@escapenavigator/utils 2.0.32 → 2.0.34

package/dist/classify-api-error.js

@@ -63,6 +63,20 @@ const SKIP_HTTP_STATUSES = new Set([304]);
  * bearer, неожиданный 403 на embed).
  */
 const SKIP_AUTH_STATUSES_ON_APPS = new Set(['app', 'auth']);
+/**
+ * Ручки, где 404 — это ответ пользователю, а не сбой.
+ *
+ * `POST /users/login` отдаёт 404 «User not found or incorrect password
+ * entered.» на любой неверный email или пароль, то есть на обычную опечатку.
+ * `login-switch` — то же самое при попытке войти в чужой аккаунт.
+ *
+ * Такие 404 неотличимы от нормальной работы формы входа и ничего не говорят о
+ * здоровье сервиса: ESCAPE-NAVIGATOR-AUTH-3 набрал 394 события от 247 человек
+ * за два месяца, и ни одно не было багом. Пропажу самого роута это не скроет —
+ * тогда бы логин не работал ни у кого, что видно и по 404 на соседних ручках,
+ * и по резкому падению входов.
+ */
+const SKIP_NOT_FOUND_API_KEYS = new Set(['login', 'loginSwitch']);
 const isNetworkErrorMessage = (message) => typeof message === 'string' && /network error/i.test(message);
 function classifyApiError(ctx) {
     const { status, code, apiKey, errorCode, originalErrorCode, message, app } = ctx;
@@ -87,6 +101,9 @@ function classifyApiError(ctx) {
         (!app || SKIP_AUTH_STATUSES_ON_APPS.has(app))) {
         return { severity: 'skip', level: 'info', fingerprint: null, shouldReport: false };
     }
+    if (status === 404 && SKIP_NOT_FOUND_API_KEYS.has(apiKey)) {
+        return { severity: 'skip', level: 'info', fingerprint: null, shouldReport: false };
+    }
     // 5xx → critical. Включаем status в fingerprint, чтобы 502/503/504 не
     // схлопывались в один issue с 500 — у них разные источники проблем
     // (proxy/CDN vs само приложение vs gateway-timeout).

package/dist/classify-api-error.spec.js

@@ -28,6 +28,32 @@ describe('classifyApiError', () => {
             expect(r.shouldReport).toBe(true);
             expect(r.severity).toBe('debug');
         });
+        it('404 на login → skip (неверный email или пароль, а не сбой)', () => {
+            const r = (0, classify_api_error_1.classifyApiError)({
+                apiKey: 'login',
+                method: 'POST',
+                url: '/users/login',
+                status: 404,
+                app: 'auth',
+            });
+            expect(r.severity).toBe('skip');
+            expect(r.shouldReport).toBe(false);
+        });
+        it('404 на остальных ручках → НЕ skip', () => {
+            const r = (0, classify_api_error_1.classifyApiError)({ ...base, status: 404, app: 'auth' });
+            expect(r.shouldReport).toBe(true);
+        });
+        it('5xx на login → НЕ skip (это уже настоящий сбой входа)', () => {
+            const r = (0, classify_api_error_1.classifyApiError)({
+                apiKey: 'login',
+                method: 'POST',
+                url: '/users/login',
+                status: 500,
+                app: 'auth',
+            });
+            expect(r.severity).toBe('critical');
+            expect(r.shouldReport).toBe(true);
+        });
     });
     describe('critical', () => {
         it.each([500, 502, 503, 504])('%s → critical с status в fingerprint', (status) => {

package/dist/index.d.ts

@@ -25,7 +25,9 @@ export * from './pick';
 export * from './promocode-error-codes';
 export * from './promocode-nominal-rules';
 export * from './redirect';
+export * from './resolve-calendar-location-id';
 export * from './role-chat-permissions';
+export * from './role-comment-permissions';
 export * from './role-export-permissions';
 export * from './serialize-record';
 export * from './serialize-slot';

