@flowselections/core 1.0.22 → 1.0.23

package/dist/permissions/useModulePermission.d.ts

@@ -1,22 +1,22 @@
+import type { ReactNode } from "react";
+import type { FlowModule } from "../types/module.js";
 import type { ModuleListTransform } from "../extensions/ShellExtensions.js";
-export type PermissionLevel = "none" | "view" | "edit";
-export interface ModulePermissionRow {
-    moduleId: string;
-    featureId: string | null;
-    permission: PermissionLevel;
-}
+import { type ModulePermissionRow, type PermissionLevel } from "./resolve.js";
+export type { PermissionLevel, ModulePermissionRow } from "./resolve.js";
 /**
- * Leest de rechten van de ingelogde gebruiker via RPC `my_module_permissions()`.
+ * Rechten van de ingelogde gebruiker via RPC `my_module_permissions()`.
  *
- * Ontbreekt de RPC (add-on niet geïnstalleerd) of faalt de call, dan is het
- * resultaat een LEGE lijst zonder zichtbare fout en zonder retry — en dat
- * betekent bij alle consumers default-allow.
+ * Draait op de gedeelde store; gebruikt React Query alleen als er een
+ * QueryClientProvider is, anders een interne client — crasht nooit zonder
+ * provider. Fail-open: fout of ontbrekende RPC → lege lijst → default-allow.
+ * Zichtbaarheid, geen beveiliging.
  */
 export declare function useMyModulePermissions(): {
+    data: ModulePermissionRow[] | undefined;
     permissions: ModulePermissionRow[];
     /** True zolang we niets weten; callers behandelen dit als allow. */
     isUnknown: boolean;
-    data: ModulePermissionRow[];
+    status: import("./store.js").PermissionStatus;
     error: Error;
     isError: true;
     isPending: false;
@@ -25,7 +25,6 @@ export declare function useMyModulePermissions(): {
     isRefetchError: true;
     isSuccess: false;
     isPlaceholderData: false;
-    status: "error";
     dataUpdatedAt: number;
     errorUpdatedAt: number;
     failureCount: number;
@@ -43,10 +42,11 @@ export declare function useMyModulePermissions(): {
     fetchStatus: import("@tanstack/query-core").FetchStatus;
     promise: Promise<ModulePermissionRow[]>;
 } | {
+    data: ModulePermissionRow[] | undefined;
     permissions: ModulePermissionRow[];
     /** True zolang we niets weten; callers behandelen dit als allow. */
     isUnknown: boolean;
-    data: ModulePermissionRow[];
+    status: import("./store.js").PermissionStatus;
     error: null;
     isError: false;
     isPending: false;
@@ -55,7 +55,6 @@ export declare function useMyModulePermissions(): {
     isRefetchError: false;
     isSuccess: true;
     isPlaceholderData: false;
-    status: "success";
     dataUpdatedAt: number;
     errorUpdatedAt: number;
     failureCount: number;
@@ -73,10 +72,11 @@ export declare function useMyModulePermissions(): {
     fetchStatus: import("@tanstack/query-core").FetchStatus;
     promise: Promise<ModulePermissionRow[]>;
 } | {
+    data: ModulePermissionRow[] | undefined;
     permissions: ModulePermissionRow[];
     /** True zolang we niets weten; callers behandelen dit als allow. */
     isUnknown: boolean;
-    data: undefined;
+    status: import("./store.js").PermissionStatus;
     error: Error;
     isError: true;
     isPending: false;
@@ -85,7 +85,6 @@ export declare function useMyModulePermissions(): {
     isRefetchError: false;
     isSuccess: false;
     isPlaceholderData: false;
-    status: "error";
     dataUpdatedAt: number;
     errorUpdatedAt: number;
     failureCount: number;
@@ -103,10 +102,11 @@ export declare function useMyModulePermissions(): {
     fetchStatus: import("@tanstack/query-core").FetchStatus;
     promise: Promise<ModulePermissionRow[]>;
 } | {
+    data: ModulePermissionRow[] | undefined;
     permissions: ModulePermissionRow[];
     /** True zolang we niets weten; callers behandelen dit als allow. */
     isUnknown: boolean;
-    data: undefined;
+    status: import("./store.js").PermissionStatus;
     error: null;
     isError: false;
     isPending: true;
@@ -115,7 +115,6 @@ export declare function useMyModulePermissions(): {
     isRefetchError: false;
     isSuccess: false;
     isPlaceholderData: false;
-    status: "pending";
