@flowselections/core 1.0.16 → 1.0.19

package/README.md

@@ -0,0 +1,113 @@
+# @flowselections/core
+
+Fundament-module: authenticatie, shell-layout (sidebar/header), instellingen en de
+gedeelde UI-componenten. Elke module heeft core als `peerDependency`; de shell
+bepaalt welke core-versie draait.
+
+## Modulecontract
+
+```ts
+interface FlowModule {
+  id: string;            // pakket-id (npm), NIET de externe sleutel
+  name: string;
+  version: string;
+  nav: NavItem;
+  settingsCards: SettingsCard[];
+  registryKey?: string;  // optionele expliciete externe sleutel
+}
+```
+
+### De modulesleutel
+
+Core matcht extern (module_registry, rechten) **altijd** op `moduleKey(mod)` en
+nooit op `mod.id` — `id` is een pakket-id, terwijl de registry route-slugs bevat.
+
+`moduleKey()`:
+
+1. `registryKey` als die is opgegeven;
+2. anders het eerste padsegment van `nav.href`;
+3. **afsluitende underscores worden gestript.**
+
+Regel 3 is een expliciete beslissing: een afsluitende underscore in een routepad
+(`/voorraad_/detail`) is een TanStack un-nesting-conventie en geen betekenisvol
+segment. Zonder strippen krijgt dezelfde module twee sleutels (`voorraad` en
+`voorraad_`) en verdwijnt hij half uit de zijbalk. Er is gekozen voor strippen in
+plaats van `registryKey` verplicht maken, omdat dat laatste bestaande modules
+stil zou breken. Wil je afwijken, zet dan `registryKey` expliciet.
+
+Core kent geen enkele module- of domeinnaam; de regel is volledig generiek.
+
+## Shell-extensiepunten
+
+Alles optioneel. Zonder provider gedraagt een shell zich exact zoals voorheen:
+default-allow, code-volgorde.
+
+```tsx
+// src/routes/_authenticated.tsx
+import { ShellExtensionsProvider, ModuleGuardSlot, Sidebar, useModulePermissionTransform } from "@flowselections/core";
+import { useModuleOrderTransform } from "@flowselections/sidebar-ordening-installatie-techniek";
+
+<ShellExtensionsProvider
+  useModuleList={[useModulePermissionTransform, useModuleOrderTransform]}
+>
+  <Sidebar auth={auth} modules={modules} />
+  <ModuleGuardSlot>
+    <Outlet />
+  </ModuleGuardSlot>
+</ShellExtensionsProvider>
+```
+
+Pipeline-volgorde is de array-volgorde: **eerst rechten filteren, dan sorteren.**
+Meegegeven hooks moeten stabiele referenties zijn (module-scope functies, geen
+inline lambdas), zodat de hook-volgorde tussen renders nooit verandert.
+
+Bij laden, een ontbrekende tabel/RPC of een fout in een transform komt de lijst
+**ongewijzigd** terug. Een lege zijbalk is nooit een geldige uitkomst.
+
+### Parent/child-gedrag in de zijbalk
+
+- Groep waarvan **alle** kinderen wegvallen → groep wordt niet gerenderd.
+- Parent-sleutel geweigerd maar een kind toegestaan → groep blijft staan met
+  alleen de toegestane kinderen. `NavItem.href` is op een groep een uitklapknop,
+  geen echte bestemming, dus de parent-sleutel wordt voor groepen niet gebruikt
+  om zichtbaarheid te bepalen.
+- Platte items worden op hun eigen sleutel beoordeeld.
+
+## Rechten (leeskant)
+
+- `useMyModulePermissions()` / `useModulePermission(moduleId, featureId?)` — React
+  Query op RPC `my_module_permissions()`, `queryKey: ["my-module-permissions"]`.
+- `useModulePermissionTransform()` — laat zijbalkitems met `none` weg.
+- `ModuleAccessGuard` — pad-gebaseerde guard (module-id uit het eerste
+  URL-segment).
+- `requireModulePermission()` — **server-only**, alleen via
+  `@flowselections/core/server`.
+
+Core leest of schrijft **geen enkele tabel** uit het rechtenschema. Alleen de twee
+RPC's `my_module_permissions()` en `effective_module_permission()`. Het schema
+blijft eigendom van de admin-add-on.
+
+### ModuleAccessGuard is fail-open — met opzet
+
+`ModuleAccessGuard` en `useModulePermission` laten door bij:
+
+- laden (eerste render, eerste login);
+- een ontbrekende RPC (add-on niet geïnstalleerd op die database — PostgREST
+  404 / Postgres 42883);
+- elke andere fout in de query;
+- een module zonder rij in `module_registry` (default-allow).
+
+Dit is een bewuste keuze: zichtbaarheid is geen beveiliging, en een dichte guard
+zou bij elke laadfout of ontbrekende add-on de hele app onbruikbaar maken.
+
+**De echte afscherming is `requireModulePermission()` server-side plus RLS/policies
+op de database.** Lees deze guard niet als beveiligingslaag.
+
+De permissie-query heeft `retry: false`: een ontbrekende RPC mag nooit een
+retry-storm veroorzaken.
+
+## Supabase
+
+De browser-client is env-gedreven en lazy (`VITE_SUPABASE_URL` /
+`VITE_SUPABASE_PUBLISHABLE_KEY`, met `SUPABASE_*` fallback voor SSR). Er staat
+geen projectref of key in de code, ook niet als fallback.

package/dist/auth/handover.functions.d.ts

@@ -0,0 +1,16 @@
+export interface HandoverExchangeResult {
+    accessToken: string;
+    refreshToken: string;
+}
+/**
+ * Wisselt een eenmalige handover-code in voor een Supabase-sessie.
+ *
+ * Fail-closed: bij elke fout gooit deze functie en krijgt de client alleen een
+ * generieke foutmelding. De code wordt nooit gelogd.
+ */
+export declare const exchangeHandover: import("@tanstack/start-client-core").RequiredFetcher<undefined, (data: {
+    code: string;
+}) => {
+    code: string;
+}, Promise<HandoverExchangeResult>>;
+//# sourceMappingURL=handover.functions.d.ts.map

package/dist/auth/handover.functions.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"handover.functions.d.ts","sourceRoot":"","sources":["../../src/core/auth/handover.functions.ts"],"names":[],"mappings":"AAOA,MAAM,WAAW,sBAAsB;IACrC,WAAW,EAAE,MAAM,CAAC;IACpB,YAAY,EAAE,MAAM,CAAC;CACtB;AAED;;;;;GAKG;AACH,eAAO,MAAM,gBAAgB,0EACJ;IAAE,IAAI,EAAE,MAAM,CAAA;CAAE;;mCASrC,CAAC"}

