@alizadefaig/pos-server 1.2.26 → 1.2.28

package/app/core/Context.js

@@ -0,0 +1,170 @@
+/**
+ * Контекст запроса — порт PlatformService.
+ *
+ * В Laravel он живёт как singleton на запрос и раздаёт team/company/terminal/employee.
+ * Здесь то же самое, но данные берутся из БД ядра, а сам объект передаётся в сервисы явным
+ * аргументом: глобального контейнера в Node нет и заводить его незачем.
+ *
+ * Справочники подтягиваются ОДИН раз в load(), дальше геттеры синхронные: контекст читают
+ * из горячего пути десятки раз за операцию, и await на каждом обращении к team.settings
+ * превратил бы расчёт чека в цепочку лишних запросов.
+ */
+// Фронт шлёт незаполненный заголовок строкой 'null' / 'undefined' — это «нет значения».
+const cleanId = (value) => {
+    if (value === null || value === undefined) {
+        return null;
+    }
+    const trimmed = String(value).trim();
+    return trimmed === '' || trimmed === 'null' || trimmed === 'undefined' ? null : trimmed;
+};
+
+const UUID = /^[\da-fA-F]{8}-[\da-fA-F]{4}-[\da-fA-F]{4}-[\da-fA-F]{4}-[\da-fA-F]{12}$/;
+
+class Context {
+    constructor({teamId = null, companyId = null, terminalId = null, employeeId = null,
+                 timestamp = null, ipAddress = null, operationId = null, db = null,
+                 team = undefined, locale = undefined} = {}) {
+        this.teamId = cleanId(teamId);
+        this.companyId = cleanId(companyId);
+        this.terminalId = cleanId(terminalId);
+        this.employeeId = cleanId(employeeId);
+        this.timestamp = timestamp;
+        this.ipAddress = ipAddress;
+        this.operationId = operationId;
+        this.db = db;
+
+        this.team = null;
+        this.company = null;
+        this.terminal = null;
+        this.employee = null;
+        this.parsedSettings = null;
+        this.localeCode = null;
+        this.loaded = false;
+
+        // Облачная проверка запроса (app/core/auth) команду уже прочитала — второй раз не ходим.
+        this.preloadedTeam = team;
+        this.preloadedLocale = locale;
+    }
+
+    /**
+     * Строка справочника по id — как Eloquent find(): в облаке без мягко удалённых строк.
+     * Postgres роняет запрос на не-uuid в uuid-колонке, поэтому такой id — просто «не найдено».
+     * В локальном снапшоте удалённых строк нет, а у части таблиц нет и колонки deleted_at.
+     */
+    find(table, id) {
+        if (!id) {
+            return null;
+        }
+        if (this.db.dialect !== 'pgsql') {
+            return this.db.get(`SELECT * FROM ${table} WHERE id = ?`, [id]);
+        }
+        if (!UUID.test(id)) {
+            return null;
+        }
+        return this.db.get(`SELECT * FROM ${table} WHERE id = ? AND deleted_at IS NULL`, [id]);
+    }
+
+    /** Предзагрузка справочников контекста. Зовётся один раз перед работой сервисов. */
+    async load() {
+        if (this.loaded) {
+            return this;
+        }
+        const hasTeam = this.preloadedTeam !== undefined;
+        const [team, company, terminal, employee] = await Promise.all([
+            hasTeam ? this.preloadedTeam : this.find('teams', this.teamId),
+            this.find('companies', this.companyId),
+            this.find('terminals', this.terminalId),
+            this.find('team_users', this.employeeId),
+        ]);
+
+        this.team = team;
+        this.company = company;
+        this.terminal = terminal;
+        this.employee = employee;
+        this.localeCode = hasTeam && this.preloadedLocale !== undefined
+            ? this.preloadedLocale
+            : await this.resolveLocale(team);
+        this.loaded = true;
+        return this;
+    }
+
+    /**
+     * Локаль = язык команды (в Laravel её ставит PlatformApiMiddleware из team->language->code).
