@flowselections/core 1.0.16 → 1.0.19

package/dist/permissions/useModulePermission.d.ts

@@ -0,0 +1,217 @@
+import type { ModuleListTransform } from "../extensions/ShellExtensions.js";
+export type PermissionLevel = "none" | "view" | "edit";
+export interface ModulePermissionRow {
+    moduleId: string;
+    featureId: string | null;
+    permission: PermissionLevel;
+}
+/**
+ * Leest de rechten van de ingelogde gebruiker via RPC `my_module_permissions()`.
+ *
+ * Ontbreekt de RPC (add-on niet geïnstalleerd) of faalt de call, dan is het
+ * resultaat een LEGE lijst zonder zichtbare fout en zonder retry — en dat
+ * betekent bij alle consumers default-allow.
+ */
+export declare function useMyModulePermissions(): {
+    permissions: ModulePermissionRow[];
+    /** True zolang we niets weten; callers behandelen dit als allow. */
+    isUnknown: boolean;
+    data: ModulePermissionRow[];
+    error: Error;
+    isError: true;
+    isPending: false;
+    isLoading: false;
+    isLoadingError: false;
+    isRefetchError: true;
+    isSuccess: false;
+    isPlaceholderData: false;
+    status: "error";
+    dataUpdatedAt: number;
+    errorUpdatedAt: number;
+    failureCount: number;
+    failureReason: Error | null;
+    errorUpdateCount: number;
+    isFetched: boolean;
+    isFetchedAfterMount: boolean;
+    isFetching: boolean;
+    isInitialLoading: boolean;
+    isPaused: boolean;
+    isRefetching: boolean;
+    isStale: boolean;
+    isEnabled: boolean;
+    refetch: (options?: import("@tanstack/query-core").RefetchOptions) => Promise<import("@tanstack/query-core").QueryObserverResult<ModulePermissionRow[], Error>>;
+    fetchStatus: import("@tanstack/query-core").FetchStatus;
+    promise: Promise<ModulePermissionRow[]>;
+} | {
+    permissions: ModulePermissionRow[];
+    /** True zolang we niets weten; callers behandelen dit als allow. */
+    isUnknown: boolean;
+    data: ModulePermissionRow[];
+    error: null;
+    isError: false;
+    isPending: false;
+    isLoading: false;
+    isLoadingError: false;
+    isRefetchError: false;
+    isSuccess: true;
+    isPlaceholderData: false;
+    status: "success";
+    dataUpdatedAt: number;
+    errorUpdatedAt: number;
+    failureCount: number;
+    failureReason: Error | null;
+    errorUpdateCount: number;
+    isFetched: boolean;
+    isFetchedAfterMount: boolean;
+    isFetching: boolean;
+    isInitialLoading: boolean;
+    isPaused: boolean;
+    isRefetching: boolean;
+    isStale: boolean;
+    isEnabled: boolean;
+    refetch: (options?: import("@tanstack/query-core").RefetchOptions) => Promise<import("@tanstack/query-core").QueryObserverResult<ModulePermissionRow[], Error>>;
+    fetchStatus: import("@tanstack/query-core").FetchStatus;
+    promise: Promise<ModulePermissionRow[]>;
+} | {
+    permissions: ModulePermissionRow[];
+    /** True zolang we niets weten; callers behandelen dit als allow. */
+    isUnknown: boolean;
+    data: undefined;
+    error: Error;
+    isError: true;
+    isPending: false;
+    isLoading: false;
+    isLoadingError: true;
+    isRefetchError: false;
+    isSuccess: false;
+    isPlaceholderData: false;
+    status: "error";
+    dataUpdatedAt: number;
+    errorUpdatedAt: number;
+    failureCount: number;
+    failureReason: Error | null;
+    errorUpdateCount: number;
+    isFetched: boolean;
+    isFetchedAfterMount: boolean;
+    isFetching: boolean;
+    isInitialLoading: boolean;
+    isPaused: boolean;
+    isRefetching: boolean;
+    isStale: boolean;
+    isEnabled: boolean;
+    refetch: (options?: import("@tanstack/query-core").RefetchOptions) => Promise<import("@tanstack/query-core").QueryObserverResult<ModulePermissionRow[], Error>>;
+    fetchStatus: import("@tanstack/query-core").FetchStatus;
+    promise: Promise<ModulePermissionRow[]>;
+} | {
+    permissions: ModulePermissionRow[];
+    /** True zolang we niets weten; callers behandelen dit als allow. */