package/dist/index.js

@@ -41,7 +41,9 @@ __exportStar(require("./pick"), exports);
 __exportStar(require("./promocode-error-codes"), exports);
 __exportStar(require("./promocode-nominal-rules"), exports);
 __exportStar(require("./redirect"), exports);
+__exportStar(require("./resolve-calendar-location-id"), exports);
 __exportStar(require("./role-chat-permissions"), exports);
+__exportStar(require("./role-comment-permissions"), exports);
 __exportStar(require("./role-export-permissions"), exports);
 __exportStar(require("./serialize-record"), exports);
 __exportStar(require("./serialize-slot"), exports);

package/dist/is-foreign-error.d.ts

@@ -0,0 +1,44 @@
+/**
+ * Отсев чужих ошибок, которые Sentry не может атрибутировать по стеку.
+ *
+ * `allowUrls` фильтрует по URL последнего стек-фрейма. У глобальных ошибок из
+ * чужого кода на странице (расширения браузера, инжекты аналитики, JS-мосты
+ * in-app браузеров) стек либо пустой, либо это одинокий `<anonymous>` или сам
+ * HTML-документ — URL не определяется, и Sentry такие события ПРОПУСКАЕТ.
+ *
+ * Пример с продакшена: ESCAPE-NAVIGATOR-ORDERS-25 «Error: ga» — единственный
+ * фрейм `https://orders.escapenavigator.ru/:415:45`, при том что отдаваемый
+ * документ длиной 27 строк. То есть скрипт дописан уже в браузере.
+ *
+ * Правило: у НЕОБРАБОТАННОЙ ошибки (onerror/onunhandledrejection) должен быть
+ * хотя бы один фрейм из нашего бандла — иначе дропаем. Ручные
+ * `captureException` не трогаем: у них handled-механизм, и короткий стек для
+ * них нормален.
+ */
+export type ForeignErrorStackFrame = {
+    filename?: string;
+    abs_path?: string;
+};
+export type ForeignErrorExceptionValue = {
+    mechanism?: {
+        type?: string;
+        handled?: boolean;
+    };
+    stacktrace?: {
+        frames?: ForeignErrorStackFrame[];
+    };
+};
+export type ForeignErrorEvent = {
+    exception?: {
+        values?: ForeignErrorExceptionValue[];
+    };
+};
+export declare function isUnattributableForeignError(event: ForeignErrorEvent, bundleUrlPatterns: RegExp[]): boolean;
+/**
+ * Паттерны для приложений, которые сами себя хостят (CRM, orders, auth).
+ *
+ * Важно требовать именно `.js`: у таких приложений документ лежит на том же
+ * origin, что и бандл, и матч по одному хосту пропустил бы инлайн-скрипты,
+ * дописанные в HTML расширением или in-app браузером.
+ */
+export declare function selfHostedBundlePatterns(hostPattern: string): RegExp[];

package/dist/is-foreign-error.js

@@ -0,0 +1,55 @@
+"use strict";
+/**
+ * Отсев чужих ошибок, которые Sentry не может атрибутировать по стеку.
+ *
+ * `allowUrls` фильтрует по URL последнего стек-фрейма. У глобальных ошибок из
+ * чужого кода на странице (расширения браузера, инжекты аналитики, JS-мосты
+ * in-app браузеров) стек либо пустой, либо это одинокий `<anonymous>` или сам
+ * HTML-документ — URL не определяется, и Sentry такие события ПРОПУСКАЕТ.
+ *
+ * Пример с продакшена: ESCAPE-NAVIGATOR-ORDERS-25 «Error: ga» — единственный
+ * фрейм `https://orders.escapenavigator.ru/:415:45`, при том что отдаваемый
+ * документ длиной 27 строк. То есть скрипт дописан уже в браузере.
+ *
+ * Правило: у НЕОБРАБОТАННОЙ ошибки (onerror/onunhandledrejection) должен быть
+ * хотя бы один фрейм из нашего бандла — иначе дропаем. Ручные
+ * `captureException` не трогаем: у них handled-механизм, и короткий стек для
+ * них нормален.
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.isUnattributableForeignError = isUnattributableForeignError;
+exports.selfHostedBundlePatterns = selfHostedBundlePatterns;
+function isUnattributableForeignError(event, bundleUrlPatterns) {
+    const values = event.exception?.values;
+    if (!values?.length)
+        return false;
+    const isUnhandled = values.some((value) => {
+        const mechanism = value.mechanism;
+        if (!mechanism)
+            return false;
+        if (mechanism.handled === false)
+            return true;
+        return mechanism.type === 'onerror' || mechanism.type === 'onunhandledrejection';
+    });
+    if (!isUnhandled)
+        return false;
+    const frames = values.flatMap((value) => value.stacktrace?.frames ?? []);
+    const isOurFrame = (frame) => {
+        const url = frame.filename || frame.abs_path || '';
+        return bundleUrlPatterns.some((pattern) => pattern.test(url));
+    };
+    return !frames.some(isOurFrame);
+}
+/**
+ * Паттерны для приложений, которые сами себя хостят (CRM, orders, auth).
+ *
+ * Важно требовать именно `.js`: у таких приложений документ лежит на том же
+ * origin, что и бандл, и матч по одному хосту пропустил бы инлайн-скрипты,
+ * дописанные в HTML расширением или in-app браузером.
+ */
+function selfHostedBundlePatterns(hostPattern) {
+    return [
+        new RegExp(`^https?://${hostPattern}/[^?#]*\\.js`, 'i'),
+        /^https?:\/\/localhost:\d+\/[^?#]*\.(js|tsx?)/i,
+    ];
+}

