@flowselections/core 1.0.21 → 1.0.23

package/dist/routes/index.js

@@ -0,0 +1,63 @@
+import { jsx as _jsx } from "react/jsx-runtime";
+/**
+ * Route-opties voor de systeemroutes. Shells houden per route een dun,
+ * gegenereerd omhulsel:
+ *
+ *   export const Route = createFileRoute("/login")(loginRoute({ landing: "/voorraad" }));
+ *
+ * Core levert de volledige opties, zodat een wijziging aan een systeempagina
+ * met één core-update in alle shells landt.
+ */
+import { redirect } from "@tanstack/react-router";
+import { LoginPage } from "../components/layout/LoginPage.js";
+import { ResetWachtwoordPage } from "../components/layout/ResetWachtwoordPage.js";
+import { HandoverPage } from "../components/layout/HandoverPage.js";
+import { safeRedirectPath } from "../auth/redirect.js";
+function isAuthenticated(context) {
+    return Boolean(context?.auth?.isAuthenticated);
+}
+/** `/login`: ingelogd → `?redirect` (alleen same-site) wint van `landing`. */
+export function loginRoute({ landing }) {
+    return {
+        validateSearch: (search) => typeof search.redirect === "string" ? { redirect: search.redirect } : {},
+        beforeLoad: ({ context, search }) => {
+            if (isAuthenticated(context)) {
+                throw redirect({ href: safeRedirectPath(search?.redirect, landing) });
+            }
+        },
+        head: () => ({ meta: [{ title: "Inloggen" }] }),
+        component: function LoginRouteComponent() {
+            return _jsx(LoginPage, { redirectTo: landing });
+        },
+    };
+}
+/** `/reset-wachtwoord`: de core-pagina, daarna naar `landing`. */
+export function resetPasswordRoute({ landing, loginPath = "/login" }) {
+    return {
+        head: () => ({ meta: [{ title: "Nieuw wachtwoord instellen" }] }),
+        component: function ResetPasswordRouteComponent() {
+            return _jsx(ResetWachtwoordPage, { redirectTo: landing, loginPath: loginPath });
+        },
+    };
+}
+/** `/`: redirect in beforeLoad, dus er wordt niets gerenderd (geen flits). */
+export function landingRoute({ landing }) {
+    return {
+        beforeLoad: () => {
+            throw redirect({ href: landing });
+        },
+        component: function LandingRouteComponent() {
+            return null;
+        },
+    };
+}
+/** `/auth/handover`: client-only, want de sessie staat alleen in localStorage. */
+export function handoverRoute({ landing, loginPath = "/login" }) {
+    return {
+        ssr: false,
+        head: () => ({ meta: [{ title: "Aanmelden" }] }),
+        component: function HandoverRouteComponent() {
+            return _jsx(HandoverPage, { redirectTo: landing, loginPath: loginPath });
+        },
+    };
+}

package/dist/server/index.d.ts

@@ -3,6 +3,6 @@ export type { ProviderAccount } from "./provider-token.js";
 export { exchangeHandoverCode, HandoverExchangeError } from "./provider-token.js";
 export type { HandoverSession } from "./provider-token.js";
 export { CentralAuthConfigError, ProviderNotConnectedError, ProviderUpstreamError, CentralAuthUnavailableError, AmbiguousAccountError, } from "./provider-token.js";
-export { requireModulePermission } from "./permissions.server.js";
+export { requireModulePermission, getRoleFlags, isSuperadminServer } from "./permissions.server.js";
 export type { PermissionLevel } from "./permissions.server.js";
 //# sourceMappingURL=index.d.ts.map

