@flowselections/core 1.0.21 → 1.0.23

package/dist/permissions/store.js

@@ -0,0 +1,180 @@
+/**
+ * Gedeelde rechten- en rollencache zonder React Query (sinds 1.0.23).
+ *
+ * De automatische paden (zijbalkfilter, route-guard, useIsSuperadmin) lezen
+ * hier via useSyncExternalStore. Werkt dus ook in shells zonder
+ * QueryClientProvider. Zichtbaarheid, geen beveiliging.
+ */
+import { useEffect, useSyncExternalStore } from "react";
+import { supabase } from "../supabase/client.js";
+import { normalizeRows } from "./resolve.js";
+export const PERMISSION_TIMEOUT_MS = 3000;
+const STALE_MS = 5 * 60 * 1000;
+const defaultFetcher = async () => {
+    const { data, error } = await supabase.rpc("my_module_permissions");
+    if (error)
+        throw error;
+    return data;
+};
+const defaultRolesFetcher = async (userId) => {
+    const { data, error } = await supabase.from("user_roles").select("role").eq("user_id", userId);
+    if (error || !Array.isArray(data))
+        return [];
+    return data.map((r) => String(r.role));
+};
+let fetcher = defaultFetcher;
+let rolesFetcher = defaultRolesFetcher;
+let snapshot = { userId: null, status: "loading", rows: [], roles: [], rolesLoaded: false };
+let fetchedAt = 0;
+let inflight = null;
+let inflightUser;
+const listeners = new Set();
+function set(next) {
+    snapshot = { ...snapshot, ...next };
+    listeners.forEach((l) => l());
+}
+export function subscribePermissions(listener) {
+    listeners.add(listener);
+    return () => listeners.delete(listener);
+}
+export function getPermissionSnapshot() {
+    return snapshot;
+}
+/** Rollen uit een JWT (claim `user_roles`). Geen verificatie: alleen UI. */
+export function rolesFromAccessToken(token) {
+    if (!token)
+        return null;
+    try {
+        const part = token.split(".")[1];
+        if (!part)
+            return null;
+        const json = typeof atob === "function"
+            ? atob(part.replace(/-/g, "+").replace(/_/g, "/"))
+            : Buffer.from(part, "base64").toString("utf8");
+        const claims = JSON.parse(json);
+        const roles = claims["user_roles"];
+        return Array.isArray(roles) ? roles.map(String) : null;
+    }
+    catch {
+        return null;
+    }
+}
+/**
+ * Laadt rechten (en rollen) voor `userId`. Dedupliceert en cachet 5 min.
+ * Na 3 s zonder antwoord gaat de status op `timeout` (fail-open); komt het
+ * antwoord later alsnog, dan wordt het `ready`.
+ */
+export function loadPermissions(userId, accessToken, force = false) {
+    if (!userId) {
+        fetchedAt = Date.now();
+        set({ userId: null, status: "ready", rows: [], roles: [], rolesLoaded: true });
+        return Promise.resolve();
+    }
+    const fresh = snapshot.userId === userId && snapshot.status === "ready" && Date.now() - fetchedAt < STALE_MS;
+    if (!force && fresh)
+        return Promise.resolve();
+    if (!force && inflight && inflightUser === userId)
+        return inflight;
+    if (snapshot.userId !== userId) {
+        const claimRoles = rolesFromAccessToken(accessToken);
+        set({ userId, status: "loading", rows: [], roles: claimRoles ?? [], rolesLoaded: !!claimRoles });
+    }
+    else if (snapshot.status !== "ready") {
+        set({ status: "loading" });
+    }
+    inflightUser = userId;
+    const timer = setTimeout(() => {
+        if (snapshot.userId === userId && snapshot.status === "loading")
+            set({ status: "timeout" });
+    }, PERMISSION_TIMEOUT_MS);
+    const p = (async () => {
+        const [perm, roles] = await Promise.allSettled([
+            fetcher(),
+            snapshot.rolesLoaded ? Promise.resolve(snapshot.roles) : rolesFetcher(userId),
+        ]);
+        clearTimeout(timer);
+        if (snapshot.userId !== userId)
+            return;
+        const roleList = roles.status === "fulfilled" ? roles.value : snapshot.roles;
+        if (perm.status === "fulfilled") {
+            fetchedAt = Date.now();
+            set({ status: "ready", rows: normalizeRows(perm.value), roles: roleList, rolesLoaded: true });
+        }
+        else {
+            // Ontbrekende RPC of andere fout: fail-open, geen retry.