package/dist/is-foreign-error.spec.d.ts

@@ -0,0 +1 @@
+export {};

package/dist/is-foreign-error.spec.js

@@ -0,0 +1,81 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+const is_foreign_error_1 = require("./is-foreign-error");
+describe('isUnattributableForeignError', () => {
+    const patterns = (0, is_foreign_error_1.selfHostedBundlePatterns)('orders\\.escapenavigator\\.(ru|com)');
+    const unhandled = { type: 'onerror', handled: false };
+    it('drops the injected inline script from ORDERS-25 («Error: ga»)', () => {
+        // Единственный фрейм — сам документ на 415-й строке, хотя отдаваемый
+        // HTML длиной 27 строк: скрипт дописан в браузере.
+        expect((0, is_foreign_error_1.isUnattributableForeignError)({
+            exception: {
+                values: [
+                    {
+                        mechanism: unhandled,
+                        stacktrace: {
+                            frames: [{ filename: 'https://orders.escapenavigator.ru/' }],
+                        },
+                    },
+                ],
+            },
+        }, patterns)).toBe(true);
+    });
+    it('drops unhandled errors with no frames at all', () => {
+        expect((0, is_foreign_error_1.isUnattributableForeignError)({ exception: { values: [{ mechanism: unhandled }] } }, patterns)).toBe(true);
+    });
+    it('drops unhandled errors whose only frame is <anonymous>', () => {
+        expect((0, is_foreign_error_1.isUnattributableForeignError)({
+            exception: {
+                values: [
+                    {
+                        mechanism: unhandled,
+                        stacktrace: { frames: [{ filename: '<anonymous>' }] },
+                    },
+                ],
+            },
+        }, patterns)).toBe(true);
+    });
+    it('keeps errors that have at least one frame from our bundle', () => {
+        expect((0, is_foreign_error_1.isUnattributableForeignError)({
+            exception: {
+                values: [
+                    {
+                        mechanism: unhandled,
+                        stacktrace: {
+                            frames: [
+                                { filename: 'https://orders.escapenavigator.ru/' },
+                                {
+                                    filename: 'https://orders.escapenavigator.ru/assets/index-CE3a.js',
+                                },
+                            ],
+                        },
+                    },
+                ],
+            },
+        }, patterns)).toBe(false);
+    });
+    it('keeps localhost frames so dev builds still report', () => {
+        expect((0, is_foreign_error_1.isUnattributableForeignError)({
+            exception: {
+                values: [
+                    {
+                        mechanism: unhandled,
+                        stacktrace: {
+                            frames: [{ filename: 'http://localhost:3000/src/main.tsx' }],
+                        },
+                    },
+                ],
+            },
+        }, patterns)).toBe(false);
+    });
+    it('keeps handled captures — short stacks are normal for them', () => {
+        expect((0, is_foreign_error_1.isUnattributableForeignError)({
+            exception: {
+                values: [{ mechanism: { type: 'generic', handled: true } }],
+            },
+        }, patterns)).toBe(false);
+    });
+    it('ignores events without exception values (messages, transactions)', () => {
+        expect((0, is_foreign_error_1.isUnattributableForeignError)({}, patterns)).toBe(false);
+    });
+});