     dataUpdatedAt: number;
     errorUpdatedAt: number;
     failureCount: number;
@@ -133,10 +132,11 @@ export declare function useMyModulePermissions(): {
     fetchStatus: import("@tanstack/query-core").FetchStatus;
     promise: Promise<ModulePermissionRow[]>;
 } | {
+    data: ModulePermissionRow[] | undefined;
     permissions: ModulePermissionRow[];
     /** True zolang we niets weten; callers behandelen dit als allow. */
     isUnknown: boolean;
-    data: undefined;
+    status: import("./store.js").PermissionStatus;
     error: null;
     isError: false;
     isPending: true;
@@ -144,7 +144,6 @@ export declare function useMyModulePermissions(): {
     isRefetchError: false;
     isSuccess: false;
     isPlaceholderData: false;
-    status: "pending";
     dataUpdatedAt: number;
     errorUpdatedAt: number;
     failureCount: number;
@@ -163,10 +162,11 @@ export declare function useMyModulePermissions(): {
     fetchStatus: import("@tanstack/query-core").FetchStatus;
     promise: Promise<ModulePermissionRow[]>;
 } | {
+    data: ModulePermissionRow[] | undefined;
     permissions: ModulePermissionRow[];
     /** True zolang we niets weten; callers behandelen dit als allow. */
     isUnknown: boolean;
-    data: ModulePermissionRow[];
+    status: import("./store.js").PermissionStatus;
     isError: false;
     error: null;
     isPending: false;
@@ -175,7 +175,6 @@ export declare function useMyModulePermissions(): {
     isRefetchError: false;
     isSuccess: true;
     isPlaceholderData: true;
-    status: "success";
     dataUpdatedAt: number;
     errorUpdatedAt: number;
     failureCount: number;
@@ -194,8 +193,8 @@ export declare function useMyModulePermissions(): {
     promise: Promise<ModulePermissionRow[]>;
 };
 /**
- * Rechtenniveau voor één module (optioneel één feature). Tijdens laden en bij
- * elke fout is het antwoord `edit` (fail-open).
+ * Rechtenniveau voor één module (optioneel één feature). Tijdens laden, bij
+ * een fout en voor admin/superadmin: `edit`. Zichtbaarheid, geen beveiliging.
  */
 export declare function useModulePermission(moduleId: string, featureId?: string | null): {
     level: PermissionLevel;
@@ -204,14 +203,35 @@ export declare function useModulePermission(moduleId: string, featureId?: string
     isLoading: boolean;
 };
 /**
- * ModuleListTransform die zijbalkitems met `none` weglaat.
- *
- * - Tijdens laden / bij fouten: lijst ongewijzigd.
- * - Modules zonder rij in het rechtenschema: default-allow.
- * - Groepen: de kinderen bepalen zichtbaarheid. Blijft er geen kind over, dan
- *   valt de groep weg. Is de parent-sleutel geweigerd maar een kind toegestaan,
- *   dan blijft de groep staan met alleen de toegestane kinderen — de parent-href
- *   van een groep is een uitklapknop, geen bestemming.
+ * Sinds 1.0.23. `allowed` = niveau ≥ `level` (standaard `view`). Laden → true.
+ * Zichtbaarheid, geen beveiliging.
+ */
+export declare function useCan(moduleId: string, featureId?: string | null, level?: PermissionLevel): {
+    allowed: boolean;
+    level: PermissionLevel;
+    isLoading: boolean;
+};
+export interface CanProps {
+    module: string;
+    feature?: string | null;
+    level?: PermissionLevel;
+    fallback?: ReactNode;
+    children: ReactNode;
+}
+/** Sinds 1.0.23. Rendert children als `useCan` toestaat. Zichtbaarheid, geen beveiliging. */
+export declare function Can({ module, feature, level, fallback, children }: CanProps): import("react").FunctionComponentElement<import("react").FragmentProps>;
+/**
+ * ModuleListTransform die zijbalkitems met `none` weglaat. Laden/fout/admin →
+ * ongewijzigd. Zichtbaarheid, geen beveiliging.
  */
 export declare function useModulePermissionTransform(): ModuleListTransform;
+/**
+ * Sinds 1.0.23. Zijbalkfilter met laadstatus: `loading` = eerste laden (toon
+ * skeleton); na fout of 3 s time-out de volledige lijst.
+ * Zichtbaarheid, geen beveiliging.
+ */
+export declare function usePermissionFilteredModules(modules: FlowModule[], enabled?: boolean): {
+    modules: FlowModule[];
+    loading: boolean;
+};
 //# sourceMappingURL=useModulePermission.d.ts.map

