            terminal_id: scope.value(auth.platform.terminalId),
+            token_terminal_id: auth.auth.tokenTerminalId,
+        };
+    }],
+});
+
+module.exports = router;

package/routes/common/api/kds.js

@@ -0,0 +1,37 @@
+const express = require('express');
+const router = express.Router();
+const {registerOfflineRoutes} = require('../../../app/core');
+const KdsService = require('../../../app/core/services/KdsService');
+
+/**
+ * Порт App\Http\Controllers\Api\Platform\KdsController — кухонный экран (KDS) и экран
+ * готовности. Тикеты создаёт отправка в цех (orders.sendToWorkshops), здесь — только их чтение
+ * и статусы с кухни. Ответы без обёртки, как у Laravel (withoutWrapping).
+ *
+ * При выключенном OFFLINE_CORE (или событии вне CORE_EVENTS) уходит в next() → Laravel.
+ */
+
+const get = (params, name, fallback = null) => {
+    const value = params[name];
+    return value === undefined || value === null ? fallback : value;
+};
+
+const MUTATION = {mutation: true};
+const READ = {mutation: false};
+
+const kds = (services) => new KdsService(services);
+
+registerOfflineRoutes(router, '/api', {
+    // Активные тикеты по цехам текущего терминала.
+    'kds.getTickets': [READ, (services) => kds(services).getTicketsForTerminal(services.context.getTerminal())],
+    // Кнопка блока «Готовится»/«Готов» — статус всему тикету.
+    'kds.setTicketStatus': [MUTATION, (services, p) => kds(services).setTicketStatus(get(p, 'ticket_id'), get(p, 'status'))],
+    // Тап по блюду — статус одному item, статус тикета роллапится.
+    'kds.setItemStatus': [MUTATION, (services, p) => kds(services).setItemStatus(get(p, 'item_id'), get(p, 'status'))],
+    // Экран готовности: агрегат по открытым чекам компании.
+    'kds.getReadiness': [READ, (services) => kds(services).getReadinessOrders(services.context.companyId)],
+    // Тикеты одного чека — касса рисует KDS-статусы в списке позиций.
+    'kds.getOrderTickets': [READ, (services, p) => kds(services).getOrderTickets(services.context.companyId, get(p, 'order_id'))],
+});
+
+module.exports = router;

package/routes/common/api/orderProducts.js

@@ -0,0 +1,81 @@
+const express = require('express');
+const router = express.Router();
+const {registerOfflineRoutes} = require('../../../app/core');
+const {qty, toFloat} = require('../../../app/core/support/num');
+
+/**
+ * Порт App\Http\Controllers\Api\Platform\OrderProductController — операции над позицией чека.
+ * При выключенном OFFLINE_CORE обработчики уходят в next() → запрос проксируется в Laravel.
+ *
+ * Не переносим: `get` (весь каталог продуктов) и `getExtraProducts` — это справочники,
+ * их отдаёт синхронизация снапшота, а не жизненный цикл чека.
+ */
+
+const get = (params, name, fallback = null) => {
+    const value = params[name];
+    return value === undefined || value === null ? fallback : value;
+};
+
+const MUTATION = {mutation: true};
+const READ = {mutation: false};
+
+registerOfflineRoutes(router, '/api', {
+    'orderProducts.getById': [READ, ({orders}, p) => orders.getById(get(p, 'id'))],
+
+    'orderProducts.setQuantity': [MUTATION, ({orderProducts}, p) => orderProducts.setQuantity({
+        orderProductId: get(p, 'id'),
+        // round(...,3) — весовые приходят дробными (кг); тот же тип, что и UnitCast,
+        // иначе строгое сравнение количества внутри сервиса никогда не совпадёт
+        quantity: qty(get(p, 'quantity', 0)),
+    })],
+
+    'orderProducts.setPrice': [MUTATION, ({orderProducts}, p) => orderProducts.setPrice({
+        orderProductId: get(p, 'id'),
+        price: toFloat(get(p, 'price', 0)),
+    })],
+
+    'orderProducts.remove': [MUTATION, ({orderProducts}, p) => orderProducts.remove(get(p, 'id'))],
+
+    'orderProducts.setComment': [MUTATION, ({orderProducts}, p) => orderProducts.setComment({
+        orderProductId: get(p, 'id'),
+        comment: get(p, 'comment'),
+    })],
+
+    'orderProducts.updateModifiers': [MUTATION, ({orderProducts}, p) => orderProducts.updateModifiers({
+        orderProductId: get(p, 'id'),
+        modifiers: get(p, 'modifiers', []),
+    })],
+
+    'orderProducts.setGuestNumber': [MUTATION, ({orderProducts}, p) => orderProducts.setGuestNumber({
+        orderProductId: get(p, 'id'),
+        guestNumber: get(p, 'guest_number'),
+    })],
+
+    'orderProducts.transfer': [MUTATION, ({orderProducts}, p) => orderProducts.transfer({
+        orderProductId: get(p, 'id'),
+        orderId: get(p, 'order_id'),
+    })],
+
+    'orderProducts.stopTimer': [MUTATION, ({orderProducts}, p) => orderProducts.stopTimer({
+        orderProductId: get(p, 'id'),
+        orderId: get(p, 'order_id'),
+    })],
+
+    'orderProducts.fixTimer': [MUTATION, ({orderProducts}, p) => orderProducts.fixTimer({
+        orderProductId: get(p, 'id'),
+        orderId: get(p, 'order_id'),
+    })],
+
+    'orderProducts.resumeTimer': [MUTATION, ({orderProducts}, p) => orderProducts.resumeTimer({
+        orderProductId: get(p, 'id'),
+        orderId: get(p, 'order_id'),
+    })],
+
+    'orderProducts.setTimerLimit': [MUTATION, ({orderProducts}, p) => orderProducts.setTimerLimit({
+        orderProductId: get(p, 'id'),
+        orderId: get(p, 'order_id'),
+        timerLimitMinutes: get(p, 'timer_limit_minutes'),
+    })],
+});
+
+module.exports = router;

