@goplusvn/core 0.1.69 → 0.1.71

package/src/guardrails/rules/auth.ts

@@ -42,6 +42,26 @@ function publicPrefixes(ctx: GuardrailContext): string[] {
   );
 }
 
+/**
+ * MỌI tiền tố trong danh sách công khai của proxy.ts — kể cả ngoài /api
+ * (/pub, /iclock, webhook…). Chỉ đọc bên trong mảng `publicPrefixes:`/
+ * `publicApiPrefixes:` chứ không vơ mọi chuỗi (signInPath/homePath không phải
+ * tuyên bố công khai).
+ */
+function declaredPublicPrefixes(ctx: GuardrailContext): string[] {
+  if (!ctx.existsInSrc("proxy.ts")) return [];
+  const code = ctx.readCodeRel("proxy.ts");
+  const out: string[] = [];
+  for (const m of code.matchAll(
+    /public(?:Api)?Prefixes\s*:\s*\[([^\]]*)\]/g,
+  )) {
+    for (const s of m[1].matchAll(/["'](\/[^"']*)["']/g)) {
+      out.push(s[1].replace(/\/$/, ""));
+    }
+  }
+  return out;
+}
+
 function gateSources(ctx: GuardrailContext, code: string): string[] {
   const targets = [...code.matchAll(/export \* from ["']@\/([^"']+)["']/g)].map(
     (m) => m[1],
@@ -77,7 +97,8 @@ export const authRules: GuardrailRule[] = [
       // Hai lối dựng đều hợp lệ: factory của core, hoặc bản tự dựng của app.
       // Ràng cứng vào một lối là bắt app phải giống hệt vinhhoa về CÁCH VIẾT,
       // trong khi thứ cần ràng là TÍNH CHẤT: /api chặn trước, công khai phải khai.
-      const viaCore = /createAuthProxy\s*\(/.test(code) && /publicApiPrefixes/.test(code);
+      const viaCore =
+        /createAuthProxy\s*\(/.test(code) && /public(?:Api)?Prefixes/.test(code);
       const handRolled =
         /getSessionCookie/.test(code) &&
         /pathname\.startsWith\(["']\/api["']\)/.test(code) &&
@@ -151,6 +172,38 @@ export const authRules: GuardrailRule[] = [
     },
   },
 
+  {
+    id: "auth/route-outside-api-declared",
+    title: "route.ts NGOÀI app/api phải khai tiền tố trong danh sách công khai của proxy, hoặc tự gác",
+    why:
+      "Endpoint server ngoài /api (route thiết bị /pub, /iclock của spartronics; " +
+      "webhook đặt ngoài /api…) từng VÔ HÌNH với mọi thước: rule api-route-gated " +
+      "chỉ quét app/api/**, còn proxy mặc-định-chặn thì các route này lại cần được " +
+      "MỞ — một bề mặt công khai không ai review thấy.",
+    fix: "Thêm tiền tố vào `publicPrefixes` trong src/proxy.ts kèm ghi rõ nó tự xác thực bằng gì (allowlist serial, HMAC…), hoặc bọc cổng như route API thường.",
+    run(ctx) {
+      const routes = ctx.files
+        .map(ctx.rel)
+        .filter(
+          (rel) =>
+            rel.startsWith("app/") &&
+            rel.endsWith("/route.ts") &&
+            !rel.startsWith("app/api/"),
+        );
+      if (routes.length === 0) return null;
+      const publics = declaredPublicPrefixes(ctx);
+      const allowed = new Set(
+        ctx.options.allowlists["auth/route-outside-api-declared"] ?? [],
+      );
+      return routes.filter((rel) => {
+        if (allowed.has(rel)) return false;
+        const url = routeUrl(rel);
+        if (publics.some((p) => url === p || url.startsWith(`${p}/`))) return false;
+        return !gateSources(ctx, ctx.readCodeRel(rel)).some((src) => GATED.test(src));
+      });
+    },
+  },
+
   forbidPattern({
     id: "auth/server-action-bare-session",
     title: "file 'use server' không gọi getSession trần — dùng requirePermission",

