@goplusvn/core 0.1.31 → 0.1.32

package/CHANGELOG.md

@@ -1,5 +1,20 @@
 # Changelog
 
+## 0.1.32 — Gỡ NextAuth khỏi core (BREAKING cho app chưa migrate)
+
+Core không còn phụ thuộc next-auth (bỏ peer dependency):
+
+- **auth-bridge**: gỡ `nextAuthBridgeClient` + import `next-auth/react`.
+  Mặc định khi KHÔNG mount `AuthBridgeProvider` giờ là fallback
+  unauthenticated (cảnh báo console) thay vì NextAuth. App PHẢI mount
+  provider với client auth của mình (vinhhoa: betterAuthBridgeClient).
+- **Type `Session`**: các chữ ký RBAC (`checkPermission`,
+  `getUserPermissions`, `hasRole`…) đổi từ `Session` của next-auth sang
+  `Session` cấu trúc `{ user?: unknown }` export từ `@goerp/core/types` —
+  session của mọi auth gán được, app không phải sửa call-site.
+- `auth/proxy-gate` (gate JWT NextAuth cho app cũ) GIỮ NGUYÊN nhưng app nào
+  dùng phải tự cài next-auth (giờ chỉ là devDependency của core).
+
 ## 0.1.31 — MultiSelect: mặc định 1 DÒNG (hết lệch hàng toolbar)
 
 Wrap-mặc-định (0.1.27) làm trigger CAO LÊN khi chọn ≥2 option → lệch hàng

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@goplusvn/core",
   "description": "GoPlusVN Platform Kit - ERP kernel: layout, RBAC, CRUD, multi-tenant, system pages",
-  "version": "0.1.31",
+  "version": "0.1.32",
   "private": false,
   "publishConfig": {
     "registry": "https://registry.npmjs.org",
@@ -59,7 +59,6 @@
   },
   "peerDependencies": {
     "next": ">=14.0.0",
-    "next-auth": "4.24.11",
     "react": "^18.0.0 || ^19.0.0",
     "react-dom": "^18.0.0 || ^19.0.0"
   },

package/src/auth/index.ts

@@ -1,7 +1,7 @@
 // @goerp/core/auth
 // Authentication and RBAC utilities for GoERP
 
-import type { Session } from "next-auth";
+import type { Session } from "../types";
 
 export * from "./auth-service";
 

package/src/crud/lib/permissions.ts

@@ -1,5 +1,5 @@
 import type { CrudPermissions, EntityConfig } from "../../types";
-import type { Session } from "next-auth";
+import type { Session } from "../../types";
 
 import { getCrudPermissionsFromSession } from "../../rbac/permissions";
 

package/src/rbac/index.ts

@@ -2,8 +2,7 @@
 // Core RBAC (Role-Based Access Control) utilities for GoERP platform
 // Consolidated from packages/shared/rbac
 
-import type { Permission } from "../types";
-import type { Session } from "next-auth";
+import type { Permission, Session } from "../types";
 import { logger } from "../utils";
 
 // ============================================================================

package/src/rbac/permissions.ts

@@ -2,8 +2,7 @@
 // Server-only permission utilities - no client/UI imports
 // Use this in Server Components and API routes to avoid bundling client code
 
-import type { Permission } from "../types";
-import type { Session } from "next-auth";
+import type { Permission, Session } from "../types";
 
 // ============================================================================
 // Action Mapping

package/src/types/index.ts

@@ -13,6 +13,15 @@ import type { z } from "zod";
 export const supportedLocales = ["vi", "en"] as const;
 export type LocaleType = (typeof supportedLocales)[number];
 
+/**
+ * Session cấu trúc — thay `import type { Session } from "next-auth"` (đã gỡ
+ * NextAuth khỏi core). Core chỉ cần `session?.user` rồi cast ExtendedUser;
+ * session của mọi auth (NextAuth cũ, Better Auth shim) đều gán được.
+ */
+export interface Session {
+  user?: unknown;
+}
+
 export interface SearchResultItem {
   id: string;
   title: string;

package/src/ui/auth/auth-bridge.tsx

@@ -1,22 +1,18 @@
 "use client";
 