package/dist/permissions/useModulePermission.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"useModulePermission.d.ts","sourceRoot":"","sources":["../../src/core/permissions/useModulePermission.ts"],"names":[],"mappings":"AAKA,OAAO,KAAK,EAAE,mBAAmB,EAAE,MAAM,kCAAkC,CAAC;AAE5E,MAAM,MAAM,eAAe,GAAG,MAAM,GAAG,MAAM,GAAG,MAAM,CAAC;AAEvD,MAAM,WAAW,mBAAmB;IAClC,QAAQ,EAAE,MAAM,CAAC;IACjB,SAAS,EAAE,MAAM,GAAG,IAAI,CAAC;IACzB,UAAU,EAAE,eAAe,CAAC;CAC7B;AAuCD;;;;;;GAMG;AACH,wBAAgB,sBAAsB;;IA0BlC,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;EAGvE;AAyBD;;;GAGG;AACH,wBAAgB,mBAAmB,CAAC,QAAQ,EAAE,MAAM,EAAE,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI;;;;;EAW9E;AAED;;;;;;;;;GASG;AACH,wBAAgB,4BAA4B,IAAI,mBAAmB,CAyBlE"}
+{"version":3,"file":"useModulePermission.d.ts","sourceRoot":"","sources":["../../src/core/permissions/useModulePermission.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,SAAS,EAAE,MAAM,OAAO,CAAC;AAEvC,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,oBAAoB,CAAC;AACrD,OAAO,KAAK,EAAE,mBAAmB,EAAE,MAAM,kCAAkC,CAAC;AAC5E,OAAO,EAIL,KAAK,mBAAmB,EACxB,KAAK,eAAe,EACrB,MAAM,cAAc,CAAC;AAGtB,YAAY,EAAE,eAAe,EAAE,mBAAmB,EAAE,MAAM,cAAc,CAAC;AAiBzE;;;;;;;GAOG;AACH,wBAAgB,sBAAsB;;;IAuBlC,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;IAApE,oEAAoE;;;;;;;;;;;;;;;;;;;;;;;;;;;EAIvE;AAED;;;GAGG;AACH,wBAAgB,mBAAmB,CAAC,QAAQ,EAAE,MAAM,EAAE,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI;;;;;EAW9E;AAED;;;GAGG;AACH,wBAAgB,MAAM,CAAC,QAAQ,EAAE,MAAM,EAAE,SAAS,CAAC,EAAE,MAAM,GAAG,IAAI,EAAE,KAAK,GAAE,eAAwB;;;;EAGlG;AAED,MAAM,WAAW,QAAQ;IACvB,MAAM,EAAE,MAAM,CAAC;IACf,OAAO,CAAC,EAAE,MAAM,GAAG,IAAI,CAAC;IACxB,KAAK,CAAC,EAAE,eAAe,CAAC;IACxB,QAAQ,CAAC,EAAE,SAAS,CAAC;IACrB,QAAQ,EAAE,SAAS,CAAC;CACrB;AAED,6FAA6F;AAC7F,wBAAgB,GAAG,CAAC,EAAE,MAAM,EAAE,OAAO,EAAE,KAAc,EAAE,QAAe,EAAE,QAAQ,EAAE,EAAE,QAAQ,2EAG3F;AAED;;;GAGG;AACH,wBAAgB,4BAA4B,IAAI,mBAAmB,CASlE;AAED;;;;GAIG;AACH,wBAAgB,4BAA4B,CAAC,OAAO,EAAE,UAAU,EAAE,EAAE,OAAO,UAAO;;;EAQjF"}