+            set({ status: "error", rows: [], roles: roleList, rolesLoaded: true });
+        }
+    })().finally(() => {
+        if (inflight === p)
+            inflight = null;
+    });
+    inflight = p;
+    return p;
+}
+/** Wacht maximaal `ms` op rechten. Resolvet altijd (fail-open). */
+export function waitForPermissions(userId, accessToken, ms = PERMISSION_TIMEOUT_MS) {
+    return new Promise((resolve) => {
+        const t = setTimeout(() => resolve(snapshot), ms);
+        loadPermissions(userId, accessToken).then(() => {
+            clearTimeout(t);
+            resolve(snapshot);
+        }, () => {
+            clearTimeout(t);
+            resolve(snapshot);
+        });
+    });
+}
+let sessionWired = false;
+/** Koppelt de store eenmalig aan de Supabase-sessie (alleen in de browser). */
+export function ensureSessionWiring() {
+    if (sessionWired || typeof window === "undefined")
+        return;
+    sessionWired = true;
+    try {
+        supabase.auth.getSession().then(({ data }) => {
+            loadPermissions(data.session?.user.id ?? null, data.session?.access_token);
+        }, () => set({ status: "error" }));
+        supabase.auth.onAuthStateChange((event, session) => {
+            if (event === "SIGNED_OUT")
+                return void loadPermissions(null);
+            if (event === "SIGNED_IN" || event === "USER_UPDATED" || event === "TOKEN_REFRESHED") {
+                const id = session?.user.id ?? null;
+                const claim = rolesFromAccessToken(session?.access_token);
+                if (id && id === snapshot.userId && claim)
+                    set({ roles: claim, rolesLoaded: true });
+                void loadPermissions(id, session?.access_token, event === "USER_UPDATED");
+            }
+        });
+    }
+    catch {
+        set({ status: "error", rolesLoaded: true });
+    }
+}
+/** React-hook op de store. Werkt zonder QueryClientProvider. */
+export function usePermissionSnapshot() {
+    useEffect(() => {
+        ensureSessionWiring();
+    }, []);
+    // Server-snapshot = huidige snapshot: de _authenticated-tree draait met ssr:false.
+    return useSyncExternalStore(subscribePermissions, getPermissionSnapshot, getPermissionSnapshot);
+}
+// ─── Test- en preview-haken (niet in de hoofdbarrel) ──────────────────────────
+export function __setPermissionFetchers(next) {
+    if (next.rows)
+        fetcher = next.rows;
+    if (next.roles)
+        rolesFetcher = next.roles;
+}
+export function __resetPermissionStore() {
+    fetcher = defaultFetcher;
+    rolesFetcher = defaultRolesFetcher;
+    snapshot = { userId: null, status: "loading", rows: [], roles: [], rolesLoaded: false };
+    fetchedAt = 0;
+    inflight = null;
+    inflightUser = undefined;
+    listeners.forEach((l) => l());
+}
+/** Markeert de wiring als gedaan (tests/preview met een mock). */
+export function __disableSessionWiring() {
+    sessionWired = true;
+}

package/dist/permissions/useModulePermission.d.ts

@@ -1,22 +1,22 @@
+import type { ReactNode } from "react";
+import type { FlowModule } from "../types/module.js";
 import type { ModuleListTransform } from "../extensions/ShellExtensions.js";
-export type PermissionLevel = "none" | "view" | "edit";
-export interface ModulePermissionRow {
-    moduleId: string;
-    featureId: string | null;
-    permission: PermissionLevel;
-}
+import { type ModulePermissionRow, type PermissionLevel } from "./resolve.js";
+export type { PermissionLevel, ModulePermissionRow } from "./resolve.js";
 /**
- * Leest de rechten van de ingelogde gebruiker via RPC `my_module_permissions()`.
