@flowselections/core 1.0.22 → 1.0.24

package/dist/permissions/useModulePermission.js

@@ -1,137 +1,105 @@
-import { useCallback } from "react";
-import { useQuery } from "@tanstack/react-query";
-import { supabase } from "../supabase/client.js";
-import { moduleKey, navKey } from "../types/module.js";
-function normalizeLevel(value) {
-    const v = typeof value === "string" ? value.toLowerCase() : "";
-    if (v === "none" || v === "view" || v === "edit")
-        return v;
-    // Onbekende waarde → fail-open (zichtbaarheid is geen beveiliging).
-    return "edit";
+import { createElement, Fragment, useCallback, useContext } from "react";
+import { QueryClient, QueryClientContext, useQuery } from "@tanstack/react-query";
+import { filterModules, RANK, resolveLevel, } from "./resolve.js";
+import { getPermissionSnapshot, loadPermissions, usePermissionSnapshot } from "./store.js";
+let fallbackClient = null;
+function getFallbackClient() {
+    if (!fallbackClient)
+        fallbackClient = new QueryClient();
+    return fallbackClient;
 }
-function normalizeRows(data) {
-    if (!Array.isArray(data))
-        return [];
-    return data.map((raw) => {
-        const row = (raw ?? {});
-        const rawModule = (row["module_id"] ?? row["moduleId"] ?? "");
-        const rawFeature = (row["feature_id"] ?? row["featureId"] ?? null);
-        return {
-            moduleId: navKey(String(rawModule ?? "")),
-            featureId: rawFeature ? String(rawFeature) : null,
-            permission: normalizeLevel(row["permission"] ?? row["level"] ?? row["permission_level"]),
-        };
-    });
+function rolesAreAdmin(roles) {
+    return roles.includes("admin") || roles.includes("superadmin");
 }
-/** Waar of de fout betekent "de rechten-add-on staat niet op deze database". */
-function isMissingRpc(error) {
-    const e = (error ?? {});
-    const code = e.code ?? "";
-    const message = (e.message ?? "").toLowerCase();
-    return (code === "42883" ||
-        code === "PGRST202" ||
-        code === "PGRST302" ||
-        e.status === 404 ||
-        message.includes("does not exist") ||
-        message.includes("could not find the function") ||
-        message.includes("schema cache"));
+/** Snapshot → bekend? Laden = onbekend; fout/time-out = bekend (leeg → allow). */
+function isKnown(s) {
+    return s.status !== "loading";
 }
 /**
- * Leest de rechten van de ingelogde gebruiker via RPC `my_module_permissions()`.
+ * Rechten van de ingelogde gebruiker via RPC `my_module_permissions()`.
  *
- * Ontbreekt de RPC (add-on niet geïnstalleerd) of faalt de call, dan is het
- * resultaat een LEGE lijst zonder zichtbare fout en zonder retry — en dat
- * betekent bij alle consumers default-allow.
+ * Draait op de gedeelde store; gebruikt React Query alleen als er een
+ * QueryClientProvider is, anders een interne client — crasht nooit zonder
+ * provider. Fail-open: fout of ontbrekende RPC → lege lijst → default-allow.
+ * Zichtbaarheid, geen beveiliging.
  */
 export function useMyModulePermissions() {
+    const snap = usePermissionSnapshot();
+    const ctxClient = useContext(QueryClientContext);
     const query = useQuery({
-        queryKey: ["my-module-permissions"],
+        queryKey: ["my-module-permissions", snap.userId],
         queryFn: async () => {
-            const { data, error } = await supabase.rpc("my_module_permissions");
-            if (error) {
-                if (isMissingRpc(error))
-                    return [];
-                // Ook andere fouten mogen niet blokkeren: fail-open, geen retry.
-                return [];
-            }
-            return normalizeRows(data);
+            await loadPermissions(getPermissionSnapshot().userId);
+            return getPermissionSnapshot().rows;
         },
-        // GEEN retry: een ontbrekende RPC mag nooit een retry-storm veroorzaken.
+        enabled: snap.status !== "loading",
+        initialData: isKnown(snap) ? snap.rows : undefined,
         retry: false,
         refetchOnWindowFocus: false,
         staleTime: 5 * 60 * 1000,
-    });
+    }, ctxClient ?? getFallbackClient());
     return {
         ...query,
-        permissions: query.data ?? [],
+        data: isKnown(snap) ? snap.rows : query.data,
+        permissions: isKnown(snap) ? snap.rows : [],
         /** True zolang we niets weten; callers behandelen dit als allow. */
-        isUnknown: query.isLoading || query.data === undefined,
+        isUnknown: !isKnown(snap),
+        status: snap.status,
     };
 }
-function resolveLevel(rows, moduleId, featureId) {
-    const key = navKey(moduleId);