package/dist/permissions/useModulePermission.js

@@ -1,137 +1,105 @@
-import { useCallback } from "react";
-import { useQuery } from "@tanstack/react-query";
-import { supabase } from "../supabase/client.js";
-import { moduleKey, navKey } from "../types/module.js";
-function normalizeLevel(value) {
-    const v = typeof value === "string" ? value.toLowerCase() : "";
-    if (v === "none" || v === "view" || v === "edit")
-        return v;
-    // Onbekende waarde → fail-open (zichtbaarheid is geen beveiliging).
-    return "edit";
+import { createElement, Fragment, useCallback, useContext } from "react";
+import { QueryClient, QueryClientContext, useQuery } from "@tanstack/react-query";
+import { filterModules, RANK, resolveLevel, } from "./resolve.js";
+import { getPermissionSnapshot, loadPermissions, usePermissionSnapshot } from "./store.js";
+let fallbackClient = null;
+function getFallbackClient() {
+    if (!fallbackClient)
+        fallbackClient = new QueryClient();
+    return fallbackClient;
 }
-function normalizeRows(data) {
-    if (!Array.isArray(data))
-        return [];
-    return data.map((raw) => {
-        const row = (raw ?? {});
-        const rawModule = (row["module_id"] ?? row["moduleId"] ?? "");
-        const rawFeature = (row["feature_id"] ?? row["featureId"] ?? null);
-        return {
-            moduleId: navKey(String(rawModule ?? "")),
-            featureId: rawFeature ? String(rawFeature) : null,
-            permission: normalizeLevel(row["permission"] ?? row["level"] ?? row["permission_level"]),
-        };
-    });
+function rolesAreAdmin(roles) {
+    return roles.includes("admin") || roles.includes("superadmin");
 }
-/** Waar of de fout betekent "de rechten-add-on staat niet op deze database". */
-function isMissingRpc(error) {
-    const e = (error ?? {});
-    const code = e.code ?? "";
-    const message = (e.message ?? "").toLowerCase();
-    return (code === "42883" ||
-        code === "PGRST202" ||
-        code === "PGRST302" ||
-        e.status === 404 ||
-        message.includes("does not exist") ||
-        message.includes("could not find the function") ||
-        message.includes("schema cache"));
+/** Snapshot → bekend? Laden = onbekend; fout/time-out = bekend (leeg → allow). */
+function isKnown(s) {
+    return s.status !== "loading";
 }
 /**
- * Leest de rechten van de ingelogde gebruiker via RPC `my_module_permissions()`.
+ * Rechten van de ingelogde gebruiker via RPC `my_module_permissions()`.
  *
- * Ontbreekt de RPC (add-on niet geïnstalleerd) of faalt de call, dan is het
- * resultaat een LEGE lijst zonder zichtbare fout en zonder retry — en dat
- * betekent bij alle consumers default-allow.
+ * Draait op de gedeelde store; gebruikt React Query alleen als er een
+ * QueryClientProvider is, anders een interne client — crasht nooit zonder
+ * provider. Fail-open: fout of ontbrekende RPC → lege lijst → default-allow.
+ * Zichtbaarheid, geen beveiliging.
  */
 export function useMyModulePermissions() {
+    const snap = usePermissionSnapshot();
+    const ctxClient = useContext(QueryClientContext);
     const query = useQuery({
-        queryKey: ["my-module-permissions"],
+        queryKey: ["my-module-permissions", snap.userId],
         queryFn: async () => {
-            const { data, error } = await supabase.rpc("my_module_permissions");
-            if (error) {
-                if (isMissingRpc(error))
-                    return [];
-                // Ook andere fouten mogen niet blokkeren: fail-open, geen retry.
-                return [];
-            }
-            return normalizeRows(data);
+            await loadPermissions(getPermissionSnapshot().userId);
+            return getPermissionSnapshot().rows;
         },
-        // GEEN retry: een ontbrekende RPC mag nooit een retry-storm veroorzaken.
+        enabled: snap.status !== "loading",
+        initialData: isKnown(snap) ? snap.rows : undefined,
         retry: false,
         refetchOnWindowFocus: false,
         staleTime: 5 * 60 * 1000,
-    });
+    }, ctxClient ?? getFallbackClient());
     return {
         ...query,
-        permissions: query.data ?? [],
+        data: isKnown(snap) ? snap.rows : query.data,
+        permissions: isKnown(snap) ? snap.rows : [],
         /** True zolang we niets weten; callers behandelen dit als allow. */
-        isUnknown: query.isLoading || query.data === undefined,
+        isUnknown: !isKnown(snap),
+        status: snap.status,
     };
 }
-function resolveLevel(rows, moduleId, featureId) {
-    const key = navKey(moduleId);
-    const forModule = rows.filter((r) => r.moduleId === key);