+ * Rechten van de ingelogde gebruiker via RPC `my_module_permissions()`.
  *
- * Ontbreekt de RPC (add-on niet geïnstalleerd) of faalt de call, dan is het
- * resultaat een LEGE lijst zonder zichtbare fout en zonder retry — en dat
- * betekent bij alle consumers default-allow.
+ * Draait op de gedeelde store; gebruikt React Query alleen als er een
+ * QueryClientProvider is, anders een interne client — crasht nooit zonder
+ * provider. Fail-open: fout of ontbrekende RPC → lege lijst → default-allow.
+ * Zichtbaarheid, geen beveiliging.
  */
 export declare function useMyModulePermissions(): {
+    data: ModulePermissionRow[] | undefined;
     permissions: ModulePermissionRow[];
     /** True zolang we niets weten; callers behandelen dit als allow. */
     isUnknown: boolean;
-    data: ModulePermissionRow[];
+    status: import("./store.js").PermissionStatus;
     error: Error;
     isError: true;
     isPending: false;
@@ -25,7 +25,6 @@ export declare function useMyModulePermissions(): {
     isRefetchError: true;
     isSuccess: false;
     isPlaceholderData: false;
-    status: "error";
     dataUpdatedAt: number;
     errorUpdatedAt: number;
     failureCount: number;
@@ -43,10 +42,11 @@ export declare function useMyModulePermissions(): {
     fetchStatus: import("@tanstack/query-core").FetchStatus;
     promise: Promise<ModulePermissionRow[]>;
 } | {
+    data: ModulePermissionRow[] | undefined;
     permissions: ModulePermissionRow[];
     /** True zolang we niets weten; callers behandelen dit als allow. */
     isUnknown: boolean;
-    data: ModulePermissionRow[];
+    status: import("./store.js").PermissionStatus;
     error: null;
     isError: false;
     isPending: false;
@@ -55,7 +55,6 @@ export declare function useMyModulePermissions(): {
     isRefetchError: false;
     isSuccess: true;
     isPlaceholderData: false;
-    status: "success";
     dataUpdatedAt: number;
     errorUpdatedAt: number;
     failureCount: number;
@@ -73,10 +72,11 @@ export declare function useMyModulePermissions(): {
     fetchStatus: import("@tanstack/query-core").FetchStatus;
     promise: Promise<ModulePermissionRow[]>;
 } | {
+    data: ModulePermissionRow[] | undefined;
     permissions: ModulePermissionRow[];
     /** True zolang we niets weten; callers behandelen dit als allow. */
     isUnknown: boolean;
-    data: undefined;
+    status: import("./store.js").PermissionStatus;
     error: Error;
     isError: true;
     isPending: false;
@@ -85,7 +85,6 @@ export declare function useMyModulePermissions(): {
     isRefetchError: false;
     isSuccess: false;
     isPlaceholderData: false;
-    status: "error";
     dataUpdatedAt: number;
     errorUpdatedAt: number;
     failureCount: number;
@@ -103,10 +102,11 @@ export declare function useMyModulePermissions(): {
     fetchStatus: import("@tanstack/query-core").FetchStatus;
     promise: Promise<ModulePermissionRow[]>;
 } | {
+    data: ModulePermissionRow[] | undefined;
     permissions: ModulePermissionRow[];
     /** True zolang we niets weten; callers behandelen dit als allow. */
     isUnknown: boolean;
-    data: undefined;
+    status: import("./store.js").PermissionStatus;
     error: null;
     isError: false;
     isPending: true;
@@ -115,7 +115,6 @@ export declare function useMyModulePermissions(): {
     isRefetchError: false;
     isSuccess: false;
     isPlaceholderData: false;
-    status: "pending";
     dataUpdatedAt: number;
     errorUpdatedAt: number;
     failureCount: number;
@@ -133,10 +132,11 @@ export declare function useMyModulePermissions(): {
     fetchStatus: import("@tanstack/query-core").FetchStatus;
     promise: Promise<ModulePermissionRow[]>;
