@fui-org/fui-cli 0.2.0 → 0.3.0

package/skills/fui-skill/references/script-map.md

@@ -0,0 +1,296 @@
+# FUI Script Map (Quick Lookup)
+
+> File này sở hữu: **thư viện bundled sẵn (§0) và bản đồ source script FUI — hàm nào nằm ở file/dòng nào**. Cách dùng từng hàm xem [default-function.md](default-function.md).
+
+Mục tiêu: tra cứu nhanh "hàm nào dùng để làm gì" theo từng file runtime trong `scripts/`.
+
+> **Bản đồ file theo framework** — tra `_moduleInfo.json.Framework` (`"V2"` hoặc `"V3"`) rồi mở đúng cột:
+>
+> | Nội dung | File V2 | File V3 |
+> |---|---|---|
+> | Core engine (action, API, layout) | `scripts/fastproject.js` | `scripts/fastproject-3.0.js` |
+> | Utility layer (router, export, auth, WS) | `scripts/defaultfunction.js` | `scripts/defaultfunction-3.0.js` |
+> | Component registry (`f-*`, dialog, editor...) | `scripts/component.js` | `scripts/component-3.0.js` |
+> | Table system (`f-table`, `t-*`) | `scripts/componentTable.js` | `scripts/componentTable-3.0.js` |
+> | Biểu đồ (`f-echart`) | `scripts/fechart.js` | `scripts/fechart.js` |
+> | Bảng tính nhập liệu (`f-sheet`) | `scripts/fsheet.js` (dùng chung, xem §5) | `scripts/fsheet.js` (dùng chung, xem §5) |
+
+Lưu ý dùng đúng chuẩn FUI:
+- Metadata chính là `module.json` (không dùng `controls.json`).
+- Logic action gọi qua `CALL(vueData.actionName)` hoặc Action Protocol.
+- Layout trong `controls` luôn theo grid wrapper `container > rows > cols`.
+- Event trong JSON dùng `v-on:...` (không dùng `@...`).
+- Literal forcing (`` ` `` or `'...'`) is for Action `IN` mapping, not normal static component props.
+
+## Table of Contents
+- [0) Thư viện nhúng sẵn (FUI V2)](#0-thu-vien-nhung-san-fui-v2)
+- [1) scripts/fastproject.js](#1-scriptsfastprojectjs)
+- [2) scripts/defaultfunction.js](#2-scriptsdefaultfunctionjs)
+- [3) scripts/component.js](#3-scriptscomponentjs)
+- [4) scripts/componentTable.js](#4-scriptscomponenttablejs)
+- [4b) scripts/componentTable-3.0.js](#4b-scriptscomponenttable-30js)
+- [5) scripts/fsheet.js](#5-scriptsfsheetjs)
+- [6) Tra cứu theo tác vụ](#6-tra-cuu-theo-tac-vu)
+
+## 0) Thư viện nhúng sẵn (FUI V2)
+
+FUI tự động nhúng các thư viện sau vào **mọi** module — **không cần import thêm**. Luôn tận dụng
+chúng thay vì thêm thư viện tương đương. **Không thêm CDN** cho bất kỳ thư viện nào trong danh sách
+— thêm lại gây xung đột.
+
+> ⛔ **Cả mục này CHỈ đúng với `HTMLOnly=false`.** Module `HTMLOnly: true` không được nhúng sẵn một
+> byte nào — không Vue, không Vuetify, không jQuery, không lodash, không MDI, không
+> `projectdefaultstyle.css`. Ở đó thêm CDN **không phải là trùng lặp** mà là điều kiện để trang chạy:
+> xem [module-structure.md §HTMLOnly=true: KHÔNG có thư viện nào được nhúng sẵn](module-structure.md#htmlonlytrue-không-có-thư-viện-nào-được-nhúng-sẵn).
+
+### CSS (tự động load)
+
+Roboto font · Material Design Icons (`mdi-*`) · Vuetify CSS · vue-toast-notification CSS · jquery-confirm CSS · FUI projectdefaultstyle.css
+
+### JavaScript globals
+
+| Global | Thư viện | Công dụng |
+|---|---|---|
+| `$`, `jQuery` | jQuery 3.6.0 | DOM, AJAX |
+| `$.confirm()` / `$.dialog()` | jquery-confirm | Dialog xác nhận / thông báo có style (thay cho `window.confirm`) |
+| `_` | Lodash 4.17 | Utility: sort, filter, group, clone array/object |
+| `moment` | Moment.js (vi) | Parse và format ngày giờ, locale tiếng Việt sẵn |
+| `numeral` | Numeral.js | Format số và tiền tệ |
+| `Vue.$toast` | vue-toast-notification | Toast thông báo góc màn hình |
+
+### FUI built-in JS (luôn load sau các thư viện trên)
+
+`defaultfunction.js` — hàm tiện ích FUI (`jsonToExcel`, `pushRouter`, `openWindow`, `CALL`, `confirm`, `showMessage`, ...)
+`component.js` — đăng ký toàn bộ FUI components (`f-table`, `f-form`, `f-echart`, ...)
+`componentTable.js` — FUI table helpers · `fastproject.js` — FUI project bootstrapper
+
+### Ví dụ dùng phổ biến trong FUI
+
+```js
+// Toast thông báo
+Vue.$toast.success('Lưu thành công', { position: 'top' });
+Vue.$toast.error('Có lỗi xảy ra', { position: 'top' });
+
+// Dialog xác nhận (FUI wrapper — dùng hàm confirm() từ defaultfunction.js)
+confirm({
+    title: 'Xác nhận xóa',
+    message: 'Bạn có chắc muốn xóa không?',
+    action: function() { /* xử lý khi OK */ }
+});
+
+// Dialog thông báo (FUI wrapper)
+showMessage({ title: 'Thông báo', message: 'Đã lưu thành công' });
+
+// Lodash — dùng trong script.js / vueData
+_.find(vueData.list, { id: 5 })
+_.groupBy(vueData.data, 'loai')
+_.sumBy(items, 'soLuong')
+_.cloneDeep(vueData.formData)
+_.debounce(fn, 300)
+
+// Moment — format ngày
+moment(val).format('DD/MM/YYYY')
+moment(val).format('DD/MM/YYYY HH:mm')
+moment().subtract(7, 'days').format('YYYY-MM-DD')
+
+// Numeral — format số
+numeral(value).format('0,0')        // 1,234,567
+numeral(value).format('0,0.0')      // 1,234,567.8
+numeral(_.sumBy(items, key)).format('0,0')  // tổng cột trong bảng
+```
+
+> Component `f-*` nào cần import thêm JS/CSS ngoài danh sách trên: xem
+> [component-quickref.md](component-quickref.md) §Components cần import JS/CSS.