-    // Geen rij voor deze module → default-allow.
-    if (forModule.length === 0)
-        return "edit";
-    if (featureId) {
-        const feature = forModule.find((r) => r.featureId === featureId);
-        if (feature)
-            return feature.permission;
-    }
-    const moduleLevel = forModule.find((r) => !r.featureId);
-    if (moduleLevel)
-        return moduleLevel.permission;
-    // Alleen feature-rijen bekend: hoogste feature-recht bepaalt moduletoegang.
-    if (forModule.some((r) => r.permission === "edit"))
-        return "edit";
-    if (forModule.some((r) => r.permission === "view"))
-        return "view";
-    return "none";
-}
 /**
- * Rechtenniveau voor één module (optioneel één feature). Tijdens laden en bij
- * elke fout is het antwoord `edit` (fail-open).
+ * Rechtenniveau voor één module (optioneel één feature). Tijdens laden, bij
+ * een fout en voor admin/superadmin: `edit`. Zichtbaarheid, geen beveiliging.
  */
 export function useModulePermission(moduleId, featureId) {
-    const { permissions, isUnknown } = useMyModulePermissions();
-    const level = isUnknown ? "edit" : resolveLevel(permissions, moduleId, featureId);
+    const snap = usePermissionSnapshot();
+    const unknown = !isKnown(snap);
+    const level = unknown || rolesAreAdmin(snap.roles) ? "edit" : resolveLevel(snap.rows, moduleId, featureId);
     return {
         level,
         canView: level === "view" || level === "edit",
         canEdit: level === "edit",
-        isLoading: isUnknown,
+        isLoading: unknown,
     };
 }
 /**
- * ModuleListTransform die zijbalkitems met `none` weglaat.
- *
- * - Tijdens laden / bij fouten: lijst ongewijzigd.
- * - Modules zonder rij in het rechtenschema: default-allow.
- * - Groepen: de kinderen bepalen zichtbaarheid. Blijft er geen kind over, dan
- *   valt de groep weg. Is de parent-sleutel geweigerd maar een kind toegestaan,
- *   dan blijft de groep staan met alleen de toegestane kinderen — de parent-href
- *   van een groep is een uitklapknop, geen bestemming.
+ * Sinds 1.0.23. `allowed` = niveau ≥ `level` (standaard `view`). Laden → true.
+ * Zichtbaarheid, geen beveiliging.
+ */
+export function useCan(moduleId, featureId, level = "view") {
+    const p = useModulePermission(moduleId, featureId);
+    return { allowed: RANK[p.level] >= RANK[level], level: p.level, isLoading: p.isLoading };
+}
+/** Sinds 1.0.23. Rendert children als `useCan` toestaat. Zichtbaarheid, geen beveiliging. */
+export function Can({ module, feature, level = "view", fallback = null, children }) {
+    const { allowed } = useCan(module, feature ?? null, level);
+    return createElement(Fragment, null, allowed ? children : fallback);
+}
+/**
+ * ModuleListTransform die zijbalkitems met `none` weglaat. Laden/fout/admin →
+ * ongewijzigd. Zichtbaarheid, geen beveiliging.
  */
 export function useModulePermissionTransform() {
-    const { permissions, isUnknown } = useMyModulePermissions();
+    const snap = usePermissionSnapshot();
     return useCallback((modules) => {
-        if (isUnknown || permissions.length === 0)
+        if (!isKnown(snap) || rolesAreAdmin(snap.roles))
             return modules;
-        const result = [];
-        for (const mod of modules) {
-            const children = mod.nav.children;
-            if (children?.length) {
-                const allowed = children.filter((child) => resolveLevel(permissions, navKey(child.href)) !== "none");
-                if (allowed.length === 0)
-                    continue;
-                result.push({ ...mod, nav: { ...mod.nav, children: allowed } });
-                continue;
-            }
-            if (resolveLevel(permissions, moduleKey(mod)) === "none")
-                continue;
-            result.push(mod);
-        }
-        return result;
-    }, [permissions, isUnknown]);
+        return filterModules(modules, snap.rows);
+    }, [snap]);
+}
+/**
+ * Sinds 1.0.23. Zijbalkfilter met laadstatus: `loading` = eerste laden (toon
+ * skeleton); na fout of 3 s time-out de volledige lijst.
+ * Zichtbaarheid, geen beveiliging.
+ */
+export function usePermissionFilteredModules(modules, enabled = true) {
+    const snap = usePermissionSnapshot();
+    if (!enabled)
+        return { modules, loading: false };
+    if (snap.status === "loading") {
+        return { modules, loading: !rolesAreAdmin(snap.roles) };
+    }
+    if (rolesAreAdmin(snap.roles) || snap.status !== "ready")
+        return { modules, loading: false };
+    return { modules: filterModules(modules, snap.rows), loading: false };
 }