+    isUnknown: boolean;
+    data: undefined;
+    error: null;
+    isError: false;
+    isPending: true;
+    isLoading: true;
+    isLoadingError: false;
+    isRefetchError: false;
+    isSuccess: false;
+    isPlaceholderData: false;
+    status: "pending";
+    dataUpdatedAt: number;
+    errorUpdatedAt: number;
+    failureCount: number;
+    failureReason: Error | null;
+    errorUpdateCount: number;
+    isFetched: boolean;
+    isFetchedAfterMount: boolean;
+    isFetching: boolean;
+    isInitialLoading: boolean;
+    isPaused: boolean;
+    isRefetching: boolean;
+    isStale: boolean;
+    isEnabled: boolean;
+    refetch: (options?: import("@tanstack/query-core").RefetchOptions) => Promise<import("@tanstack/query-core").QueryObserverResult<ModulePermissionRow[], Error>>;
+    fetchStatus: import("@tanstack/query-core").FetchStatus;
+    promise: Promise<ModulePermissionRow[]>;
+} | {
+    permissions: ModulePermissionRow[];
+    /** True zolang we niets weten; callers behandelen dit als allow. */
+    isUnknown: boolean;
+    data: undefined;
+    error: null;
+    isError: false;
+    isPending: true;
+    isLoadingError: false;
+    isRefetchError: false;
+    isSuccess: false;
+    isPlaceholderData: false;
+    status: "pending";
+    dataUpdatedAt: number;
+    errorUpdatedAt: number;
+    failureCount: number;
+    failureReason: Error | null;
+    errorUpdateCount: number;
+    isFetched: boolean;
+    isFetchedAfterMount: boolean;
+    isFetching: boolean;
+    isLoading: boolean;
+    isInitialLoading: boolean;
+    isPaused: boolean;
+    isRefetching: boolean;
+    isStale: boolean;
+    isEnabled: boolean;
+    refetch: (options?: import("@tanstack/query-core").RefetchOptions) => Promise<import("@tanstack/query-core").QueryObserverResult<ModulePermissionRow[], Error>>;
+    fetchStatus: import("@tanstack/query-core").FetchStatus;
+    promise: Promise<ModulePermissionRow[]>;
+} | {
+    permissions: ModulePermissionRow[];
+    /** True zolang we niets weten; callers behandelen dit als allow. */
+    isUnknown: boolean;
+    data: ModulePermissionRow[];
+    isError: false;
+    error: null;
+    isPending: false;
+    isLoading: false;
+    isLoadingError: false;
+    isRefetchError: false;
+    isSuccess: true;
+    isPlaceholderData: true;
+    status: "success";
+    dataUpdatedAt: number;
+    errorUpdatedAt: number;
+    failureCount: number;
+    failureReason: Error | null;
+    errorUpdateCount: number;
+    isFetched: boolean;
+    isFetchedAfterMount: boolean;
+    isFetching: boolean;
+    isInitialLoading: boolean;
+    isPaused: boolean;
+    isRefetching: boolean;
+    isStale: boolean;
+    isEnabled: boolean;
+    refetch: (options?: import("@tanstack/query-core").RefetchOptions) => Promise<import("@tanstack/query-core").QueryObserverResult<ModulePermissionRow[], Error>>;
+    fetchStatus: import("@tanstack/query-core").FetchStatus;
+    promise: Promise<ModulePermissionRow[]>;
+};
+/**
+ * Rechtenniveau voor één module (optioneel één feature). Tijdens laden en bij
+ * elke fout is het antwoord `edit` (fail-open).
+ */
+export declare function useModulePermission(moduleId: string, featureId?: string | null): {
+    level: PermissionLevel;
+    canView: boolean;
+    canEdit: boolean;
+    isLoading: boolean;
+};
+/**
+ * ModuleListTransform die zijbalkitems met `none` weglaat.
+ *
+ * - Tijdens laden / bij fouten: lijst ongewijzigd.
+ * - Modules zonder rij in het rechtenschema: default-allow.
+ * - Groepen: de kinderen bepalen zichtbaarheid. Blijft er geen kind over, dan
+ *   valt de groep weg. Is de parent-sleutel geweigerd maar een kind toegestaan,
+ *   dan blijft de groep staan met alleen de toegestane kinderen — de parent-href
+ *   van een groep is een uitklapknop, geen bestemming.
+ */
+export declare function useModulePermissionTransform(): ModuleListTransform;
+//# sourceMappingURL=useModulePermission.d.ts.map