package/dist/server/index.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../src/core/server/index.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,gBAAgB,EAAE,oBAAoB,EAAE,qBAAqB,EAAE,MAAM,qBAAqB,CAAC;AACpG,YAAY,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AAC3D,OAAO,EAAE,oBAAoB,EAAE,qBAAqB,EAAE,MAAM,qBAAqB,CAAC;AAClF,YAAY,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AAC3D,OAAO,EACL,sBAAsB,EACtB,yBAAyB,EACzB,qBAAqB,EACrB,2BAA2B,EAC3B,qBAAqB,GACtB,MAAM,qBAAqB,CAAC;AAI7B,OAAO,EAAE,uBAAuB,EAAE,MAAM,yBAAyB,CAAC;AAClE,YAAY,EAAE,eAAe,EAAE,MAAM,yBAAyB,CAAC"}
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../src/core/server/index.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,gBAAgB,EAAE,oBAAoB,EAAE,qBAAqB,EAAE,MAAM,qBAAqB,CAAC;AACpG,YAAY,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AAC3D,OAAO,EAAE,oBAAoB,EAAE,qBAAqB,EAAE,MAAM,qBAAqB,CAAC;AAClF,YAAY,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AAC3D,OAAO,EACL,sBAAsB,EACtB,yBAAyB,EACzB,qBAAqB,EACrB,2BAA2B,EAC3B,qBAAqB,GACtB,MAAM,qBAAqB,CAAC;AAI7B,OAAO,EAAE,uBAAuB,EAAE,YAAY,EAAE,kBAAkB,EAAE,MAAM,yBAAyB,CAAC;AACpG,YAAY,EAAE,eAAe,EAAE,MAAM,yBAAyB,CAAC"}

package/dist/server/index.js

@@ -3,4 +3,4 @@ export { exchangeHandoverCode, HandoverExchangeError } from "./provider-token.js
 export { CentralAuthConfigError, ProviderNotConnectedError, ProviderUpstreamError, CentralAuthUnavailableError, AmbiguousAccountError, } from "./provider-token.js";
 // Server-only rechtencheck. Uitsluitend via het "./server" subpath, nooit via
 // de hoofdbarrel.
-export { requireModulePermission } from "./permissions.server.js";
+export { requireModulePermission, getRoleFlags, isSuperadminServer } from "./permissions.server.js";

package/dist/server/permissions.server.d.ts

@@ -1,16 +1,29 @@
 import type { SupabaseClient } from "@supabase/supabase-js";
 export type PermissionLevel = "none" | "view" | "edit";
 /**
- * Server-side rechtencheck via RPC `effective_module_permission()`.
+ * Server-side rechtencheck via RPC `effective_module_permission(_user_id,
+ * _module_id, _feature_id)` (3 argumenten).
  *
- * Bedoeld om te combineren met `requireSupabaseAuth`: geef de authenticated
- * client uit `context.supabase` mee.
+ * Sinds 1.0.23: `_user_id` komt uitsluitend uit de geverifieerde sessie van het
+ * verzoek; moduleniveau = `_feature_id ''`. **Vóór 1.0.23 liet deze functie
+ * alles door** (de RPC werd nooit gevonden → default-allow).
  *
- * - Ontbreekt de RPC (rechten-add-on niet geïnstalleerd) → toegestaan
- *   (default-allow), zodat bestaande shells blijven werken.
- * - Onvoldoende rechten → gooit een `Response` met status 403.
- *
- * Core raakt géén enkele tabel uit het rechtenschema; alleen deze RPC.
+ * - Ontbreekt de RPC (add-on niet geïnstalleerd) → toegestaan (default-allow).
+ * - Geen geldige sessie → 401. Onvoldoende rechten → 403.
  */
 export declare function requireModulePermission(supabase: SupabaseClient<any, any, any>, moduleId: string, featureId?: string | null, level?: PermissionLevel): Promise<PermissionLevel>;
+/**
+ * Sinds 1.0.23. Rolvlaggen uit geverifieerde claims (bijv. `context.claims` uit
+ * requireSupabaseAuth). superadmin ⇒ admin. Zichtbaarheid, geen beveiliging.
+ */
+export declare function getRoleFlags(claims: Record<string, unknown> | undefined | null): {
+    roles: string[];
+    isSuperadmin: boolean;
+    isAdmin: boolean;
+};
+/**
+ * Sinds 1.0.23. Superadmin? Claims eerst, terugval tabel `user_roles` (RLS:
+ * eigen rijen). Zichtbaarheid, geen beveiliging.
+ */
+export declare function isSuperadminServer(supabase: SupabaseClient<any, any, any>, userId: string, claims?: Record<string, unknown> | null): Promise<boolean>;
 //# sourceMappingURL=permissions.server.d.ts.map