package/dist/auth/handover.functions.js

@@ -0,0 +1,23 @@
+import { createServerFn } from "@tanstack/react-start";
+// Top-level import van het server-only bestand: de Start-compiler haalt de
+// handler-body (en dus deze aanroep) uit de clientbundel. Met een testbuild
+// gecontroleerd: het central-auth-secret en het exchange-pad komen niet in de
+// clientchunks voor.
+import { exchangeHandoverCode } from "../server/provider-token.js";
+/**
+ * Wisselt een eenmalige handover-code in voor een Supabase-sessie.
+ *
+ * Fail-closed: bij elke fout gooit deze functie en krijgt de client alleen een
+ * generieke foutmelding. De code wordt nooit gelogd.
+ */
+export const exchangeHandover = createServerFn({ method: "POST" })
+    .inputValidator((data) => {
+    if (!data || typeof data.code !== "string" || data.code.trim() === "") {
+        throw new Error("invalid_request");
+    }
+    return { code: data.code };
+})
+    .handler(async ({ data }) => {
+    const session = await exchangeHandoverCode(data.code);
+    return { accessToken: session.accessToken, refreshToken: session.refreshToken };
+});

package/dist/components/layout/HandoverPage.d.ts

@@ -0,0 +1,8 @@
+export interface HandoverPageProps {
+    /** Waar de gebruiker na een geslaagde handover naartoe gaat. */
+    redirectTo?: string;
+    /** Pad van de (centrale) inlogpagina voor de foutknop. */
+    loginPath?: string;
+}
+export declare function HandoverPage({ redirectTo, loginPath }: HandoverPageProps): import("react/jsx-runtime").JSX.Element;
+//# sourceMappingURL=HandoverPage.d.ts.map

package/dist/components/layout/HandoverPage.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"HandoverPage.d.ts","sourceRoot":"","sources":["../../../src/core/components/layout/HandoverPage.tsx"],"names":[],"mappings":"AAOA,MAAM,WAAW,iBAAiB;IAChC,gEAAgE;IAChE,UAAU,CAAC,EAAE,MAAM,CAAC;IACpB,0DAA0D;IAC1D,SAAS,CAAC,EAAE,MAAM,CAAC;CACpB;AAID,wBAAgB,YAAY,CAAC,EAAE,UAAgB,EAAE,SAAoB,EAAE,EAAE,iBAAiB,2CA6FzF"}

package/dist/components/layout/HandoverPage.js

@@ -0,0 +1,70 @@
+import { jsx as _jsx, jsxs as _jsxs } from "react/jsx-runtime";
+import { useEffect, useRef, useState } from "react";
+import { useRouter } from "@tanstack/react-router";
+import { Button } from "../ui/button";
+import { Card, CardContent, CardDescription, CardFooter, CardHeader, CardTitle } from "../ui/card";
+import { supabase } from "../../supabase/client";
+import { exchangeHandover } from "../../auth/handover.functions.js";
+const FOUTMELDING = "Inloggen is niet gelukt. Probeer het opnieuw vanaf de inlogpagina.";
+export function HandoverPage({ redirectTo = "/", loginPath = "/login" }) {
+    const router = useRouter();
+    const [failed, setFailed] = useState(false);
+    const started = useRef(false);
+    /** Wacht tot de auth-context de nieuwe sessie kent, zodat de route-gate niet terugstuurt. */
+    const waitForAuthContext = async () => {
+        for (let i = 0; i < 60; i++) {
+            const auth = router.options.context?.auth;
+            if (auth?.isAuthenticated)
+                return true;
+            await new Promise((r) => setTimeout(r, 25));
+        }
+        return false;
+    };
+    useEffect(() => {
+        // React 19 mount kan in dev dubbel vuren; een code is eenmalig bruikbaar.
+        if (started.current)
+            return;
+        started.current = true;
+        (async () => {
+            const code = new URLSearchParams(window.location.search).get("code");
+            if (!code) {
+                setFailed(true);
+                return;
+            }
+            // Code direct uit de adresbalk halen: hij mag niet in de geschiedenis
+            // of in een referer blijven staan.
+            const cleanUrl = window.location.pathname + window.location.hash;
+            window.history.replaceState(null, "", cleanUrl);
+            try {
+                // Eerst een eventuele bestaande sessie beëindigen, anders belandt
+                // iemand in de omgeving van de vorige gebruiker.
+                const { data } = await supabase.auth.getSession();
+                if (data.session)
+                    await supabase.auth.signOut();
+                const result = await exchangeHandover({ data: { code } });
+                const { error } = await supabase.auth.setSession({
+                    access_token: result.accessToken,
+                    refresh_token: result.refreshToken,
+                });
+                if (error) {
+                    setFailed(true);
+                    return;
+                }
+                await waitForAuthContext();
+                // Nooit window.location.href: een volledige pagina-load laat de
+                // server (zonder sessie) eerst naar /login redirecten.
+                await router.navigate({ to: redirectTo, replace: true });
+            }
+            catch {
+                setFailed(true);
+            }
+        })();
+        // eslint-disable-next-line react-hooks/exhaustive-deps
+    }, []);
+    if (failed) {
+        return (_jsx("div", { className: "min-h-screen flex items-center justify-center bg-background p-4", children: _jsxs(Card, { className: "w-full max-w-md", children: [_jsxs(CardHeader, { className: "text-center", children: [_jsx(CardTitle, { className: "text-2xl", children: "Inloggen mislukt" }), _jsx(CardDescription, { children: FOUTMELDING })] }), _jsx(CardFooter, { children: _jsx(Button, { className: "w-full", onClick: () => {
+                                window.location.href = loginPath;
+                            }, children: "Naar de inlogpagina" }) })] }) }));
+    }
+    return (_jsx("div", { className: "min-h-screen flex items-center justify-center bg-background p-4", children: _jsx(Card, { className: "w-full max-w-md", children: _jsxs(CardContent, { className: "flex flex-col items-center gap-4 py-10", children: [_jsx("div", { className: "animate-spin rounded-full h-8 w-8 border-b-2 border-primary" }), _jsx("p", { className: "text-sm text-muted-foreground", children: "Je wordt aangemeld\u2026" })] }) }) }));
+}

package/dist/components/layout/LoginPage.d.ts

@@ -1,5 +1,6 @@
 interface LoginPageProps {
-    redirectTo: string;
+    /** Pad waarnaar wordt genavigeerd na succesvol inloggen. */
+    redirectTo?: string;
 }
 export declare function LoginPage({ redirectTo }: LoginPageProps): import("react/jsx-runtime").JSX.Element;
 export {};

