@flowselections/core 1.0.24 → 1.0.26

package/README.md

@@ -4,9 +4,9 @@ Fundament-module: authenticatie, shell-layout (sidebar/header), instellingen en
 gedeelde UI-componenten. Elke module heeft core als `peerDependency`; de shell
 bepaalt welke core-versie draait.
 
-## Gebruik 1.0.23 niet
+## Gebruik 1.0.23 t/m 1.0.25 niet
 
-**Core 1.0.23 breekt de clientbuild van elke shell** (`"Readable"/"AsyncLocalStorage" is not exported by "__vite-browser-external"`): de handoverpagina trok via een serverfunctie servercode in de clientbundel. Gebruik **1.0.24 of hoger**.
+**Core 1.0.23 tot en met 1.0.25 breken de clientbuild van shells** (`"Readable"/"AsyncLocalStorage" is not exported by "__vite-browser-external"`): servercode van `@tanstack/start-server-core` (`node:async_hooks`, `node:stream`) lekte naar de clientbundel. In 1.0.23 liep dat via de handoverpagina, in 1.0.24 en 1.0.25 via `./server`, dat `@tanstack/react-start/server` statisch importeerde — elke shell met een module die `./server` her-exporteert (zoals de admin-add-on) faalde. Gebruik **1.0.26 of hoger**.
 
 Vanaf 1.0.24 wisselt `HandoverPage` de code in via een server-route in de shell. Het dashboard genereert daarvoor `src/routes/api/public/auth/handover.ts`:
 
@@ -21,7 +21,7 @@ export const Route = createFileRoute("/api/public/auth/handover")({
 
 Ander pad? Geef `exchangePath` mee aan `HandoverPage` of `handoverRoute`. Zonder dit bestand mislukt alleen de handover (neutrale foutmelding); `/login` blijft werken.
 
-`build:pkg` controleert met `scripts/check-client-graph.mjs` dat de hoofdbarrel en `./routes` geen servercode importeren. `npm run verify:consumer` bouwt een minimale consumer-app tegen het gepakte pakket.
+`build:pkg` controleert met `scripts/check-client-graph.mjs` dat de hoofdbarrel, `./routes` én `./server` geen letterlijke serverimport bevatten (statisch of `import("…")`). `npm run verify:consumer` bouwt twee minimale consumer-apps tegen het gepakte pakket: één zonder en één met `./server` in de clientgraaf (het geval van de admin-add-on).
 
 ## Modulecontract
 

package/dist/server/permissions.server.d.ts

@@ -11,8 +11,13 @@ export type PermissionLevel = "none" | "view" | "edit";
  *
  * - Ontbreekt de RPC (add-on niet geïnstalleerd) → toegestaan (default-allow).
  * - Geen geldige sessie → 401. Onvoldoende rechten → 403.
+ *
+ * `request` is optioneel: geef `getRequest()` mee (uit de code van je eigen
+ * shell, die door de Start-compiler wél getransformeerd wordt) als jouw runtime
+ * het actuele verzoek niet zelf blootgeeft. Aan het antwoord verandert niets:
+ * het token wordt hoe dan ook bij Supabase Auth gevalideerd.
  */
-export declare function requireModulePermission(supabase: SupabaseClient<any, any, any>, moduleId: string, featureId?: string | null, level?: PermissionLevel): Promise<PermissionLevel>;
+export declare function requireModulePermission(supabase: SupabaseClient<any, any, any>, moduleId: string, featureId?: string | null, level?: PermissionLevel, request?: Request | null): Promise<PermissionLevel>;
 export { getRoleFlags };
 /**
  * Sinds 1.0.23. Superadmin? Claims eerst, terugval tabel `user_roles` (RLS:

package/dist/server/permissions.server.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"permissions.server.d.ts","sourceRoot":"","sources":["../../src/core/server/permissions.server.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,uBAAuB,CAAC;AAE5D,OAAO,EAAE,YAAY,EAAE,MAAM,kBAAkB,CAAC;AAEhD,MAAM,MAAM,eAAe,GAAG,MAAM,GAAG,MAAM,GAAG,MAAM,CAAC;AAuCvD;;;;;;;;;;GAUG;AACH,wBAAsB,uBAAuB,CAC3C,QAAQ,EAAE,cAAc,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,CAAC,EACvC,QAAQ,EAAE,MAAM,EAChB,SAAS,GAAE,MAAM,GAAG,IAAW,EAC/B,KAAK,GAAE,eAAwB,GAC9B,OAAO,CAAC,eAAe,CAAC,CAyB1B;AAED,OAAO,EAAE,YAAY,EAAE,CAAC;AAExB;;;GAGG;AACH,wBAAsB,kBAAkB,CACtC,QAAQ,EAAE,cAAc,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,CAAC,EACvC,MAAM,EAAE,MAAM,EACd,MAAM,CAAC,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,GAAG,IAAI,GACtC,OAAO,CAAC,OAAO,CAAC,CAKlB"}
+{"version":3,"file":"permissions.server.d.ts","sourceRoot":"","sources":["../../src/core/server/permissions.server.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,uBAAuB,CAAC;AAC5D,OAAO,EAAE,YAAY,EAAE,MAAM,kBAAkB,CAAC;AA8BhD,MAAM,MAAM,eAAe,GAAG,MAAM,GAAG,MAAM,GAAG,MAAM,CAAC;AAuCvD;;;;;;;;;;;;;;;GAeG;AACH,wBAAsB,uBAAuB,CAC3C,QAAQ,EAAE,cAAc,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,CAAC,EACvC,QAAQ,EAAE,MAAM,EAChB,SAAS,GAAE,MAAM,GAAG,IAAW,EAC/B,KAAK,GAAE,eAAwB,EAC/B,OAAO,CAAC,EAAE,OAAO,GAAG,IAAI,GACvB,OAAO,CAAC,eAAe,CAAC,CAyB1B;AAED,OAAO,EAAE,YAAY,EAAE,CAAC;AAExB;;;GAGG;AACH,wBAAsB,kBAAkB,CACtC,QAAQ,EAAE,cAAc,CAAC,GAAG,EAAE,GAAG,EAAE,GAAG,CAAC,EACvC,MAAM,EAAE,MAAM,EACd,MAAM,CAAC,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,GAAG,IAAI,GACtC,OAAO,CAAC,OAAO,CAAC,CAKlB"}