package/dist/permissions/useModulePermission.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"useModulePermission.d.ts","sourceRoot":"","sources":["../../src/core/permissions/useModulePermission.ts"],"names":[],"mappings":"AAKA,OAAO,KAAK,EAAE,mBAAmB,EAAE,MAAM,kCAAkC,CAAC;AAE5E,MAAM,MAAM,eAAe,GAAG,MAAM,GAAG,MAAM,GAAG,MAAM,CAAC;AAEvD,MAAM,WAAW,mBAAmB;IAClC,QAAQ,EAAE,MAAM,CAAC;IACjB,SAAS,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,UAAU,EAAE,eAAe,CAAC;CAC7B;AAuCD;;;;;;GAMG;AACH,wBAAgB,sBAAsB;;IA0BlC,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;EAGvE;AAyBD;;;GAGG;AACH,wBAAgB,mBAAmB,CAAC,QAAQ,EAAE,MAAM,EAAE,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI;;;;;EAW9E;AAED;;;;;;;;;GASG;AACH,wBAAgB,4BAA4B,IAAI,mBAAmB,CAyBlE"}

package/dist/permissions/useModulePermission.js

@@ -0,0 +1,137 @@
+import { useCallback } from "react";
+import { useQuery } from "@tanstack/react-query";
+import { supabase } from "../supabase/client.js";
+import { moduleKey, navKey } from "../types/module.js";
+function normalizeLevel(value) {
+    const v = typeof value === "string" ? value.toLowerCase() : "";
+    if (v === "none" || v === "view" || v === "edit")
+        return v;
+    // Onbekende waarde → fail-open (zichtbaarheid is geen beveiliging).
+    return "edit";
+}
+function normalizeRows(data) {
+    if (!Array.isArray(data))
+        return [];
+    return data.map((raw) => {
+        const row = (raw ?? {});
+        const rawModule = (row["module_id"] ?? row["moduleId"] ?? "");
+        const rawFeature = (row["feature_id"] ?? row["featureId"] ?? null);
+        return {
+            moduleId: navKey(String(rawModule ?? "")),
+            featureId: rawFeature ? String(rawFeature) : null,
+            permission: normalizeLevel(row["permission"] ?? row["level"] ?? row["permission_level"]),
+        };
+    });
+}
+/** Waar of de fout betekent "de rechten-add-on staat niet op deze database". */
+function isMissingRpc(error) {
+    const e = (error ?? {});
+    const code = e.code ?? "";
+    const message = (e.message ?? "").toLowerCase();
+    return (code === "42883" ||
+        code === "PGRST202" ||
+        code === "PGRST302" ||
+        e.status === 404 ||
+        message.includes("does not exist") ||
+        message.includes("could not find the function") ||
+        message.includes("schema cache"));
+}
+/**
+ * Leest de rechten van de ingelogde gebruiker via RPC `my_module_permissions()`.
+ *
+ * Ontbreekt de RPC (add-on niet geïnstalleerd) of faalt de call, dan is het
+ * resultaat een LEGE lijst zonder zichtbare fout en zonder retry — en dat
+ * betekent bij alle consumers default-allow.
+ */
+export function useMyModulePermissions() {
+    const query = useQuery({
+        queryKey: ["my-module-permissions"],
+        queryFn: async () => {
+            const { data, error } = await supabase.rpc("my_module_permissions");
+            if (error) {
+                if (isMissingRpc(error))
+                    return [];
+                // Ook andere fouten mogen niet blokkeren: fail-open, geen retry.
+                return [];
+            }
+            return normalizeRows(data);
+        },
+        // GEEN retry: een ontbrekende RPC mag nooit een retry-storm veroorzaken.
+        retry: false,
+        refetchOnWindowFocus: false,
+        staleTime: 5 * 60 * 1000,
+    });
+    return {
+        ...query,
+        permissions: query.data ?? [],
+        /** True zolang we niets weten; callers behandelen dit als allow. */
+        isUnknown: query.isLoading || query.data === undefined,
+    };
+}
+function resolveLevel(rows, moduleId, featureId) {
+    const key = navKey(moduleId);
+    const forModule = rows.filter((r) => r.moduleId === key);
+    // Geen rij voor deze module → default-allow.
+    if (forModule.length === 0)
+        return "edit";
+    if (featureId) {
+        const feature = forModule.find((r) => r.featureId === featureId);
+        if (feature)
+            return feature.permission;
+    }
+    const moduleLevel = forModule.find((r) => !r.featureId);
+    if (moduleLevel)
+        return moduleLevel.permission;
+    // Alleen feature-rijen bekend: hoogste feature-recht bepaalt moduletoegang.
+    if (forModule.some((r) => r.permission === "edit"))
+        return "edit";
+    if (forModule.some((r) => r.permission === "view"))
+        return "view";
+    return "none";
+}
+/**
+ * Rechtenniveau voor één module (optioneel één feature). Tijdens laden en bij
+ * elke fout is het antwoord `edit` (fail-open).
+ */
+export function useModulePermission(moduleId, featureId) {
+    const { permissions, isUnknown } = useMyModulePermissions();
+    const level = isUnknown ? "edit" : resolveLevel(permissions, moduleId, featureId);
+    return {
+        level,
+        canView: level === "view" || level === "edit",
+        canEdit: level === "edit",
+        isLoading: isUnknown,
+    };
+}
+/**
+ * ModuleListTransform die zijbalkitems met `none` weglaat.
+ *
+ * - Tijdens laden / bij fouten: lijst ongewijzigd.
+ * - Modules zonder rij in het rechtenschema: default-allow.
+ * - Groepen: de kinderen bepalen zichtbaarheid. Blijft er geen kind over, dan
+ *   valt de groep weg. Is de parent-sleutel geweigerd maar een kind toegestaan,
+ *   dan blijft de groep staan met alleen de toegestane kinderen — de parent-href
+ *   van een groep is een uitklapknop, geen bestemming.
+ */
+export function useModulePermissionTransform() {
+    const { permissions, isUnknown } = useMyModulePermissions();
+    return useCallback((modules) => {
+        if (isUnknown || permissions.length === 0)
+            return modules;
+        const result = [];
+        for (const mod of modules) {
+            const children = mod.nav.children;
+            if (children?.length) {
+                const allowed = children.filter((child) => resolveLevel(permissions, navKey(child.href)) !== "none");
+                if (allowed.length === 0)
+                    continue;
+                result.push({ ...mod, nav: { ...mod.nav, children: allowed } });
+                continue;
+            }
+            if (resolveLevel(permissions, moduleKey(mod)) === "none")
+                continue;
+            result.push(mod);
+        }
+        return result;
+    }, [permissions, isUnknown]);
+}