-    const forModule = rows.filter((r) => r.moduleId === key);
-    // Geen rij voor deze module → default-allow.
-    if (forModule.length === 0)
-        return "edit";
-    if (featureId) {
-        const feature = forModule.find((r) => r.featureId === featureId);
-        if (feature)
-            return feature.permission;
-    }
-    const moduleLevel = forModule.find((r) => !r.featureId);
-    if (moduleLevel)
-        return moduleLevel.permission;
-    // Alleen feature-rijen bekend: hoogste feature-recht bepaalt moduletoegang.
-    if (forModule.some((r) => r.permission === "edit"))
-        return "edit";
-    if (forModule.some((r) => r.permission === "view"))
-        return "view";
-    return "none";
-}
 /**
- * Rechtenniveau voor één module (optioneel één feature). Tijdens laden en bij
- * elke fout is het antwoord `edit` (fail-open).
+ * Rechtenniveau voor één module (optioneel één feature). Tijdens laden, bij
+ * een fout en voor admin/superadmin: `edit`. Zichtbaarheid, geen beveiliging.
  */
 export function useModulePermission(moduleId, featureId) {
-    const { permissions, isUnknown } = useMyModulePermissions();
-    const level = isUnknown ? "edit" : resolveLevel(permissions, moduleId, featureId);
+    const snap = usePermissionSnapshot();
+    const unknown = !isKnown(snap);
+    const level = unknown || rolesAreAdmin(snap.roles) ? "edit" : resolveLevel(snap.rows, moduleId, featureId);
     return {
         level,
         canView: level === "view" || level === "edit",
         canEdit: level === "edit",
-        isLoading: isUnknown,
+        isLoading: unknown,
     };
 }
 /**
- * ModuleListTransform die zijbalkitems met `none` weglaat.
- *
- * - Tijdens laden / bij fouten: lijst ongewijzigd.
- * - Modules zonder rij in het rechtenschema: default-allow.
- * - Groepen: de kinderen bepalen zichtbaarheid. Blijft er geen kind over, dan
- *   valt de groep weg. Is de parent-sleutel geweigerd maar een kind toegestaan,
- *   dan blijft de groep staan met alleen de toegestane kinderen — de parent-href
- *   van een groep is een uitklapknop, geen bestemming.
+ * Sinds 1.0.23. `allowed` = niveau ≥ `level` (standaard `view`). Laden → true.
+ * Zichtbaarheid, geen beveiliging.
+ */
+export function useCan(moduleId, featureId, level = "view") {
+    const p = useModulePermission(moduleId, featureId);
+    return { allowed: RANK[p.level] >= RANK[level], level: p.level, isLoading: p.isLoading };
+}
+/** Sinds 1.0.23. Rendert children als `useCan` toestaat. Zichtbaarheid, geen beveiliging. */
+export function Can({ module, feature, level = "view", fallback = null, children }) {
+    const { allowed } = useCan(module, feature ?? null, level);
+    return createElement(Fragment, null, allowed ? children : fallback);
+}
+/**
+ * ModuleListTransform die zijbalkitems met `none` weglaat. Laden/fout/admin →
+ * ongewijzigd. Zichtbaarheid, geen beveiliging.
  */
 export function useModulePermissionTransform() {
-    const { permissions, isUnknown } = useMyModulePermissions();
+    const snap = usePermissionSnapshot();
     return useCallback((modules) => {
-        if (isUnknown || permissions.length === 0)
+        if (!isKnown(snap) || rolesAreAdmin(snap.roles))
             return modules;
-        const result = [];
-        for (const mod of modules) {
-            const children = mod.nav.children;
-            if (children?.length) {
-                const allowed = children.filter((child) => resolveLevel(permissions, navKey(child.href)) !== "none");
-                if (allowed.length === 0)
-                    continue;
-                result.push({ ...mod, nav: { ...mod.nav, children: allowed } });
-                continue;
-            }
-            if (resolveLevel(permissions, moduleKey(mod)) === "none")
-                continue;
-            result.push(mod);
-        }
-        return result;
-    }, [permissions, isUnknown]);
+        return filterModules(modules, snap.rows);
+    }, [snap]);
+}
+/**
+ * Sinds 1.0.23. Zijbalkfilter met laadstatus: `loading` = eerste laden (toon
+ * skeleton); na fout of 3 s time-out de volledige lijst.
+ * Zichtbaarheid, geen beveiliging.
+ */
+export function usePermissionFilteredModules(modules, enabled = true) {
+    const snap = usePermissionSnapshot();
+    if (!enabled)
+        return { modules, loading: false };
+    if (snap.status === "loading") {
+        return { modules, loading: !rolesAreAdmin(snap.roles) };
+    }
+    if (rolesAreAdmin(snap.roles) || snap.status !== "ready")
+        return { modules, loading: false };
+    return { modules: filterModules(modules, snap.rows), loading: false };
 }