package/dist/resolve-calendar-location-id.d.ts

@@ -0,0 +1,22 @@
+type ResolveCalendarLocationIdProps = {
+    /** Локация из URL (`?locationId=`) — приоритетный источник. */
+    requestedLocationId?: number | null;
+    /** Последняя выбранная локация из localStorage (ключ на профиль). */
+    storedLocationId?: number | null;
+    /** Локации, доступные текущему профилю. */
+    availableLocationIds: number[];
+};
+/**
+ * Выбирает локацию, для которой календарь грузит слоты: URL → localStorage →
+ * первая доступная. Ключевое — отбросить id, которого у профиля нет.
+ *
+ * Так ломался календарь после смены компании: `loginSwitch` делает
+ * `window.location.reload()`, query-string при этом сохраняется, и в URL
+ * оставался `locationId` предыдущей компании. Календарь запрашивал слоты
+ * чужой локации, бэкенд (он скоупит выборку по `profileId`) честно отдавал
+ * пустой массив — оператор видел сетку без слотов и без всякой ошибки.
+ *
+ * Возвращает `null`, только если у профиля нет ни одной локации.
+ */
+export declare const resolveCalendarLocationId: ({ requestedLocationId, storedLocationId, availableLocationIds, }: ResolveCalendarLocationIdProps) => number | null;
+export {};

package/dist/resolve-calendar-location-id.js

@@ -0,0 +1,24 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.resolveCalendarLocationId = void 0;
+const isAvailable = (id, availableLocationIds) => typeof id === 'number' && Number.isFinite(id) && availableLocationIds.includes(id);
+/**
+ * Выбирает локацию, для которой календарь грузит слоты: URL → localStorage →
+ * первая доступная. Ключевое — отбросить id, которого у профиля нет.
+ *
+ * Так ломался календарь после смены компании: `loginSwitch` делает
+ * `window.location.reload()`, query-string при этом сохраняется, и в URL
+ * оставался `locationId` предыдущей компании. Календарь запрашивал слоты
+ * чужой локации, бэкенд (он скоупит выборку по `profileId`) честно отдавал
+ * пустой массив — оператор видел сетку без слотов и без всякой ошибки.
+ *
+ * Возвращает `null`, только если у профиля нет ни одной локации.
+ */
+const resolveCalendarLocationId = ({ requestedLocationId, storedLocationId, availableLocationIds, }) => {
+    if (isAvailable(requestedLocationId, availableLocationIds))
+        return requestedLocationId;
+    if (isAvailable(storedLocationId, availableLocationIds))
+        return storedLocationId;
+    return availableLocationIds[0] ?? null;
+};
+exports.resolveCalendarLocationId = resolveCalendarLocationId;

package/dist/resolve-calendar-location-id.spec.d.ts

@@ -0,0 +1 @@
+export {};

package/dist/resolve-calendar-location-id.spec.js

@@ -0,0 +1,43 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+const resolve_calendar_location_id_1 = require("./resolve-calendar-location-id");
+describe('resolveCalendarLocationId', () => {
+    it('keeps the location from the URL when the profile owns it', () => {
+        expect((0, resolve_calendar_location_id_1.resolveCalendarLocationId)({
+            requestedLocationId: 7,
+            storedLocationId: 3,
+            availableLocationIds: [3, 7],
+        })).toBe(7);
+    });
+    it('falls back to the stored location when the URL one belongs to another company', () => {
+        expect((0, resolve_calendar_location_id_1.resolveCalendarLocationId)({
+            requestedLocationId: 999,
+            storedLocationId: 3,
+            availableLocationIds: [3, 7],
+        })).toBe(3);
+    });
+    it('falls back to the first location when nothing is known', () => {
+        expect((0, resolve_calendar_location_id_1.resolveCalendarLocationId)({
+            availableLocationIds: [3, 7],
+        })).toBe(3);
+    });
+    it('ignores broken ids', () => {
+        expect((0, resolve_calendar_location_id_1.resolveCalendarLocationId)({
+            requestedLocationId: NaN,
+            storedLocationId: NaN,
+            availableLocationIds: [3],
+        })).toBe(3);
+        expect((0, resolve_calendar_location_id_1.resolveCalendarLocationId)({
+            requestedLocationId: null,
+            storedLocationId: 0,
+            availableLocationIds: [3],
+        })).toBe(3);
+    });
+    it('returns null when the profile has no locations', () => {
+        expect((0, resolve_calendar_location_id_1.resolveCalendarLocationId)({
+            requestedLocationId: 7,
+            storedLocationId: 3,
+            availableLocationIds: [],
+        })).toBeNull();
+    });
+});