package/dist/routes/index.d.ts

@@ -0,0 +1,48 @@
+export interface SystemRouteOptions {
+    /** Pad als er geen geldig `?redirect` is (na inloggen, handover, reset). */
+    landing: string;
+    /** Pad van de inlogpagina. Standaard "/login". */
+    loginPath?: string;
+}
+export interface LoginSearch {
+    redirect?: string;
+}
+/** `/login`: ingelogd → `?redirect` (alleen same-site) wint van `landing`. */
+export declare function loginRoute({ landing }: SystemRouteOptions): {
+    validateSearch: (search: Record<string, unknown>) => LoginSearch;
+    beforeLoad: ({ context, search }: {
+        context: unknown;
+        search: LoginSearch;
+    }) => void;
+    head: () => {
+        meta: {
+            title: string;
+        }[];
+    };
+    component: () => import("react/jsx-runtime").JSX.Element;
+};
+/** `/reset-wachtwoord`: de core-pagina, daarna naar `landing`. */
+export declare function resetPasswordRoute({ landing, loginPath }: SystemRouteOptions): {
+    head: () => {
+        meta: {
+            title: string;
+        }[];
+    };
+    component: () => import("react/jsx-runtime").JSX.Element;
+};
+/** `/`: redirect in beforeLoad, dus er wordt niets gerenderd (geen flits). */
+export declare function landingRoute({ landing }: Pick<SystemRouteOptions, "landing">): {
+    beforeLoad: () => never;
+    component: () => null;
+};
+/** `/auth/handover`: client-only, want de sessie staat alleen in localStorage. */
+export declare function handoverRoute({ landing, loginPath }: SystemRouteOptions): {
+    ssr: false;
+    head: () => {
+        meta: {
+            title: string;
+        }[];
+    };
+    component: () => import("react/jsx-runtime").JSX.Element;
+};
+//# sourceMappingURL=index.d.ts.map

package/dist/routes/index.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../src/core/routes/index.tsx"],"names":[],"mappings":"AAeA,MAAM,WAAW,kBAAkB;IACjC,4EAA4E;IAC5E,OAAO,EAAE,MAAM,CAAC;IAChB,kDAAkD;IAClD,SAAS,CAAC,EAAE,MAAM,CAAC;CACpB;AAED,MAAM,WAAW,WAAW;IAC1B,QAAQ,CAAC,EAAE,MAAM,CAAC;CACnB;AAMD,8EAA8E;AAC9E,wBAAgB,UAAU,CAAC,EAAE,OAAO,EAAE,EAAE,kBAAkB;6BAE7B,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,KAAG,WAAW;sCAE5B;QAAE,OAAO,EAAE,OAAO,CAAC;QAAC,MAAM,EAAE,WAAW,CAAA;KAAE;;;;;;;EAU9E;AAED,kEAAkE;AAClE,wBAAgB,kBAAkB,CAAC,EAAE,OAAO,EAAE,SAAoB,EAAE,EAAE,kBAAkB;;;;;;;EAOvF;AAED,8EAA8E;AAC9E,wBAAgB,YAAY,CAAC,EAAE,OAAO,EAAE,EAAE,IAAI,CAAC,kBAAkB,EAAE,SAAS,CAAC;sBAEzD,KAAK;;EAOxB;AAED,kFAAkF;AAClF,wBAAgB,aAAa,CAAC,EAAE,OAAO,EAAE,SAAoB,EAAE,EAAE,kBAAkB;;;;;;;;EAQlF"}