-// AUTH BRIDGE — lớp trừu tượng client-auth để core KHÔNG khóa cứng vào
-// NextAuth. Mặc định (không mount provider) = NextAuth y như cũ → mọi app
-// hiện tại không đổi hành vi. App migrate sang Better Auth chỉ cần mount:
+// AUTH BRIDGE — lớp trừu tượng client-auth: core KHÔNG phụ thuộc thư viện
+// auth nào. App PHẢI mount provider với client của mình, ví dụ Better Auth:
 //
 //   <AuthBridgeProvider client={betterAuthBridgeClient}>
 //
-// với client map từ createAuthClient() của Better Auth (useSession /
-// signIn.email / signOut). LƯU Ý: client phải là hằng số suốt vòng đời app
-// (rules of hooks — useSession của bridge được gọi như một hook).
+// với client map từ createAuthClient() (useSession / signIn.email / signOut).
+// LƯU Ý: client phải là hằng số suốt vòng đời app (rules of hooks — useSession
+// của bridge được gọi như một hook). Từ 0.1.32 core đã GỠ next-auth: không
+// còn nextAuthBridgeClient mặc định; app còn dùng NextAuth tự viết client
+// (map useSession/signIn/signOut của next-auth/react vào AuthBridgeClient).
 
 import { createContext, useContext } from "react";
 import type { ReactNode } from "react";
-import {
-  signIn as nextAuthSignIn,
-  signOut as nextAuthSignOut,
-  useSession as nextAuthUseSession,
-} from "next-auth/react";
 
 export interface AuthSessionState {
   /** Session object (shape do app quyết — core chỉ đọc user.id/permissions...) */
@@ -37,31 +33,33 @@ export interface AuthBridgeClient {
   signOut: (options?: { callbackUrl?: string }) => Promise<void>;
 }
 
-/** Mặc định: NextAuth (v4) — các app chưa migrate dùng nguyên như cũ. */
-export const nextAuthBridgeClient: AuthBridgeClient = {
+const MISSING_PROVIDER_MSG =
+  "[goerp-core] AuthBridgeProvider chưa được mount — bọc app trong " +
+  '<AuthBridgeProvider client={...}> với client auth của app (xem ui/auth).';
+
+let warnedMissingProvider = false;
+
+/**
+ * Fallback khi app QUÊN mount AuthBridgeProvider: session luôn
+ * unauthenticated (cảnh báo console 1 lần), signIn trả lỗi rõ ràng.
+ */
+const missingProviderClient: AuthBridgeClient = {
   useSession: () => {
-    // eslint-disable-next-line react-hooks/rules-of-hooks -- được gọi trong hook useAuthSession
-    const s = nextAuthUseSession();
-    return {
-      data: s.data,
-      status: s.status,
-      update: () => s.update(),
-    };
-  },
-  signInWithCredentials: async ({ email, password }) => {
-    const result = await nextAuthSignIn("credentials", {
-      redirect: false,
-      email,
-      password,
-    });
-    return { error: result?.error ?? null };
+    if (!warnedMissingProvider) {
+      warnedMissingProvider = true;
+      console.warn(MISSING_PROVIDER_MSG);
+    }
+    return { data: null, status: "unauthenticated", update: async () => null };
   },
-  signOut: async (options) => {
-    await nextAuthSignOut(options);
+  signInWithCredentials: async () => ({ error: MISSING_PROVIDER_MSG }),
+  signOut: async () => {
+    console.warn(MISSING_PROVIDER_MSG);
   },
 };
 
-const AuthBridgeContext = createContext<AuthBridgeClient>(nextAuthBridgeClient);
+const AuthBridgeContext = createContext<AuthBridgeClient>(
+  missingProviderClient,
+);
 
 export function AuthBridgeProvider({
   client,