package/dist/role-comment-permissions.d.ts

@@ -0,0 +1,7 @@
+import { RoleRO } from '@escapenavigator/types/dist/role/role.ro';
+export type RoleCommentPermissions = Pick<RoleRO, 'totalAccess' | 'canDeleteComments'>;
+/**
+ * Право удалять чужие комментарии сотрудников. Свои — всегда можно.
+ * Владелец (`totalAccess`) — как будто флаг включён.
+ */
+export declare const canDeleteComments: (role?: RoleCommentPermissions | null) => boolean;

package/dist/role-comment-permissions.js

@@ -0,0 +1,9 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.canDeleteComments = void 0;
+/**
+ * Право удалять чужие комментарии сотрудников. Свои — всегда можно.
+ * Владелец (`totalAccess`) — как будто флаг включён.
+ */
+const canDeleteComments = (role) => !!role?.totalAccess || !!role?.canDeleteComments;
+exports.canDeleteComments = canDeleteComments;

package/dist/role-comment-permissions.spec.d.ts

@@ -0,0 +1 @@
+export {};

package/dist/role-comment-permissions.spec.js

@@ -0,0 +1,16 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+const role_comment_permissions_1 = require("./role-comment-permissions");
+describe('canDeleteComments', () => {
+    it('is false without role or flag', () => {
+        expect((0, role_comment_permissions_1.canDeleteComments)()).toBe(false);
+        expect((0, role_comment_permissions_1.canDeleteComments)(null)).toBe(false);
+        expect((0, role_comment_permissions_1.canDeleteComments)({ totalAccess: false, canDeleteComments: false })).toBe(false);
+    });
+    it('is true when flag is on', () => {
+        expect((0, role_comment_permissions_1.canDeleteComments)({ totalAccess: false, canDeleteComments: true })).toBe(true);
+    });
+    it('is true for totalAccess even when flag is off', () => {
+        expect((0, role_comment_permissions_1.canDeleteComments)({ totalAccess: true, canDeleteComments: false })).toBe(true);
+    });
+});

package/dist/serialize-slot.js

@@ -36,6 +36,7 @@ const serializeSlotOrderData = (order) => order && {
     promocodeTotal: order.promocodeTotal,
     certificateTotal: order.certificateTotal,
     upsellingsTotal: order.upsellingsTotal,
+    upsellingIcons: order.upsellingIcons ?? [],
     emailTrouble: order.emailTrouble,
     noShow: order.noShow,
     // Иконка «есть комментарии»: денорм-флаг заметок сотрудников ИЛИ
@@ -63,6 +64,7 @@ const serializeSlot = ({ slot, orders = [] }) => ({
     discount: slot.discount ?? 0,
     onlyPhone: slot.onlyPhone ?? false,
     forceOnlineBooking: slot.forceOnlineBooking ?? false,
+    ignoreResourceLimit: slot.ignoreResourceLimit ?? false,
     breakReason: slot.breakReason ?? null,
     availableTeams: slot.availableTeams ?? null,
     numSeatsAvailable: slot.numSeatsAvailable ?? slot.availablePlayers ?? 0,