package/dist/server/permissions.server.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"permissions.server.d.ts","sourceRoot":"","sources":["../../src/core/server/permissions.server.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,uBAAuB,CAAC;AAE5D,MAAM,MAAM,eAAe,GAAG,MAAM,GAAG,MAAM,GAAG,MAAM,CAAC;AAkBvD;;;;;;;;;;;GAWG;AACH,wBAAsB,uBAAuB,CAC3C,QAAQ,EAAE,cAAc,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,CAAC,EACvC,QAAQ,EAAE,MAAM,EAChB,SAAS,GAAE,MAAM,GAAG,IAAW,EAC/B,KAAK,GAAE,eAAwB,GAC9B,OAAO,CAAC,eAAe,CAAC,CAuB1B"}
+{"version":3,"file":"permissions.server.d.ts","sourceRoot":"","sources":["../../src/core/server/permissions.server.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,uBAAuB,CAAC;AAG5D,MAAM,MAAM,eAAe,GAAG,MAAM,GAAG,MAAM,GAAG,MAAM,CAAC;AAuCvD;;;;;;;;;;GAUG;AACH,wBAAsB,uBAAuB,CAC3C,QAAQ,EAAE,cAAc,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,CAAC,EACvC,QAAQ,EAAE,MAAM,EAChB,SAAS,GAAE,MAAM,GAAG,IAAW,EAC/B,KAAK,GAAE,eAAwB,GAC9B,OAAO,CAAC,eAAe,CAAC,CAyB1B;AAED;;;GAGG;AACH,wBAAgB,YAAY,CAAC,MAAM,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,GAAG,SAAS,GAAG,IAAI;;;;EAK9E;AAED;;;GAGG;AACH,wBAAsB,kBAAkB,CACtC,QAAQ,EAAE,cAAc,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,CAAC,EACvC,MAAM,EAAE,MAAM,EACd,MAAM,CAAC,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,GAAG,IAAI,GACtC,OAAO,CAAC,OAAO,CAAC,CAKlB"}

package/dist/server/permissions.server.js

@@ -1,3 +1,4 @@
+import { getRequest } from "@tanstack/react-start/server";
 const RANK = { none: 0, view: 1, edit: 2 };
 function isMissingRpc(error) {
     const e = (error ?? {});
@@ -10,22 +11,44 @@ function isMissingRpc(error) {
         message.includes("does not exist") ||
         message.includes("could not find the function"));
 }
+/** Bearer-token van het huidige verzoek, of null. */
+function requestToken() {
+    try {
+        const header = getRequest()?.headers?.get("authorization") ?? "";
+        return header.startsWith("Bearer ") ? header.slice(7) || null : null;
+    }
+    catch {
+        return null;
+    }
+}
 /**
- * Server-side rechtencheck via RPC `effective_module_permission()`.
- *
- * Bedoeld om te combineren met `requireSupabaseAuth`: geef de authenticated
- * client uit `context.supabase` mee.
+ * Geverifieerde user-id: uitsluitend uit het token van het verzoek, gevalideerd
+ * bij Supabase Auth (`getUser(token)`). Geen aanroeper-input.
+ */
+async function verifiedUserId(supabase) {
+    const token = requestToken();
+    const { data, error } = token ? await supabase.auth.getUser(token) : await supabase.auth.getUser();
+    if (error || !data?.user?.id)
+        throw new Response("Unauthorized", { status: 401 });
+    return data.user.id;
+}
+/**
+ * Server-side rechtencheck via RPC `effective_module_permission(_user_id,
+ * _module_id, _feature_id)` (3 argumenten).
  *
- * - Ontbreekt de RPC (rechten-add-on niet geïnstalleerd) → toegestaan
- *   (default-allow), zodat bestaande shells blijven werken.
- * - Onvoldoende rechten → gooit een `Response` met status 403.
+ * Sinds 1.0.23: `_user_id` komt uitsluitend uit de geverifieerde sessie van het
+ * verzoek; moduleniveau = `_feature_id ''`. **Vóór 1.0.23 liet deze functie
+ * alles door** (de RPC werd nooit gevonden → default-allow).
  *
- * Core raakt géén enkele tabel uit het rechtenschema; alleen deze RPC.
+ * - Ontbreekt de RPC (add-on niet geïnstalleerd) → toegestaan (default-allow).
+ * - Geen geldige sessie → 401. Onvoldoende rechten → 403.
  */
 export async function requireModulePermission(supabase, moduleId, featureId = null, level = "view") {
+    const userId = await verifiedUserId(supabase);
     const { data, error } = await supabase.rpc("effective_module_permission", {
+        _user_id: userId,
         _module_id: moduleId,
-        _feature_id: featureId,
+        _feature_id: featureId ?? "",
     });
     if (error) {
         if (isMissingRpc(error))
@@ -39,3 +62,25 @@ export async function requireModulePermission(supabase, moduleId, featureId = nu
     }
     return effective;
 }
+/**
+ * Sinds 1.0.23. Rolvlaggen uit geverifieerde claims (bijv. `context.claims` uit
+ * requireSupabaseAuth). superadmin ⇒ admin. Zichtbaarheid, geen beveiliging.
+ */
+export function getRoleFlags(claims) {
+    const raw = claims?.["user_roles"];
+    const roles = Array.isArray(raw) ? raw.map(String) : [];
+    const isSuperadmin = roles.includes("superadmin");
+    return { roles, isSuperadmin, isAdmin: isSuperadmin || roles.includes("admin") };
+}
+/**
+ * Sinds 1.0.23. Superadmin? Claims eerst, terugval tabel `user_roles` (RLS:
+ * eigen rijen). Zichtbaarheid, geen beveiliging.
+ */
+export async function isSuperadminServer(supabase, userId, claims) {
+    if (getRoleFlags(claims).isSuperadmin)
+        return true;
+    const { data, error } = await supabase.from("user_roles").select("role").eq("user_id", userId);
+    if (error || !Array.isArray(data))
+        return false;
+    return data.some((r) => r.role === "superadmin");
+}