 } | {
+    data: ModulePermissionRow[] | undefined;
     permissions: ModulePermissionRow[];
     /** True zolang we niets weten; callers behandelen dit als allow. */
     isUnknown: boolean;
-    data: undefined;
+    status: import("./store.js").PermissionStatus;
     error: null;
     isError: false;
     isPending: true;
@@ -144,7 +144,6 @@ export declare function useMyModulePermissions(): {
     isRefetchError: false;
     isSuccess: false;
     isPlaceholderData: false;
-    status: "pending";
     dataUpdatedAt: number;
     errorUpdatedAt: number;
     failureCount: number;
@@ -163,10 +162,11 @@ export declare function useMyModulePermissions(): {
     fetchStatus: import("@tanstack/query-core").FetchStatus;
     promise: Promise<ModulePermissionRow[]>;
 } | {
+    data: ModulePermissionRow[] | undefined;
     permissions: ModulePermissionRow[];
     /** True zolang we niets weten; callers behandelen dit als allow. */
     isUnknown: boolean;
-    data: ModulePermissionRow[];
+    status: import("./store.js").PermissionStatus;
     isError: false;
     error: null;
     isPending: false;
@@ -175,7 +175,6 @@ export declare function useMyModulePermissions(): {
     isRefetchError: false;
     isSuccess: true;
     isPlaceholderData: true;
-    status: "success";
     dataUpdatedAt: number;
     errorUpdatedAt: number;
     failureCount: number;
@@ -194,8 +193,8 @@ export declare function useMyModulePermissions(): {
     promise: Promise<ModulePermissionRow[]>;
 };
 /**
- * Rechtenniveau voor één module (optioneel één feature). Tijdens laden en bij
- * elke fout is het antwoord `edit` (fail-open).
+ * Rechtenniveau voor één module (optioneel één feature). Tijdens laden, bij
+ * een fout en voor admin/superadmin: `edit`. Zichtbaarheid, geen beveiliging.
  */
 export declare function useModulePermission(moduleId: string, featureId?: string | null): {
     level: PermissionLevel;
@@ -204,14 +203,35 @@ export declare function useModulePermission(moduleId: string, featureId?: string
     isLoading: boolean;
 };
 /**
- * ModuleListTransform die zijbalkitems met `none` weglaat.
- *
- * - Tijdens laden / bij fouten: lijst ongewijzigd.
- * - Modules zonder rij in het rechtenschema: default-allow.
- * - Groepen: de kinderen bepalen zichtbaarheid. Blijft er geen kind over, dan
- *   valt de groep weg. Is de parent-sleutel geweigerd maar een kind toegestaan,
- *   dan blijft de groep staan met alleen de toegestane kinderen — de parent-href
- *   van een groep is een uitklapknop, geen bestemming.
+ * Sinds 1.0.23. `allowed` = niveau ≥ `level` (standaard `view`). Laden → true.
+ * Zichtbaarheid, geen beveiliging.
+ */
+export declare function useCan(moduleId: string, featureId?: string | null, level?: PermissionLevel): {
+    allowed: boolean;
+    level: PermissionLevel;
+    isLoading: boolean;
+};
+export interface CanProps {
+    module: string;
+    feature?: string | null;
+    level?: PermissionLevel;
+    fallback?: ReactNode;
+    children: ReactNode;
+}
+/** Sinds 1.0.23. Rendert children als `useCan` toestaat. Zichtbaarheid, geen beveiliging. */
+export declare function Can({ module, feature, level, fallback, children }: CanProps): import("react").FunctionComponentElement<import("react").FragmentProps>;
+/**
+ * ModuleListTransform die zijbalkitems met `none` weglaat. Laden/fout/admin →
+ * ongewijzigd. Zichtbaarheid, geen beveiliging.
  */
 export declare function useModulePermissionTransform(): ModuleListTransform;
+/**
+ * Sinds 1.0.23. Zijbalkfilter met laadstatus: `loading` = eerste laden (toon
+ * skeleton); na fout of 3 s time-out de volledige lijst.
+ * Zichtbaarheid, geen beveiliging.