package/dist/components/layout/LoginPage.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"LoginPage.d.ts","sourceRoot":"","sources":["../../../src/core/components/layout/LoginPage.tsx"],"names":[],"mappings":"AASA,UAAU,cAAc;IACtB,UAAU,EAAE,MAAM,CAAC;CACpB;AAED,wBAAgB,SAAS,CAAC,EAAE,UAAU,EAAE,EAAE,cAAc,2CA4GvD"}
+{"version":3,"file":"LoginPage.d.ts","sourceRoot":"","sources":["../../../src/core/components/layout/LoginPage.tsx"],"names":[],"mappings":"AAUA,UAAU,cAAc;IACtB,4DAA4D;IAC5D,UAAU,CAAC,EAAE,MAAM,CAAC;CACrB;AAED,wBAAgB,SAAS,CAAC,EAAE,UAA4B,EAAE,EAAE,cAAc,2CAgIzE"}

package/dist/components/layout/LoginPage.js

@@ -1,5 +1,6 @@
 import { jsx as _jsx, jsxs as _jsxs } from "react/jsx-runtime";
 import { useState } from "react";
+import { useRouter } from "@tanstack/react-router";
 import { Button } from "../ui/button";
 import { Input } from "../ui/input";
 import { Label } from "../ui/label";
@@ -7,13 +8,24 @@ import { Card, CardContent, CardDescription, CardFooter, CardHeader, CardTitle }
 import { toast } from "sonner";
 import { loginSchema } from "../../lib/validationSchemas";
 import { supabase } from "../../supabase/client";
-export function LoginPage({ redirectTo }) {
+export function LoginPage({ redirectTo = "/instellingen" }) {
+    const router = useRouter();
     const [email, setEmail] = useState("");
     const [password, setPassword] = useState("");
     const [isLoading, setIsLoading] = useState(false);
     const [showForgot, setShowForgot] = useState(false);
     const [forgotEmail, setForgotEmail] = useState("");
     const [forgotLoading, setForgotLoading] = useState(false);
+    /** Wacht tot de auth-context de nieuwe sessie kent, zodat de route-gate niet terugstuurt. */
+    const waitForAuthContext = async () => {
+        for (let i = 0; i < 60; i++) {
+            const auth = router.options.context?.auth;
+            if (auth?.isAuthenticated)
+                return true;
+            await new Promise((r) => setTimeout(r, 25));
+        }
+        return false;
+    };
     const handleSubmit = async (e) => {
         e.preventDefault();
         const validation = loginSchema.safeParse({ email, password });
@@ -23,13 +35,20 @@ export function LoginPage({ redirectTo }) {
         }
         setIsLoading(true);
         const { error } = await supabase.auth.signInWithPassword({ email, password });
-        setIsLoading(false);
         if (error) {
+            setIsLoading(false);
             toast.error("Controleer je e-mailadres en wachtwoord.");
+            return;
         }
-        else {
+        // Client-side navigatie zonder volledige herlaad: dat voorkomt de flits
+        // waarbij de server (zonder sessie) eerst naar /login terugstuurt.
+        const ready = await waitForAuthContext();
+        if (!ready) {
             window.location.href = redirectTo;
+            return;
         }
+        await router.navigate({ to: redirectTo, replace: true });
+        setIsLoading(false);
     };
     const handleForgotPassword = async (e) => {
         e.preventDefault();
@@ -53,5 +72,5 @@ export function LoginPage({ redirectTo }) {
     if (showForgot) {
         return (_jsx("div", { className: "min-h-screen flex items-center justify-center bg-background p-4", children: _jsxs(Card, { className: "w-full max-w-md", children: [_jsxs(CardHeader, { className: "text-center", children: [_jsx(CardTitle, { className: "text-2xl", children: "Wachtwoord vergeten" }), _jsx(CardDescription, { children: "Vul je e-mailadres in om een reset-link te ontvangen" })] }), _jsxs("form", { onSubmit: handleForgotPassword, children: [_jsx(CardContent, { className: "space-y-4", children: _jsxs("div", { className: "space-y-2", children: [_jsx(Label, { htmlFor: "forgot-email", children: "E-mailadres" }), _jsx(Input, { id: "forgot-email", type: "email", placeholder: "naam@bedrijf.nl", value: forgotEmail, onChange: (e) => setForgotEmail(e.target.value), required: true, maxLength: 255 })] }) }), _jsxs(CardFooter, { className: "flex flex-col gap-4", children: [_jsx(Button, { type: "submit", className: "w-full", disabled: forgotLoading, children: forgotLoading ? "Versturen..." : "Reset-link versturen" }), _jsx("button", { type: "button", onClick: () => setShowForgot(false), className: "text-sm text-primary hover:underline", children: "Terug naar inloggen" })] })] })] }) }));
     }
-    return (_jsx("div", { className: "min-h-screen flex items-center justify-center bg-background p-4", children: _jsxs(Card, { className: "w-full max-w-md", children: [_jsxs(CardHeader, { className: "text-center", children: [_jsx(CardTitle, { className: "text-2xl", children: "Inloggen" }), _jsx(CardDescription, { children: "Voer je gegevens in om toegang te krijgen tot het systeem" })] }), _jsxs("form", { onSubmit: handleSubmit, children: [_jsxs(CardContent, { className: "space-y-4", children: [_jsxs("div", { className: "space-y-2", children: [_jsx(Label, { htmlFor: "email", children: "E-mailadres" }), _jsx(Input, { id: "email", type: "email", placeholder: "naam@bedrijf.nl", value: email, onChange: (e) => setEmail(e.target.value), required: true, maxLength: 255 })] }), _jsxs("div", { className: "space-y-2", children: [_jsx(Label, { htmlFor: "password", children: "Wachtwoord" }), _jsx(Input, { id: "password", placeholder: "\u2022\u2022\u2022\u2022\u2022\u2022\u2022\u2022", type: "password", value: password, onChange: (e) => setPassword(e.target.value), required: true, maxLength: 128 })] })] }), _jsxs(CardFooter, { className: "flex flex-col gap-4", children: [_jsx(Button, { type: "submit", className: "w-full", disabled: isLoading, children: isLoading ? "Bezig met inloggen..." : "Inloggen" }), _jsx("button", { type: "button", onClick: () => setShowForgot(true), className: "text-sm text-muted-foreground hover:text-primary hover:underline", children: "Wachtwoord vergeten?" })] })] })] }) }));
+    return (_jsx("div", { className: "min-h-screen flex items-center justify-center bg-background p-4", children: _jsxs(Card, { className: "w-full max-w-md", children: [_jsxs(CardHeader, { className: "text-center", children: [_jsx(CardTitle, { className: "text-2xl", children: "Inloggen" }), _jsx(CardDescription, { children: "Voer je gegevens in om toegang te krijgen tot het systeem" })] }), _jsxs("form", { onSubmit: handleSubmit, children: [_jsxs(CardContent, { className: "space-y-4", children: [_jsxs("div", { className: "space-y-2", children: [_jsx(Label, { htmlFor: "email", children: "E-mailadres" }), _jsx(Input, { id: "email", type: "email", placeholder: "naam@bedrijf.nl", value: email, onChange: (e) => setEmail(e.target.value), required: true, maxLength: 255 })] }), _jsxs("div", { className: "space-y-2", children: [_jsx(Label, { htmlFor: "password", children: "Wachtwoord" }), _jsx(Input, { id: "password", type: "password", placeholder: "\u2022\u2022\u2022\u2022\u2022\u2022\u2022\u2022", value: password, onChange: (e) => setPassword(e.target.value), required: true, maxLength: 128 })] })] }), _jsxs(CardFooter, { className: "flex flex-col gap-4", children: [_jsx(Button, { type: "submit", className: "w-full", disabled: isLoading, children: isLoading ? "Bezig met inloggen..." : "Inloggen" }), _jsx("button", { type: "button", onClick: () => setShowForgot(true), className: "text-sm text-muted-foreground hover:text-primary hover:underline", children: "Wachtwoord vergeten?" })] })] })] }) }));
 }