package/routes/common/api/orders.js

@@ -0,0 +1,176 @@
+const express = require('express');
+const router = express.Router();
+const {registerOfflineRoutes} = require('../../../app/core');
+const {qty} = require('../../../app/core/support/num');
+const PrintService = require('../../../app/core/services/PrintService');
+
+/**
+ * Порт App\Http\Controllers\Api\Platform\OrderController — жизненный цикл чека.
+ *
+ * Роуты общие (routes/common): та же логика нужна и серверу, и локальной установке.
+ * При выключенном OFFLINE_CORE каждый обработчик уходит в next() → запрос проксируется
+ * в Laravel, как сегодня.
+ *
+ * Печать (sendToWorkshops/printBillReceipt) — в PrintService: ядро решает, что и на какой
+ * принтер слать, а сам чек по-прежнему печатает терминал по сокет-запросу. Тикеты кухни
+ * (KDS) создаёт та же отправка в цех, события экрана кухни — в routes/common/api/kds.js.
+ * Склад остаётся за облаком.
+ */
+
+/** Аналог $request->get($name, $default): у Laravel это тело ИЛИ query. */
+const get = (params, name, fallback = null) => {
+    const value = params[name];
+    return value === undefined || value === null ? fallback : value;
+};
+
+const MUTATION = {mutation: true};
+const READ = {mutation: false};
+
+registerOfflineRoutes(router, '/api', {
+    'orders.create': [MUTATION, ({orders}, p) => orders.create({
+        orderSourceId: get(p, 'order_source_id'),
+        tableId: get(p, 'table_id'),
+        guestCount: get(p, 'guest_count', 1),
+        hallId: get(p, 'hall_id'),
+        servingId: get(p, 'serving_id'),
+        id: get(p, 'id'),
+        slotIndex: get(p, 'slot_index', 1),
+    })],
+
+    'orders.addProduct': [MUTATION, ({orders}, p) => orders.addProduct({
+        productId: get(p, 'id'),
+        orderId: get(p, 'order_id'),
+        guestNumber: get(p, 'guest_number', 1),
+        // весовой товар присылает дробное количество (кг) — не округляем до целого
+        quantity: Math.max(qty(get(p, 'quantity', 1)), 0.001),
+        modifierSets: get(p, 'modifier_sets', []),
+    })],
+
+    'orders.addExtra': [MUTATION, ({orders}, p) => orders.addExtra({
+        name: get(p, 'name'),
+        productWorkshopId: get(p, 'product_workshop_id'),
+        price: get(p, 'price', 1),
+        orderId: get(p, 'order_id'),
+        quantity: get(p, 'quantity', 1),
+        guestNumber: get(p, 'guest_number', 1),
+    })],
+
+    'orders.changeTable': [MUTATION, ({orders}, p) => orders.changeTable({
+        orderId: get(p, 'id'),
+        tableId: get(p, 'table_id'),
+        hallId: get(p, 'hall_id'),
+    })],
+
+    'orders.changeWaiter': [MUTATION, ({orders}, p) => orders.changeWaiter({
+        orderId: get(p, 'id'),
+        waiterId: get(p, 'waiter_id'),
+    })],
+
+    'orders.changeGuestCount': [MUTATION, ({orders}, p) => orders.changeGuestCount({
+        orderId: get(p, 'id'),
+        guestCount: get(p, 'guest_count', 1),
+    })],
+
+    'orders.setComment': [MUTATION, ({orders}, p) => orders.setComment({
+        orderId: get(p, 'id'),
+        comment: get(p, 'comment', ''),
+    })],
+
+    'orders.addCustomer': [MUTATION, ({orders}, p) => orders.addCustomer(get(p, 'id'))],
+
+    'orders.removeCustomer': [MUTATION, ({orders}, p) => orders.removeCustomer({
+        orderId: get(p, 'id'),
+        guestNumber: get(p, 'number'),
+    })],
+
+    'orders.applyServiceCharge': [MUTATION, ({orders}, p) => orders.applyServiceCharge({
+        orderId: get(p, 'id'),
+        serviceCharge: get(p, 'service_charge'),
+    })],
+
+    'orders.applyDiscount': [MUTATION, ({orders}, p) => orders.applyDiscount({