+     * В облаке это связь teams.language_id → languages.code; в локальном снапшоте код языка
+     * лежит прямо в teams.language_code, отдельной таблицы там нет.
+     */
+    async resolveLocale(team) {
+        if (!team) {
+            return null;
+        }
+        if (team.language_code) {
+            return team.language_code;
+        }
+        if (!team.language_id) {
+            return null;
+        }
+        try {
+            const row = await this.db.get('SELECT code FROM languages WHERE id = ?', [team.language_id]);
+            return row ? row.code : null;
+        } catch (e) {
+            // Таблицы languages в локальном снапшоте нет — молча падаем на язык по умолчанию.
+            return null;
+        }
+    }
+
+    getTeam() {
+        return this.team;
+    }
+
+    getCompany() {
+        return this.company;
+    }
+
+    getTerminal() {
+        return this.terminal;
+    }
+
+    getEmployee() {
+        return this.employee;
+    }
+
+    settings() {
+        if (this.parsedSettings === null) {
+            const team = this.getTeam();
+            let raw = team ? team.settings : null;
+            // SQLite отдаёт JSON строкой, Postgres (jsonb) — уже объектом.
+            if (typeof raw === 'string') {
+                try {
+                    raw = JSON.parse(raw);
+                } catch (e) {
+                    raw = null;
+                }
+            }
+            this.parsedSettings = raw || {};
+        }
+        return this.parsedSettings;
+    }
+
+    /** setting('terminal_settings.append_order_product', false) */
+    setting(path, fallback = null) {
+        const segments = String(path).split('.');
+        let current = this.settings();
+        for (const segment of segments) {
+            if (current === null || current === undefined || typeof current !== 'object') {
+                return fallback;
+            }
+            current = current[segment];
+        }
+        return current === undefined || current === null ? fallback : current;
+    }
+
+    serviceChargeMode() {
+        return this.setting('terminal_settings.service_charge_calculate_mode') || 'after_discount';
+    }
+
+    locale() {
+        return this.localeCode || 'az';
+    }
+}
+
+module.exports = Context;

package/app/core/auth/index.js

@@ -0,0 +1,133 @@
+const sanctum = require('./sanctum');
+const scope = require('./scope');
+const license = require('./license');
+const posMode = require('./posMode');
+const {HttpError} = require('../errors');
+
+/**
+ * Проверки облачного POS-API — порт цепочки middleware Laravel на `/api/{event}`:
+ *
+ *   PlatformApiMiddleware → auth:sanctum → PlatformScopeMiddleware → LocalModeMiddleware
+ *
+ * Идемпотентность идёт следом, уже в runEvent. Порядок тот же, поэтому и ответы те же: без
+ * команды — 403/500 раньше 401, просроченная лицензия — 402 даже без токена.
+ *
+ * Работает только в облачном контуре (CORE_MODE=cloud): на кассе ядро слушает localhost
+ * и ведомых с ключом зала, токен облака там проверять нечем и незачем.
+ */
+const isEnabled = () => String(process.env.CORE_AUTH ?? 'true').toLowerCase() !== 'false';
+
+const UNAUTHENTICATED = {message: 'Unauthenticated.'};
+// Laravel в проде (APP_DEBUG=false) на необработанное исключение отвечает так.
+const SERVER_ERROR = {message: 'Server Error'};
+
+const fail = ({status, body}) => new HttpError(status, body);
+
+const platformHeaders = (headers) => ({
+    teamId: sanctum.header(headers, 'team-id'),
+    companyId: sanctum.header(headers, 'company-id'),
+    terminalId: sanctum.header(headers, 'terminal-id'),
+    employeeId: sanctum.header(headers, 'employee-id'),
+});
+
+// Team::find: мягко удалённая команда — всё равно что отсутствующая.