+
+## 1) scripts/fastproject.js — V3: fastproject-3.0.js
+
+Vai trò: core engine để khởi tạo module, dựng DOM từ `module.json.controls`, chạy action, map data và gọi API.
+
+Luồng khởi tạo chính:
+1. `$(document).ready` -> `loadModuleInfo()`
+2. `loadModuleInfo()` -> merge config + đọc URL/user info
+3. `createModuleDom()` -> `runAction($moduleUI.data)` + render controls
+4. `createWatch()` -> gắn watcher từ `$moduleUI.watch`
+5. Vue instance mount và module chạy
+
+| Line | Hàm | Dùng để làm gì |
+|---:|---|---|
+| 65 | `buildParamURL()` | Đọc query string và đẩy params vào `vueData`. |
+| 77 | `loadModuleInfo()` | Nạp config project/module, user info, chuẩn bị tạo app. |
+| 122 | `createModuleDom()` | Tạo layout Vue chính, render controls, init watch. |
+| 210 | `buildModuleUI(controlsList, target)` | Recursively build UI từ JSON controls. |
+| 233 | `buildControl(controlsList, flex, target)` | Render từng control, bind attr/event/import. |
+| 299 | `addImport(importArr)` | Nạp script/css phụ thuộc theo control. |
+| 310 | `createWatch_Data(obj)` | Khởi tạo dữ liệu cho watch config. |
+| 320 | `createWatch(obj)` | Gắn watcher Vue theo config `watch`. |
+| 345 | `buildVisualValForObj(controlAttr, target)` | Bind giá trị động vào attr control. |
+| 373 | `runAction(obj, includeData)` | Action engine tổng: chạy object/array action. |
+| 407 | `vueAction(objAction, includeData, callBack)` | Chạy 1 action cụ thể (IF/API/CALL/EXE/...). |
+| 485 | `mapData(map, target, src, includeData)` | Map dữ liệu giữa object theo rule FUI. |
+| 527 | `defProp(obj)` | Chuẩn hoá property object theo context. |
+| 537 | `bindData(obj)` | Resolve biến động (string/object) từ context hiện tại. |
+| 542 | `getVueData(key, src)` | Lấy value theo path (`vueData.x.y`, `item.x`, template...). Literal forcing is for `IN` mapping; static component props without `:` are already plain strings. |
+| 578 | `setValue(target, key, value, srcData, index)` | Gán dữ liệu theo path vào target object/window. |
+| 612 | `bindDataToString(str, data)` | Resolve template string với dữ liệu runtime. |
+| 619 | `templateCompiled(str, data)` | Compile template lodash-style cho chuỗi động. |
+| 624 | `getWindowData(value)` | Lấy dữ liệu từ window/iframe context. |
+| 638 | `setWindowData(key, value)` | Set dữ liệu cho window/iframe context. |
+| 657 | `runFunction(obj, callback)` | Gọi function JS đã khai báo theo action config. |
+| 665 | `tableActionEvent(ctrl)` | Xử lý action event liên quan table/control. |
+| 687 | `callAPI(objApi, callBack, includeData)` | Gọi API theo cấu hình action (`IN/OUT/CALLBACK`). |
+| 743 | `loginFUN()` | Luồng đăng nhập/chuyển hướng login. |
+| 761 | `errorMess(code, message)` | Hiển thị lỗi chuẩn theo status/message. |
+
+## 2) scripts/defaultfunction.js — V3: defaultfunction-3.0.js
+
+Vai trò: utility layer dùng chung cho runtime (router, messaging, data transform, AJAX, export, auth, websocket...).
+
+| Line | Hàm | Dùng để làm gì |
+|---:|---|---|
+| 35 | `extractHostname(url)` | Lấy hostname từ URL. |
+| 53 | `getDomainWithoutSubdomain(url)` | Lấy domain gốc không subdomain. |
+| 62 | `loadScripts(scriptsArray, callbackFunc)` | Nạp nhiều script động rồi callback. |
+| 75 | `pushRouter(router)` | Push route vào browser history. |
+| 82 | `CALL(obj, includeData)` | Alias gọi `runAction(...)`. |
+| 86 | `windowSendMessage(window, cmd, data)` | `postMessage` sang parent/window/iframe. |
+| 100 | `appCommand(cmdData)` | Gửi lệnh về native wrapper (RN/WebKit). |
+| 106 | `buildHeader(obj, mapCol)` | Tạo header table từ dataset/map cột. |
+| 130 | `fillData(obj)` | Fill/map dữ liệu từ source sang destination. |
+| 162 | `groupBy(arrayObj, groupField, sumArr)` | Group mảng theo field + cộng tổng cột. |
+| 188 | `chartDataBuild(obj)` | Chuẩn hoá data cho chart tổng quát. |
+| 219 | `chartQABuild(obj)` | Build data chart chuyên QA/report. |
+| 239 | `confirm(obj)` | Hiển thị dialog confirm. |
+| 259 | `showMessage(obj)` | Hiển thị dialog/toast message. |
+| 283 | `rightTest(rightObject)` | Kiểm tra quyền theo user rights. |
+| 301 | `openWindow(obj)` | Mở popup/dialog window FUI. |
+| 326 | `redirect(obj, query)` | Điều hướng trang theo URL/config. |
+| 339 | `reload()` | Reload trang hiện tại. |
+| 343 | `findInArray(obj)` | Tìm phần tử theo điều kiện giá trị. |
+| 348 | `fixURL(url)` | Chuẩn hoá URL (ghép domain API nếu cần). |
+| 354 | `stringAttrToJson(str, removeVueEvent)` | Parse chuỗi attr HTML thành JSON object. |
+| 371 | `json_data_parse(obj, level)` | Parse đệ quy field có prefix `json_data:`. |
+| 407 | `ajaxCALL(URL, DATA, callBack, errorCallBack, header)` | Gọi AJAX POST helper. |
+| 449 | `capacityText(numb)` | Format dung lượng bytes -> KB/MB text. |
+| 454 | `generateID()` | Sinh ID ngẫu nhiên. |
+| 467 | `printPDF(obj)` | Render/in/download PDF bằng `pdfMake`. |
+| 499 | `colorLib(color)` | Bộ công cụ convert/manipulate màu. |
+| 645 | `transparentize(value, opacity)` | Tạo màu trong suốt (alpha). |
+| 650 | `jsonToExcel(Obj)` | Xuất dữ liệu JSON ra Excel. |
+| 746 | `copyToClipboard(textToCopy)` | Copy text vào clipboard. |
+| 770 | `fileNameClear(fname)` | Làm sạch tên file không hợp lệ. |
+| 775 | `hashCode(s)` | Sinh hash code từ string. |
+| 785 | `getCookie(cname)` | Đọc cookie theo tên. |
+| 800 | `setCookie(name, value, days, domain)` | Set cookie có expiry/domain. |
+| 814 | `logout(cookiesName, domain, url)` | Xoá cookie và logout/redirect. |
+| 827 | `webSocketJoinGroup(groupObj, timeout, callBackFunc)` | Join WS group theo payload. |
+| 851 | `webSocketConnection(wsURL, WS, wsState)` | Khởi tạo/duy trì WS connection. |
+| 892 | `webSocket_Send(obj)` | Gửi payload qua websocket hiện tại. |
+
+> **Real-time messaging (SignalR)**: hướng dẫn dùng đầy đủ 3 hàm trên — import bắt buộc, khai báo group trong `data[]`, nhận/gửi tin nhắn, ví dụ `module.json` hoàn chỉnh — xem [websocket-realtime.md](websocket-realtime.md).