package/dist/server/permissions.server.js

@@ -1,5 +1,28 @@
-import { getRequest } from "@tanstack/react-start/server";
 import { getRoleFlags } from "../auth/roles.js";
+/**
+ * `@tanstack/react-start/server` mag hier **niet** statisch geïmporteerd worden
+ * (ook niet als letterlijke `import()`): het trekt `@tanstack/start-server-core`
+ * (node:async_hooks) in de bundel. Elke shell waarvan een module `./server` in
+ * zijn hoofdbarrel her-exporteert, breekt dan op de clientbuild.
+ *
+ * De specifier wordt pas ter plaatse in mekaar gezet, zodat geen enkele bundler
+ * hem statisch kan ontleden. De import draait dus uitsluitend op de server.
+ */
+const REACT_START_SERVER = ["@tanstack", "react-start", "server"].join("/");
+/** Het actuele verzoek, voor zover de runtime dat prijsgeeft. */
+async function ambientRequest() {
+    try {
+        const mod = (await import(/* @vite-ignore */ REACT_START_SERVER));
+        return mod.getRequest?.() ?? null;
+    }
+    catch {
+        return null;
+    }
+}
+async function readRequestHeader(name, request) {
+    const req = request ?? (await ambientRequest());
+    return req?.headers?.get(name) ?? null;
+}
 const RANK = { none: 0, view: 1, edit: 2 };
 function isMissingRpc(error) {
     const e = (error ?? {});
@@ -13,21 +36,17 @@ function isMissingRpc(error) {
         message.includes("could not find the function"));
 }
 /** Bearer-token van het huidige verzoek, of null. */
-function requestToken() {
-    try {
-        const header = getRequest()?.headers?.get("authorization") ?? "";
-        return header.startsWith("Bearer ") ? header.slice(7) || null : null;
-    }
-    catch {
-        return null;
-    }
+async function requestToken(request) {
+    const header = (await readRequestHeader("authorization", request)) ?? "";
+    return header.startsWith("Bearer ") ? header.slice(7) || null : null;
 }
 /**
  * Geverifieerde user-id: uitsluitend uit het token van het verzoek, gevalideerd
- * bij Supabase Auth (`getUser(token)`). Geen aanroeper-input.
+ * bij Supabase Auth (`getUser(token)`). Geen aanroeper-input: een meegegeven
+ * `request` is het verzoek zelf, geen ingevulde user-id.
  */
-async function verifiedUserId(supabase) {
-    const token = requestToken();
+async function verifiedUserId(supabase, request) {
+    const token = await requestToken(request);
     const { data, error } = token ? await supabase.auth.getUser(token) : await supabase.auth.getUser();
     if (error || !data?.user?.id)
         throw new Response("Unauthorized", { status: 401 });
@@ -43,9 +62,14 @@ async function verifiedUserId(supabase) {
  *
  * - Ontbreekt de RPC (add-on niet geïnstalleerd) → toegestaan (default-allow).
  * - Geen geldige sessie → 401. Onvoldoende rechten → 403.
+ *
+ * `request` is optioneel: geef `getRequest()` mee (uit de code van je eigen
+ * shell, die door de Start-compiler wél getransformeerd wordt) als jouw runtime
+ * het actuele verzoek niet zelf blootgeeft. Aan het antwoord verandert niets:
+ * het token wordt hoe dan ook bij Supabase Auth gevalideerd.
  */
-export async function requireModulePermission(supabase, moduleId, featureId = null, level = "view") {
-    const userId = await verifiedUserId(supabase);
+export async function requireModulePermission(supabase, moduleId, featureId = null, level = "view", request) {
+    const userId = await verifiedUserId(supabase, request);
     const { data, error } = await supabase.rpc("effective_module_permission", {
         _user_id: userId,
         _module_id: moduleId,

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@flowselections/core",
-  "version": "1.0.24",
+  "version": "1.0.26",
   "private": false,
   "sideEffects": false,
   "type": "module",