package/dist/shell/ShellContext.d.ts

@@ -0,0 +1,26 @@
+import type { FlowModule } from "../types/module.js";
+/**
+ * Sinds 1.0.23. Context vanuit AuthenticatedLayout.
+ * `modules` = de ruwe lijst van de shell (vóór transforms);
+ * `visibleModules` = wat de zijbalk toont (na rechten + extensies).
+ * Zichtbaarheid, geen beveiliging.
+ */
+export interface ShellContextValue {
+    shellId?: string;
+    modules: FlowModule[];
+    visibleModules: FlowModule[];
+    /** True tijdens het eerste laden van de rechten. */
+    permissionsLoading: boolean;
+}
+export declare const ShellContext: import("react").Context<ShellContextValue | null>;
+/** Sinds 1.0.23. `null` buiten AuthenticatedLayout. Zichtbaarheid, geen beveiliging. */
+export declare function useShell(): ShellContextValue | null;
+/**
+ * Sinds 1.0.23. Vorm uit contract §6.1. `null` = geen provider; een lege of
+ * ontbrekende lijst mag nooit iets deactiveren. Zichtbaarheid, geen beveiliging.
+ */
+export declare function useShellModules(): {
+    modules: FlowModule[];
+    shellId?: string;
+} | null;
+//# sourceMappingURL=ShellContext.d.ts.map

package/dist/shell/ShellContext.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"ShellContext.d.ts","sourceRoot":"","sources":["../../src/core/shell/ShellContext.tsx"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,oBAAoB,CAAC;AAErD;;;;;GAKG;AACH,MAAM,WAAW,iBAAiB;IAChC,OAAO,CAAC,EAAE,MAAM,CAAC;IACjB,OAAO,EAAE,UAAU,EAAE,CAAC;IACtB,cAAc,EAAE,UAAU,EAAE,CAAC;IAC7B,oDAAoD;IACpD,kBAAkB,EAAE,OAAO,CAAC;CAC7B;AAED,eAAO,MAAM,YAAY,mDAAgD,CAAC;AAE1E,wFAAwF;AACxF,wBAAgB,QAAQ,IAAI,iBAAiB,GAAG,IAAI,CAEnD;AAED;;;GAGG;AACH,wBAAgB,eAAe,IAAI;IAAE,OAAO,EAAE,UAAU,EAAE,CAAC;IAAC,OAAO,CAAC,EAAE,MAAM,CAAA;CAAE,GAAG,IAAI,CAGpF"}