package/dist/routes/index.d.ts

@@ -0,0 +1,50 @@
+export interface SystemRouteOptions {
+    /** Pad als er geen geldig `?redirect` is (na inloggen, handover, reset). */
+    landing: string;
+    /** Pad van de inlogpagina. Standaard "/login". */
+    loginPath?: string;
+}
+export interface LoginSearch {
+    redirect?: string;
+}
+/** `/login`: ingelogd → `?redirect` (alleen same-site) wint van `landing`. */
+export declare function loginRoute({ landing }: SystemRouteOptions): {
+    validateSearch: (search: Record<string, unknown>) => LoginSearch;
+    beforeLoad: ({ context, search }: {
+        context: unknown;
+        search: LoginSearch;
+    }) => void;
+    head: () => {
+        meta: {
+            title: string;
+        }[];
+    };
+    component: () => import("react/jsx-runtime").JSX.Element;
+};
+/** `/reset-wachtwoord`: de core-pagina, daarna naar `landing`. */
+export declare function resetPasswordRoute({ landing, loginPath }: SystemRouteOptions): {
+    head: () => {
+        meta: {
+            title: string;
+        }[];
+    };
+    component: () => import("react/jsx-runtime").JSX.Element;
+};
+/** `/`: redirect in beforeLoad, dus er wordt niets gerenderd (geen flits). */
+export declare function landingRoute({ landing }: Pick<SystemRouteOptions, "landing">): {
+    beforeLoad: () => never;
+    component: () => null;
+};
+/** `/auth/handover`: client-only, want de sessie staat alleen in localStorage. */
+export declare function handoverRoute({ landing, loginPath, exchangePath, }: SystemRouteOptions & {
+    exchangePath?: string;
+}): {
+    ssr: false;
+    head: () => {
+        meta: {
+            title: string;
+        }[];
+    };
+    component: () => import("react/jsx-runtime").JSX.Element;
+};
+//# sourceMappingURL=index.d.ts.map

package/dist/routes/index.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../src/core/routes/index.tsx"],"names":[],"mappings":"AAeA,MAAM,WAAW,kBAAkB;IACjC,4EAA4E;IAC5E,OAAO,EAAE,MAAM,CAAC;IAChB,kDAAkD;IAClD,SAAS,CAAC,EAAE,MAAM,CAAC;CACpB;AAED,MAAM,WAAW,WAAW;IAC1B,QAAQ,CAAC,EAAE,MAAM,CAAC;CACnB;AAMD,8EAA8E;AAC9E,wBAAgB,UAAU,CAAC,EAAE,OAAO,EAAE,EAAE,kBAAkB;6BAE7B,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,KAAG,WAAW;sCAE5B;QAAE,OAAO,EAAE,OAAO,CAAC;QAAC,MAAM,EAAE,WAAW,CAAA;KAAE;;;;;;;EAU9E;AAED,kEAAkE;AAClE,wBAAgB,kBAAkB,CAAC,EAAE,OAAO,EAAE,SAAoB,EAAE,EAAE,kBAAkB;;;;;;;EAOvF;AAED,8EAA8E;AAC9E,wBAAgB,YAAY,CAAC,EAAE,OAAO,EAAE,EAAE,IAAI,CAAC,kBAAkB,EAAE,SAAS,CAAC;sBAEzD,KAAK;;EAOxB;AAED,kFAAkF;AAClF,wBAAgB,aAAa,CAAC,EAC5B,OAAO,EACP,SAAoB,EACpB,YAAY,GACb,EAAE,kBAAkB,GAAG;IAAE,YAAY,CAAC,EAAE,MAAM,CAAA;CAAE;;;;;;;;EAQhD"}