package/dist/server/index.d.ts

@@ -1,4 +1,8 @@
 export { getProviderToken, listProviderAccounts, revokeProviderAccount } from "./provider-token.js";
 export type { ProviderAccount } from "./provider-token.js";
+export { exchangeHandoverCode, HandoverExchangeError } from "./provider-token.js";
+export type { HandoverSession } from "./provider-token.js";
 export { CentralAuthConfigError, ProviderNotConnectedError, ProviderUpstreamError, CentralAuthUnavailableError, AmbiguousAccountError, } from "./provider-token.js";
+export { requireModulePermission } from "./permissions.server.js";
+export type { PermissionLevel } from "./permissions.server.js";
 //# sourceMappingURL=index.d.ts.map

package/dist/server/index.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../src/core/server/index.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,gBAAgB,EAAE,oBAAoB,EAAE,qBAAqB,EAAE,MAAM,qBAAqB,CAAC;AACpG,YAAY,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AAC3D,OAAO,EACL,sBAAsB,EACtB,yBAAyB,EACzB,qBAAqB,EACrB,2BAA2B,EAC3B,qBAAqB,GACtB,MAAM,qBAAqB,CAAC"}
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../src/core/server/index.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,gBAAgB,EAAE,oBAAoB,EAAE,qBAAqB,EAAE,MAAM,qBAAqB,CAAC;AACpG,YAAY,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AAC3D,OAAO,EAAE,oBAAoB,EAAE,qBAAqB,EAAE,MAAM,qBAAqB,CAAC;AAClF,YAAY,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AAC3D,OAAO,EACL,sBAAsB,EACtB,yBAAyB,EACzB,qBAAqB,EACrB,2BAA2B,EAC3B,qBAAqB,GACtB,MAAM,qBAAqB,CAAC;AAI7B,OAAO,EAAE,uBAAuB,EAAE,MAAM,yBAAyB,CAAC;AAClE,YAAY,EAAE,eAAe,EAAE,MAAM,yBAAyB,CAAC"}

package/dist/server/index.js

@@ -1,2 +1,6 @@
 export { getProviderToken, listProviderAccounts, revokeProviderAccount } from "./provider-token.js";
+export { exchangeHandoverCode, HandoverExchangeError } from "./provider-token.js";
 export { CentralAuthConfigError, ProviderNotConnectedError, ProviderUpstreamError, CentralAuthUnavailableError, AmbiguousAccountError, } from "./provider-token.js";
+// Server-only rechtencheck. Uitsluitend via het "./server" subpath, nooit via
+// de hoofdbarrel.
+export { requireModulePermission } from "./permissions.server.js";

package/dist/server/permissions.server.d.ts

@@ -0,0 +1,16 @@
+import type { SupabaseClient } from "@supabase/supabase-js";
+export type PermissionLevel = "none" | "view" | "edit";
+/**
+ * Server-side rechtencheck via RPC `effective_module_permission()`.
+ *
+ * Bedoeld om te combineren met `requireSupabaseAuth`: geef de authenticated
+ * client uit `context.supabase` mee.
+ *
+ * - Ontbreekt de RPC (rechten-add-on niet geïnstalleerd) → toegestaan
+ *   (default-allow), zodat bestaande shells blijven werken.
+ * - Onvoldoende rechten → gooit een `Response` met status 403.
+ *
+ * Core raakt géén enkele tabel uit het rechtenschema; alleen deze RPC.
+ */
+export declare function requireModulePermission(supabase: SupabaseClient<any, any, any>, moduleId: string, featureId?: string | null, level?: PermissionLevel): Promise<PermissionLevel>;
+//# sourceMappingURL=permissions.server.d.ts.map

package/dist/server/permissions.server.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"permissions.server.d.ts","sourceRoot":"","sources":["../../src/core/server/permissions.server.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,uBAAuB,CAAC;AAE5D,MAAM,MAAM,eAAe,GAAG,MAAM,GAAG,MAAM,GAAG,MAAM,CAAC;AAkBvD;;;;;;;;;;;GAWG;AACH,wBAAsB,uBAAuB,CAC3C,QAAQ,EAAE,cAAc,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,CAAC,EACvC,QAAQ,EAAE,MAAM,EAChB,SAAS,GAAE,MAAM,GAAG,IAAW,EAC/B,KAAK,GAAE,eAAwB,GAC9B,OAAO,CAAC,eAAe,CAAC,CAuB1B"}