+const findTeam = async (db, rawTeamId) => {
+    const teamId = scope.value(rawTeamId);
+    if (!scope.isUuid(teamId)) {
+        return null;
+    }
+    return db.get('SELECT * FROM teams WHERE id = ? AND deleted_at IS NULL', [teamId]);
+};
+
+const teamLocale = async (db, team) => {
+    if (team.language_code) {
+        return team.language_code;
+    }
+    if (!team.language_id) {
+        return null;
+    }
+    const row = await db.get('SELECT code FROM languages WHERE id = ?', [team.language_id]);
+    return row ? row.code : null;
+};
+
+/** PlatformApiMiddleware::missingTeam. */
+const missingTeam = (event, platform, ip) => {
+    const isCheck = event === scope.CHECK_EVENT;
+    const scopeMode = scope.mode();
+    if (isCheck) {
+        return fail(scope.checkFailed(scope.REASON_TEAM));
+    }
+    if (scopeMode !== scope.MODE_OFF) {
+        // Пользователь ещё не аутентифицирован (мы до проверки токена) — пишем только заголовки.
+        console.warn('[platform-scope] mismatch', JSON.stringify({
+            reason: scope.REASON_TEAM,
+            mode: scopeMode,
+            event,
+            team_id: platform.teamId ?? null,
+            team_missing: true,
+            ip: ip ?? null,
+        }));
+        if (scopeMode === scope.MODE_ENFORCE) {
+            return fail(scope.deny(scope.REASON_TEAM));
+        }
+    }
+    // Laravel дальше падает на ->language с 500 — повторяем исход, а не сам крах.
+    return new HttpError(500, SERVER_ERROR);
+};
+
+/**
+ * @returns {Promise<{auth, team, locale, platform, relayed: null|{status, body}}>}
+ * @throws HttpError — готовый ответ отказа
+ */
+const authorize = async (db, {event, headers = {}, params = {}, ip = null}) => {
+    const platform = platformHeaders(headers);
+
+    const team = await findTeam(db, platform.teamId);
+    if (!team) {
+        throw missingTeam(event, platform, ip);
+    }
+    const locale = await teamLocale(db, team);
+
+    const expired = license.check(team, platform.teamId, locale);
+    if (expired) {
+        throw fail(expired);
+    }
+
+    const auth = await sanctum.authenticate(db, headers);
+    if (!auth) {
+        throw new HttpError(401, UNAUTHENTICATED);
+    }
+
+    // PlatformScopeMiddleware. auth.check сверяет сам и отвечает своим телом.
+    const scopeMode = scope.mode();
+    if (scopeMode !== scope.MODE_OFF && event !== scope.CHECK_EVENT) {
+        let reason = null;
+        try {
+            reason = await scope.check(db, auth, platform, !scope.TERMINAL_SWITCH_EVENTS.has(event));
+        } catch (e) {
+            // Сбой самой проверки не должен класть кассу: пропускаем, как Laravel.
+            console.warn('[platform-scope] check failed', JSON.stringify({event, error: e.message}));
+        }
+        if (reason !== null) {
+            scope.report(reason, {event, auth, platform, ip}, scopeMode);
+            if (scopeMode === scope.MODE_ENFORCE) {
+                throw fail(scope.deny(reason));
+            }
+        }
+    }
+
+    // LocalModeMiddleware: событие заведения в `local` выполняет мастер.
+    const routed = await posMode.route(db, {
+        event,
+        headers,
+        params,
+        companyId: scope.value(platform.companyId),
+    });
+    if (routed && !routed.relayed) {
+        throw fail(routed);
+    }
+
+    return {auth, team, locale, platform, relayed: routed || null};
+};
+
+module.exports = {isEnabled, authorize, platformHeaders};

package/app/core/auth/license.js

@@ -0,0 +1,45 @@
+const {nowSql} = require('../support/time');
+const {translated} = require('../support/lang');
+
+/**
+ * Лицензия команды — порт проверки из PlatformApiMiddleware + LicenseExpiredException::render.
+ *
+ * Laravel сравнивает `$team->expires_at < now()`: колонка без каста, это строка
+ * 'YYYY-MM-DD HH:mm:ss' в UTC, а Carbon сводится к той же строке — сравнение строковое.