package/dist/routes/index.js

@@ -0,0 +1,63 @@
+import { jsx as _jsx } from "react/jsx-runtime";
+/**
+ * Route-opties voor de systeemroutes. Shells houden per route een dun,
+ * gegenereerd omhulsel:
+ *
+ *   export const Route = createFileRoute("/login")(loginRoute({ landing: "/voorraad" }));
+ *
+ * Core levert de volledige opties, zodat een wijziging aan een systeempagina
+ * met één core-update in alle shells landt.
+ */
+import { redirect } from "@tanstack/react-router";
+import { LoginPage } from "../components/layout/LoginPage.js";
+import { ResetWachtwoordPage } from "../components/layout/ResetWachtwoordPage.js";
+import { HandoverPage } from "../components/layout/HandoverPage.js";
+import { safeRedirectPath } from "../auth/redirect.js";
+function isAuthenticated(context) {
+    return Boolean(context?.auth?.isAuthenticated);
+}
+/** `/login`: ingelogd → `?redirect` (alleen same-site) wint van `landing`. */
+export function loginRoute({ landing }) {
+    return {
+        validateSearch: (search) => typeof search.redirect === "string" ? { redirect: search.redirect } : {},
+        beforeLoad: ({ context, search }) => {
+            if (isAuthenticated(context)) {
+                throw redirect({ href: safeRedirectPath(search?.redirect, landing) });
+            }
+        },
+        head: () => ({ meta: [{ title: "Inloggen" }] }),
+        component: function LoginRouteComponent() {
+            return _jsx(LoginPage, { redirectTo: landing });
+        },
+    };
+}
+/** `/reset-wachtwoord`: de core-pagina, daarna naar `landing`. */
+export function resetPasswordRoute({ landing, loginPath = "/login" }) {
+    return {
+        head: () => ({ meta: [{ title: "Nieuw wachtwoord instellen" }] }),
+        component: function ResetPasswordRouteComponent() {
+            return _jsx(ResetWachtwoordPage, { redirectTo: landing, loginPath: loginPath });
+        },
+    };
+}
+/** `/`: redirect in beforeLoad, dus er wordt niets gerenderd (geen flits). */
+export function landingRoute({ landing }) {
+    return {
+        beforeLoad: () => {
+            throw redirect({ href: landing });
+        },
+        component: function LandingRouteComponent() {
+            return null;
+        },
+    };
+}
+/** `/auth/handover`: client-only, want de sessie staat alleen in localStorage. */
+export function handoverRoute({ landing, loginPath = "/login", exchangePath, }) {
+    return {
+        ssr: false,
+        head: () => ({ meta: [{ title: "Aanmelden" }] }),
+        component: function HandoverRouteComponent() {
+            return _jsx(HandoverPage, { redirectTo: landing, loginPath: loginPath, exchangePath: exchangePath });
+        },
+    };
+}

package/dist/server/handover-handler.d.ts

@@ -0,0 +1,24 @@
+import { exchangeHandoverCode } from "./provider-token.js";
+/** Maximale grootte van de request-body in bytes. */
+export declare const HANDOVER_MAX_BODY_BYTES = 2048;
+/** Maximale lengte van een handover-code. */
+export declare const HANDOVER_MAX_CODE_LENGTH = 512;
+export interface HandoverExchangeHandlerOptions {
+    /** Alleen voor tests: vervangt de echte inwisseling bij central-auth. */
+    exchange?: typeof exchangeHandoverCode;
+}
+/**
+ * Sinds 1.0.24. Server-route-handler voor de handover (vervangt de
+ * serverfunctie uit 1.0.19–1.0.23, die servercode in de clientbundel trok).
+ * Shells koppelen hem in `src/routes/api/public/auth/handover.ts`:
+ *
+ *   server: { handlers: { POST: handoverExchangeHandler() } }
+ *
+ * Alleen POST met `application/json`, body ≤ 2 KB, `{ code }` niet-leeg en
+ * begrensd. Fail-closed: generieke 400/401 zonder detail, geen CORS-headers,
+ * code en tokens worden nooit gelogd. Uitsluitend via "./server".
+ */
+export declare function handoverExchangeHandler(options?: HandoverExchangeHandlerOptions): ({ request }: {
+    request: Request;
+}) => Promise<Response>;
+//# sourceMappingURL=handover-handler.d.ts.map