package/dist/server/permissions.server.js

@@ -0,0 +1,41 @@
+const RANK = { none: 0, view: 1, edit: 2 };
+function isMissingRpc(error) {
+    const e = (error ?? {});
+    const code = e.code ?? "";
+    const message = (e.message ?? "").toLowerCase();
+    return (code === "42883" ||
+        code === "PGRST202" ||
+        code === "PGRST302" ||
+        e.status === 404 ||
+        message.includes("does not exist") ||
+        message.includes("could not find the function"));
+}
+/**
+ * Server-side rechtencheck via RPC `effective_module_permission()`.
+ *
+ * Bedoeld om te combineren met `requireSupabaseAuth`: geef de authenticated
+ * client uit `context.supabase` mee.
+ *
+ * - Ontbreekt de RPC (rechten-add-on niet geïnstalleerd) → toegestaan
+ *   (default-allow), zodat bestaande shells blijven werken.
+ * - Onvoldoende rechten → gooit een `Response` met status 403.
+ *
+ * Core raakt géén enkele tabel uit het rechtenschema; alleen deze RPC.
+ */
+export async function requireModulePermission(supabase, moduleId, featureId = null, level = "view") {
+    const { data, error } = await supabase.rpc("effective_module_permission", {
+        _module_id: moduleId,
+        _feature_id: featureId,
+    });
+    if (error) {
+        if (isMissingRpc(error))
+            return "edit";
+        throw new Response("Rechtencheck mislukt", { status: 500 });
+    }
+    const raw = typeof data === "string" ? data.toLowerCase() : "";
+    const effective = raw === "none" || raw === "view" || raw === "edit" ? raw : "edit";
+    if (RANK[effective] < RANK[level]) {
+        throw new Response("Forbidden: geen rechten voor deze module", { status: 403 });
+    }
+    return effective;
+}

package/dist/server/provider-token.d.ts

@@ -33,4 +33,21 @@ export declare function listProviderAccounts(provider: string, opts?: {
 export declare function revokeProviderAccount(provider: string, accountKey: string, opts?: {
     environment?: "staging" | "live";
 }): Promise<void>;
+export declare class HandoverExchangeError extends Error {
+    constructor(message: string);
+}
+export interface HandoverSession {
+    accessToken: string;
+    refreshToken: string;
+    /** Kan ongeldig zijn als central geen expires_at meestuurt; alleen informatief. */
+    expiresAt: Date;
+}
+/**
+ * POST {CENTRAL_AUTH_URL}/api/session/exchange met body { code }.
+ *
+ * Fail-closed: elke fout gooit. De code komt NOOIT in een logregel of
+ * foutmelding terecht, en het secret verlaat deze module niet.
+ * Uitsluitend beschikbaar via het "./server"-subpath.
+ */
+export declare function exchangeHandoverCode(code: string): Promise<HandoverSession>;
 //# sourceMappingURL=provider-token.d.ts.map