+        orderId: get(p, 'id'),
+        discount: get(p, 'discount'),
+        type: get(p, 'type'),
+    })],
+
+    'orders.applyDeposit': [MUTATION, ({orders}, p) => orders.applyDeposit({
+        orderId: get(p, 'id'),
+        deposit: get(p, 'deposit_amount'),
+    })],
+
+    'orders.merge': [MUTATION, ({orders}, p) => orders.merge({
+        sourceId: get(p, 'source_id'),
+        targetId: get(p, 'target_id'),
+    })],
+
+    'orders.rollback': [MUTATION, ({orders}, p) => orders.rollback(get(p, 'id'))],
+
+    'orders.removeOrder': [MUTATION, ({orders}, p) => orders.removeOrder(get(p, 'id'))],
+
+    'orders.closeOrder': [MUTATION, ({orders}, p) => orders.closeOrder({
+        orderId: get(p, 'id'),
+        payments: get(p, 'payments', []),
+        reason: get(p, 'without_payment_reason'),
+        fiscalId: get(p, 'fiscal_id'),
+        rrn: get(p, 'rrn'),
+    })],
+
+    'orders.syncClosedOrder': [MUTATION, ({orders}, p) => orders.syncClosedOrder(get(p, 'id'))],
+
+    /**
+     * Laravel берёт список позиций из кэша, который наполняет sendToWorkshops. Печать ядра
+     * работает только синхронно и синкает количество сама — кэш позиций ей не нужен и не
+     * пишется, поэтому здесь позиции выводим из самого чека: все строки заказа, чей цех есть в
+     * присланном списке. Результат тот же — синк напечатанного количества.
+     */
+    'orders.syncWorkshops': [MUTATION, async ({orders, db}, p) => {
+        const orderId = get(p, 'id');
+        const workshops = get(p, 'workshops', []) || [];
+        const workshopIds = workshops
+            .map((workshop) => (workshop && workshop.product_workshop_id) || null)
+            .filter(Boolean);
+
+        if (!orderId || !workshopIds.length) {
+            return true;
+        }
+
+        const placeholders = workshopIds.map(() => '?').join(', ');
+        const rows = await db.all(
+            `SELECT op.id FROM order_products op
+             JOIN products p ON p.id = op.product_id
+             WHERE op.order_id = ? AND op.deleted_at IS NULL
+               AND p.product_workshop_id IN (${placeholders})`,
+            [orderId, ...workshopIds]
+        );
+
+        return orders.syncWorkshopCount(rows.map((row) => row.id), orderId);
+    }],
+
+    // Печать цеховых чеков. Print-token/Idempotency-Key Laravel нужен только async-ветке
+    // (джоб в очереди); дубль жеста ядро гасит своей idempotency, повтор состояния — дедупом
+    // печати внутри PrintService.
+    'orders.sendToWorkshops': [MUTATION, (services, p) => new PrintService(services).sendToWorkshops(get(p, 'id'))],
+
+    // Счёт/пречек. appends фронт присылает, но контроллер Laravel их не пробрасывает — тоже нет.
+    'orders.printBillReceipt': [MUTATION, (services, p) => new PrintService(services)
+        .printBillReceipt(get(p, 'id'), get(p, 'isPreReceipt', false))],
+
+    // Laravel-заглушка (return true) — оставлена для совместимости контракта.
+    'orders.syncPrintBill': [READ, () => true],
+
+    // Авторитетный список открытых чеков — ре-синк терминала после реконнекта сокета.
+    'orders.getOpen': [READ, ({orders}) => orders.getOpenOrders()],
+
+    // В Laravel ключ кэша только пишется и нигде не читается — контракт без побочного эффекта.
+    'orders.dismissTimerModifier': [READ, () => ({success: true})],
+
+    'orders.archive': [READ, ({orders}, p) => orders.archive({
+        companyId: get(p, 'company_id'),
+        date: get(p, 'date'),
+    })],
+
+    'orders.isFiscalExists': [READ, ({orders}, p) => orders.isFiscalExists(get(p, 'fiscal_id'))],
+});
+
+module.exports = router;