+ */
+export declare function usePermissionFilteredModules(modules: FlowModule[], enabled?: boolean): {
+    modules: FlowModule[];
+    loading: boolean;
+};
 //# sourceMappingURL=useModulePermission.d.ts.map

package/dist/permissions/useModulePermission.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"useModulePermission.d.ts","sourceRoot":"","sources":["../../src/core/permissions/useModulePermission.ts"],"names":[],"mappings":"AAKA,OAAO,KAAK,EAAE,mBAAmB,EAAE,MAAM,kCAAkC,CAAC;AAE5E,MAAM,MAAM,eAAe,GAAG,MAAM,GAAG,MAAM,GAAG,MAAM,CAAC;AAEvD,MAAM,WAAW,mBAAmB;IAClC,QAAQ,EAAE,MAAM,CAAC;IACjB,SAAS,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,UAAU,EAAE,eAAe,CAAC;CAC7B;AAuCD;;;;;;GAMG;AACH,wBAAgB,sBAAsB;;IA0BlC,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;EAGvE;AAyBD;;;GAGG;AACH,wBAAgB,mBAAmB,CAAC,QAAQ,EAAE,MAAM,EAAE,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI;;;;;EAW9E;AAED;;;;;;;;;GASG;AACH,wBAAgB,4BAA4B,IAAI,mBAAmB,CAyBlE"}
+{"version":3,"file":"useModulePermission.d.ts","sourceRoot":"","sources":["../../src/core/permissions/useModulePermission.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,SAAS,EAAE,MAAM,OAAO,CAAC;AAEvC,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,oBAAoB,CAAC;AACrD,OAAO,KAAK,EAAE,mBAAmB,EAAE,MAAM,kCAAkC,CAAC;AAC5E,OAAO,EAIL,KAAK,mBAAmB,EACxB,KAAK,eAAe,EACrB,MAAM,cAAc,CAAC;AAGtB,YAAY,EAAE,eAAe,EAAE,mBAAmB,EAAE,MAAM,cAAc,CAAC;AAiBzE;;;;;;;GAOG;AACH,wBAAgB,sBAAsB;;;IAuBlC,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;EAIvE;AAED;;;GAGG;AACH,wBAAgB,mBAAmB,CAAC,QAAQ,EAAE,MAAM,EAAE,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI;;;;;EAW9E;AAED;;;GAGG;AACH,wBAAgB,MAAM,CAAC,QAAQ,EAAE,MAAM,EAAE,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,EAAE,KAAK,GAAE,eAAwB;;;;EAGlG;AAED,MAAM,WAAW,QAAQ;IACvB,MAAM,EAAE,MAAM,CAAC;IACf,OAAO,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACxB,KAAK,CAAC,EAAE,eAAe,CAAC;IACxB,QAAQ,CAAC,EAAE,SAAS,CAAC;IACrB,QAAQ,EAAE,SAAS,CAAC;CACrB;AAED,6FAA6F;AAC7F,wBAAgB,GAAG,CAAC,EAAE,MAAM,EAAE,OAAO,EAAE,KAAc,EAAE,QAAe,EAAE,QAAQ,EAAE,EAAE,QAAQ,2EAG3F;AAED;;;GAGG;AACH,wBAAgB,4BAA4B,IAAI,mBAAmB,CASlE;AAED;;;;GAIG;AACH,wBAAgB,4BAA4B,CAAC,OAAO,EAAE,UAAU,EAAE,EAAE,OAAO,UAAO;;;EAQjF"}

package/dist/permissions/useModulePermission.js

@@ -1,137 +1,105 @@
-import { useCallback } from "react";
-import { useQuery } from "@tanstack/react-query";
-import { supabase } from "../supabase/client.js";
-import { moduleKey, navKey } from "../types/module.js";
-function normalizeLevel(value) {
-    const v = typeof value === "string" ? value.toLowerCase() : "";
-    if (v === "none" || v === "view" || v === "edit")
-        return v;
-    // Onbekende waarde → fail-open (zichtbaarheid is geen beveiliging).