package/dist/routes/index.js

@@ -0,0 +1,63 @@
+import { jsx as _jsx } from "react/jsx-runtime";
+/**
+ * Route-opties voor de systeemroutes. Shells houden per route een dun,
+ * gegenereerd omhulsel:
+ *
+ *   export const Route = createFileRoute("/login")(loginRoute({ landing: "/voorraad" }));
+ *
+ * Core levert de volledige opties, zodat een wijziging aan een systeempagina
+ * met één core-update in alle shells landt.
+ */
+import { redirect } from "@tanstack/react-router";
+import { LoginPage } from "../components/layout/LoginPage.js";
+import { ResetWachtwoordPage } from "../components/layout/ResetWachtwoordPage.js";
+import { HandoverPage } from "../components/layout/HandoverPage.js";
+import { safeRedirectPath } from "../auth/redirect.js";
+function isAuthenticated(context) {
+    return Boolean(context?.auth?.isAuthenticated);
+}
+/** `/login`: ingelogd → `?redirect` (alleen same-site) wint van `landing`. */
+export function loginRoute({ landing }) {
+    return {
+        validateSearch: (search) => typeof search.redirect === "string" ? { redirect: search.redirect } : {},
+        beforeLoad: ({ context, search }) => {
+            if (isAuthenticated(context)) {
+                throw redirect({ href: safeRedirectPath(search?.redirect, landing) });
+            }
+        },
+        head: () => ({ meta: [{ title: "Inloggen" }] }),
+        component: function LoginRouteComponent() {
+            return _jsx(LoginPage, { redirectTo: landing });
+        },
+    };
+}
+/** `/reset-wachtwoord`: de core-pagina, daarna naar `landing`. */
+export function resetPasswordRoute({ landing, loginPath = "/login" }) {
+    return {
+        head: () => ({ meta: [{ title: "Nieuw wachtwoord instellen" }] }),
+        component: function ResetPasswordRouteComponent() {
+            return _jsx(ResetWachtwoordPage, { redirectTo: landing, loginPath: loginPath });
+        },
+    };
+}
+/** `/`: redirect in beforeLoad, dus er wordt niets gerenderd (geen flits). */
+export function landingRoute({ landing }) {
+    return {
+        beforeLoad: () => {
+            throw redirect({ href: landing });
+        },
+        component: function LandingRouteComponent() {
+            return null;
+        },
+    };
+}
+/** `/auth/handover`: client-only, want de sessie staat alleen in localStorage. */
+export function handoverRoute({ landing, loginPath = "/login" }) {
+    return {
+        ssr: false,
+        head: () => ({ meta: [{ title: "Aanmelden" }] }),
+        component: function HandoverRouteComponent() {
+            return _jsx(HandoverPage, { redirectTo: landing, loginPath: loginPath });
+        },
+    };
+}

package/dist/server/index.d.ts

@@ -3,6 +3,6 @@ export type { ProviderAccount } from "./provider-token.js";
 export { exchangeHandoverCode, HandoverExchangeError } from "./provider-token.js";
 export type { HandoverSession } from "./provider-token.js";
 export { CentralAuthConfigError, ProviderNotConnectedError, ProviderUpstreamError, CentralAuthUnavailableError, AmbiguousAccountError, } from "./provider-token.js";
-export { requireModulePermission } from "./permissions.server.js";
+export { requireModulePermission, getRoleFlags, isSuperadminServer } from "./permissions.server.js";
 export type { PermissionLevel } from "./permissions.server.js";
 //# sourceMappingURL=index.d.ts.map

package/dist/server/index.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../src/core/server/index.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,gBAAgB,EAAE,oBAAoB,EAAE,qBAAqB,EAAE,MAAM,qBAAqB,CAAC;AACpG,YAAY,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AAC3D,OAAO,EAAE,oBAAoB,EAAE,qBAAqB,EAAE,MAAM,qBAAqB,CAAC;AAClF,YAAY,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AAC3D,OAAO,EACL,sBAAsB,EACtB,yBAAyB,EACzB,qBAAqB,EACrB,2BAA2B,EAC3B,qBAAqB,GACtB,MAAM,qBAAqB,CAAC;AAI7B,OAAO,EAAE,uBAAuB,EAAE,MAAM,yBAAyB,CAAC;AAClE,YAAY,EAAE,eAAe,EAAE,MAAM,yBAAyB,CAAC"}
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../src/core/server/index.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,gBAAgB,EAAE,oBAAoB,EAAE,qBAAqB,EAAE,MAAM,qBAAqB,CAAC;AACpG,YAAY,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AAC3D,OAAO,EAAE,oBAAoB,EAAE,qBAAqB,EAAE,MAAM,qBAAqB,CAAC;AAClF,YAAY,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AAC3D,OAAO,EACL,sBAAsB,EACtB,yBAAyB,EACzB,qBAAqB,EACrB,2BAA2B,EAC3B,qBAAqB,GACtB,MAAM,qBAAqB,CAAC;AAI7B,OAAO,EAAE,uBAAuB,EAAE,YAAY,EAAE,kBAAkB,EAAE,MAAM,yBAAyB,CAAC;AACpG,YAAY,EAAE,eAAe,EAAE,MAAM,yBAAyB,CAAC"}

package/dist/server/index.js

@@ -3,4 +3,4 @@ export { exchangeHandoverCode, HandoverExchangeError } from "./provider-token.js
 export { CentralAuthConfigError, ProviderNotConnectedError, ProviderUpstreamError, CentralAuthUnavailableError, AmbiguousAccountError, } from "./provider-token.js";
 // Server-only rechtencheck. Uitsluitend via het "./server" subpath, nooit via
 // de hoofdbarrel.
-export { requireModulePermission } from "./permissions.server.js";
+export { requireModulePermission, getRoleFlags, isSuperadminServer } from "./permissions.server.js";