+
+## 3) scripts/component.js — V3: component-3.0.js
+
+Vai trò: đăng ký FUI base components và các component nghiệp vụ (dialog, editor, PDF, excel, chart, media...).
+
+Ghi chú:
+- File này cũng chứa `defaultControlAttr` để set attr mặc định theo từng `el`.
+- Nhiều component yêu cầu import ngoài (CKEditor, pdfMake, cropper, chart, ...).
+
+| Line | Component | Dùng để làm gì |
+|---:|---|---|
+| 304 | `f-label` | Hiển thị label/text theo format FUI. |
+| 319 | `f-box` | Khối hiển thị dữ liệu dạng box/card đơn giản. |
+| 377 | `f-header` | Header block nhẹ cho section/module. |
+| 386 | `f-title` | Title component chuẩn UI. |
+| 395 | `f-radiobox` | Radio group wrapper. |
+| 425 | `f-menu` | Menu list/navigation control. |
+| 472 | `f-search` | Input tìm kiếm dùng lại. |
+| 536 | `f-button` | Button wrapper chuẩn attr FUI. |
+| 607 | `f-slider` | Slider input/display. |
+| 618 | `f-file-upload` | Upload file cơ bản. |
+| 768 | `f-qrcode` | Render QR code. |
+| 843 | `f-qrcode-reader` | Quét/đọc QR code. |
+| 914 | `f-image-update` | Dialog crop/rotate/upload ảnh. |
+| 1161 | `f-date` | Date picker wrapper. |
+| 1434 | `f-time` | Time picker wrapper. |
+| 1639 | `f-time-counter` | Counter/countdown/clock hiển thị thời gian. |
+| 1775 | `fp-profile` | User profile menu trên header. |
+| 2020 | `header-bar` | Thanh header/menu chính của app/module. |
+| 2277 | `f-chart` | Biểu đồ bản cũ dựng trên canvas Chart.js (props `data`/`type`/`options`). Bản đang dùng là `f-echart` — xem [components-echart.md](components-echart.md). |
+| 2389 | `f-window` | Dynamic window/dialog host. |
+| 2453 | `f-editor` | WYSIWYG editor wrapper (CKEditor). |
+| 2591 | `f-editor-dialog` | Dialog chứa editor toàn màn hình. |
+| 2687 | `f-dialog` | Dialog dynamic dựng form từ `controls`. |
+| 2899 | `f-pdfmake` | Viewer/render PDF bằng `printPDF`. |
+| 2934 | `f-excel-reader` | Upload/đọc Excel/CSV → mảng object: chọn sheet, bỏ N dòng đầu, đặt tên key, giới hạn dung lượng; XLSX lazy-load. Xem [components-input.md](components-input.md). |
+
+## 4) scripts/componentTable.js — V3: componentTable-3.0.js (xem §4b)
+
+Vai trò: table system cho FUI, gồm component table chính và cell renderer `t-*`.
+
+| Line | Component | Dùng để làm gì |
+|---:|---|---|
+| 1 | `f-table` | Data table duy nhất (CRUD lẫn readonly): search, select, CRUD (`update-api`, `update-form`), export, auto-build headers khi không truyền `headers`, sum row/sum line qua `sumFormat` (object/string), `:height` (xem bên dưới). |
+| 416 | `t-html` | Render ô dạng HTML. |
+| 420 | `t-label` | Render text label thường. |
+| 424 | `t-num` | Render/format số. |
+| 442 | `t-time` | Render/format thời gian. |
+| 452 | `t-boolean` | Render bool bằng icon/màu. |
+| 473 | `t-check` | Cell checkbox có thể tương tác. |
+| 501 | `t-text` | Cell text input inline. |
+| 523 | `t-select` | Cell select inline. |
+| 544 | `t-combobox` | Cell combobox/autocomplete inline. |
+| 616 | `t-menu` | Cell menu action. |
+| 654 | `t-link` | Cell link điều hướng/open dialog. |
+| 678 | `t-button` | Cell button action custom. |
+
+**`:height` (`f-table`)** — computed `heightNum`/`tableHeight` + method `updateFillHeight()`: bỏ trống = tự giãn theo số dòng; `<=0` = đo `getBoundingClientRect()` thật rồi fill tới đáy màn hình chừa `abs(n)` px (có `window.resize` listener); `>0` = px cố định.
+
+## 4b) scripts/componentTable-3.0.js
+
+Bản **V3** (Vue 3 + Vuetify 3) của cùng bộ component trên — tên đăng ký PascalCase (`FTable`, `THtml`, `TNum`, ...). Framework version của module quyết định file nào được nạp (`_moduleInfo.json`).
+
+Khác biệt phải nhớ khi sửa **cả hai** file:
+- Lifecycle: V3 dùng `beforeUnmount` (các component khai cả hai để chạy được ở cả V2 lẫn V3).
+- Class Vuetify: V3 là `text-primary` / `text-subtitle-1` / `text-caption`, V2 là `primary--text` / `subtitle-1` / `caption`; `v-btn outlined` (V2) → `variant="outlined"` (V3).
+- Wrapper cuộn của `v-data-table`: V2 `.v-data-table__wrapper`, V3 `.v-table__wrapper`.