-    return "edit";
+import { createElement, Fragment, useCallback, useContext } from "react";
+import { QueryClient, QueryClientContext, useQuery } from "@tanstack/react-query";
+import { filterModules, RANK, resolveLevel, } from "./resolve.js";
+import { getPermissionSnapshot, loadPermissions, usePermissionSnapshot } from "./store.js";
+let fallbackClient = null;
+function getFallbackClient() {
+    if (!fallbackClient)
+        fallbackClient = new QueryClient();
+    return fallbackClient;
 }
-function normalizeRows(data) {
-    if (!Array.isArray(data))
-        return [];
-    return data.map((raw) => {
-        const row = (raw ?? {});
-        const rawModule = (row["module_id"] ?? row["moduleId"] ?? "");
-        const rawFeature = (row["feature_id"] ?? row["featureId"] ?? null);
-        return {
-            moduleId: navKey(String(rawModule ?? "")),
-            featureId: rawFeature ? String(rawFeature) : null,
-            permission: normalizeLevel(row["permission"] ?? row["level"] ?? row["permission_level"]),
-        };
-    });
+function rolesAreAdmin(roles) {
+    return roles.includes("admin") || roles.includes("superadmin");
 }
-/** Waar of de fout betekent "de rechten-add-on staat niet op deze database". */
-function isMissingRpc(error) {
-    const e = (error ?? {});
-    const code = e.code ?? "";
-    const message = (e.message ?? "").toLowerCase();
-    return (code === "42883" ||
-        code === "PGRST202" ||
-        code === "PGRST302" ||
-        e.status === 404 ||
-        message.includes("does not exist") ||
-        message.includes("could not find the function") ||
-        message.includes("schema cache"));
+/** Snapshot → bekend? Laden = onbekend; fout/time-out = bekend (leeg → allow). */
+function isKnown(s) {
+    return s.status !== "loading";
 }
 /**
- * Leest de rechten van de ingelogde gebruiker via RPC `my_module_permissions()`.
+ * Rechten van de ingelogde gebruiker via RPC `my_module_permissions()`.
  *
- * Ontbreekt de RPC (add-on niet geïnstalleerd) of faalt de call, dan is het
- * resultaat een LEGE lijst zonder zichtbare fout en zonder retry — en dat
- * betekent bij alle consumers default-allow.
+ * Draait op de gedeelde store; gebruikt React Query alleen als er een
+ * QueryClientProvider is, anders een interne client — crasht nooit zonder
+ * provider. Fail-open: fout of ontbrekende RPC → lege lijst → default-allow.
+ * Zichtbaarheid, geen beveiliging.
  */
 export function useMyModulePermissions() {
+    const snap = usePermissionSnapshot();
+    const ctxClient = useContext(QueryClientContext);
     const query = useQuery({
-        queryKey: ["my-module-permissions"],
+        queryKey: ["my-module-permissions", snap.userId],
         queryFn: async () => {
-            const { data, error } = await supabase.rpc("my_module_permissions");
-            if (error) {
-                if (isMissingRpc(error))
-                    return [];
-                // Ook andere fouten mogen niet blokkeren: fail-open, geen retry.
-                return [];
-            }
-            return normalizeRows(data);
+            await loadPermissions(getPermissionSnapshot().userId);
+            return getPermissionSnapshot().rows;
         },
-        // GEEN retry: een ontbrekende RPC mag nooit een retry-storm veroorzaken.
+        enabled: snap.status !== "loading",
+        initialData: isKnown(snap) ? snap.rows : undefined,
         retry: false,
         refetchOnWindowFocus: false,
         staleTime: 5 * 60 * 1000,
-    });
+    }, ctxClient ?? getFallbackClient());
     return {
         ...query,
-        permissions: query.data ?? [],
+        data: isKnown(snap) ? snap.rows : query.data,
+        permissions: isKnown(snap) ? snap.rows : [],
         /** True zolang we niets weten; callers behandelen dit als allow. */
-        isUnknown: query.isLoading || query.data === undefined,
+        isUnknown: !isKnown(snap),
+        status: snap.status,
     };
 }
-function resolveLevel(rows, moduleId, featureId) {
-    const key = navKey(moduleId);
-    const forModule = rows.filter((r) => r.moduleId === key);
-    // Geen rij voor deze module → default-allow.