package/dist/shell/ShellContext.js

@@ -0,0 +1,14 @@
+import { createContext, useContext } from "react";
+export const ShellContext = createContext(null);
+/** Sinds 1.0.23. `null` buiten AuthenticatedLayout. Zichtbaarheid, geen beveiliging. */
+export function useShell() {
+    return useContext(ShellContext);
+}
+/**
+ * Sinds 1.0.23. Vorm uit contract §6.1. `null` = geen provider; een lege of
+ * ontbrekende lijst mag nooit iets deactiveren. Zichtbaarheid, geen beveiliging.
+ */
+export function useShellModules() {
+    const ctx = useContext(ShellContext);
+    return ctx ? { modules: ctx.modules, shellId: ctx.shellId } : null;
+}

package/dist/styles.css

@@ -0,0 +1,127 @@
+@import "tailwindcss";
+@import "tw-animate-css";
+
+
+@custom-variant dark (&:is(.dark *));
+
+@layer base {
+  button, [role="button"], a, [type="button"], [type="submit"], [type="reset"] {
+    cursor: pointer;
+  }
+}
+
+@theme inline {
+  --radius-sm: calc(var(--radius) - 4px);
+  --radius-md: calc(var(--radius) - 2px);
+  --radius-lg: var(--radius);
+  --radius-xl: calc(var(--radius) + 4px);
+  --radius-2xl: calc(var(--radius) + 8px);
+  --radius-3xl: calc(var(--radius) + 12px);
+  --radius-4xl: calc(var(--radius) + 16px);
+  --color-background: var(--background);
+  --color-foreground: var(--foreground);
+  --color-card: var(--card);
+  --color-card-foreground: var(--card-foreground);
+  --color-popover: var(--popover);
+  --color-popover-foreground: var(--popover-foreground);
+  --color-primary: var(--primary);
+  --color-primary-foreground: var(--primary-foreground);
+  --color-secondary: var(--secondary);
+  --color-secondary-foreground: var(--secondary-foreground);
+  --color-muted: var(--muted);
+  --color-muted-foreground: var(--muted-foreground);
+  --color-accent: var(--accent);
+  --color-accent-foreground: var(--accent-foreground);
+  --color-destructive: var(--destructive);
+  --color-destructive-foreground: var(--destructive-foreground);
+  --color-success: var(--success);
+  --color-success-foreground: var(--success-foreground);
+  --color-warning: var(--warning);
+  --color-warning-foreground: var(--warning-foreground);
+  --color-border: var(--border);
+  --color-input: var(--input);
+  --color-ring: var(--ring);
+  --color-chart-1: var(--chart-1);
+  --color-chart-2: var(--chart-2);
+  --color-chart-3: var(--chart-3);
+  --color-chart-4: var(--chart-4);
+  --color-chart-5: var(--chart-5);
+  --color-sidebar: var(--sidebar);
+  --color-sidebar-foreground: var(--sidebar-foreground);
+  --color-sidebar-primary: var(--sidebar-primary);
+  --color-sidebar-primary-foreground: var(--sidebar-primary-foreground);
+  --color-sidebar-accent: var(--sidebar-accent);
+  --color-sidebar-accent-foreground: var(--sidebar-accent-foreground);
+  --color-sidebar-border: var(--sidebar-border);
+  --color-sidebar-ring: var(--sidebar-ring);
+  --color-sidebar-muted: var(--sidebar-muted);
+  --font-sans: 'Inter', ui-sans-serif, system-ui, sans-serif;
+}
+
+:root {
+  --radius: 0.5rem;
+  --background: hsl(210 20% 98%);
+  --foreground: hsl(214 79% 15%);
+  --card: hsl(0 0% 100%);
+  --card-foreground: hsl(214 79% 15%);
+  --popover: hsl(0 0% 100%);
+  --popover-foreground: hsl(214 79% 15%);
+  --primary: hsl(214 79% 33%);
+  --primary-foreground: hsl(0 0% 100%);
+  --secondary: hsl(214 30% 93%);
+  --secondary-foreground: hsl(214 79% 33%);
+  --muted: hsl(210 20% 96%);
+  --muted-foreground: hsl(214 20% 46%);
+  --accent: hsl(214 60% 90%);
+  --accent-foreground: hsl(214 79% 25%);
+  --destructive: hsl(0 72% 51%);
+  --destructive-foreground: hsl(0 0% 100%);
+  --success: hsl(142 71% 45%);
+  --success-foreground: hsl(0 0% 100%);
+  --warning: hsl(38 92% 50%);
+  --warning-foreground: hsl(0 0% 100%);
+  --border: hsl(214 20% 88%);
+  --input: hsl(214 20% 88%);
+  --ring: hsl(214 79% 33%);
+  --chart-1: hsl(214 79% 33%);
+  --chart-2: hsl(142 71% 45%);
+  --chart-3: hsl(38 92% 50%);
+  --chart-4: hsl(0 72% 51%);
+  --chart-5: hsl(280 60% 50%);
+  --sidebar: hsl(214 79% 33%);
+  --sidebar-foreground: hsl(0 0% 100%);
+  --sidebar-primary: hsl(0 0% 100%);
+  --sidebar-primary-foreground: hsl(214 79% 33%);
+  --sidebar-accent: hsl(214 79% 40%);
+  --sidebar-accent-foreground: hsl(0 0% 100%);
+  --sidebar-border: hsl(214 79% 45%);
+  --sidebar-ring: hsl(0 0% 100%);
+  --sidebar-muted: hsl(214 60% 70%);
+}
+
+@layer base {
+  * {
+    border-color: var(--color-border);
+  }
+
+  body {
+    background-color: var(--color-background);
+    color: var(--color-foreground);
+    font-family: var(--font-sans);
+  }
+
+  .sidebar-scroll::-webkit-scrollbar {
+    width: 6px;
+  }
+  .sidebar-scroll::-webkit-scrollbar-track {
+    background: var(--color-sidebar);
+  }
+  .sidebar-scroll::-webkit-scrollbar-thumb {
+    background: var(--color-sidebar-accent);
+    border-radius: 3px;
+  }
+  .sidebar-scroll {
+    scrollbar-color: var(--color-sidebar-accent) var(--color-sidebar);
+    scrollbar-width: thin;
+  }
+}