+ * `null < now()` в PHP истинно: команда без срока считается просроченной.
+ */
+const ERROR_CODE = 'license_expired';
+const CONTACT_PHONE = '+994 51 799 00 02';
+
+// В lang-файлах этих строк нет — trans() возвращает ключ как есть.
+const DEFAULT_MESSAGE = `Hörmətli müştəri lisenziyanın vaxtı bitmişdir. Xahiş edirik ödəniş edəsiniz. Əlaqə nömrəsi: ${CONTACT_PHONE}`;
+const SPECIAL_TEAM = '9fe3ec92-0cd0-4809-bea6-64bf542f72c3';
+const SPECIAL_MESSAGE = 'PULU VERIN BLƏ';
+
+const expired = (team) => {
+    const at = team.expires_at;
+    if (at === null || at === undefined || at === '') {
+        return true;
+    }
+    return String(at) < nowSql();
+};
+
+/** null — лицензия действует, иначе ответ 402 {status, body}. */
+const check = (team, rawTeamId, locale) => {
+    if (!expired(team)) {
+        return null;
+    }
+    return {
+        status: 402,
+        body: {
+            success: false,
+            error_code: ERROR_CODE,
+            message: rawTeamId === SPECIAL_TEAM ? SPECIAL_MESSAGE : DEFAULT_MESSAGE,
+            phone: CONTACT_PHONE,
+            team_name: translated(team.name, locale),
+            expires_at: team.expires_at ?? null,
+        },
+    };
+};
+
+module.exports = {check, expired, ERROR_CODE};

package/app/core/auth/posMode.js

@@ -0,0 +1,260 @@
+const syncConfig = require('../../sync/config');
+const {isUuid} = require('./scope');
+
+/**
+ * Режим заведения в облаке (модель M) — порт LocalModeMiddleware + PosModeService::state.
+ *
+ * В `local` истина — SQLite кассы-мастера. Облачные клиенты (PWA, Expo, Electron вне зала)
+ * по-прежнему ходят в облако, а события ядра облако отдаёт мастеру по его сигнальному сокету
+ * (app/relay/masters.js) — раньше этот путь шёл через Laravel → POST /master/request → сюда же.
+ *
+ * Стоит ПЕРЕД дедупом: ретранслированное событие дедупит мастер (ключ уходит вместе с
+ * заголовками), а облачная таблица ключей не должна запомнить ответ, которого облако не давало.
+ *
+ * Флаг тот же, что у Laravel: POS_MODE_ENABLED. Выключен → прозрачно.
+ */
+const ONLINE = 'online';
+const TO_LOCAL = 'to_local';
+const LOCAL = 'local';
+const TO_ONLINE = 'to_online';
+const STATES = new Set([ONLINE, TO_LOCAL, LOCAL, TO_ONLINE]);
+
+const PASS_PREFIXES = new Set(['sync', 'app', 'socket']);
+const PASS_EVENTS = new Set(['auth.check']);
+
+// Списки — копия cafepos-admin/config/pos_mode.php. Меняются вместе.
+const CORE_MUTATIONS = new Set([
+    'orders.create',
+    'orders.addProduct',
+    'orders.addExtra',
+    'orders.changeTable',
+    'orders.changeWaiter',
+    'orders.changeGuestCount',
+    'orders.setComment',
+    'orders.addCustomer',
+    'orders.removeCustomer',
+    'orders.applyServiceCharge',
+    'orders.applyDiscount',
+    'orders.applyDeposit',
+    'orders.merge',
+    'orders.rollback',
+    'orders.removeOrder',
+    'orders.closeOrder',
+    'orders.syncClosedOrder',
+    'orders.syncWorkshops',
+    'orders.sendToWorkshops',
+    'orders.printBillReceipt',
+    'orders.dismissTimerModifier',
+    'orderProducts.setQuantity',
+    'orderProducts.setPrice',
+    'orderProducts.remove',
+    'orderProducts.setComment',
+    'orderProducts.updateModifiers',
+    'orderProducts.setGuestNumber',
+    'orderProducts.transfer',
+    'orderProducts.stopTimer',
+    'orderProducts.fixTimer',
+    'orderProducts.resumeTimer',
+    'orderProducts.setTimerLimit',
+    'shifts.openCashShift',
+    'shifts.closeCashShift',
+    'kds.setTicketStatus',
+    'kds.setItemStatus',
+]);
+
+const CORE_READS = new Set([
+    'orders.getOpen',
+    'orders.archive',
+    'orders.isFiscalExists',
+    'orders.syncPrintBill',
+    'orderProducts.getById',
+    'printers.getReceiptPrinter',
+    'shifts.getCashShifts',
+    'kds.getTickets',
+    'kds.getReadiness',
+    'kds.getOrderTickets',
+]);
+
+// Чтения, которые при недоступном мастере можно отдать из облачной копии.