-    if (forModule.length === 0)
-        return "edit";
-    if (featureId) {
-        const feature = forModule.find((r) => r.featureId === featureId);
-        if (feature)
-            return feature.permission;
-    }
-    const moduleLevel = forModule.find((r) => !r.featureId);
-    if (moduleLevel)
-        return moduleLevel.permission;
-    // Alleen feature-rijen bekend: hoogste feature-recht bepaalt moduletoegang.
-    if (forModule.some((r) => r.permission === "edit"))
-        return "edit";
-    if (forModule.some((r) => r.permission === "view"))
-        return "view";
-    return "none";
-}
 /**
- * Rechtenniveau voor één module (optioneel één feature). Tijdens laden en bij
- * elke fout is het antwoord `edit` (fail-open).
+ * Rechtenniveau voor één module (optioneel één feature). Tijdens laden, bij
+ * een fout en voor admin/superadmin: `edit`. Zichtbaarheid, geen beveiliging.
  */
 export function useModulePermission(moduleId, featureId) {
-    const { permissions, isUnknown } = useMyModulePermissions();
-    const level = isUnknown ? "edit" : resolveLevel(permissions, moduleId, featureId);
+    const snap = usePermissionSnapshot();
+    const unknown = !isKnown(snap);
+    const level = unknown || rolesAreAdmin(snap.roles) ? "edit" : resolveLevel(snap.rows, moduleId, featureId);
     return {
         level,
         canView: level === "view" || level === "edit",
         canEdit: level === "edit",
-        isLoading: isUnknown,
+        isLoading: unknown,
     };
 }
 /**
- * ModuleListTransform die zijbalkitems met `none` weglaat.
- *
- * - Tijdens laden / bij fouten: lijst ongewijzigd.
- * - Modules zonder rij in het rechtenschema: default-allow.
- * - Groepen: de kinderen bepalen zichtbaarheid. Blijft er geen kind over, dan
- *   valt de groep weg. Is de parent-sleutel geweigerd maar een kind toegestaan,
- *   dan blijft de groep staan met alleen de toegestane kinderen — de parent-href
- *   van een groep is een uitklapknop, geen bestemming.
+ * Sinds 1.0.23. `allowed` = niveau ≥ `level` (standaard `view`). Laden → true.
+ * Zichtbaarheid, geen beveiliging.
+ */
+export function useCan(moduleId, featureId, level = "view") {
+    const p = useModulePermission(moduleId, featureId);
+    return { allowed: RANK[p.level] >= RANK[level], level: p.level, isLoading: p.isLoading };
+}
+/** Sinds 1.0.23. Rendert children als `useCan` toestaat. Zichtbaarheid, geen beveiliging. */
+export function Can({ module, feature, level = "view", fallback = null, children }) {
+    const { allowed } = useCan(module, feature ?? null, level);
+    return createElement(Fragment, null, allowed ? children : fallback);
+}
+/**
+ * ModuleListTransform die zijbalkitems met `none` weglaat. Laden/fout/admin →
+ * ongewijzigd. Zichtbaarheid, geen beveiliging.
  */
 export function useModulePermissionTransform() {
-    const { permissions, isUnknown } = useMyModulePermissions();
+    const snap = usePermissionSnapshot();
     return useCallback((modules) => {
-        if (isUnknown || permissions.length === 0)
+        if (!isKnown(snap) || rolesAreAdmin(snap.roles))
             return modules;
-        const result = [];
-        for (const mod of modules) {
-            const children = mod.nav.children;
-            if (children?.length) {
-                const allowed = children.filter((child) => resolveLevel(permissions, navKey(child.href)) !== "none");
-                if (allowed.length === 0)
-                    continue;
-                result.push({ ...mod, nav: { ...mod.nav, children: allowed } });
-                continue;
-            }
-            if (resolveLevel(permissions, moduleKey(mod)) === "none")
-                continue;
-            result.push(mod);
-        }
-        return result;
-    }, [permissions, isUnknown]);
+        return filterModules(modules, snap.rows);
+    }, [snap]);
+}
+/**
+ * Sinds 1.0.23. Zijbalkfilter met laadstatus: `loading` = eerste laden (toon
+ * skeleton); na fout of 3 s time-out de volledige lijst.