package/dist/types/module.d.ts

@@ -4,11 +4,35 @@ export interface NavItem {
     label: string;
     href: string;
     icon: LucideIcon;
+    /**
+     * Optionele feature-id voor rechten (sinds 1.0.23). Zonder deze waarde leidt
+     * core hem af uit `href` via `featureKey()`.
+     * Zichtbaarheid, geen beveiliging.
+     */
+    featureId?: string;
     children?: Omit<NavItem, "children">[];
 }
 export interface SettingsCard {
     component: ComponentType;
     order: number;
+    /**
+     * Optioneel (sinds 1.0.23): module waar de kaart rechten van erft. Standaard
+     * de module waarin de kaart staat. Zichtbaarheid, geen beveiliging.
+     */
+    moduleId?: string;
+    /** Optioneel (sinds 1.0.23): feature-id; zonder → moduleniveau. Zichtbaarheid, geen beveiliging. */
+    featureId?: string;
+}
+/**
+ * Featureregistratie (sinds 1.0.23). Alleen typen; schrijven doet de adminmodule
+ * (die `label` naar `name` mapt). Zichtbaarheid, geen beveiliging.
+ */
+export interface FeatureDefinition {
+    /** Pad onder het modulesegment, `/`-gescheiden, bijv. `prijsgroepen/nieuw`. */
+    id: string;
+    label: string;
+    /** Alleen UI-groepering; de database kent geen hiërarchie. */
+    parent?: string;
 }
 export interface FlowModule {
     id: string;
@@ -22,6 +46,8 @@ export interface FlowModule {
      * gelijk is aan de registry-slug.
      */
     registryKey?: string;
+    /** Optioneel (sinds 1.0.23). Zonder → afgeleid uit `nav.children` (`moduleFeatures`). */
+    features?: FeatureDefinition[];
 }
 /**
  * De externe modulesleutel.
@@ -32,12 +58,21 @@ export interface FlowModule {
  *   3. afsluitende underscores worden gestript.
  *
  * Waarom (3): een afsluitende underscore in een routepad is een TanStack
- * un-nesting-conventie (`/voorraad_/detail`), geen betekenisvol segment. Zonder
- * strippen levert dezelfde module twee sleutels op (`voorraad` en `voorraad_`)
- * en verdwijnt hij half uit de zijbalk. Strippen is gekozen boven "registryKey
- * verplicht maken", omdat dat laatste bestaande modules stil zou breken.
+ * un-nesting-conventie (`/voorraad_/detail`), geen betekenisvol segment.
  */
 export declare function moduleKey(mod: FlowModule): string;
 /** Zelfde afleidingsregel, maar voor een los pad (nav-children, URL-pathname). */
 export declare function navKey(href: string): string;
+/**
+ * Feature-id uit een pad (sinds 1.0.23): alles na het modulesegment,
+ * `/`-gescheiden; `index` en `$param`-segmenten vallen weg.
+ * `/klanten/prijsgroepen/nieuw` → `prijsgroepen/nieuw`; `/klanten` → `""`.
+ * Zichtbaarheid, geen beveiliging.
+ */
+export declare function featureKey(href: string): string;
+/**
+ * Features van een module (sinds 1.0.23): `features` als opgegeven, anders
+ * afgeleid uit `nav.children`. Zichtbaarheid, geen beveiliging.
+ */
+export declare function moduleFeatures(mod: FlowModule): FeatureDefinition[];
 //# sourceMappingURL=module.d.ts.map