package/dist/server/provider-token.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"provider-token.d.ts","sourceRoot":"","sources":["../../src/core/server/provider-token.ts"],"names":[],"mappings":"AAAA,qBAAa,sBAAuB,SAAQ,KAAK;gBACnC,OAAO,EAAE,MAAM;CAI5B;AAED,qBAAa,yBAA0B,SAAQ,KAAK;gBACtC,OAAO,EAAE,MAAM;CAI5B;AAED,qBAAa,qBAAsB,SAAQ,KAAK;gBAClC,OAAO,EAAE,MAAM;CAI5B;AAED,qBAAa,2BAA4B,SAAQ,KAAK;gBACxC,OAAO,EAAE,MAAM;CAI5B;AAED,qBAAa,qBAAsB,SAAQ,KAAK;gBAClC,OAAO,EAAE,MAAM;CAI5B;AAOD,MAAM,WAAW,eAAe;IAC9B,UAAU,EAAE,MAAM,CAAC;IACnB,WAAW,EAAE,SAAS,GAAG,MAAM,CAAC;IAChC,MAAM,EAAE,MAAM,CAAC;IACf,SAAS,EAAE,IAAI,CAAC;IAChB,SAAS,EAAE,IAAI,CAAC;CACjB;AA4LD,wBAAsB,gBAAgB,CACpC,QAAQ,EAAE,MAAM,EAChB,IAAI,CAAC,EAAE;IAAE,WAAW,CAAC,EAAE,SAAS,GAAG,MAAM,CAAC;IAAC,UAAU,CAAC,EAAE,MAAM,CAAA;CAAE,GAC/D,OAAO,CAAC;IAAE,WAAW,EAAE,MAAM,CAAC;IAAC,SAAS,EAAE,IAAI,CAAA;CAAE,CAAC,CA6BnD;AAED,wBAAsB,oBAAoB,CACxC,QAAQ,EAAE,MAAM,EAChB,IAAI,CAAC,EAAE;IAAE,WAAW,CAAC,EAAE,SAAS,GAAG,MAAM,CAAA;CAAE,GAC1C,OAAO,CAAC,eAAe,EAAE,CAAC,CA4C5B;AAED,wBAAsB,qBAAqB,CACzC,QAAQ,EAAE,MAAM,EAChB,UAAU,EAAE,MAAM,EAClB,IAAI,CAAC,EAAE;IAAE,WAAW,CAAC,EAAE,SAAS,GAAG,MAAM,CAAA;CAAE,GAC1C,OAAO,CAAC,IAAI,CAAC,CA8Bf"}
+{"version":3,"file":"provider-token.d.ts","sourceRoot":"","sources":["../../src/core/server/provider-token.ts"],"names":[],"mappings":"AAAA,qBAAa,sBAAuB,SAAQ,KAAK;gBACnC,OAAO,EAAE,MAAM;CAI5B;AAED,qBAAa,yBAA0B,SAAQ,KAAK;gBACtC,OAAO,EAAE,MAAM;CAI5B;AAED,qBAAa,qBAAsB,SAAQ,KAAK;gBAClC,OAAO,EAAE,MAAM;CAI5B;AAED,qBAAa,2BAA4B,SAAQ,KAAK;gBACxC,OAAO,EAAE,MAAM;CAI5B;AAED,qBAAa,qBAAsB,SAAQ,KAAK;gBAClC,OAAO,EAAE,MAAM;CAI5B;AAOD,MAAM,WAAW,eAAe;IAC9B,UAAU,EAAE,MAAM,CAAC;IACnB,WAAW,EAAE,SAAS,GAAG,MAAM,CAAC;IAChC,MAAM,EAAE,MAAM,CAAC;IACf,SAAS,EAAE,IAAI,CAAC;IAChB,SAAS,EAAE,IAAI,CAAC;CACjB;AAqMD,wBAAsB,gBAAgB,CACpC,QAAQ,EAAE,MAAM,EAChB,IAAI,CAAC,EAAE;IAAE,WAAW,CAAC,EAAE,SAAS,GAAG,MAAM,CAAC;IAAC,UAAU,CAAC,EAAE,MAAM,CAAA;CAAE,GAC/D,OAAO,CAAC;IAAE,WAAW,EAAE,MAAM,CAAC;IAAC,SAAS,EAAE,IAAI,CAAA;CAAE,CAAC,CA6BnD;AAED,wBAAsB,oBAAoB,CACxC,QAAQ,EAAE,MAAM,EAChB,IAAI,CAAC,EAAE;IAAE,WAAW,CAAC,EAAE,SAAS,GAAG,MAAM,CAAA;CAAE,GAC1C,OAAO,CAAC,eAAe,EAAE,CAAC,CA4C5B;AAED,wBAAsB,qBAAqB,CACzC,QAAQ,EAAE,MAAM,EAChB,UAAU,EAAE,MAAM,EAClB,IAAI,CAAC,EAAE;IAAE,WAAW,CAAC,EAAE,SAAS,GAAG,MAAM,CAAA;CAAE,GAC1C,OAAO,CAAC,IAAI,CAAC,CA8Bf;AAMD,qBAAa,qBAAsB,SAAQ,KAAK;gBAClC,OAAO,EAAE,MAAM;CAI5B;AAED,MAAM,WAAW,eAAe;IAC9B,WAAW,EAAE,MAAM,CAAC;IACpB,YAAY,EAAE,MAAM,CAAC;IACrB,mFAAmF;IACnF,SAAS,EAAE,IAAI,CAAC;CACjB;AAED;;;;;;GAMG;AACH,wBAAsB,oBAAoB,CAAC,IAAI,EAAE,MAAM,GAAG,OAAO,CAAC,eAAe,CAAC,CAmCjF"}