package/dist/server/handover-handler.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"handover-handler.d.ts","sourceRoot":"","sources":["../../src/core/server/handover-handler.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,oBAAoB,EAAE,MAAM,qBAAqB,CAAC;AAE3D,qDAAqD;AACrD,eAAO,MAAM,uBAAuB,OAAO,CAAC;AAC5C,6CAA6C;AAC7C,eAAO,MAAM,wBAAwB,MAAM,CAAC;AAK5C,MAAM,WAAW,8BAA8B;IAC7C,yEAAyE;IACzE,QAAQ,CAAC,EAAE,OAAO,oBAAoB,CAAC;CACxC;AAED;;;;;;;;;;GAUG;AACH,wBAAgB,uBAAuB,CAAC,OAAO,GAAE,8BAAmC,IAEpE,aAAa;IAAE,OAAO,EAAE,OAAO,CAAA;CAAE,KAAG,OAAO,CAAC,QAAQ,CAAC,CAuCpE"}

package/dist/server/handover-handler.js

@@ -0,0 +1,59 @@
+import { exchangeHandoverCode } from "./provider-token.js";
+/** Maximale grootte van de request-body in bytes. */
+export const HANDOVER_MAX_BODY_BYTES = 2048;
+/** Maximale lengte van een handover-code. */
+export const HANDOVER_MAX_CODE_LENGTH = 512;
+const JSON_HEADERS = { "content-type": "application/json", "cache-control": "no-store" };
+const fail = (status) => new Response(JSON.stringify({ error: "handover_failed" }), { status, headers: JSON_HEADERS });
+/**
+ * Sinds 1.0.24. Server-route-handler voor de handover (vervangt de
+ * serverfunctie uit 1.0.19–1.0.23, die servercode in de clientbundel trok).
+ * Shells koppelen hem in `src/routes/api/public/auth/handover.ts`:
+ *
+ *   server: { handlers: { POST: handoverExchangeHandler() } }
+ *
+ * Alleen POST met `application/json`, body ≤ 2 KB, `{ code }` niet-leeg en
+ * begrensd. Fail-closed: generieke 400/401 zonder detail, geen CORS-headers,
+ * code en tokens worden nooit gelogd. Uitsluitend via "./server".
+ */
+export function handoverExchangeHandler(options = {}) {
+    const exchange = options.exchange ?? exchangeHandoverCode;
+    return async ({ request }) => {
+        if (request.method !== "POST") {
+            return new Response(null, { status: 405, headers: { allow: "POST" } });
+        }
+        const type = (request.headers.get("content-type") ?? "").split(";")[0].trim().toLowerCase();
+        if (type !== "application/json")
+            return fail(400);
+        const declared = Number(request.headers.get("content-length") ?? "0");
+        if (declared > HANDOVER_MAX_BODY_BYTES)
+            return fail(400);
+        let raw;
+        try {
+            const buf = await request.arrayBuffer();
+            if (buf.byteLength > HANDOVER_MAX_BODY_BYTES)
+                return fail(400);
+            raw = new TextDecoder().decode(buf);
+        }
+        catch {
+            return fail(400);
+        }
+        let code;
+        try {
+            code = JSON.parse(raw)?.code;
+        }
+        catch {
+            return fail(400);
+        }
+        if (typeof code !== "string" || code.trim() === "" || code.length > HANDOVER_MAX_CODE_LENGTH) {
+            return fail(400);
+        }
+        try {
+            const session = await exchange(code);
+            return new Response(JSON.stringify({ accessToken: session.accessToken, refreshToken: session.refreshToken }), { status: 200, headers: JSON_HEADERS });
+        }
+        catch {
+            return fail(401);
+        }
+    };
+}

package/dist/server/index.d.ts

@@ -3,6 +3,9 @@ export type { ProviderAccount } from "./provider-token.js";
 export { exchangeHandoverCode, HandoverExchangeError } from "./provider-token.js";
 export type { HandoverSession } from "./provider-token.js";
 export { CentralAuthConfigError, ProviderNotConnectedError, ProviderUpstreamError, CentralAuthUnavailableError, AmbiguousAccountError, } from "./provider-token.js";
-export { requireModulePermission } from "./permissions.server.js";
+export { requireModulePermission, isSuperadminServer } from "./permissions.server.js";
+export { getRoleFlags } from "../auth/roles.js";
+export { handoverExchangeHandler, HANDOVER_MAX_BODY_BYTES, HANDOVER_MAX_CODE_LENGTH, } from "./handover-handler.js";
+export type { HandoverExchangeHandlerOptions } from "./handover-handler.js";
 export type { PermissionLevel } from "./permissions.server.js";
 //# sourceMappingURL=index.d.ts.map