package/routes/common/api/printersCore.js

@@ -0,0 +1,35 @@
+const express = require('express');
+const router = express.Router();
+const {registerOfflineRoutes} = require('../../../app/core');
+const PrintService = require('../../../app/core/services/PrintService');
+const PrinterAdminService = require('../../../app/core/services/PrinterAdminService');
+
+/**
+ * Порт App\Http\Controllers\Api\Platform\PrinterController.
+ *
+ * Отдельный файл, а не routes/desktop/api/printers.js: там живут роуты самого устройства
+ * (USB-перечисление, физическая печать), а это событие POS-API — оно общее для сервера и
+ * локальной установки. При выключенном OFFLINE_CORE уходит в next() → прокси → Laravel.
+ */
+
+const READ = {mutation: false};
+const MUTATION = {mutation: true};
+
+const admin = (services) => new PrinterAdminService(services);
+
+registerOfflineRoutes(router, '/api', {
+    // Принтер счёта текущего терминала (или null) — терминал по нему решает, печатать ли
+    // фискальный/тестовый чек сам.
+    'printers.getReceiptPrinter': [READ, (services) => new PrintService(services).getReceiptPrinter()],
+
+    // Настройка принтеров (модалка «Printerlər»). Без облака касса должна уметь назначить
+    // принтер цеху или подхватить новый IP — иначе замена принтера останавливает кухню.
+    // Ведомый пересылает мастеру: печать решает мастер, по своей БД.
+    'printers.get': [READ, (services, params) => admin(services).get(params)],
+    'printers.list': [READ, (services) => admin(services).list()],
+    'printers.update': [MUTATION, (services, params) => admin(services).update(params)],
+    'printers.delete': [MUTATION, (services, params) => admin(services).delete(params)],
+    'printers.syncAddress': [MUTATION, (services, params) => admin(services).syncAddress(params)],
+});
+
+module.exports = router;

package/routes/common/api/reports.js

@@ -0,0 +1,29 @@
+const express = require('express');
+const router = express.Router();
+const {registerOfflineRoutes} = require('../../../app/core');
+const ReportService = require('../../../app/core/services/ReportService');
+const syncConfig = require('../../../app/sync/config');
+
+/**
+ * Порт App\Http\Controllers\Api\Platform\ReportController — X/Z-отчёт кассы (кнопка «Hesabat»),
+ * без облака. В режиме `cloud` синка событие, как и раньше, считает Laravel.
+ *
+ * При выключенном OFFLINE_CORE (или событии вне CORE_EVENTS) уходит в next() → Laravel.
+ */
+
+const READ = {mutation: false};
+
+// Граница полной истории кассы. require ленивый: синк сам тянет ядро.
+const history = (services) => {
+    if (!syncConfig.isSyncEnabled()) {
+        return null;
+    }
+    const companyId = services.context.companyId;
+    return () => require('../../../app/sync').history(companyId);
+};
+
+registerOfflineRoutes(router, '/api', {
+    'reports.getReport': [READ, (services, params) => new ReportService({...services, history: history(services)}).getReport(params)],
+});
+
+module.exports = router;

package/routes/common/socket.js

@@ -1,5 +1,6 @@
 const express = require('express');
-const {socketSendByFilter, findKeyByValue} = require("../../utils");
+const {socketSendByFilter} = require("../../utils");
+const {socketRequest} = require("../../app/socket/request");
 const serverSocket = require("../../app/socket/server")();
 const router = express.Router();
 
@@ -51,41 +52,20 @@ router.all('/socket', (req, res) => {
     });
 });
 