package/dist/components/layout/Sidebar.d.ts

@@ -1,5 +1,5 @@
 import type { AuthContext } from "../../auth/useAuth";
-import type { FlowModule } from "../../types/module";
+import type { FlowModule } from "../../types/module.js";
 interface SidebarProps {
     auth: AuthContext;
     modules: FlowModule[];

package/dist/components/layout/Sidebar.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"Sidebar.d.ts","sourceRoot":"","sources":["../../../src/core/components/layout/Sidebar.tsx"],"names":[],"mappings":"AAIA,OAAO,KAAK,EAAE,WAAW,EAAE,MAAM,oBAAoB,CAAC;AACtD,OAAO,KAAK,EAAE,UAAU,EAAW,MAAM,oBAAoB,CAAC;AAI9D,UAAU,YAAY;IACpB,IAAI,EAAE,WAAW,CAAC;IAClB,OAAO,EAAE,UAAU,EAAE,CAAC;CACvB;AAkFD,wBAAgB,OAAO,CAAC,EAAE,IAAI,EAAE,OAAO,EAAE,EAAE,YAAY,2CAkDtD"}
+{"version":3,"file":"Sidebar.d.ts","sourceRoot":"","sources":["../../../src/core/components/layout/Sidebar.tsx"],"names":[],"mappings":"AAIA,OAAO,KAAK,EAAE,WAAW,EAAE,MAAM,oBAAoB,CAAC;AACtD,OAAO,KAAK,EAAE,UAAU,EAAW,MAAM,uBAAuB,CAAC;AAMjE,UAAU,YAAY;IACpB,IAAI,EAAE,WAAW,CAAC;IAClB,OAAO,EAAE,UAAU,EAAE,CAAC;CACvB;AAkFD,wBAAgB,OAAO,CAAC,EAAE,IAAI,EAAE,OAAO,EAAE,EAAE,YAAY,2CAqDtD"}

package/dist/components/layout/Sidebar.js

@@ -3,6 +3,7 @@ import { useState } from "react";
 import { Link, useLocation } from "@tanstack/react-router";
 import { Settings, LogOut, ChevronDown } from "lucide-react";
 import { cn } from "../../lib/utils";
+import { useModuleListTransform } from "../../extensions/ShellExtensions.js";
 // ─── Single flat nav link ─────────────────────────────────────────────────────
 function SidebarLink({ item, pathname, indent = false, }) {
     const isActive = pathname === item.href;
@@ -22,8 +23,10 @@ function SidebarGroup({ item, pathname, }) {
 export function Sidebar({ auth, modules }) {
     const location = useLocation();
     const pathname = location.pathname;
+    // Zonder ShellExtensionsProvider komt de lijst ongewijzigd terug (code-volgorde).
+    const visibleModules = useModuleListTransform(modules);
     const handleSignOut = async () => {
         await auth.signOut();
     };
-    return (_jsx("aside", { className: "fixed left-0 top-0 z-40 h-screen w-64 bg-sidebar", children: _jsxs("div", { className: "flex h-full flex-col", children: [_jsx("div", { className: "px-12 py-0 border-b border-sidebar-border", children: _jsx("img", { src: "/logo.png", alt: "Logo", className: "w-full h-auto object-contain" }) }), _jsx("nav", { className: "flex-1 space-y-1 px-3 py-4 overflow-y-auto sidebar-scroll", children: modules.map((mod) => mod.nav.children?.length ? (_jsx(SidebarGroup, { item: mod.nav, pathname: pathname }, mod.id)) : (_jsx(SidebarLink, { item: mod.nav, pathname: pathname }, mod.id))) }), _jsxs("div", { className: "border-t border-sidebar-border px-3 py-4", children: [_jsx(SidebarLink, { item: { label: "Instellingen", href: "/instellingen", icon: Settings }, pathname: pathname }), _jsxs("button", { onClick: handleSignOut, className: "flex w-full items-center gap-3 rounded-lg px-3 py-2.5 text-sm font-medium transition-colors text-sidebar-muted hover:bg-sidebar-accent hover:text-sidebar-accent-foreground mt-1 cursor-pointer", children: [_jsx(LogOut, { className: "h-5 w-5" }), "Uitloggen"] })] })] }) }));
+    return (_jsx("aside", { className: "fixed left-0 top-0 z-40 h-screen w-64 bg-sidebar", children: _jsxs("div", { className: "flex h-full flex-col", children: [_jsx("div", { className: "px-12 py-0 border-b border-sidebar-border", children: _jsx("img", { src: "/logo.png", alt: "Logo", className: "w-full h-auto object-contain" }) }), _jsx("nav", { className: "flex-1 space-y-1 px-3 py-4 overflow-y-auto sidebar-scroll", children: visibleModules.map((mod) => mod.nav.children?.length ? (_jsx(SidebarGroup, { item: mod.nav, pathname: pathname }, mod.id)) : (_jsx(SidebarLink, { item: mod.nav, pathname: pathname }, mod.id))) }), _jsxs("div", { className: "border-t border-sidebar-border px-3 py-4", children: [_jsx(SidebarLink, { item: { label: "Instellingen", href: "/instellingen", icon: Settings }, pathname: pathname }), _jsxs("button", { onClick: handleSignOut, className: "flex w-full items-center gap-3 rounded-lg px-3 py-2.5 text-sm font-medium transition-colors text-sidebar-muted hover:bg-sidebar-accent hover:text-sidebar-accent-foreground mt-1 cursor-pointer", children: [_jsx(LogOut, { className: "h-5 w-5" }), "Uitloggen"] })] })] }) }));
 }