package/dist/server/provider-token.js

@@ -49,10 +49,12 @@ function getCentralAuthConfig() {
     }
     return { baseUrl, secret };
 }
-// segment is always one of the three literals above, never caller input —
+// segment is always one of the literals above, never caller input —
 // the URL path must never be built from anything a caller supplies.
+// provider === undefined betekent: provider-less endpoint, geen extra segment.
 function buildCentralUrl(baseUrl, segment, provider, query) {
-    const base = `${baseUrl.replace(/\/+$/, "")}/api/${segment}/${encodeURIComponent(provider)}`;
+    const path = provider === undefined ? segment : `${segment}/${encodeURIComponent(provider)}`;
+    const base = `${baseUrl.replace(/\/+$/, "")}/api/${path}`;
     if (!query)
         return base;
     const qs = new URLSearchParams(query).toString();
@@ -97,9 +99,13 @@ async function mapCentralError(response, provider, environment, allowAmbiguousAc
     }
     throw new CentralAuthUnavailableError(`Central auth unavailable (provider=${provider}, environment=${environment}, status=${response.status}).`);
 }
-async function requestCentral(segment, provider, environment, init, allowAmbiguousAccount) {
+async function requestCentral(segment, 
+// undefined bij provider-less endpoints; alleen voor de URL relevant.
+provider, environment, init, allowAmbiguousAccount) {
     const { baseUrl, secret } = getCentralAuthConfig();
     const url = buildCentralUrl(baseUrl, segment, provider, init.query);
+    // Label uitsluitend voor logging en foutmeldingen — nooit voor de URL.
+    const providerLabel = provider ?? segment;
     const controller = new AbortController();
     let timedOut = false;
     const timeout = setTimeout(() => {
@@ -119,14 +125,14 @@ async function requestCentral(segment, provider, environment, init, allowAmbiguo
         });
     }
     catch {
-        logAuthFailure(provider, environment, timedOut ? "timeout" : "network");
-        throw new CentralAuthUnavailableError(`Central auth request failed (provider=${provider}, environment=${environment}, reason=${timedOut ? "timeout" : "network"}).`);
+        logAuthFailure(providerLabel, environment, timedOut ? "timeout" : "network");
+        throw new CentralAuthUnavailableError(`Central auth request failed (provider=${providerLabel}, environment=${environment}, reason=${timedOut ? "timeout" : "network"}).`);
     }
     finally {
         clearTimeout(timeout);
     }
     if (!response.ok) {
-        await mapCentralError(response, provider, environment, allowAmbiguousAccount);
+        await mapCentralError(response, providerLabel, environment, allowAmbiguousAccount);
     }
     return response;
 }
@@ -231,3 +237,44 @@ export async function revokeProviderAccount(provider, accountKey, opts) {
             cache.delete(key);
     }
 }
+// ---------------------------------------------------------------------------
+// Handover: eenmalige code van central-auth inwisselen voor een Supabase-sessie.
+// ---------------------------------------------------------------------------
+export class HandoverExchangeError extends Error {
+    constructor(message) {
+        super(message);
+        this.name = "HandoverExchangeError";
+    }
+}
+/**
+ * POST {CENTRAL_AUTH_URL}/api/session/exchange met body { code }.
+ *
+ * Fail-closed: elke fout gooit. De code komt NOOIT in een logregel of
+ * foutmelding terecht, en het secret verlaat deze module niet.
+ * Uitsluitend beschikbaar via het "./server"-subpath.
+ */
+export async function exchangeHandoverCode(code) {
+    if (typeof code !== "string" || code.trim() === "") {
+        throw new HandoverExchangeError("Handover code is missing.");
+    }
+    const response = await requestCentral("session/exchange", 
+    /* provider */ undefined, "live", { method: "POST", body: { code } }, 
+    /* allowAmbiguousAccount */ false);
+    let body;
+    try {
+        body = (await response.json());
+    }
+    catch {
+        logAuthFailure("session/exchange", "live", response.status);
+        throw new CentralAuthUnavailableError(`Central auth returned an unparseable response (endpoint=session/exchange, status=${response.status}).`);
+    }
+    if (typeof body.access_token !== "string" || typeof body.refresh_token !== "string") {
+        logAuthFailure("session/exchange", "live", response.status);
+        throw new HandoverExchangeError(`Central auth returned an incomplete session (endpoint=session/exchange, status=${response.status}).`);
+    }
+    return {
+        accessToken: body.access_token,
+        refreshToken: body.refresh_token,
+        expiresAt: new Date(typeof body.expires_at === "string" ? body.expires_at : Date.now()),
+    };
+}

package/dist/types/module.d.ts

@@ -16,5 +16,28 @@ export interface FlowModule {
     version: string;
     nav: NavItem;
     settingsCards: SettingsCard[];
+    /**
+     * Optionele expliciete sleutel waarmee deze module extern (module_registry,
+     * rechten) wordt geïdentificeerd. Zet deze wanneer de afgeleide sleutel niet
+     * gelijk is aan de registry-slug.
+     */
+    registryKey?: string;
 }
+/**
+ * De externe modulesleutel.
+ *
+ * Regel (generiek, core kent geen enkele module- of domeinnaam):
+ *   1. `registryKey` als die is opgegeven;
+ *   2. anders het eerste padsegment van `nav.href`;
+ *   3. afsluitende underscores worden gestript.
+ *
+ * Waarom (3): een afsluitende underscore in een routepad is een TanStack
+ * un-nesting-conventie (`/voorraad_/detail`), geen betekenisvol segment. Zonder
+ * strippen levert dezelfde module twee sleutels op (`voorraad` en `voorraad_`)
+ * en verdwijnt hij half uit de zijbalk. Strippen is gekozen boven "registryKey
+ * verplicht maken", omdat dat laatste bestaande modules stil zou breken.
+ */
+export declare function moduleKey(mod: FlowModule): string;
+/** Zelfde afleidingsregel, maar voor een los pad (nav-children, URL-pathname). */
+export declare function navKey(href: string): string;
 //# sourceMappingURL=module.d.ts.map