+- Tên biến/computed **không được bắt đầu bằng `_`** nếu bind thẳng trong template V3 (proxy `has` trap chặn) — V3 dùng hậu tố kiểu `hideDefaultFooter_cacl`.
+- `headers` của `f-table`: V2 dùng `{ text, value }`, V3 dùng `{ title, key }` (chuẩn Vuetify 3); slot `body.append` V2 nhận `{ headers }`, V3 nhận `{ columns }`.
+
+Kiểm chứng bản V3 sau khi sửa: `node test/v3-table-harness.mjs [sum|fill|auto]` — nạp framework V3 thật từ `https://fui.vn` trong chromium headless nhưng **thay `componentTable-3.0.js` bằng file local**, mọi API bị chặn + trả mock. In ra lỗi JS/`[Vue warn]`, chiều cao thật, nội dung dòng tổng, ô AG Grid, và chụp `test/v3-{mode}.png`.
+
+## 5) scripts/fsheet.js — dùng chung V2 + V3
+
+Vai trò: toàn bộ component `f-sheet`, một file **duy nhất** dùng chung cho cả V2 và V3 (khai cả `beforeDestroy` lẫn `beforeUnmount` để chạy được ở cả hai runtime) — không tách theo framework version như các file khác trong bảng ở đầu tài liệu.
+
+Import bắt buộc (2 file, trích từ `component.js` `defaultControlAttr["f-sheet"].import`), **đúng thứ tự**:
+```
+/include/ag-grid/ag-grid-community.min.js
+/include/ag-grid/fsheet.js
+```
+
+| Nội dung | Ghi chú |
+|---|---|
+| `Vue.component('FSheet', {...})` | Component chính — props/cột/wiring API chi tiết ở [fsheet.md](fsheet.md) |
+| 4 cell renderer dựng sẵn (`fsHtmlCellRenderer`/`fsLinkCellRenderer`/`fsButtonCellRenderer`/`fsMenuCellRenderer`) | Tương đương `t-html`/`t-link`/`t-button`/`t-menu` của `f-table` — xem [fsheet.md](fsheet.md) |
+| Hệ thống chọn vùng nhiều ô + fill handle + clipboard TSV tự viết | AG Grid Community không có Cell Selection (thuộc bản Enterprise) nên f-sheet tự điều khiển rồi gắn đúng bộ class CSS của AG Grid (`.ag-cell-range-*`, `.ag-selection-fill-*`, `.ag-fill-handle`) |
+
+`:height` dùng cùng 3 chế độ (tự giãn / fill đáy / px cố định) — chi tiết: [fsheet.md](fsheet.md) §Chiều cao.
+
+Kiểm chứng `fsheet.js`: `component_preview` (render `f-sheet` cô lập với dữ liệu mẫu, không cần push lên server) hoặc `module_simulate({renderUI:true})` (kiểm trong module thật) — cả hai chạy browser thật, không cần harness riêng.
+
+## 6) Tra cứu theo tác vụ
+
+> Cột "Mở file trước" ghi tên file V2. Nếu module là **V3**, thay bằng file `-3.0` tương ứng (xem quy tắc ở đầu tài liệu).
+
+| Tác vụ cần làm | Mở file trước (V2 / V3) | Xem mục chính |
+|---|---|---|
+| Module không render đúng layout | `fastproject.js` / `fastproject-3.0.js` | `buildModuleUI`, `buildControl`, `bindData`. |
+| Action không chạy hoặc chạy sai nhánh | `fastproject.js` / `fastproject-3.0.js` | `runAction`, `vueAction`, `mapData`, `getVueData`. |
+| API không ra dữ liệu `OUT` | `fastproject.js` + `defaultfunction.js` (cùng bản V2/V3) | `callAPI`, `fixURL`, `ajaxCALL`. |
+| Table CRUD lỗi Add/Edit/Delete | `componentTable.js` / `componentTable-3.0.js` | `f-table` + `update-api`, `update-form`. |
+| Dialog dynamic không bind dữ liệu | `component.js` / `component-3.0.js` | `f-dialog`, `buildModuleUI` (ở fastproject). |
+| Upload ảnh, crop, lưu file | `component.js` / `component-3.0.js` | `f-image-update`. |
+| Export Excel/PDF | `defaultfunction.js` + `component.js` (cùng bản V2/V3) | `jsonToExcel`, `printPDF`, `f-pdfmake`, `f-excel-reader`. |
+| Sự cố đăng nhập/quyền/menu | `fastproject.js` + `defaultfunction.js` (cùng bản V2/V3) | `loadModuleInfo`, `loginFUN`, `rightTest`. |
+| `f-sheet` không hiện / báo "FSheet is not defined" | `fsheet.js` (dùng chung V2+V3) | Thiếu import — xem [component-quickref.md](component-quickref.md) hoặc [fsheet.md](fsheet.md). |

package/skills/fui-skill/references/sql-clr-functions.md

@@ -0,0 +1,224 @@
+# SQL CLR Functions — Hàm mở rộng nhúng DLL trong SQL Server
+
+> File này sở hữu: **hàm SQL CLR: httpCall, sendMail, ImageResize, FileReader, RegexMatch...**
+
+Database của project có thể đã cài sẵn các **SQL CLR scalar function** (hàm SQL được backing bởi DLL .NET biên dịch sẵn, đăng ký qua `CREATE ASSEMBLY` + `CREATE FUNCTION ... EXTERNAL NAME`). Khi thấy các hàm này trong `db_schema_read` hoặc trong định nghĩa SP hiện có, có thể **gọi trực tiếp trong T-SQL** như hàm built-in bình thường — không cần cài đặt lại, không cần biết code C# bên trong.
+
+Nếu hàm cần dùng không có trong danh sách dưới đây (không tồn tại trong DB), **không tự bịa ra** — báo cho user biết là DB chưa có hàm này.
+
+---
+
+## 1. `SQLImageHelper` — Xử lý ảnh
+
+### `dbo.ImageResize`
+
+```sql
+dbo.ImageResize(@extension nvarchar(10), @OriginalImage varbinary(max), @maxWidth int, @maxHeight int, @preserverAspectRatio bit, @quality int)
+RETURNS varbinary(max)
+```
+
+Resize ảnh nhị phân về kích thước tối đa `@maxWidth` x `@maxHeight`.