+const REPLICA_READS = new Set(['orders.archive', 'printers.getReceiptPrinter', 'shifts.getCashShifts']);
+
+const BLOCKED_IN_LOCAL = new Set(['orders.test']);
+
+// Заголовки, которые нужны ядру мастера. authorization мастеру не нужен: облако токен уже проверило.
+const FORWARD_HEADERS = ['team-id', 'company-id', 'terminal-id', 'employee-id', 'timestamp', 'ip-address', 'idempotency-key'];
+
+const isEnabled = () => ['true', '1'].includes(String(process.env.POS_MODE_ENABLED ?? 'false').toLowerCase());
+
+const cacheTtlMs = () => {
+    const seconds = parseInt(process.env.POS_MODE_CACHE_TTL ?? '5', 10);
+    return Number.isFinite(seconds) && seconds > 0 ? seconds * 1000 : 0;
+};
+
+const onlineState = () => ({state: ONLINE, master_terminal_id: null, epoch: 0});
+
+const cache = new Map(); // company → {state, expires}
+
+const describe = (company) => {
+    const value = company.pos_mode || ONLINE;
+    return {
+        state: STATES.has(value) ? value : ONLINE,
+        master_terminal_id: company.pos_master_terminal_id || null,
+        epoch: parseInt(company.pos_master_epoch, 10) || 0,
+    };
+};
+
+/** PosModeService::state — режим заведения, кэш POS_MODE_CACHE_TTL. */
+const state = async (db, companyId) => {
+    if (!isEnabled() || !companyId || !isUuid(companyId)) {
+        return onlineState();
+    }
+    const cached = cache.get(companyId);
+    if (cached && cached.expires > Date.now()) {
+        return cached.state;
+    }
+    const company = await db.get(
+        'SELECT pos_mode, pos_master_terminal_id, pos_master_epoch FROM companies WHERE id = ?',
+        [companyId]
+    );
+    const result = company ? describe(company) : onlineState();
+    const ttl = cacheTtlMs();
+    if (ttl > 0) {
+        if (cache.size > 10000) {
+            cache.clear();
+        }
+        cache.set(companyId, {state: result, expires: Date.now() + ttl});
+    }
+    return result;
+};
+
+/**
+ * Суперадминка сменила режим заведения (Laravel будит всех событием pos:mode через /socket).
+ * Кэш этого процесса сбрасываем сразу, TTL остаётся страховкой.
+ */
+const forget = (companyId) => {
+    if (companyId) {
+        cache.delete(String(companyId));
+    }
+};
+
+/** Заведения не в online: тик повременных позиций для них ведёт мастер. */
+const nonOnlineCompanyIds = async (db) => {
+    if (!isEnabled()) {
+        return new Set();
+    }
+    const rows = await db.all("SELECT id FROM companies WHERE pos_mode <> 'online'");
+    return new Set(rows.map((row) => String(row.id)));
+};
+
+const error = (status, code, message) => ({status, body: {success: false, message, error_code: code}});
+const switching = () => error(409, 'mode_switching', 'Rejim dəyişdirilir, bir az gözləyin');
+
+const header = (headers, name) => {
+    if (!headers) {
+        return null;
+    }
+    if (headers[name] !== undefined) {
+        return headers[name];
+    }
+    const found = Object.keys(headers).find((key) => key.toLowerCase() === name);
+    return found ? headers[found] : null;
+};
+
+/**
+ * Мастер недоступен. Мутацию выполнить негде (облачная копия не истина — её затрёт следующая
+ * выгрузка мастера). Чтение из REPLICA_READS отдаём из облака.