package/dist/types/module.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"module.d.ts","sourceRoot":"","sources":["../../src/core/types/module.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,aAAa,EAAE,MAAM,OAAO,CAAC;AAC3C,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,cAAc,CAAC;AAE/C,MAAM,WAAW,OAAO;IACtB,KAAK,EAAE,MAAM,CAAC;IACd,IAAI,EAAE,MAAM,CAAC;IACb,IAAI,EAAE,UAAU,CAAC;IACjB,QAAQ,CAAC,EAAE,IAAI,CAAC,OAAO,EAAE,UAAU,CAAC,EAAE,CAAC;CACxC;AAED,MAAM,WAAW,YAAY;IAC3B,SAAS,EAAE,aAAa,CAAC;IACzB,KAAK,EAAE,MAAM,CAAC;CACf;AAED,MAAM,WAAW,UAAU;IACzB,EAAE,EAAE,MAAM,CAAC;IACX,IAAI,EAAE,MAAM,CAAC;IACb,OAAO,EAAE,MAAM,CAAC;IAChB,GAAG,EAAE,OAAO,CAAC;IACb,aAAa,EAAE,YAAY,EAAE,CAAC;CAC/B"}
+{"version":3,"file":"module.d.ts","sourceRoot":"","sources":["../../src/core/types/module.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,aAAa,EAAE,MAAM,OAAO,CAAC;AAC3C,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,cAAc,CAAC;AAE/C,MAAM,WAAW,OAAO;IACtB,KAAK,EAAE,MAAM,CAAC;IACd,IAAI,EAAE,MAAM,CAAC;IACb,IAAI,EAAE,UAAU,CAAC;IACjB,QAAQ,CAAC,EAAE,IAAI,CAAC,OAAO,EAAE,UAAU,CAAC,EAAE,CAAC;CACxC;AAED,MAAM,WAAW,YAAY;IAC3B,SAAS,EAAE,aAAa,CAAC;IACzB,KAAK,EAAE,MAAM,CAAC;CACf;AAED,MAAM,WAAW,UAAU;IACzB,EAAE,EAAE,MAAM,CAAC;IACX,IAAI,EAAE,MAAM,CAAC;IACb,OAAO,EAAE,MAAM,CAAC;IAChB,GAAG,EAAE,OAAO,CAAC;IACb,aAAa,EAAE,YAAY,EAAE,CAAC;IAC9B;;;;OAIG;IACH,WAAW,CAAC,EAAE,MAAM,CAAC;CACtB;AAED;;;;;;;;;;;;;GAaG;AACH,wBAAgB,SAAS,CAAC,GAAG,EAAE,UAAU,GAAG,MAAM,CAGjD;AAED,kFAAkF;AAClF,wBAAgB,MAAM,CAAC,IAAI,EAAE,MAAM,GAAG,MAAM,CAG3C"}

package/dist/types/module.js

@@ -1 +1,24 @@
-export {};
+/**
+ * De externe modulesleutel.
+ *
+ * Regel (generiek, core kent geen enkele module- of domeinnaam):
+ *   1. `registryKey` als die is opgegeven;
+ *   2. anders het eerste padsegment van `nav.href`;
+ *   3. afsluitende underscores worden gestript.
+ *
+ * Waarom (3): een afsluitende underscore in een routepad is een TanStack
+ * un-nesting-conventie (`/voorraad_/detail`), geen betekenisvol segment. Zonder
+ * strippen levert dezelfde module twee sleutels op (`voorraad` en `voorraad_`)
+ * en verdwijnt hij half uit de zijbalk. Strippen is gekozen boven "registryKey
+ * verplicht maken", omdat dat laatste bestaande modules stil zou breken.
+ */
+export function moduleKey(mod) {
+    if (mod.registryKey)
+        return mod.registryKey;
+    return navKey(mod.nav.href);
+}
+/** Zelfde afleidingsregel, maar voor een los pad (nav-children, URL-pathname). */
+export function navKey(href) {
+    const segment = href.split("?")[0].split("#")[0].split("/").filter(Boolean)[0] ?? "";
+    return segment.replace(/_+$/, "");
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@flowselections/core",
-  "version": "1.0.16",
+  "version": "1.0.19",
   "private": false,
   "sideEffects": false,
   "type": "module",
@@ -16,7 +16,9 @@
       "default": "./dist/server/index.js"
     }
   },
-  "files": ["dist"],
+  "files": [
+    "dist"
+  ],
   "scripts": {
     "dev": "vite dev",
     "build": "vite build",
@@ -70,6 +72,7 @@
     "embla-carousel-react": "^8.6.0",
     "input-otp": "^1.4.2",
     "lucide-react": "^0.575.0",
+    "nitro": "3.0.260603-beta",
     "react": "^19.2.0",
     "react-barcode": "^1.6.1",
     "react-day-picker": "^9.14.0",
@@ -88,7 +91,7 @@
   },
   "devDependencies": {
     "@eslint/js": "^9.32.0",
-    "@lovable.dev/vite-tanstack-config": "^1.2.0",
+    "@lovable.dev/vite-tanstack-config": "2.13.1",
     "@types/node": "^22.16.5",
     "@types/react": "^19.2.0",
     "@types/react-dom": "^19.2.0",