+
+| Tham số | Ý nghĩa |
+|---|---|
+| `@extension` | Định dạng ảnh output, ví dụ `'jpg'`, `'png'` |
+| `@OriginalImage` | Dữ liệu ảnh gốc dạng `varbinary` |
+| `@maxWidth`, `@maxHeight` | Kích thước tối đa (px) |
+| `@preserverAspectRatio` | `1` = giữ tỉ lệ khung hình, resize theo cạnh dài nhất; `0` = resize ép đúng `maxWidth`x`maxHeight` |
+| `@quality` | Chất lượng nén (thường 1-100) |
+
+Trả về `varbinary` — ảnh đã resize, ghi thẳng vào cột `varbinary`/file hoặc trả qua tAPI File.
+
+### `dbo.ImageCrop`
+
+```sql
+dbo.ImageCrop(@OriginalImage varbinary(max), @StartAtX int, @StartAtY int, @Width int, @Height int)
+RETURNS varbinary(max)
+```
+
+Cắt (crop) một vùng chữ nhật từ ảnh gốc, bắt đầu tại `(@StartAtX, @StartAtY)`, kích thước `@Width` x `@Height`.
+
+---
+
+## 2. `SQLHttpHelper` — HTTP call, public value store, gửi mail
+
+### `dbo.publicValueUUID` / `publicValueGet` / `publicValueSet`
+
+Một key-value store dùng chung ở tầng server (không phải bảng SQL) — hữu ích để lưu tạm state xuyên suốt nhiều lần gọi SP mà không cần tạo bảng.
+
+```sql
+dbo.publicValueUUID() RETURNS nvarchar(max)          -- sinh 1 UUID mới, dùng làm key
+dbo.publicValueGet(@name nvarchar(max)) RETURNS nvarchar(max)   -- đọc value theo key
+dbo.publicValueSet(@name nvarchar(max), @Data nvarchar(max)) RETURNS int   -- ghi value theo key
+```
+
+### `dbo.httpCall` / `dbo.httpAPI` — Gọi HTTP request từ T-SQL
+
+```sql
+dbo.httpCall(@Method nvarchar(max), @URL nvarchar(max), @Header nvarchar(max), @Data nvarchar(max))
+RETURNS nvarchar(max)
+```
+
+`httpAPI` có chữ ký tham số **giống hệt** `httpCall` (khác implementation nội bộ — dùng khi cần gọi API nội bộ tAPI, còn `httpCall` dùng cho HTTP tổng quát ra ngoài).
+
+| Tham số | Ý nghĩa |
+|---|---|
+| `@Method` | `'GET'`, `'POST'`, `'PUT'`, `'DELETE'`... (không phân biệt hoa thường, mặc định `GET` nếu rỗng) |
+| `@URL` | URL đầy đủ, phải là absolute URL hợp lệ |
+| `@Header` | Danh sách header, xem cú pháp bên dưới — truyền `''` nếu không cần custom header |
+| `@Data` | Body request dạng JSON string — **chỉ được gửi khi Method khác GET/HEAD**; luôn gửi dưới dạng `Content-Type: application/json` trừ khi `@Header` override lại |
+
+**Ví dụ:**
+
+```sql
+SELECT dbo.httpCall('POST', 'https://tapi.example.vn/me/auth/ApplicationList', '', '')
+```
+
+#### Cú pháp `@Header` — pipe-delimited `Key: Value`
+
+Đây là phần quan trọng nhất khi dùng `httpCall`/`httpAPI`. `@Header` là một chuỗi duy nhất, mỗi cặp header cách nhau bởi `|`, mỗi cặp có dạng `Key: Value` (tách bằng dấu `:` đầu tiên, phần còn lại — kể cả nếu chứa `:` — thuộc về value):
+
+```
+"Authorization: Bearer eyJhbGciOi...|X-Custom-Header: abc123"
+```
+
+Implementation (C#) xử lý như sau — **không phân biệt hoa/thường tên header**, và một số tên có xử lý đặc biệt:
+
+| Header name | Hành vi |
+|---|---|
+| `Authorization`, `X-*`, mọi tên khác | Add thẳng vào request headers (`TryAddWithoutValidation`) — dùng cho token, API key |
+| `referer` / `referrer` | Parse thành URI, set `request.Headers.Referrer` |
+| `user-agent` | Ghi đè `User-Agent` mặc định |
+| `accept` | Ghi đè `Accept` |
+| `accept-language` | Ghi đè `Accept-Language` |
+| `accept-encoding` | Ghi đè `Accept-Encoding` |
+| `content-type` | Nếu request có body (`Method` khác GET/HEAD) → set vào `Content.Headers.Content-Type` (ghi đè `application/json` mặc định); nếu không có body → set vào request headers thường |
+| Bất kỳ header nào bắt đầu bằng `content-` (khác `content-type`) | Nếu có body → route vào `Content.Headers` thay vì request headers (theo chuẩn HTTP — các header `Content-*` mô tả nội dung body) |
+
+**Ví dụ set Bearer token + custom header:**
+
+```sql
+SELECT dbo.httpCall(
+  'POST',
+  'https://api.example.com/data',
+  'Authorization: Bearer abc123xyz|Content-Type: application/json; charset=utf-8',
+  '{"key":"value"}'
+)
+```
+
+**Lưu ý khi ghép nhiều header:** không được có thêm dấu `|` thừa hoặc thiếu — mỗi cặp phải tách rõ bằng đúng 1 dấu `|`, thiếu `:` trong 1 cặp thì cặp đó bị bỏ qua (không lỗi, chỉ silent skip).
+
+#### Response format của `httpCall`/`httpAPI`
+
+- Nếu HTTP status = **200**: trả về **nguyên văn body** của response (không bọc thêm gì) — có thể là JSON, text thuần, hoặc bất kỳ định dạng nào server trả về.
+- Nếu HTTP status **khác 200** (400, 401, 404, 500...): trả về JSON dạng bọc lỗi:
+  ```json
+  {"httpErrorCode": 404, "responseData": "<nội dung body, hoặc escaped string nếu không phải JSON>"}
+  ```
+  → khi parse kết quả trong SP, luôn kiểm tra xem response có field `httpErrorCode` không để biết là lỗi hay thành công.
+- Nếu URL không hợp lệ: trả về `{"httpErrorCode":0,"responseData":"Invalid URL"}`.
+- Timeout/exception khác: trả message lỗi dạng text (không phải JSON), nên khi dùng trong SP cần tự kiểm tra format trước khi `OPENJSON`.