package/dist/extensions/ModuleGuardSlot.d.ts

@@ -0,0 +1,10 @@
+import type { ReactNode } from "react";
+/**
+ * Rendert standaard alleen zijn children. Is er via `ShellExtensionsProvider`
+ * een `guard` meegegeven, dan wordt die eromheen gebruikt. Zo kan een shell een
+ * eigen guard inprikken zonder dat core een module hoeft te kennen.
+ */
+export declare function ModuleGuardSlot({ children }: {
+    children: ReactNode;
+}): import("react/jsx-runtime").JSX.Element;
+//# sourceMappingURL=ModuleGuardSlot.d.ts.map

package/dist/extensions/ModuleGuardSlot.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"ModuleGuardSlot.d.ts","sourceRoot":"","sources":["../../src/core/extensions/ModuleGuardSlot.tsx"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,SAAS,EAAE,MAAM,OAAO,CAAC;AAGvC;;;;GAIG;AACH,wBAAgB,eAAe,CAAC,EAAE,QAAQ,EAAE,EAAE;IAAE,QAAQ,EAAE,SAAS,CAAA;CAAE,2CAIpE"}

package/dist/extensions/ModuleGuardSlot.js

@@ -0,0 +1,13 @@
+import { Fragment as _Fragment, jsx as _jsx } from "react/jsx-runtime";
+import { useShellGuard } from "./ShellExtensions.js";
+/**
+ * Rendert standaard alleen zijn children. Is er via `ShellExtensionsProvider`
+ * een `guard` meegegeven, dan wordt die eromheen gebruikt. Zo kan een shell een
+ * eigen guard inprikken zonder dat core een module hoeft te kennen.
+ */
+export function ModuleGuardSlot({ children }) {
+    const Guard = useShellGuard();
+    if (!Guard)
+        return _jsx(_Fragment, { children: children });
+    return _jsx(Guard, { children: children });
+}

package/dist/extensions/ShellExtensions.d.ts

@@ -0,0 +1,31 @@
+import type { ComponentType, ReactNode } from "react";
+import type { FlowModule } from "../types/module.js";
+/** Transformeert de modulelijst (filteren en/of sorteren). Puur, geen side effects. */
+export type ModuleListTransform = (modules: FlowModule[]) => FlowModule[];
+export type UseModuleListTransform = () => ModuleListTransform;
+export interface ShellExtensionsProviderProps {
+    /**
+     * Eén of meer hooks die elk een ModuleListTransform teruggeven.
+     *
+     * Contract: geef stabiele referenties mee (module-scope functies, geen inline
+     * lambdas). De array-volgorde is de pipeline-volgorde: eerst rechten filteren,
+     * daarna sorteren.
+     */
+    useModuleList?: UseModuleListTransform | UseModuleListTransform[];
+    /** Optionele guard-component die `ModuleGuardSlot` rendert rond zijn children. */
+    guard?: ComponentType<{
+        children: ReactNode;
+    }>;
+    children: ReactNode;
+}
+export declare function ShellExtensionsProvider({ useModuleList, guard, children, }: ShellExtensionsProviderProps): import("react/jsx-runtime").JSX.Element;
+export declare function useShellGuard(): ComponentType<{
+    children: ReactNode;
+}> | undefined;
+/**
+ * Past de geregistreerde transforms toe. Zonder provider, tijdens laden of bij
+ * een fout in een transform komt de lijst ONGEWIJZIGD terug — nooit een lege
+ * zijbalk.
+ */
+export declare function useModuleListTransform(modules: FlowModule[]): FlowModule[];
+//# sourceMappingURL=ShellExtensions.d.ts.map

package/dist/extensions/ShellExtensions.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"ShellExtensions.d.ts","sourceRoot":"","sources":["../../src/core/extensions/ShellExtensions.tsx"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,aAAa,EAAE,SAAS,EAAE,MAAM,OAAO,CAAC;AACtD,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,oBAAoB,CAAC;AAErD,uFAAuF;AACvF,MAAM,MAAM,mBAAmB,GAAG,CAAC,OAAO,EAAE,UAAU,EAAE,KAAK,UAAU,EAAE,CAAC;AAE1E,MAAM,MAAM,sBAAsB,GAAG,MAAM,mBAAmB,CAAC;AAS/D,MAAM,WAAW,4BAA4B;IAC3C;;;;;;OAMG;IACH,aAAa,CAAC,EAAE,sBAAsB,GAAG,sBAAsB,EAAE,CAAC;IAClE,kFAAkF;IAClF,KAAK,CAAC,EAAE,aAAa,CAAC;QAAE,QAAQ,EAAE,SAAS,CAAA;KAAE,CAAC,CAAC;IAC/C,QAAQ,EAAE,SAAS,CAAC;CACrB;AAED,wBAAgB,uBAAuB,CAAC,EACtC,aAAa,EACb,KAAK,EACL,QAAQ,GACT,EAAE,4BAA4B,2CAY9B;AAED,wBAAgB,aAAa,IAAI,aAAa,CAAC;IAAE,QAAQ,EAAE,SAAS,CAAA;CAAE,CAAC,GAAG,SAAS,CAElF;AAED;;;;GAIG;AACH,wBAAgB,sBAAsB,CAAC,OAAO,EAAE,UAAU,EAAE,GAAG,UAAU,EAAE,CAuB1E"}