+ */
+const unavailable = (event, isMutation) => {
+    if (!isMutation && REPLICA_READS.has(event)) {
+        return null;
+    }
+    return error(503, 'master_unavailable', 'Əsas kassa ilə əlaqə yoxdur');
+};
+
+const relay = async ({event, headers, params, companyId, modeState, isMutation}) => {
+    // Реестр мастеров живёт в этом процессе только при включённой ретрансляции.
+    if (!syncConfig.isMasterRelayEnabled()) {
+        return unavailable(event, isMutation);
+    }
+    const forwarded = {};
+    for (const name of FORWARD_HEADERS) {
+        const found = header(headers, name);
+        if (found !== null && found !== undefined && found !== '') {
+            forwarded[name] = found;
+        }
+    }
+    let response;
+    try {
+        response = await require('../../relay/masters').relayRequest({
+            company_id: companyId,
+            master_terminal_id: modeState.master_terminal_id,
+            epoch: modeState.epoch,
+            event,
+            headers: forwarded,
+            params,
+        });
+    } catch (e) {
+        console.warn('[pos_mode] relay failed', JSON.stringify({event, company_id: companyId, error: e.message}));
+        return unavailable(event, isMutation);
+    }
+
+    const payload = response && response.body;
+    if (!payload || typeof payload !== 'object' || !payload.relayed) {
+        console.info('[pos_mode] master not reachable', JSON.stringify({
+            event,
+            company_id: companyId,
+            status: response ? response.status : null,
+            reason: payload && typeof payload === 'object' ? (payload.error_code ?? null) : null,
+        }));
+        return unavailable(event, isMutation);
+    }
+
+    let status = parseInt(payload.status ?? 200, 10);
+    if (!Number.isFinite(status) || status < 100 || status > 599) {
+        status = 200;
+    }
+    return {status, body: payload.body ?? null, relayed: true};
+};
+
+/**
+ * LocalModeMiddleware::handle. null — событие обслуживает облако, иначе готовый ответ
+ * {status, body} (отказ или ответ мастера).
+ */
+const route = async (db, {event, headers, params, companyId}) => {
+    if (!isEnabled()) {
+        return null;
+    }
+    const prefix = String(event).split('.', 1)[0];
+    if (PASS_PREFIXES.has(prefix) || PASS_EVENTS.has(event)) {
+        return null;
+    }
+
+    const modeState = await state(db, companyId);
+    if (modeState.state === ONLINE) {
+        return null;
+    }
+
+    const isMutation = CORE_MUTATIONS.has(event);
+    const isRead = !isMutation && CORE_READS.has(event);
+    if (!isMutation && !isRead) {
+        return BLOCKED_IN_LOCAL.has(event)
+            ? error(409, 'not_supported_in_local_mode', 'Bu əməliyyat lokal rejimdə mümkün deyil')
+            : null;
+    }
+
+    switch (modeState.state) {
+        case TO_LOCAL:
+            // Мастер забирает облако — новых правок быть не должно, чтения ещё верны здесь.
+            return isMutation ? switching() : null;
+        case TO_ONLINE:
+            // Мастер досылает очередь: правок не принимает никто, читать надо у него.
+            if (isMutation) {
+                return switching();
+            }
+            return relay({event, headers, params, companyId, modeState, isMutation: false});
+        default:
+            return relay({event, headers, params, companyId, modeState, isMutation});
+    }
+};
+
+module.exports = {isEnabled, state, forget, route, nonOnlineCompanyIds, CORE_MUTATIONS, CORE_READS, _cache: cache};