package/dist/server/index.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../src/core/server/index.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,gBAAgB,EAAE,oBAAoB,EAAE,qBAAqB,EAAE,MAAM,qBAAqB,CAAC;AACpG,YAAY,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AAC3D,OAAO,EAAE,oBAAoB,EAAE,qBAAqB,EAAE,MAAM,qBAAqB,CAAC;AAClF,YAAY,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AAC3D,OAAO,EACL,sBAAsB,EACtB,yBAAyB,EACzB,qBAAqB,EACrB,2BAA2B,EAC3B,qBAAqB,GACtB,MAAM,qBAAqB,CAAC;AAI7B,OAAO,EAAE,uBAAuB,EAAE,MAAM,yBAAyB,CAAC;AAClE,YAAY,EAAE,eAAe,EAAE,MAAM,yBAAyB,CAAC"}
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../src/core/server/index.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,gBAAgB,EAAE,oBAAoB,EAAE,qBAAqB,EAAE,MAAM,qBAAqB,CAAC;AACpG,YAAY,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AAC3D,OAAO,EAAE,oBAAoB,EAAE,qBAAqB,EAAE,MAAM,qBAAqB,CAAC;AAClF,YAAY,EAAE,eAAe,EAAE,MAAM,qBAAqB,CAAC;AAC3D,OAAO,EACL,sBAAsB,EACtB,yBAAyB,EACzB,qBAAqB,EACrB,2BAA2B,EAC3B,qBAAqB,GACtB,MAAM,qBAAqB,CAAC;AAI7B,OAAO,EAAE,uBAAuB,EAAE,kBAAkB,EAAE,MAAM,yBAAyB,CAAC;AACtF,OAAO,EAAE,YAAY,EAAE,MAAM,kBAAkB,CAAC;AAChD,OAAO,EACL,uBAAuB,EACvB,uBAAuB,EACvB,wBAAwB,GACzB,MAAM,uBAAuB,CAAC;AAC/B,YAAY,EAAE,8BAA8B,EAAE,MAAM,uBAAuB,CAAC;AAC5E,YAAY,EAAE,eAAe,EAAE,MAAM,yBAAyB,CAAC"}

package/dist/server/index.js

@@ -3,4 +3,6 @@ export { exchangeHandoverCode, HandoverExchangeError } from "./provider-token.js
 export { CentralAuthConfigError, ProviderNotConnectedError, ProviderUpstreamError, CentralAuthUnavailableError, AmbiguousAccountError, } from "./provider-token.js";
 // Server-only rechtencheck. Uitsluitend via het "./server" subpath, nooit via
 // de hoofdbarrel.
-export { requireModulePermission } from "./permissions.server.js";
+export { requireModulePermission, isSuperadminServer } from "./permissions.server.js";
+export { getRoleFlags } from "../auth/roles.js";
+export { handoverExchangeHandler, HANDOVER_MAX_BODY_BYTES, HANDOVER_MAX_CODE_LENGTH, } from "./handover-handler.js";

package/dist/server/permissions.server.d.ts

@@ -1,16 +1,22 @@
 import type { SupabaseClient } from "@supabase/supabase-js";
+import { getRoleFlags } from "../auth/roles.js";
 export type PermissionLevel = "none" | "view" | "edit";
 /**
- * Server-side rechtencheck via RPC `effective_module_permission()`.
+ * Server-side rechtencheck via RPC `effective_module_permission(_user_id,
+ * _module_id, _feature_id)` (3 argumenten).
  *
- * Bedoeld om te combineren met `requireSupabaseAuth`: geef de authenticated
- * client uit `context.supabase` mee.
+ * Sinds 1.0.23: `_user_id` komt uitsluitend uit de geverifieerde sessie van het
+ * verzoek; moduleniveau = `_feature_id ''`. **Vóór 1.0.23 liet deze functie
+ * alles door** (de RPC werd nooit gevonden → default-allow).
  *
- * - Ontbreekt de RPC (rechten-add-on niet geïnstalleerd) → toegestaan
- *   (default-allow), zodat bestaande shells blijven werken.
- * - Onvoldoende rechten → gooit een `Response` met status 403.
- *
- * Core raakt géén enkele tabel uit het rechtenschema; alleen deze RPC.
+ * - Ontbreekt de RPC (add-on niet geïnstalleerd) → toegestaan (default-allow).
+ * - Geen geldige sessie → 401. Onvoldoende rechten → 403.
  */
 export declare function requireModulePermission(supabase: SupabaseClient<any, any, any>, moduleId: string, featureId?: string | null, level?: PermissionLevel): Promise<PermissionLevel>;
+export { getRoleFlags };
+/**
+ * Sinds 1.0.23. Superadmin? Claims eerst, terugval tabel `user_roles` (RLS:
+ * eigen rijen). Zichtbaarheid, geen beveiliging.
+ */
+export declare function isSuperadminServer(supabase: SupabaseClient<any, any, any>, userId: string, claims?: Record<string, unknown> | null): Promise<boolean>;
 //# sourceMappingURL=permissions.server.d.ts.map