package/dist/server/permissions.server.d.ts

@@ -1,16 +1,29 @@
 import type { SupabaseClient } from "@supabase/supabase-js";
 export type PermissionLevel = "none" | "view" | "edit";
 /**
- * Server-side rechtencheck via RPC `effective_module_permission()`.
+ * Server-side rechtencheck via RPC `effective_module_permission(_user_id,
+ * _module_id, _feature_id)` (3 argumenten).
  *
- * Bedoeld om te combineren met `requireSupabaseAuth`: geef de authenticated
- * client uit `context.supabase` mee.
+ * Sinds 1.0.23: `_user_id` komt uitsluitend uit de geverifieerde sessie van het
+ * verzoek; moduleniveau = `_feature_id ''`. **Vóór 1.0.23 liet deze functie
+ * alles door** (de RPC werd nooit gevonden → default-allow).
  *
- * - Ontbreekt de RPC (rechten-add-on niet geïnstalleerd) → toegestaan
- *   (default-allow), zodat bestaande shells blijven werken.
- * - Onvoldoende rechten → gooit een `Response` met status 403.
- *
- * Core raakt géén enkele tabel uit het rechtenschema; alleen deze RPC.
+ * - Ontbreekt de RPC (add-on niet geïnstalleerd) → toegestaan (default-allow).
+ * - Geen geldige sessie → 401. Onvoldoende rechten → 403.
  */
 export declare function requireModulePermission(supabase: SupabaseClient<any, any, any>, moduleId: string, featureId?: string | null, level?: PermissionLevel): Promise<PermissionLevel>;
+/**
+ * Sinds 1.0.23. Rolvlaggen uit geverifieerde claims (bijv. `context.claims` uit
+ * requireSupabaseAuth). superadmin ⇒ admin. Zichtbaarheid, geen beveiliging.
+ */
+export declare function getRoleFlags(claims: Record<string, unknown> | undefined | null): {
+    roles: string[];
+    isSuperadmin: boolean;
+    isAdmin: boolean;
+};
+/**
+ * Sinds 1.0.23. Superadmin? Claims eerst, terugval tabel `user_roles` (RLS:
+ * eigen rijen). Zichtbaarheid, geen beveiliging.
+ */
+export declare function isSuperadminServer(supabase: SupabaseClient<any, any, any>, userId: string, claims?: Record<string, unknown> | null): Promise<boolean>;
 //# sourceMappingURL=permissions.server.d.ts.map

package/dist/server/permissions.server.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"permissions.server.d.ts","sourceRoot":"","sources":["../../src/core/server/permissions.server.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,uBAAuB,CAAC;AAE5D,MAAM,MAAM,eAAe,GAAG,MAAM,GAAG,MAAM,GAAG,MAAM,CAAC;AAkBvD;;;;;;;;;;;GAWG;AACH,wBAAsB,uBAAuB,CAC3C,QAAQ,EAAE,cAAc,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,CAAC,EACvC,QAAQ,EAAE,MAAM,EAChB,SAAS,GAAE,MAAM,GAAG,IAAW,EAC/B,KAAK,GAAE,eAAwB,GAC9B,OAAO,CAAC,eAAe,CAAC,CAuB1B"}
+{"version":3,"file":"permissions.server.d.ts","sourceRoot":"","sources":["../../src/core/server/permissions.server.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,uBAAuB,CAAC;AAG5D,MAAM,MAAM,eAAe,GAAG,MAAM,GAAG,MAAM,GAAG,MAAM,CAAC;AAuCvD;;;;;;;;;;GAUG;AACH,wBAAsB,uBAAuB,CAC3C,QAAQ,EAAE,cAAc,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,CAAC,EACvC,QAAQ,EAAE,MAAM,EAChB,SAAS,GAAE,MAAM,GAAG,IAAW,EAC/B,KAAK,GAAE,eAAwB,GAC9B,OAAO,CAAC,eAAe,CAAC,CAyB1B;AAED;;;GAGG;AACH,wBAAgB,YAAY,CAAC,MAAM,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,GAAG,SAAS,GAAG,IAAI;;;;EAK9E;AAED;;;GAGG;AACH,wBAAsB,kBAAkB,CACtC,QAAQ,EAAE,cAAc,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,CAAC,EACvC,MAAM,EAAE,MAAM,EACd,MAAM,CAAC,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,GAAG,IAAI,GACtC,OAAO,CAAC,OAAO,CAAC,CAKlB"}