package/dist/extensions/ShellExtensions.js

@@ -0,0 +1,45 @@
+import { jsx as _jsx } from "react/jsx-runtime";
+import { createContext, useContext, useMemo } from "react";
+const ShellExtensionsContext = createContext({ transforms: [] });
+export function ShellExtensionsProvider({ useModuleList, guard, children, }) {
+    const transforms = useMemo(() => (Array.isArray(useModuleList) ? useModuleList : useModuleList ? [useModuleList] : []), 
+    // Bewust op de referentie(s): de hooks moeten stabiel zijn, zodat de
+    // hook-volgorde tussen renders nooit verandert.
+    // eslint-disable-next-line react-hooks/exhaustive-deps
+    [useModuleList]);
+    const value = useMemo(() => ({ transforms, guard }), [transforms, guard]);
+    return _jsx(ShellExtensionsContext.Provider, { value: value, children: children });
+}
+export function useShellGuard() {
+    return useContext(ShellExtensionsContext).guard;
+}
+/**
+ * Past de geregistreerde transforms toe. Zonder provider, tijdens laden of bij
+ * een fout in een transform komt de lijst ONGEWIJZIGD terug — nooit een lege
+ * zijbalk.
+ */
+export function useModuleListTransform(modules) {
+    const { transforms } = useContext(ShellExtensionsContext);
+    // Onvoorwaardelijk en in vaste volgorde: geen hook-order-problemen.
+    const applied = [];
+    for (const useTransform of transforms) {
+        try {
+            applied.push(useTransform());
+        }
+        catch {
+            applied.push((list) => list);
+        }
+    }
+    let result = modules;
+    for (const transform of applied) {
+        try {
+            const next = transform(result);
+            if (Array.isArray(next))
+                result = next;
+        }
+        catch {
+            // fail-open: lijst ongewijzigd laten
+        }
+    }
+    return result;
+}

package/dist/index.d.ts

@@ -3,6 +3,8 @@ export type { AuthContext, AuthState, AuthActions, AppRole } from "./auth/useAut
 export { supabase } from "./supabase/client";
 export type { Database } from "./supabase/types";
 export { LoginPage } from "./components/layout/LoginPage";
+export { HandoverPage } from "./components/layout/HandoverPage";
+export type { HandoverPageProps } from "./components/layout/HandoverPage";
 export { ResetWachtwoordPage } from "./components/layout/ResetWachtwoordPage";
 export { Header } from "./components/layout/Header";
 export { InstellingenPage } from "./components/layout/InstellingenPage";
@@ -31,4 +33,12 @@ export { validateFileUpload, ALLOWED_FILE_TYPES, loginSchema } from "./lib/valid
 export { useIsMobile } from "./hooks/use-mobile";
 export { useHuisstijl } from "./hooks/useHuisstijl";
 export type { FlowModule, NavItem, SettingsCard } from "./types/module";
+export { moduleKey, navKey } from "./types/module.js";
+export { ShellExtensionsProvider, useModuleListTransform } from "./extensions/ShellExtensions.js";
+export type { ModuleListTransform, UseModuleListTransform, ShellExtensionsProviderProps, } from "./extensions/ShellExtensions.js";
+export { ModuleGuardSlot } from "./extensions/ModuleGuardSlot.js";
+export { useMyModulePermissions, useModulePermission, useModulePermissionTransform, } from "./permissions/useModulePermission.js";
+export type { PermissionLevel, ModulePermissionRow } from "./permissions/useModulePermission.js";
+export { ModuleAccessGuard } from "./permissions/ModuleAccessGuard.js";
+export type { ModuleAccessGuardProps } from "./permissions/ModuleAccessGuard.js";
 //# sourceMappingURL=index.d.ts.map