package/dist/server/permissions.server.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"permissions.server.d.ts","sourceRoot":"","sources":["../../src/core/server/permissions.server.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,uBAAuB,CAAC;AAE5D,MAAM,MAAM,eAAe,GAAG,MAAM,GAAG,MAAM,GAAG,MAAM,CAAC;AAkBvD;;;;;;;;;;;GAWG;AACH,wBAAsB,uBAAuB,CAC3C,QAAQ,EAAE,cAAc,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,CAAC,EACvC,QAAQ,EAAE,MAAM,EAChB,SAAS,GAAE,MAAM,GAAG,IAAW,EAC/B,KAAK,GAAE,eAAwB,GAC9B,OAAO,CAAC,eAAe,CAAC,CAuB1B"}
+{"version":3,"file":"permissions.server.d.ts","sourceRoot":"","sources":["../../src/core/server/permissions.server.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,uBAAuB,CAAC;AAE5D,OAAO,EAAE,YAAY,EAAE,MAAM,kBAAkB,CAAC;AAEhD,MAAM,MAAM,eAAe,GAAG,MAAM,GAAG,MAAM,GAAG,MAAM,CAAC;AAuCvD;;;;;;;;;;GAUG;AACH,wBAAsB,uBAAuB,CAC3C,QAAQ,EAAE,cAAc,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,CAAC,EACvC,QAAQ,EAAE,MAAM,EAChB,SAAS,GAAE,MAAM,GAAG,IAAW,EAC/B,KAAK,GAAE,eAAwB,GAC9B,OAAO,CAAC,eAAe,CAAC,CAyB1B;AAED,OAAO,EAAE,YAAY,EAAE,CAAC;AAExB;;;GAGG;AACH,wBAAsB,kBAAkB,CACtC,QAAQ,EAAE,cAAc,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,CAAC,EACvC,MAAM,EAAE,MAAM,EACd,MAAM,CAAC,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,GAAG,IAAI,GACtC,OAAO,CAAC,OAAO,CAAC,CAKlB"}

package/dist/server/permissions.server.js

@@ -1,3 +1,5 @@
+import { getRequest } from "@tanstack/react-start/server";
+import { getRoleFlags } from "../auth/roles.js";
 const RANK = { none: 0, view: 1, edit: 2 };
 function isMissingRpc(error) {
     const e = (error ?? {});
@@ -10,22 +12,44 @@ function isMissingRpc(error) {
         message.includes("does not exist") ||
         message.includes("could not find the function"));
 }
+/** Bearer-token van het huidige verzoek, of null. */
+function requestToken() {
+    try {
+        const header = getRequest()?.headers?.get("authorization") ?? "";
+        return header.startsWith("Bearer ") ? header.slice(7) || null : null;
+    }
+    catch {
+        return null;
+    }
+}
 /**
- * Server-side rechtencheck via RPC `effective_module_permission()`.
- *
- * Bedoeld om te combineren met `requireSupabaseAuth`: geef de authenticated
- * client uit `context.supabase` mee.
+ * Geverifieerde user-id: uitsluitend uit het token van het verzoek, gevalideerd
+ * bij Supabase Auth (`getUser(token)`). Geen aanroeper-input.
+ */
+async function verifiedUserId(supabase) {
+    const token = requestToken();
+    const { data, error } = token ? await supabase.auth.getUser(token) : await supabase.auth.getUser();
+    if (error || !data?.user?.id)
+        throw new Response("Unauthorized", { status: 401 });
+    return data.user.id;
+}
+/**
+ * Server-side rechtencheck via RPC `effective_module_permission(_user_id,
+ * _module_id, _feature_id)` (3 argumenten).
  *
- * - Ontbreekt de RPC (rechten-add-on niet geïnstalleerd) → toegestaan
- *   (default-allow), zodat bestaande shells blijven werken.
- * - Onvoldoende rechten → gooit een `Response` met status 403.
+ * Sinds 1.0.23: `_user_id` komt uitsluitend uit de geverifieerde sessie van het
+ * verzoek; moduleniveau = `_feature_id ''`. **Vóór 1.0.23 liet deze functie
+ * alles door** (de RPC werd nooit gevonden → default-allow).
  *
- * Core raakt géén enkele tabel uit het rechtenschema; alleen deze RPC.
+ * - Ontbreekt de RPC (add-on niet geïnstalleerd) → toegestaan (default-allow).
+ * - Geen geldige sessie → 401. Onvoldoende rechten → 403.
  */
 export async function requireModulePermission(supabase, moduleId, featureId = null, level = "view") {
+    const userId = await verifiedUserId(supabase);
     const { data, error } = await supabase.rpc("effective_module_permission", {
+        _user_id: userId,
         _module_id: moduleId,
-        _feature_id: featureId,
+        _feature_id: featureId ?? "",
     });
     if (error) {
         if (isMissingRpc(error))
@@ -39,3 +63,16 @@ export async function requireModulePermission(supabase, moduleId, featureId = nu
     }
     return effective;
 }
+export { getRoleFlags };
+/**
+ * Sinds 1.0.23. Superadmin? Claims eerst, terugval tabel `user_roles` (RLS:
+ * eigen rijen). Zichtbaarheid, geen beveiliging.
+ */
+export async function isSuperadminServer(supabase, userId, claims) {
+    if (getRoleFlags(claims).isSuperadmin)
+        return true;
+    const { data, error } = await supabase.from("user_roles").select("role").eq("user_id", userId);
+    if (error || !Array.isArray(data))
+        return false;
+    return data.some((r) => r.role === "superadmin");
+}