+
+### `dbo.sendMail`
+
+```sql
+dbo.sendMail(@email_to nvarchar(max), @subject nvarchar(max), @content nvarchar(max), @from nvarchar(max), @fromDisplayName nvarchar(max), @smtp_server nvarchar(max), @smtp_port int, @userName nvarchar(max), @Password nvarchar(max), @EnableSSL bit)
+RETURNS nvarchar(max)
+```
+
+Gửi email qua SMTP trực tiếp từ T-SQL.
+
+| Tham số | Ý nghĩa |
+|---|---|
+| `@email_to` | Địa chỉ người nhận |
+| `@subject` | Tiêu đề mail |
+| `@content` | Nội dung mail (HTML hoặc text) |
+| `@from` | Địa chỉ email gửi (phải khớp/được phép bởi SMTP account) |
+| `@fromDisplayName` | Tên hiển thị người gửi |
+| `@smtp_server`, `@smtp_port` | Ví dụ `'smtp.gmail.com'`, `587` |
+| `@userName`, `@Password` | Tài khoản SMTP dùng để auth |
+| `@EnableSSL` | `1` = bật SSL/TLS (bắt buộc với Gmail SMTP) |
+
+```sql
+SELECT dbo.sendMail('user@example.vn','Tiêu đề','Nội dung','noreply@example.vn','My System','smtp.gmail.com',587,'noreply@example.vn','app-password',1)
+```
+
+> **Bảo mật:** không hardcode `@Password` SMTP trực tiếp trong SP nếu tránh được — cân nhắc lưu qua `publicValueSet`/`publicValueGet` hoặc config bảng riêng có phân quyền, để không lộ credential khi ai đó xem definition của SP.
+
+---
+
+## 3. `SQLFileSystem` — Đọc/ghi file trên server
+
+```sql
+dbo.FileCreateFolder(@Path nvarchar(max)) RETURNS nvarchar(max)
+dbo.FileReader(@Path nvarchar(max)) RETURNS varbinary(max)
+dbo.FileWriter(@Content varbinary(max), @Path nvarchar(max)) RETURNS nvarchar(max)
+dbo.FileExists(@Path nvarchar(max)) RETURNS bit
+dbo.FileDelete(@Path nvarchar(max)) RETURNS nvarchar(max)
+dbo.FileMove(@SourceFileName nvarchar(max), @DestFileName nvarchar(max)) RETURNS nvarchar(max)
+```
+
+Thao tác trực tiếp trên filesystem của **máy SQL Server** (không phải máy client) — `@Path` là đường dẫn tuyệt đối trên server đó. Dùng khi SP cần lưu file kết quả (ví dụ ảnh đã resize bằng `ImageResize`, PDF xuất ra) vào một thư mục cố định để tAPI File API hoặc IIS phục vụ lại.
+
+| Hàm | Ý nghĩa |
+|---|---|
+| `FileCreateFolder` | Tạo thư mục (kể cả nested), trả message kết quả |
+| `FileReader` | Đọc toàn bộ nội dung file, trả `varbinary` |
+| `FileWriter` | Ghi `@Content` (varbinary) vào `@Path`, tạo mới hoặc ghi đè |
+| `FileExists` | Kiểm tra tồn tại, trả `bit` |
+| `FileDelete` | Xóa file |
+| `FileMove` | Di chuyển/đổi tên file từ `@SourceFileName` sang `@DestFileName` |
+
+> Vì đây là thao tác trên đĩa server thật, cân nhắc quyền hạn (permission check trong SP) trước khi cho phép `FileDelete`/`FileWriter` chạy theo input từ client — tương tự nguyên tắc guard DDL/DML đã áp dụng cho `db_sql_execute_nonquery`.
+
+---
+
+## 4. `SQLExpansionFunction` — Regex & so sánh chuỗi
+
+```sql
+dbo.RegexReplace(@Input nvarchar(max), @Pattern nvarchar(1000), @Replacement nvarchar(4000)) RETURNS nvarchar(max)
+dbo.RegexIsMatch(@Input nvarchar(max), @Pattern nvarchar(1000)) RETURNS bit
+dbo.RegexMatch(@Input nvarchar(max), @Pattern nvarchar(1000)) RETURNS nvarchar(max)
+dbo.RegexMatchArray(@Input nvarchar(max), @Pattern nvarchar(1000)) RETURNS nvarchar(max)
+dbo.CompareWord(@String1 nvarchar(max), @String2 nvarchar(max)) RETURNS int
+```
+
+| Hàm | Ý nghĩa |
+|---|---|
+| `RegexReplace` | Thay thế theo regex `.NET` — dùng khi T-SQL `REPLACE` không đủ (cần pattern, không phải literal string) |
+| `RegexIsMatch` | Kiểm tra `@Input` có khớp `@Pattern` không, trả `bit` — dùng validate format (email, phone, mã số...) ngay trong SP |
+| `RegexMatch` | Trả về **match đầu tiên** tìm được (`Match.Value` — toàn bộ chuỗi khớp, không tách group), rỗng nếu không khớp |
+| `RegexMatchArray` | Trả về **tất cả match, kèm từng capture group**, dạng **JSON object phẳng** (không phải array) — xem cấu trúc chi tiết bên dưới |
+| `CompareWord` | So sánh độ giống nhau giữa 2 chuỗi, trả `int` (thường là số ký tự khác biệt hoặc similarity score — kiểm tra thực tế qua `SELECT dbo.CompareWord('a','b')` nếu cần biết thang đo chính xác) |
+
+`@Pattern` dùng cú pháp regex chuẩn .NET (`\d`, `\w`, `^$`, group `()`...), không phải T-SQL `LIKE` pattern. Cả 4 hàm regex đều **luôn bật cố định** `IgnoreCase | Multiline | Singleline` — nghĩa là mặc định **không phân biệt hoa/thường**, `^`/`$` khớp theo từng dòng, và `.` khớp cả ký tự xuống dòng — không có cách nào tắt các flag này qua tham số.
+
+#### Cấu trúc thật của `RegexMatchArray` — JSON object, không phải array
+
+Dựa theo code C#, kết quả là một **object phẳng** (`{...}`), không phải `[...]`. Key có dạng `"M{m}G{g}"`:
+
+- `m` = số thứ tự match (match thứ 1, 2, 3... trong `@Input`, đánh số từ 1)
+- `g` = số thứ tự group **trong chính match đó** (đánh số từ 1): `G1` luôn là **toàn bộ chuỗi khớp** (tương đương `Match.Groups[0]`, cũng là giá trị mà `RegexMatch` trả về), `G2`, `G3`... là các **capture group** `(...)` trong `@Pattern`, nếu có.
+- Nếu không có match nào, trả về object rỗng `"{}"`.