package/dist/index.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../src/core/index.ts"],"names":[],"mappings":"AACA,OAAO,EAAE,OAAO,EAAE,YAAY,EAAE,MAAM,gBAAgB,CAAC;AACvD,YAAY,EAAE,WAAW,EAAE,SAAS,EAAE,WAAW,EAAE,OAAO,EAAE,MAAM,gBAAgB,CAAC;AAGnF,OAAO,EAAE,QAAQ,EAAE,MAAM,mBAAmB,CAAC;AAC7C,YAAY,EAAE,QAAQ,EAAE,MAAM,kBAAkB,CAAC;AAGjD,OAAO,EAAE,SAAS,EAAE,MAAM,+BAA+B,CAAC;AAC1D,OAAO,EAAE,mBAAmB,EAAE,MAAM,yCAAyC,CAAC;AAC9E,OAAO,EAAE,MAAM,EAAE,MAAM,4BAA4B,CAAC;AACpD,OAAO,EAAE,gBAAgB,EAAE,MAAM,sCAAsC,CAAC;AACxE,OAAO,EAAE,OAAO,EAAE,MAAM,6BAA6B,CAAC;AACtD,OAAO,EAAE,OAAO,EAAE,MAAM,wBAAwB,CAAC;AAGjD,OAAO,EAAE,MAAM,EAAE,MAAM,wBAAwB,CAAC;AAChD,OAAO,EAAE,KAAK,EAAE,MAAM,uBAAuB,CAAC;AAC9C,OAAO,EAAE,KAAK,EAAE,MAAM,uBAAuB,CAAC;AAC9C,OAAO,EAAE,QAAQ,EAAE,MAAM,0BAA0B,CAAC;AACpD,OAAO,EAAE,MAAM,EAAE,MAAM,wBAAwB,CAAC;AAChD,OAAO,EAAE,KAAK,EAAE,MAAM,uBAAuB,CAAC;AAC9C,OAAO,EAAE,IAAI,EAAE,WAAW,EAAE,eAAe,EAAE,UAAU,EAAE,UAAU,EAAE,SAAS,EAAE,MAAM,sBAAsB,CAAC;AAC7G,OAAO,EACL,MAAM,EAAE,aAAa,EAAE,iBAAiB,EAAE,YAAY,EAAE,WAAW,EACnE,aAAa,EAAE,YAAY,EAAE,WAAW,GACzC,MAAM,wBAAwB,CAAC;AAChC,OAAO,EACL,WAAW,EAAE,iBAAiB,EAAE,iBAAiB,EAAE,kBAAkB,EACrE,sBAAsB,EAAE,iBAAiB,EAAE,iBAAiB,EAC5D,gBAAgB,EAAE,kBAAkB,GACrC,MAAM,8BAA8B,CAAC;AACtC,OAAO,EACL,KAAK,EAAE,SAAS,EAAE,SAAS,EAAE,SAAS,EAAE,WAAW,EAAE,QAAQ,GAC9D,MAAM,uBAAuB,CAAC;AAC/B,OAAO,EACL,MAAM,EAAE,aAAa,EAAE,UAAU,EAAE,aAAa,EAAE,WAAW,GAC9D,MAAM,wBAAwB,CAAC;AAChC,OAAO,EAAE,IAAI,EAAE,WAAW,EAAE,QAAQ,EAAE,WAAW,EAAE,MAAM,sBAAsB,CAAC;AAChF,OAAO,EACL,YAAY,EAAE,mBAAmB,EAAE,mBAAmB,EAAE,gBAAgB,EACxE,wBAAwB,EAAE,qBAAqB,EAAE,iBAAiB,EAClE,qBAAqB,EAAE,oBAAoB,EAAE,iBAAiB,EAC9D,kBAAkB,EAAE,eAAe,EAAE,sBAAsB,EAC3D,sBAAsB,EAAE,sBAAsB,GAC/C,MAAM,+BAA+B,CAAC;AACvC,OAAO,EAAE,OAAO,EAAE,cAAc,EAAE,cAAc,EAAE,MAAM,yBAAyB,CAAC;AAClF,OAAO,EAAE,QAAQ,EAAE,MAAM,0BAA0B,CAAC;AACpD,OAAO,EAAE,SAAS,EAAE,MAAM,2BAA2B,CAAC;AACtD,OAAO,EAAE,QAAQ,EAAE,MAAM,0BAA0B,CAAC;AACpD,OAAO,EAAE,KAAK,EAAE,MAAM,QAAQ,CAAC;AAG/B,OAAO,EAAE,EAAE,EAAE,MAAM,aAAa,CAAC;AACjC,OAAO,EAAE,kBAAkB,EAAE,kBAAkB,EAAE,WAAW,EAAE,MAAM,yBAAyB,CAAC;AAC9F,OAAO,EAAE,WAAW,EAAE,MAAM,oBAAoB,CAAC;AACjD,OAAO,EAAE,YAAY,EAAE,MAAM,sBAAsB,CAAC;AAGpD,YAAY,EAAE,UAAU,EAAE,OAAO,EAAE,YAAY,EAAE,MAAM,gBAAgB,CAAC"}
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../src/core/index.ts"],"names":[],"mappings":"AACA,OAAO,EAAE,OAAO,EAAE,YAAY,EAAE,MAAM,gBAAgB,CAAC;AACvD,YAAY,EAAE,WAAW,EAAE,SAAS,EAAE,WAAW,EAAE,OAAO,EAAE,MAAM,gBAAgB,CAAC;AAGnF,OAAO,EAAE,QAAQ,EAAE,MAAM,mBAAmB,CAAC;AAC7C,YAAY,EAAE,QAAQ,EAAE,MAAM,kBAAkB,CAAC;AAGjD,OAAO,EAAE,SAAS,EAAE,MAAM,+BAA+B,CAAC;AAC1D,OAAO,EAAE,YAAY,EAAE,MAAM,kCAAkC,CAAC;AAChE,YAAY,EAAE,iBAAiB,EAAE,MAAM,kCAAkC,CAAC;AAC1E,OAAO,EAAE,mBAAmB,EAAE,MAAM,yCAAyC,CAAC;AAC9E,OAAO,EAAE,MAAM,EAAE,MAAM,4BAA4B,CAAC;AACpD,OAAO,EAAE,gBAAgB,EAAE,MAAM,sCAAsC,CAAC;AACxE,OAAO,EAAE,OAAO,EAAE,MAAM,6BAA6B,CAAC;AACtD,OAAO,EAAE,OAAO,EAAE,MAAM,wBAAwB,CAAC;AAGjD,OAAO,EAAE,MAAM,EAAE,MAAM,wBAAwB,CAAC;AAChD,OAAO,EAAE,KAAK,EAAE,MAAM,uBAAuB,CAAC;AAC9C,OAAO,EAAE,KAAK,EAAE,MAAM,uBAAuB,CAAC;AAC9C,OAAO,EAAE,QAAQ,EAAE,MAAM,0BAA0B,CAAC;AACpD,OAAO,EAAE,MAAM,EAAE,MAAM,wBAAwB,CAAC;AAChD,OAAO,EAAE,KAAK,EAAE,MAAM,uBAAuB,CAAC;AAC9C,OAAO,EAAE,IAAI,EAAE,WAAW,EAAE,eAAe,EAAE,UAAU,EAAE,UAAU,EAAE,SAAS,EAAE,MAAM,sBAAsB,CAAC;AAC7G,OAAO,EACL,MAAM,EAAE,aAAa,EAAE,iBAAiB,EAAE,YAAY,EAAE,WAAW,EACnE,aAAa,EAAE,YAAY,EAAE,WAAW,GACzC,MAAM,wBAAwB,CAAC;AAChC,OAAO,EACL,WAAW,EAAE,iBAAiB,EAAE,iBAAiB,EAAE,kBAAkB,EACrE,sBAAsB,EAAE,iBAAiB,EAAE,iBAAiB,EAC5D,gBAAgB,EAAE,kBAAkB,GACrC,MAAM,8BAA8B,CAAC;AACtC,OAAO,EACL,KAAK,EAAE,SAAS,EAAE,SAAS,EAAE,SAAS,EAAE,WAAW,EAAE,QAAQ,GAC9D,MAAM,uBAAuB,CAAC;AAC/B,OAAO,EACL,MAAM,EAAE,aAAa,EAAE,UAAU,EAAE,aAAa,EAAE,WAAW,GAC9D,MAAM,wBAAwB,CAAC;AAChC,OAAO,EAAE,IAAI,EAAE,WAAW,EAAE,QAAQ,EAAE,WAAW,EAAE,MAAM,sBAAsB,CAAC;AAChF,OAAO,EACL,YAAY,EAAE,mBAAmB,EAAE,mBAAmB,EAAE,gBAAgB,EACxE,wBAAwB,EAAE,qBAAqB,EAAE,iBAAiB,EAClE,qBAAqB,EAAE,oBAAoB,EAAE,iBAAiB,EAC9D,kBAAkB,EAAE,eAAe,EAAE,sBAAsB,EAC3D,sBAAsB,EAAE,sBAAsB,GAC/C,MAAM,+BAA+B,CAAC;AACvC,OAAO,EAAE,OAAO,EAAE,cAAc,EAAE,cAAc,EAAE,MAAM,yBAAyB,CAAC;AAClF,OAAO,EAAE,QAAQ,EAAE,MAAM,0BAA0B,CAAC;AACpD,OAAO,EAAE,SAAS,EAAE,MAAM,2BAA2B,CAAC;AACtD,OAAO,EAAE,QAAQ,EAAE,MAAM,0BAA0B,CAAC;AACpD,OAAO,EAAE,KAAK,EAAE,MAAM,QAAQ,CAAC;AAG/B,OAAO,EAAE,EAAE,EAAE,MAAM,aAAa,CAAC;AACjC,OAAO,EAAE,kBAAkB,EAAE,kBAAkB,EAAE,WAAW,EAAE,MAAM,yBAAyB,CAAC;AAC9F,OAAO,EAAE,WAAW,EAAE,MAAM,oBAAoB,CAAC;AACjD,OAAO,EAAE,YAAY,EAAE,MAAM,sBAAsB,CAAC;AAGpD,YAAY,EAAE,UAAU,EAAE,OAAO,EAAE,YAAY,EAAE,MAAM,gBAAgB,CAAC;AACxE,OAAO,EAAE,SAAS,EAAE,MAAM,EAAE,MAAM,mBAAmB,CAAC;AAGtD,OAAO,EAAE,uBAAuB,EAAE,sBAAsB,EAAE,MAAM,iCAAiC,CAAC;AAClG,YAAY,EACV,mBAAmB,EACnB,sBAAsB,EACtB,4BAA4B,GAC7B,MAAM,iCAAiC,CAAC;AACzC,OAAO,EAAE,eAAe,EAAE,MAAM,iCAAiC,CAAC;AAGlE,OAAO,EACL,sBAAsB,EACtB,mBAAmB,EACnB,4BAA4B,GAC7B,MAAM,sCAAsC,CAAC;AAC9C,YAAY,EAAE,eAAe,EAAE,mBAAmB,EAAE,MAAM,sCAAsC,CAAC;AACjG,OAAO,EAAE,iBAAiB,EAAE,MAAM,oCAAoC,CAAC;AACvE,YAAY,EAAE,sBAAsB,EAAE,MAAM,oCAAoC,CAAC"}

