@flowselections/floriday-verkoop-module 1.0.60 → 1.0.61

package/dist-lib/lib/salesorders.functions.js

@@ -236,6 +236,7 @@ export const getSalesOrderDetail = createServerFn({ method: "POST" })
     .inputValidator((d) => DetailInputSchema.parse(d))
     .handler(async ({ data, context }) => {
     const supabase = context.supabase;
+    const { supabaseAdmin } = await import("../integrations/supabase/client.server");
     // 1) Actieve environment + connectie.
     const envRes = await supabase
         .from("floriday_settings")
@@ -244,7 +245,11 @@ export const getSalesOrderDetail = createServerFn({ method: "POST" })
         .maybeSingle();
     const rawEnv = String(envRes.data?.active_environment ?? "staging");
     const environment = rawEnv === "production" || rawEnv === "prod" || rawEnv === "live" ? "live" : "staging";
-    const connRes = await supabase
+    // De connectietabel bevat ook geheime configuratie en heeft daarom geen
+    // directe leespolicy voor gebruikers. Lees uitsluitend de veilige velden
+    // server-side; alle order- en klantdata hieronder blijft via de ingelogde
+    // gebruiker en dus onder RLS lopen.
+    const connRes = await supabaseAdmin
         .from("floriday_connections")
         .select("id, organization_name, label")
         .eq("is_active", true)