+- Giá trị mỗi key đã được loại bỏ tab/newline/carriage-return (`\t`, `\n`, `\r`) và escape dấu `"`.
+
+Ví dụ: `RegexMatchArray('SDT: 0901 - 0902', '(\d{4})')` (pattern có 1 group) trả về:
+
+```json
+{"M1G1": "0901", "M1G2": "0901", "M2G1": "0902", "M2G2": "0902"}
+```
+
+(ở đây G1 = G2 vì toàn bộ match trùng với group con duy nhất — nếu pattern không có group con nào, mỗi match cũng chỉ sinh ra đúng 1 cặp `G1`.)
+
+Vì đây là **object**, không phải array, nên khi parse trong T-SQL:
+- `OPENJSON(@result)` **không có `path` mặc định cho array** — vẫn chạy được nhưng trả về theo schema `key/value/type` (mỗi key `"M1G1"` là 1 row, cột `key` = tên, cột `value` = giá trị) chứ không phải mỗi match 1 row có cấu trúc lồng nhau.
+- Muốn lấy giá trị 1 match/group cụ thể theo tên biết trước, dùng `JSON_VALUE(@result, '$."M1G1"')`.
+- Muốn duyệt tất cả kết quả, dùng `OPENJSON(@result)` không truyền path, rồi tự parse tiền tố `M{m}G{g}` từ cột `key` nếu cần nhóm theo match.
+
+---
+
+## 5. Khi nào dùng các hàm này trong SP
+
+- Luôn kiểm tra hàm đã tồn tại trong DB trước (`db_schema_read` filter theo `objectType` function, hoặc `SELECT * FROM sys.objects WHERE type='FS'`) — SQL CLR function chỉ dùng được nếu assembly đã được `CREATE ASSEMBLY` trên DB đó. Không phải DB nào cũng có.
+- Dùng trong `spAPI_*` khi nghiệp vụ cần: gọi API ngoài (`httpCall`), xử lý ảnh upload (`ImageResize`/`ImageCrop`), gửi email thông báo (`sendMail`), validate chuỗi bằng regex (`RegexIsMatch`), hoặc lưu file lên đĩa server (`FileWriter`).
+- Kết quả trả về `nvarchar(max)` dạng JSON (như `httpCall`, `RegexMatchArray`) nên dùng `OPENJSON`/`JSON_VALUE` để parse tiếp trong T-SQL trước khi trả ra ngoài qua tAPI.

package/skills/fui-skill/references/system-design.md

@@ -0,0 +1,116 @@
+# System Design — Thiết kế app FUI nhiều module từ đầu
+
+> File này sở hữu: **thiết kế app nhiều module từ mô tả: phân rã module, schema-first, menu, phân quyền**. Làm một module cụ thể xem [fullstack-workflow.md](fullstack-workflow.md).
+
+Playbook cấp **hệ thống**: khi user mô tả cả một phần mềm (nhiều màn hình/chức năng) chứ không phải một module đơn lẻ. File này điều phối; mỗi module cụ thể vẫn theo [fullstack-workflow.md](fullstack-workflow.md).
+
+> Đọc trước khi bắt tay: file này (phân rã hệ thống) → [db-table-design.md](db-table-design.md) (schema) → [tapi-reference.md](tapi-reference.md) (API) → [fullstack-workflow.md](fullstack-workflow.md) (từng module) → [project-config.md](project-config.md) (menu/quyền).
+
+---
+
+## Bước 0 — Làm rõ phạm vi trước khi thiết kế
+
+Đừng code ngay. Xác nhận với user:
+
+- **Ai dùng?** Vai trò người dùng (admin, nhân viên, khách...) → quyết định phân quyền & menu.
+- **Quy trình nghiệp vụ chính là gì?** Liệt kê các luồng end-to-end (ví dụ: "tạo đơn → duyệt → xuất kho").
+- **Dữ liệu cốt lõi (entity chính)?** Danh sách thực thể + quan hệ (1-n, n-n).
+- **Có sẵn DB/project chưa,** hay dựng mới hoàn toàn?
+  - **Có sẵn** → `project_list`, `module_list`, `db_schema_read` để nắm hiện trạng trước.
+  - **Dựng mới hoàn toàn** → làm [project-provisioning.md](project-provisioning.md) **trước file này**: chưa có database và chưa có project FUI thì không có gì để thiết kế lên. Quay lại Bước 1 sau khi `db_connect_by_name` và `project_new` đã chạy được.
+
+Nếu thiếu thông tin → **hỏi**, không tự giả định rồi dựng cả hệ thống sai hướng.
+
+---
+
+## Bước 1 — Phân rã hệ thống thành module
+
+Một "phần mềm" = nhiều module FUI. Quy tắc phân rã:
+
+| Nguyên tắc | Áp dụng |
+|---|---|
+| Một module = một màn hình/chức năng mạch lạc | "Quản lý sinh viên", "Báo cáo doanh thu", "Duyệt đơn" — mỗi cái một module |
+| Nhóm theo entity chính | CRUD một entity thường gói trong một module (list + dialog thêm/sửa) |
+| Tách theo vai trò khi luồng khác nhau | Màn hình admin vs màn hình người dùng cuối → module riêng |
+| Dashboard/report tách khỏi màn nhập liệu | Trang tổng hợp (chart) riêng, không nhồi vào CRUD |
+
+**Output:** bảng danh sách module — tên, mục đích, entity liên quan, vai trò truy cập.
+
+Kiểm tra tính nhất quán: các module cùng project nên theo **cùng convention** (đặt tên control, vị trí toolbar/filter/action). Tham khảo module đã có bằng `module_get` trước khi tự sáng tạo kiểu khác.
+
+---
+
+## Bước 2 — Thiết kế database schema-first
+
+Trước khi viết bất kỳ module.json nào, chốt schema tổng thể:
+
+1. Vẽ danh sách bảng + PK + FK cho **toàn bộ** entity (không chỉ một bảng). Theo quy ước [db-table-design.md](db-table-design.md): `tbl` + PascalCase, PK `[Entity]ID`, cột audit `CreateUser/CreateTime/UpdateUser/UpdateTime`.
+2. Xác định quan hệ n-n → bảng nối (ví dụ `tblUserRole`).
+3. **`CREATE TABLE` do lập trình viên tự chạy** — MCP chặn, AI trình bày DDL để user duyệt & chạy. Sửa bảng ĐÃ CÓ thì mở theo tiêu chí *mất dữ liệu hay không*: `ALTER TABLE ... ADD` và `DROP CONSTRAINT` chạy thẳng, `ALTER COLUMN` cần `confirmWrite`, còn `DROP COLUMN`/`DROP TABLE`/`SWITCH` vẫn chặn cứng.