package/dist/index.js

@@ -4,6 +4,7 @@ export { useAuth, useAuthState } from "./auth/useAuth";
 export { supabase } from "./supabase/client";
 // Layout
 export { LoginPage } from "./components/layout/LoginPage";
+export { HandoverPage } from "./components/layout/HandoverPage";
 export { ResetWachtwoordPage } from "./components/layout/ResetWachtwoordPage";
 export { Header } from "./components/layout/Header";
 export { InstellingenPage } from "./components/layout/InstellingenPage";
@@ -33,3 +34,10 @@ export { cn } from "./lib/utils";
 export { validateFileUpload, ALLOWED_FILE_TYPES, loginSchema } from "./lib/validationSchemas";
 export { useIsMobile } from "./hooks/use-mobile";
 export { useHuisstijl } from "./hooks/useHuisstijl";
+export { moduleKey, navKey } from "./types/module.js";
+// Shell-extensiepunten (allemaal optioneel; zonder provider ongewijzigd gedrag)
+export { ShellExtensionsProvider, useModuleListTransform } from "./extensions/ShellExtensions.js";
+export { ModuleGuardSlot } from "./extensions/ModuleGuardSlot.js";
+// Rechten (leeskant; fail-open, zie README)
+export { useMyModulePermissions, useModulePermission, useModulePermissionTransform, } from "./permissions/useModulePermission.js";
+export { ModuleAccessGuard } from "./permissions/ModuleAccessGuard.js";

package/dist/permissions/ModuleAccessGuard.d.ts

@@ -0,0 +1,19 @@
+import type { ReactNode } from "react";
+export interface ModuleAccessGuardProps {
+    children: ReactNode;
+    /** Wat te tonen bij `none`. Default: een neutrale melding. */
+    fallback?: ReactNode;
+    /** Overschrijf de module-id; standaard afgeleid uit het eerste URL-segment. */
+    moduleId?: string;
+    featureId?: string | null;
+}
+/**
+ * Pad-gebaseerde guard.
+ *
+ * FAIL-OPEN, met opzet: tijdens laden, bij een ontbrekende RPC of bij elke
+ * fout laat deze guard door. Modules zonder rij in het rechtenschema zijn
+ * default-allow. Dit is UX (menu's en pagina's verbergen), GEEN beveiliging —
+ * de echte afscherming is `requireModulePermission` server-side plus RLS.
+ */
+export declare function ModuleAccessGuard({ children, fallback, moduleId, featureId, }: ModuleAccessGuardProps): import("react/jsx-runtime").JSX.Element;
+//# sourceMappingURL=ModuleAccessGuard.d.ts.map

package/dist/permissions/ModuleAccessGuard.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"ModuleAccessGuard.d.ts","sourceRoot":"","sources":["../../src/core/permissions/ModuleAccessGuard.tsx"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,SAAS,EAAE,MAAM,OAAO,CAAC;AAKvC,MAAM,WAAW,sBAAsB;IACrC,QAAQ,EAAE,SAAS,CAAC;IACpB,8DAA8D;IAC9D,QAAQ,CAAC,EAAE,SAAS,CAAC;IACrB,+EAA+E;IAC/E,QAAQ,CAAC,EAAE,MAAM,CAAC;IAClB,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;CAC3B;AAED;;;;;;;GAOG;AACH,wBAAgB,iBAAiB,CAAC,EAChC,QAAQ,EACR,QAAQ,EACR,QAAQ,EACR,SAAS,GACV,EAAE,sBAAsB,2CAqBxB"}

package/dist/permissions/ModuleAccessGuard.js

@@ -0,0 +1,20 @@
+import { Fragment as _Fragment, jsx as _jsx, jsxs as _jsxs } from "react/jsx-runtime";
+import { useLocation } from "@tanstack/react-router";
+import { navKey } from "../types/module.js";
+import { useModulePermission } from "./useModulePermission.js";
+/**
+ * Pad-gebaseerde guard.
+ *
+ * FAIL-OPEN, met opzet: tijdens laden, bij een ontbrekende RPC of bij elke
+ * fout laat deze guard door. Modules zonder rij in het rechtenschema zijn
+ * default-allow. Dit is UX (menu's en pagina's verbergen), GEEN beveiliging —
+ * de echte afscherming is `requireModulePermission` server-side plus RLS.
+ */
+export function ModuleAccessGuard({ children, fallback, moduleId, featureId, }) {
+    const location = useLocation();
+    const key = moduleId ?? navKey(location.pathname);
+    const { canView } = useModulePermission(key, featureId ?? null);
+    if (canView)
+        return _jsx(_Fragment, { children: children });
+    return (_jsx(_Fragment, { children: fallback ?? (_jsx("div", { className: "flex min-h-[60vh] items-center justify-center p-8", children: _jsxs("div", { className: "max-w-md text-center", children: [_jsx("h1", { className: "text-lg font-semibold text-foreground", children: "Geen toegang" }), _jsx("p", { className: "mt-2 text-sm text-muted-foreground", children: "Je hebt geen rechten voor deze module. Vraag een beheerder om toegang." })] }) })) }));
+}