@goplusvn/core 0.1.67 → 0.1.69

package/templates/starter-app/src/__tests__/architecture.test.ts

@@ -1,151 +1,43 @@
-import { readdirSync, readFileSync, statSync } from "node:fs"
-import { join, relative } from "node:path"
+import { join } from "node:path"
 
-import { describe, expect, it } from "vitest"
+import { runCoreGuardrails } from "@goerp/core/guardrails"
 
 import { permissionRegistry } from "@/configs/permissions"
 import { navigations } from "@/data/navigations"
 
 /**
- * RATCHET — hàng rào kiến trúc. Mỗi kiểm tra ở đây tương ứng một lỗi im lặng
- * đã từng làm mất thời gian trong app thật: quyền khai sai thì nút biến mất
- * không báo lỗi, route quên gác thì thành lỗ hổng, hai Prisma client thì rò
- * connection pool. Thêm quy tắc mới khi bạn gặp lỗi loại đó; đừng nới lỏng.
+ * HÀNG RÀO KIẾN TRÚC — mỗi thước ở đây ứng với một lỗi im lặng đã từng làm mất
+ * thời gian trong app thật: quyền khai sai thì nút biến mất mà không báo lỗi,
+ * route quên gác thì thành lỗ hổng, hai Prisma client thì rò connection pool.
+ *
+ * Luật KHÔNG nằm trong file này — nó nằm ở `@goerp/core/guardrails`, dùng chung
+ * cho mọi app. Lý do: một bài học rút ra ở app này phải tự đến được các app
+ * khác qua `pnpm up @goerp/core`. Chép luật ra file riêng là đóng băng nó ở
+ * ngày hôm nay.
+ *
+ * File này chỉ khai phần RIÊNG của app:
+ *  - `allowlists` — nợ cũ đã biết, CHỈ ĐƯỢC RÚT BỚT (bỏ thêm entry mới = mở cửa);
+ *  - `ceilings`   — trần nợ theo thư mục, chỉ được HẠ và không được dư;
+ *  - `skip`       — tắt hẳn một thước, phải kèm lý do (thấy được lúc review).
+ *
+ * Chạy `pnpm guardrails` để xem toàn bộ danh sách thước và trạng thái hiện tại.
  */
-
-const SRC = join(__dirname, "..")
-
-function walk(dir: string, out: string[] = []): string[] {
-  for (const entry of readdirSync(dir)) {
-    const full = join(dir, entry)
-    if (statSync(full).isDirectory()) {
-      if (entry === "node_modules" || entry === "__tests__") continue
-      walk(full, out)
-    } else if (/\.(ts|tsx)$/.test(entry)) {
-      out.push(full)
-    }
-  }
-  return out
-}
-
-const allFiles = walk(SRC)
-const read = (f: string) => readFileSync(f, "utf8")
-const rel = (f: string) => relative(SRC, f)
-
-/** Bộ action ai cũng hiểu — trùng danh sách trong scripts/rbac-sync.ts. */
-const STANDARD_ACTIONS = ["view", "create", "update", "delete", "export", "import"]
-
-describe("permission registry", () => {
-  const declaredCustom = new Set(
-    permissionRegistry.flatMap((f) => (f.customActions ?? []).map((a) => a.code)),
-  )
-
-  it("mọi action được dùng đều là action chuẩn hoặc đã khai customActions", () => {
-    const unknown: string[] = []
-    for (const feature of permissionRegistry) {
-      for (const r of feature.resources) {
-        for (const a of r.actions) {
-          if (!STANDARD_ACTIONS.includes(a) && !declaredCustom.has(a)) {
-            unknown.push(`${r.code}:${a}`)
-          }
-        }
-      }
-    }
-    // rbac-sync ném lỗi khi gặp trường hợp này — bắt sớm ở test rẻ hơn nhiều
-    // so với phát hiện lúc deploy.
-    expect(unknown).toEqual([])
-  })
-
-  it("defaultGrants chỉ trỏ tới action đã khai trên chính resource đó", () => {
-    const bad: string[] = []
-    for (const feature of permissionRegistry) {
-      for (const r of feature.resources) {
-        for (const [roleCode, grant] of Object.entries(r.defaultGrants ?? {})) {
-          if (grant === "*") continue
-          for (const a of grant) {
-            if (!r.actions.includes(a)) bad.push(`${roleCode} → ${r.code}:${a}`)
-          }
-        }
-      }
-    }
-    expect(bad).toEqual([])
-  })
-
-  it("mã resource dùng kebab-case (khớp chuỗi trong checkPermission và URL)", () => {
-    const bad = permissionRegistry
-      .flatMap((f) => f.resources.map((r) => r.code))
-      .filter((code) => !/^[a-z][a-z0-9-]*$/.test(code))
-    expect(bad).toEqual([])