+4. Danh mục/bảng tra cứu (lookup) thiết kế sớm — nhiều module sẽ dùng chung cho dropdown.
+
+**Output:** sơ đồ bảng + quan hệ, đã được user xác nhận.
+
+---
+
+## Bước 3 — Thiết kế API (SP) theo entity
+
+Map mỗi entity → bộ SP tAPI chuẩn (`List/Get/Insert/Update/Delete` + `AUTH_*Options` cho dropdown). Xem [tapi-reference.md](tapi-reference.md) §1, [fullstack-workflow.md](fullstack-workflow.md) Bước 2-3.
+
+Ở cấp hệ thống, chú ý:
+- **SP dùng chung** (danh mục, lookup) → đặt tên trung tính, nhiều module gọi lại.
+- Phân quyền nhất quán qua `@sys_SystemRight`/`@sys_FunctionRight` — xem [tapi-permission-patterns.md](tapi-permission-patterns.md).
+
+---
+
+## Bước 4 — Cấu trúc project: menu, điều hướng, component dùng chung
+
+Đây là phần **chỉ có ở cấp hệ thống** (một module đơn lẻ không cần):
+
+- **Menu & điều hướng:** cấu hình trong `project.json` (menuLeft/menu/menuStyle). Xem [project-config.md](project-config.md) và `examples/project-patterns.json`.
+- **Component dùng chung nhiều module** → đặt project-scope (`{projectId}/components/`, gọi `component_new`/`component_update` với `projectId` không kèm `moduleId`) để auto-load ở mọi module. Xem [component-design.md](component-design.md).
+- **Điều hướng giữa module:** `pushRouter`/`openWindow` (xem [ui-crosswindow-patterns.md](ui-crosswindow-patterns.md)); truyền ID qua URL, module con tự query.
+- **Phân quyền xuyên module:** thống nhất `SystemRight`/`FunctionRight` theo vai trò đã xác định ở Bước 0 — và **định nghĩa mã thật trước khi gác**, xem Bước 4b.
+
+---
+
+## Bước 4b — Tạo ĐỊNH NGHĨA quyền (làm TRƯỚC khi viết module.json nào có gác quyền)
+
+Vai trò xác định ở Bước 0 mới chỉ là ý định. Mã quyền chỉ tồn tại khi có dòng trong `acc.tblSysRight`/`acc.tblFunction` của project — viết `FunctionRight.includes('42')` **không tạo ra** mã 42, và mã không tồn tại làm control biến mất im lặng (chi tiết + lý do các tầng kiểm chứng không bắt được: [permission-system.md](permission-system.md) §"Bắt buộc: mã quyền phải TỒN TẠI trước khi đem gác").
+
+Hệ thống mới thường quên bước này vì nó không thuộc DB của project, không nằm trong schema, không có file nào trong workspace nhắc tới.
+
+1. `right_system_list` + `right_function_list` — xem project đã có gì (project mới thường trống; cũng ghi cache `_db/rights.json` **theo khoá `apiName`** để `module_validate` đối chiếu được. Hệ thống gọi nhiều alias thì chạy cho **từng alias**, cache của alias này không dùng cho alias kia).
+2. Map **mỗi vai trò** ở Bước 0 → một mức `SystemRight` (`right_system_new({ sysRight, note })`); `9` = Project Admin có sẵn, không cần tạo.
+3. Map **mỗi thao tác cần bật/tắt riêng** (duyệt, xuất báo cáo, xóa…) → một `FunctionRight` (`right_function_new({ functionCode, functionName })`). Đặt bảng `mã → ý nghĩa` vào phần thiết kế để mọi module dùng chung một bộ mã, không mỗi module bịa một dãy số.
+4. Chốt bảng đó với user **trước khi** code — đổi mã sau khi đã gán quyền cho user thật là việc phải làm tay ngoài MCP.
+
+---
+
+## Bước 5 — Thứ tự triển khai
+
+Dựng theo thứ tự giảm rủi ro:
+
+0. **Hạ tầng** (chỉ khi dựng mới hoàn toàn): database + hai tài khoản SQL + alias `acc` + project FUI + quyền quản trị — [project-provisioning.md](project-provisioning.md).
+1. **Schema + lookup data** trước (mọi thứ phụ thuộc vào đây) — khảo sát bằng `db_sql_execute` (TOP 20).
+2. **Định nghĩa quyền** (Bước 4b) — SP kiểm `@sys_FunctionRight` và module gác `v-if` đều tham chiếu tới đây; tạo sau thì mọi thứ ở trên đã viết bằng mã chưa tồn tại.
+3. **SP cho entity cốt lõi**, kiểm chứng tĩnh bằng `db_sp_verify` (đọc thân SP + suy luận, không gọi endpoint sống).
+4. **Module CRUD entity chính** — dùng làm khuôn mẫu convention cho các module sau.
+5. **Module phụ thuộc** (báo cáo, dashboard) sau khi dữ liệu đã có.
+6. **Menu + component dùng chung** ráp cuối để nối các module.
+
+Mỗi module: theo trọn [fullstack-workflow.md](fullstack-workflow.md) — phân tích → **Design Review Gate (§Bước 1b)** → UI data cứng → chốt contract → SP → wiring API → kiểm chứng tĩnh.
+
+---
+
+## Checklist cấp hệ thống
+
+- [ ] Đã liệt kê đầy đủ module + vai trò truy cập, user xác nhận phạm vi
+- [ ] Schema tổng thể (bảng + PK/FK + bảng nối + lookup) đã chốt trước khi code
+- [ ] Convention thống nhất giữa các module (tham khảo module đã có)
+- [ ] Component dùng chung đặt project-scope, không copy lặp
+- [ ] Menu/điều hướng cấu hình trong project.json
+- [ ] **Đã tạo định nghĩa quyền thật** (`right_system_new`/`right_function_new`) cho mọi vai trò/thao tác, có bảng `mã → ý nghĩa` user đã chốt — không module nào gác bằng mã chưa tồn tại
+- [ ] `module_validate` không còn warning về mã quyền (đã chạy `right_*_list` để có cache đối chiếu)
+- [ ] Phân quyền nhất quán theo vai trò xuyên suốt các SP
+- [ ] Thứ tự triển khai: schema → **định nghĩa quyền** → SP → module lõi → module phụ → menu