+ * Zichtbaarheid, geen beveiliging.
+ */
+export function usePermissionFilteredModules(modules, enabled = true) {
+    const snap = usePermissionSnapshot();
+    if (!enabled)
+        return { modules, loading: false };
+    if (snap.status === "loading") {
+        return { modules, loading: !rolesAreAdmin(snap.roles) };
+    }
+    if (rolesAreAdmin(snap.roles) || snap.status !== "ready")
+        return { modules, loading: false };
+    return { modules: filterModules(modules, snap.rows), loading: false };
 }

package/dist/routes/index.d.ts

@@ -0,0 +1,48 @@
+export interface SystemRouteOptions {
+    /** Pad als er geen geldig `?redirect` is (na inloggen, handover, reset). */
+    landing: string;
+    /** Pad van de inlogpagina. Standaard "/login". */
+    loginPath?: string;
+}
+export interface LoginSearch {
+    redirect?: string;
+}
+/** `/login`: ingelogd → `?redirect` (alleen same-site) wint van `landing`. */
+export declare function loginRoute({ landing }: SystemRouteOptions): {
+    validateSearch: (search: Record<string, unknown>) => LoginSearch;
+    beforeLoad: ({ context, search }: {
+        context: unknown;
+        search: LoginSearch;
+    }) => void;
+    head: () => {
+        meta: {
+            title: string;
+        }[];
+    };
+    component: () => import("react/jsx-runtime").JSX.Element;
+};
+/** `/reset-wachtwoord`: de core-pagina, daarna naar `landing`. */
+export declare function resetPasswordRoute({ landing, loginPath }: SystemRouteOptions): {
+    head: () => {
+        meta: {
+            title: string;
+        }[];
+    };
+    component: () => import("react/jsx-runtime").JSX.Element;
+};
+/** `/`: redirect in beforeLoad, dus er wordt niets gerenderd (geen flits). */
+export declare function landingRoute({ landing }: Pick<SystemRouteOptions, "landing">): {
+    beforeLoad: () => never;
+    component: () => null;
+};
+/** `/auth/handover`: client-only, want de sessie staat alleen in localStorage. */
+export declare function handoverRoute({ landing, loginPath }: SystemRouteOptions): {
+    ssr: false;
+    head: () => {
+        meta: {
+            title: string;
+        }[];
+    };
+    component: () => import("react/jsx-runtime").JSX.Element;
+};
+//# sourceMappingURL=index.d.ts.map

package/dist/routes/index.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../src/core/routes/index.tsx"],"names":[],"mappings":"AAeA,MAAM,WAAW,kBAAkB;IACjC,4EAA4E;IAC5E,OAAO,EAAE,MAAM,CAAC;IAChB,kDAAkD;IAClD,SAAS,CAAC,EAAE,MAAM,CAAC;CACpB;AAED,MAAM,WAAW,WAAW;IAC1B,QAAQ,CAAC,EAAE,MAAM,CAAC;CACnB;AAMD,8EAA8E;AAC9E,wBAAgB,UAAU,CAAC,EAAE,OAAO,EAAE,EAAE,kBAAkB;6BAE7B,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,KAAG,WAAW;sCAE5B;QAAE,OAAO,EAAE,OAAO,CAAC;QAAC,MAAM,EAAE,WAAW,CAAA;KAAE;;;;;;;EAU9E;AAED,kEAAkE;AAClE,wBAAgB,kBAAkB,CAAC,EAAE,OAAO,EAAE,SAAoB,EAAE,EAAE,kBAAkB;;;;;;;EAOvF;AAED,8EAA8E;AAC9E,wBAAgB,YAAY,CAAC,EAAE,OAAO,EAAE,EAAE,IAAI,CAAC,kBAAkB,EAAE,SAAS,CAAC;sBAEzD,KAAK;;EAOxB;AAED,kFAAkF;AAClF,wBAAgB,aAAa,CAAC,EAAE,OAAO,EAAE,SAAoB,EAAE,EAAE,kBAAkB;;;;;;;;EAQlF"}