package/dist/types/module.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"module.d.ts","sourceRoot":"","sources":["../../src/core/types/module.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,aAAa,EAAE,MAAM,OAAO,CAAC;AAC3C,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,cAAc,CAAC;AAE/C,MAAM,WAAW,OAAO;IACtB,KAAK,EAAE,MAAM,CAAC;IACd,IAAI,EAAE,MAAM,CAAC;IACb,IAAI,EAAE,UAAU,CAAC;IACjB,QAAQ,CAAC,EAAE,IAAI,CAAC,OAAO,EAAE,UAAU,CAAC,EAAE,CAAC;CACxC;AAED,MAAM,WAAW,YAAY;IAC3B,SAAS,EAAE,aAAa,CAAC;IACzB,KAAK,EAAE,MAAM,CAAC;CACf;AAED,MAAM,WAAW,UAAU;IACzB,EAAE,EAAE,MAAM,CAAC;IACX,IAAI,EAAE,MAAM,CAAC;IACb,OAAO,EAAE,MAAM,CAAC;IAChB,GAAG,EAAE,OAAO,CAAC;IACb,aAAa,EAAE,YAAY,EAAE,CAAC;IAC9B;;;;OAIG;IACH,WAAW,CAAC,EAAE,MAAM,CAAC;CACtB;AAED;;;;;;;;;;;;;GAaG;AACH,wBAAgB,SAAS,CAAC,GAAG,EAAE,UAAU,GAAG,MAAM,CAGjD;AAED,kFAAkF;AAClF,wBAAgB,MAAM,CAAC,IAAI,EAAE,MAAM,GAAG,MAAM,CAG3C"}
+{"version":3,"file":"module.d.ts","sourceRoot":"","sources":["../../src/core/types/module.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,aAAa,EAAE,MAAM,OAAO,CAAC;AAC3C,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,cAAc,CAAC;AAE/C,MAAM,WAAW,OAAO;IACtB,KAAK,EAAE,MAAM,CAAC;IACd,IAAI,EAAE,MAAM,CAAC;IACb,IAAI,EAAE,UAAU,CAAC;IACjB;;;;OAIG;IACH,SAAS,CAAC,EAAE,MAAM,CAAC;IACnB,QAAQ,CAAC,EAAE,IAAI,CAAC,OAAO,EAAE,UAAU,CAAC,EAAE,CAAC;CACxC;AAED,MAAM,WAAW,YAAY;IAC3B,SAAS,EAAE,aAAa,CAAC;IACzB,KAAK,EAAE,MAAM,CAAC;IACd;;;OAGG;IACH,QAAQ,CAAC,EAAE,MAAM,CAAC;IAClB,oGAAoG;IACpG,SAAS,CAAC,EAAE,MAAM,CAAC;CACpB;AAED;;;GAGG;AACH,MAAM,WAAW,iBAAiB;IAChC,+EAA+E;IAC/E,EAAE,EAAE,MAAM,CAAC;IACX,KAAK,EAAE,MAAM,CAAC;IACd,8DAA8D;IAC9D,MAAM,CAAC,EAAE,MAAM,CAAC;CACjB;AAED,MAAM,WAAW,UAAU;IACzB,EAAE,EAAE,MAAM,CAAC;IACX,IAAI,EAAE,MAAM,CAAC;IACb,OAAO,EAAE,MAAM,CAAC;IAChB,GAAG,EAAE,OAAO,CAAC;IACb,aAAa,EAAE,YAAY,EAAE,CAAC;IAC9B;;;;OAIG;IACH,WAAW,CAAC,EAAE,MAAM,CAAC;IACrB,yFAAyF;IACzF,QAAQ,CAAC,EAAE,iBAAiB,EAAE,CAAC;CAChC;AAED;;;;;;;;;;GAUG;AACH,wBAAgB,SAAS,CAAC,GAAG,EAAE,UAAU,GAAG,MAAM,CAGjD;AAMD,kFAAkF;AAClF,wBAAgB,MAAM,CAAC,IAAI,EAAE,MAAM,GAAG,MAAM,CAG3C;AAED;;;;;GAKG;AACH,wBAAgB,UAAU,CAAC,IAAI,EAAE,MAAM,GAAG,MAAM,CAM/C;AAED;;;GAGG;AACH,wBAAgB,cAAc,CAAC,GAAG,EAAE,UAAU,GAAG,iBAAiB,EAAE,CAQnE"}