package/dist/user-session-permissions.d.ts

@@ -16,8 +16,37 @@ export type UserSessionPermissionTarget = {
     authorId?: number | null;
     date: string;
 };
+export type UserSessionClaimTarget = {
+    hold?: boolean;
+    userId?: number | null;
+    needReplace?: boolean;
+    start: string;
+    end: string;
+    locationId: number;
+    comment?: string | null;
+};
+export type UserSessionClaimDto = {
+    userId?: number | null;
+    needReplace?: boolean;
+    start?: string;
+    end?: string;
+    locationId?: number;
+    comment?: string | null;
+    hold?: boolean;
+};
 export declare const canEditOtherUserSessions: (role: UserSessionRolePermissions) => boolean;
 export declare const isSessionDateTodayOrFuture: (date: string, today?: string) => boolean;
+/** Unassigned shift or a shift with an open replace request — any employee may claim it. */
+export declare const isOpenUserSession: (session: Pick<UserSessionClaimTarget, "userId" | "needReplace">) => boolean;
+/**
+ * True when the actor is only claiming an open shift for themselves
+ * (assign userId / clear needReplace) without changing schedule fields.
+ */
+export declare const isTakingOpenUserSession: (params: {
+    session: UserSessionClaimTarget;
+    dto: UserSessionClaimDto;
+    actorId: number;
+}) => boolean;
 /** Returns an English denial message, or null when edit/delete is allowed. */
 export declare const getUserSessionEditDenial: (params: {
     session: UserSessionPermissionTarget;

package/dist/user-session-permissions.js

@@ -1,6 +1,6 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.canEditUserSession = exports.getUserSessionCreateDenial = exports.getUserSessionEditDenial = exports.isSessionDateTodayOrFuture = exports.canEditOtherUserSessions = exports.USER_SESSION_ERRORS_EN = exports.USER_SESSION_ERROR_KEYS = void 0;
+exports.canEditUserSession = exports.getUserSessionCreateDenial = exports.getUserSessionEditDenial = exports.isTakingOpenUserSession = exports.isOpenUserSession = exports.isSessionDateTodayOrFuture = exports.canEditOtherUserSessions = exports.USER_SESSION_ERRORS_EN = exports.USER_SESSION_ERROR_KEYS = void 0;
 exports.USER_SESSION_ERROR_KEYS = {
     shiftLocked: 'shiftLocked',
     noPermission: 'noPermission',
@@ -23,6 +23,42 @@ const canEditOtherUserSessions = (role) => !!role.totalAccess || !!role.canEditW
 exports.canEditOtherUserSessions = canEditOtherUserSessions;
 const isSessionDateTodayOrFuture = (date, today = formatTodayYmd()) => today <= date;
 exports.isSessionDateTodayOrFuture = isSessionDateTodayOrFuture;
+/** Unassigned shift or a shift with an open replace request — any employee may claim it. */
+const isOpenUserSession = (session) => session.userId == null || !!session.needReplace;
+exports.isOpenUserSession = isOpenUserSession;
+/**
+ * True when the actor is only claiming an open shift for themselves
+ * (assign userId / clear needReplace) without changing schedule fields.
+ */
+const isTakingOpenUserSession = (params) => {
+    const { session, dto, actorId } = params;
+    if (session.hold) {
+        return false;
+    }
+    if (!(0, exports.isOpenUserSession)(session)) {
+        return false;
+    }
+    if (dto.userId !== actorId) {
+        return false;
+    }
+    if (dto.hold === true) {
+        return false;
+    }
+    if (dto.start != null && dto.start !== session.start) {
+        return false;
+    }
+    if (dto.end != null && dto.end !== session.end) {
+        return false;
+    }
+    if (dto.locationId != null && dto.locationId !== session.locationId) {
+        return false;
+    }
+    if (dto.comment != null && (dto.comment ?? '') !== (session.comment ?? '')) {
+        return false;
+    }
+    return true;
+};
+exports.isTakingOpenUserSession = isTakingOpenUserSession;
 const formatTodayYmd = () => {
     const d = new Date();
     return `${d.getFullYear()}-${`${d.getMonth() + 1}`.padStart(2, '0')}-${`${d.getDate()}`.padStart(2, '0')}`;

package/dist/user-session-permissions.spec.d.ts

@@ -0,0 +1 @@
+export {};