-router.post('/socket/request', (req, res) => {
-    const eventName = req.body?.event ?? null;
-    const data = req.body?.data ?? null;
-    const requestId = req.body.request_id;
-    const terminalId = req.body?.terminal_id ?? '9ec525b4-7e0b-422b-a6e1-486290578c8c';
-    const timeOut = req.body.time_out ?? 10000;
-
-    const requestEventName = `request:${eventName}:${requestId}`;
-    const responseEventName = `response:${eventName}:${requestId}`;
-    let isSent = false;
-    const socket = findKeyByValue(serverSocket.sockets.sockets, 'terminalId', terminalId);
-    if (!socket) {
-        return res.json({
-            success: false,
-            message: 'No socket',
-        }).status(404);
-    }
-
-    socket.emit(requestEventName, data);
-    socket.once(responseEventName, (data) => {
-        if (!isSent) {
-            isSent = true;
-            res.json(data);
-        }
+/**
+ * Запрос к терминалу с ожиданием ответа (печать из Laravel). Логика — в app/socket/request.js,
+ * там же ей пользуется офлайн-ядро. Формат ответа прежний, HTTP-статус как был — 200:
+ * `.status()` после `res.json()` здесь никогда не срабатывал, и Laravel смотрит только в тело.
+ */
+router.post('/socket/request', async (req, res) => {
+    const response = await socketRequest({
+        eventName: req.body?.event ?? null,
+        data: req.body?.data ?? null,
+        requestId: req.body.request_id,
+        terminalId: req.body?.terminal_id ?? '9ec525b4-7e0b-422b-a6e1-486290578c8c',
+        timeout: req.body.time_out ?? 10000,
     });
-
-    setTimeout(() => {
-        if (!isSent) {
-            isSent = true;
-            res.json({
-                success: false,
-                message: 'Timeout error'
-            }).status(408)
-        }
-    }, timeOut)
+    res.json(response);
 })
 
 module.exports = router;

package/routes/common/tax.js

@@ -4,17 +4,20 @@ const serverSocket = require("../../app/socket/server")();
 const router = express.Router();
 const {createProxyMiddleware, fixRequestBody} = require("http-proxy-middleware");
 const moment = require("moment/moment");
+const {taxTarget, taxProxyEnabled} = require("../../app/security");
+const {LAN_KEY_HEADER} = require("../../app/sync/config");
+
+const DEVICE_AUTH_HEADERS = ['authorization', 'terminal-id', 'company-id', 'team-id', 'employee-id'];
 
 const proxy = createProxyMiddleware({
     target: 'http://localhost:3005',
     preserveHeaderKeyCase: true,
     router: function (req) {
-        // Подставляем URL из query или тела запроса
-        const dynamicUrl = req.query.url || req.body?.url;
-
-        const { protocol, host, pathname } = new URL(dynamicUrl);
-        // Сохраняем хост и протокол как target (без пути)
-        req._targetPath = pathname; // сохраняем путь, чтобы использовать в pathRewrite
+        // URL уже проверен в taxGuard (из query или тела запроса)
+        const { protocol, host, pathname, search } = req._taxTarget;
+        // Сохраняем хост и протокол как target (без пути). Query цели едет вместе с путём:
+        // раньше он терялся, и аппарат с параметрами в адресе получал запрос без них.
+        req._targetPath = pathname + search; // сохраняем путь, чтобы использовать в pathRewrite
         return `${protocol}//${host}`;
     },
     pathRewrite: function (path, req) {
@@ -22,11 +25,36 @@ const proxy = createProxyMiddleware({
     },
     on: {
         proxyReq: (proxyReq, req, res, options) => {
+            // Ключ зала и токен телефона (LAN-переход, app/sync/lan.js) — для мастера, не для аппарата.
+            proxyReq.removeHeader(LAN_KEY_HEADER);
+            if (req.lanDevice) {
+                DEVICE_AUTH_HEADERS.forEach((name) => proxyReq.removeHeader(name));
+            }
+            // Тело уже распарсено body-parser'ом (нужно для req.body.url) и будет пересобрано
+            // fixRequestBody с Content-Length. Снимаем chunked, чтобы в апстрим не ушли
+            // Transfer-Encoding и Content-Length одновременно (иначе 400 Bad Request).
+            if (req.readableLength === 0 && req.body && Object.keys(req.body).length > 0) {
+                proxyReq.removeHeader('transfer-encoding');
+            }
             return fixRequestBody(proxyReq, req);
         },
     }
 })
 
-router.use('/tax', proxy)
+// Цель прокси приходит из запроса — без проверки это открытый SSRF (app/security.js).
+// На облачном Node прокси выключен (TAX_PROXY_ENABLED): аппараты стоят в сети кассы.
+const taxGuard = (req, res, next) => {
+    if (!taxProxyEnabled()) {
+        return res.status(404).json({success: false, message: 'Not found'});
+    }
+    const target = taxTarget(req.query.url || req.body?.url);
+    if (!target) {
+        return res.status(400).json({success: false, message: 'Invalid target url'});
+    }
+    req._taxTarget = target;
+    next();
+};
+
+router.use('/tax', taxGuard, proxy)
 
 module.exports = router;