package/dist/shell/ShellContext.d.ts

@@ -0,0 +1,26 @@
+import type { FlowModule } from "../types/module.js";
+/**
+ * Sinds 1.0.23. Context vanuit AuthenticatedLayout.
+ * `modules` = de ruwe lijst van de shell (vóór transforms);
+ * `visibleModules` = wat de zijbalk toont (na rechten + extensies).
+ * Zichtbaarheid, geen beveiliging.
+ */
+export interface ShellContextValue {
+    shellId?: string;
+    modules: FlowModule[];
+    visibleModules: FlowModule[];
+    /** True tijdens het eerste laden van de rechten. */
+    permissionsLoading: boolean;
+}
+export declare const ShellContext: import("react").Context<ShellContextValue | null>;
+/** Sinds 1.0.23. `null` buiten AuthenticatedLayout. Zichtbaarheid, geen beveiliging. */
+export declare function useShell(): ShellContextValue | null;
+/**
+ * Sinds 1.0.23. Vorm uit contract §6.1. `null` = geen provider; een lege of
+ * ontbrekende lijst mag nooit iets deactiveren. Zichtbaarheid, geen beveiliging.
+ */
+export declare function useShellModules(): {
+    modules: FlowModule[];
+    shellId?: string;
+} | null;
+//# sourceMappingURL=ShellContext.d.ts.map

package/dist/shell/ShellContext.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"ShellContext.d.ts","sourceRoot":"","sources":["../../src/core/shell/ShellContext.tsx"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,oBAAoB,CAAC;AAErD;;;;;GAKG;AACH,MAAM,WAAW,iBAAiB;IAChC,OAAO,CAAC,EAAE,MAAM,CAAC;IACjB,OAAO,EAAE,UAAU,EAAE,CAAC;IACtB,cAAc,EAAE,UAAU,EAAE,CAAC;IAC7B,oDAAoD;IACpD,kBAAkB,EAAE,OAAO,CAAC;CAC7B;AAED,eAAO,MAAM,YAAY,mDAAgD,CAAC;AAE1E,wFAAwF;AACxF,wBAAgB,QAAQ,IAAI,iBAAiB,GAAG,IAAI,CAEnD;AAED;;;GAGG;AACH,wBAAgB,eAAe,IAAI;IAAE,OAAO,EAAE,UAAU,EAAE,CAAC;IAAC,OAAO,CAAC,EAAE,MAAM,CAAA;CAAE,GAAG,IAAI,CAGpF"}

package/dist/shell/ShellContext.js

@@ -0,0 +1,14 @@
+import { createContext, useContext } from "react";
+export const ShellContext = createContext(null);
+/** Sinds 1.0.23. `null` buiten AuthenticatedLayout. Zichtbaarheid, geen beveiliging. */
+export function useShell() {
+    return useContext(ShellContext);
+}
+/**
+ * Sinds 1.0.23. Vorm uit contract §6.1. `null` = geen provider; een lege of
+ * ontbrekende lijst mag nooit iets deactiveren. Zichtbaarheid, geen beveiliging.
+ */
+export function useShellModules() {
+    const ctx = useContext(ShellContext);
+    return ctx ? { modules: ctx.modules, shellId: ctx.shellId } : null;
+}