-  })
-
-  it("mọi mục navigation có `resource` đều đã khai trong registry", () => {
-    const declared = new Set(
-      permissionRegistry.flatMap((f) => f.resources.map((r) => r.code)),
-    )
-    const missing: string[] = []
-    for (const group of navigations) {
-      for (const item of group.items ?? []) {
-        const resource = (item as { resource?: string }).resource
-        if (resource && !declared.has(resource)) missing.push(resource)
-      }
-    }
-    // Mục nav trỏ tới resource chưa khai sẽ ẨN VĨNH VIỄN với mọi người dùng
-    // (kể cả admin) mà không có thông báo nào.
-    expect(missing).toEqual([])
-  })
-})
-
-describe("ranh giới kiến trúc", () => {
-  it("không còn dấu vết NextAuth (app đã sang Better Auth)", () => {
-    const offenders = allFiles.filter((f) => /from ["']next-auth/.test(read(f)))
-    expect(offenders.map(rel)).toEqual([])
-  })
-
-  it("chỉ src/lib/prisma.ts được tạo PrismaClient", () => {
-    const offenders = allFiles.filter(
-      (f) => /new PrismaClient\(/.test(read(f)) && rel(f) !== "lib/prisma.ts",
-    )
-    // Client thứ hai = pool kết nối thứ hai + bỏ qua audit extension.
-    expect(offenders.map(rel)).toEqual([])
-  })
-
-  it("route API đều đi qua getSession hoặc handler có gác quyền của core", () => {
-    const routes = allFiles.filter((f) => /app\/api\/.*route\.ts$/.test(rel(f)))
-    expect(routes.length).toBeGreaterThan(0)
-
-    // better-auth tự lo xác thực cho chính nó (đăng nhập thì làm gì có phiên).
-    const exempt = ["app/api/better-auth"]
-    const offenders = routes.filter((f) => {
-      if (exempt.some((p) => rel(f).startsWith(p))) return false
-      const src = read(f)
-      // apiHandler( = cổng của app — chấp cả dạng có generic
-      // `apiHandler<{ key: string[] }>(` ở route catch-all; create*Handlers( =
-      // factory sẵn của core (rbac/crud) vốn đã tự gác session + quyền bên trong.
-      return !/apiHandler[<(]|create\w*Handlers\(|getSession/.test(src)
-    })
-    expect(offenders.map(rel)).toEqual([])
-  })
-
-  it("resource mà route gác đều đã khai trong registry", () => {
-    const declared = new Set(
-      permissionRegistry.flatMap((f) => f.resources.map((r) => r.code)),
-    )
-    const missing: string[] = []
-    for (const file of allFiles.filter((f) => /app\/api\/.*route\.ts$/.test(rel(f)))) {
-      for (const [, code] of read(file).matchAll(/resource:\s*["']([^"']+)["']/g)) {
-        if (!declared.has(code)) missing.push(`${rel(file)} → ${code}`)
-      }
-    }
-    // assertResourceDeclared cũng bắt lỗi này, nhưng chỉ khi route được load.
-    // Test quét tĩnh nên thấy cả route chưa ai gọi tới.
-    expect(missing).toEqual([])
-  })
-
-  it("cấu hình quyền là dữ liệu thuần — không kéo prisma/next/react vào", () => {
-    const offenders = allFiles
-      .filter((f) => rel(f).startsWith("configs/permissions"))
-      .filter((f) => /from ["'](@\/lib\/prisma|next|react|@prisma)/.test(read(f)))
-    // scripts/rbac-sync.ts và test đọc thẳng các file này qua tsx.
-    expect(offenders.map(rel)).toEqual([])
-  })
+runCoreGuardrails({
+  // Neo vào vị trí file này, không lấy cwd: chạy vitest từ thư mục khác (gốc
+  // monorepo chẳng hạn) mà vẫn quét đúng cây nguồn của app.
+  root: join(__dirname, "..", ".."),
+  permissionRegistry,
+  navigations,
+
+  ceilings: {
+    // Năm chỗ `any` này có sẵn trong bộ khung, mỗi chỗ đã kèm một dòng
+    // eslint-disable giải thích. Chúng được KHAI ở đây để mọi `any` bạn thêm về
+    // sau đều bị chặn ngay, thay vì lẫn vào đám cũ. Bỏ được chỗ nào thì hạ số
+    // tương ứng trong CÙNG commit — trần dư cũng bị báo đỏ.
+    "debt/any": {
+      app: 2, // Record<string, any> cho where của Prisma (audit, error-logs)
+      lib: 2, // session as any ở api-handler / page-guard
+      server: 1, // mask(config: any) trong system-config-service
+    },
+  },
 })