package/dist/types/module.js

@@ -7,18 +7,46 @@
  *   3. afsluitende underscores worden gestript.
  *
  * Waarom (3): een afsluitende underscore in een routepad is een TanStack
- * un-nesting-conventie (`/voorraad_/detail`), geen betekenisvol segment. Zonder
- * strippen levert dezelfde module twee sleutels op (`voorraad` en `voorraad_`)
- * en verdwijnt hij half uit de zijbalk. Strippen is gekozen boven "registryKey
- * verplicht maken", omdat dat laatste bestaande modules stil zou breken.
+ * un-nesting-conventie (`/voorraad_/detail`), geen betekenisvol segment.
  */
 export function moduleKey(mod) {
     if (mod.registryKey)
         return mod.registryKey;
     return navKey(mod.nav.href);
 }
+function segments(href) {
+    return href.split("?")[0].split("#")[0].split("/").filter(Boolean);
+}
 /** Zelfde afleidingsregel, maar voor een los pad (nav-children, URL-pathname). */
 export function navKey(href) {
-    const segment = href.split("?")[0].split("#")[0].split("/").filter(Boolean)[0] ?? "";
+    const segment = segments(href)[0] ?? "";
     return segment.replace(/_+$/, "");
 }
+/**
+ * Feature-id uit een pad (sinds 1.0.23): alles na het modulesegment,
+ * `/`-gescheiden; `index` en `$param`-segmenten vallen weg.
+ * `/klanten/prijsgroepen/nieuw` → `prijsgroepen/nieuw`; `/klanten` → `""`.
+ * Zichtbaarheid, geen beveiliging.
+ */
+export function featureKey(href) {
+    return segments(href)
+        .slice(1)
+        .filter((s) => s !== "index" && !s.startsWith("$"))
+        .map((s) => s.replace(/_+$/, ""))
+        .join("/");
+}
+/**
+ * Features van een module (sinds 1.0.23): `features` als opgegeven, anders
+ * afgeleid uit `nav.children`. Zichtbaarheid, geen beveiliging.
+ */
+export function moduleFeatures(mod) {
+    if (mod.features)
+        return mod.features;
+    const out = [];
+    for (const child of mod.nav.children ?? []) {
+        const id = child.featureId ?? featureKey(child.href);
+        if (id && !out.some((f) => f.id === id))
+            out.push({ id, label: child.label });
+    }
+    return out;
+}