package/dist/user-session-permissions.spec.js

@@ -0,0 +1,94 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+const user_session_permissions_1 = require("./user-session-permissions");
+const openSession = {
+    hold: false,
+    userId: null,
+    needReplace: false,
+    start: '10:00',
+    end: '18:00',
+    locationId: 1,
+    comment: null,
+};
+describe('isOpenUserSession', () => {
+    it('is true when unassigned', () => {
+        expect((0, user_session_permissions_1.isOpenUserSession)({ userId: null, needReplace: false })).toBe(true);
+        expect((0, user_session_permissions_1.isOpenUserSession)({ userId: undefined, needReplace: false })).toBe(true);
+    });
+    it('is true when replace was requested', () => {
+        expect((0, user_session_permissions_1.isOpenUserSession)({ userId: 5, needReplace: true })).toBe(true);
+    });
+    it('is false for a normal assigned shift', () => {
+        expect((0, user_session_permissions_1.isOpenUserSession)({ userId: 5, needReplace: false })).toBe(false);
+    });
+});
+describe('isTakingOpenUserSession', () => {
+    it('allows any employee to claim an unassigned shift for themselves', () => {
+        expect((0, user_session_permissions_1.isTakingOpenUserSession)({
+            session: openSession,
+            dto: {
+                userId: 42,
+                needReplace: false,
+                start: '10:00',
+                end: '18:00',
+                locationId: 1,
+                comment: null,
+            },
+            actorId: 42,
+        })).toBe(true);
+    });
+    it('allows claiming a shift with an open replace request', () => {
+        expect((0, user_session_permissions_1.isTakingOpenUserSession)({
+            session: { ...openSession, userId: 7, needReplace: true },
+            dto: {
+                userId: 42,
+                needReplace: false,
+                start: '10:00',
+                end: '18:00',
+                locationId: 1,
+            },
+            actorId: 42,
+        })).toBe(true);
+    });
+    it('rejects claiming for another employee', () => {
+        expect((0, user_session_permissions_1.isTakingOpenUserSession)({
+            session: openSession,
+            dto: { userId: 99, start: '10:00', end: '18:00', locationId: 1 },
+            actorId: 42,
+        })).toBe(false);
+    });
+    it('rejects locked shifts', () => {
+        expect((0, user_session_permissions_1.isTakingOpenUserSession)({
+            session: { ...openSession, hold: true },
+            dto: { userId: 42, start: '10:00', end: '18:00', locationId: 1 },
+            actorId: 42,
+        })).toBe(false);
+    });
+    it('rejects when schedule fields change alongside the claim', () => {
+        expect((0, user_session_permissions_1.isTakingOpenUserSession)({
+            session: openSession,
+            dto: { userId: 42, start: '11:00', end: '18:00', locationId: 1 },
+            actorId: 42,
+        })).toBe(false);
+    });
+    it('rejects already assigned shifts without replace request', () => {
+        expect((0, user_session_permissions_1.isTakingOpenUserSession)({
+            session: { ...openSession, userId: 7, needReplace: false },
+            dto: { userId: 42, start: '10:00', end: '18:00', locationId: 1 },
+            actorId: 42,
+        })).toBe(false);
+    });
+});
+describe('getUserSessionEditDenial', () => {
+    it('still requires author for non-manager edit of someone else\'s unassigned shift', () => {
+        expect((0, user_session_permissions_1.getUserSessionEditDenial)({
+            session: { hold: false, authorId: 1, date: '2099-01-01' },
+            role: {
+                totalAccess: false,
+                canEditWorkedHours: false,
+                canEditOwnWorkedHours: true,
+            },
+            userId: 42,
+        })).toBe(user_session_permissions_1.USER_SESSION_ERRORS_EN.notShiftAuthor);
+    });
+});

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@escapenavigator/utils",
-  "version": "2.0.32",
+  "version": "2.0.34",
   "publishConfig": {
     "access": "public"
   },
@@ -14,7 +14,7 @@
     "test": "jest"
   },
   "dependencies": {
-    "@escapenavigator/types": "^2.0.30",
+    "@escapenavigator/types": "^2.0.32",
     "axios": "^0.21.4",
     "class-transformer": "^0.5.1",
     "class-validator": "^0.13.2",
@@ -29,5 +29,5 @@
     "ts-jest": "^29.1.1",
     "typescript": "^5.6"
   },
-  "gitHead": "90106afac0a1ca4459d3e126fce33bd5242928db"
+  "gitHead": "e7c356a5eb4bdb5d606be29aa0e8571073d0c531"
 }