package/src/guardrails/types.ts

@@ -81,9 +81,9 @@ export interface GuardrailOptions {
    * Registry quyền của app (`src/configs/permissions`). Thiếu thì nhóm rule
    * `rbac/*` tự bỏ qua.
    */
-  permissionRegistry?: PermissionFeatureLike[];
+  permissionRegistry?: readonly PermissionFeatureLike[];
   /** Cây menu (`src/data/navigations`). Thiếu thì rule nav tự bỏ qua. */
-  navigations?: NavigationGroupLike[];
+  navigations?: readonly NavigationGroupLike[];
   /**
    * Bộ action ai cũng hiểu. PHẢI trùng danh sách trong `scripts/rbac-sync.ts`
    * của app — lệch nhau thì test xanh mà seed ném lỗi lúc deploy.
@@ -158,17 +158,26 @@ export type ResolvedGuardrailOptions = GuardrailOptions &
  * guardrails không kéo theo phụ thuộc ngược lên tầng config.
  */
 export interface PermissionFeatureLike {
-  resources: Array<{
+  resources: ReadonlyArray<{
     code: string;
-    actions: string[];
-    defaultGrants?: Record<string, string[] | "*">;
+    actions: readonly string[];
+    defaultGrants?: Readonly<Record<string, readonly string[] | "*">>;
   }>;
-  customActions?: Array<{ code: string }>;
+  customActions?: ReadonlyArray<{ code: string }>;
+}
+
+/**
+ * CHỈ khai trường rule thật sự đọc, KHÔNG index signature: một interface cụ
+ * thể (NavigationType của app) gán vào đây được theo structural typing, còn
+ * `[key: string]: unknown` thì bắt app phải có index signature — chính là lỗi
+ * TS mà template dính ngay sau init (pilot spartronics 2026-08-07).
+ */
+export interface NavigationItemLike {
+  resource?: string;
 }
 
 export interface NavigationGroupLike {
-  items?: Array<{ resource?: string; [key: string]: unknown }>;
-  [key: string]: unknown;
+  items?: readonly NavigationItemLike[];
 }
 
 /** Kết quả chạy một rule — dùng cho `goerp doctor` (không cần vitest). */

package/src/print/print-styles.tsx

@@ -20,7 +20,10 @@ export function PrintStyles({ pageSize = "A4" }: PrintStylesProps) {
         }
       case "A5-Landscape":
         return {
-          size: "A5 landscape",
+          // Kích thước tường minh thay cho "A5 landscape": một số driver máy in
+          // (PC cửa hàng) bỏ qua từ khóa landscape rồi in dọc + scale fill,
+          // cắt mất nửa phải trang.
+          size: "210mm 148.5mm",
           maxWidth: "210mm", // width
           padding: "12mm 12mm", // increased top padding from 8mm
           fontSize: "10pt",

package/src/providers/brand-theme.ts

@@ -20,6 +20,26 @@ export interface BrandThemeColor {
   sidebarDark: string;
 }
 
+/**
+ * Bảng màu thương hiệu CALIBRATE SẴN, khớp 1-1 với swatch trong
+ * `configs/themes.ts` — app mới dùng thẳng (theme-provider của starter-app),
+ * app muốn nắn tay từng hue (như vinhhoa) thì giữ bảng riêng và bỏ qua cái này.
+ */
+export const THEME_PRESETS: Record<string, BrandThemeColor> = {
+  zinc: { primary: "235 12% 27%", primaryDark: "235 10% 62%", fg: "0 0% 98%", sidebar: "235 18% 15%", sidebarDark: "235 16% 9%" },
+  slate: { primary: "213 30% 42%", primaryDark: "213 26% 64%", fg: "0 0% 100%", sidebar: "214 36% 19%", sidebarDark: "214 32% 12%" },
+  stone: { primary: "26 20% 40%", primaryDark: "28 16% 62%", fg: "0 0% 98%", sidebar: "26 28% 18%", sidebarDark: "26 24% 11%" },
+  gray: { primary: "218 9% 48%", primaryDark: "218 9% 68%", fg: "0 0% 100%", sidebar: "218 16% 19%", sidebarDark: "218 14% 12%" },
+  neutral: { primary: "0 0% 42%", primaryDark: "0 0% 66%", fg: "0 0% 100%", sidebar: "0 0% 16%", sidebarDark: "0 0% 9%" },
+  red: { primary: "4 78% 50%", primaryDark: "6 84% 62%", fg: "0 0% 100%", sidebar: "356 62% 28%", sidebarDark: "356 58% 16%" },
+  rose: { primary: "338 80% 53%", primaryDark: "340 80% 63%", fg: "0 0% 100%", sidebar: "338 56% 28%", sidebarDark: "338 54% 16%" },
+  orange: { primary: "26 88% 47%", primaryDark: "30 92% 58%", fg: "0 0% 100%", sidebar: "20 75% 28%", sidebarDark: "22 72% 15%" },
+  green: { primary: "151 66% 38%", primaryDark: "150 58% 48%", fg: "0 0% 100%", sidebar: "156 70% 16%", sidebarDark: "158 68% 9%" },
+  blue: { primary: "233 74% 44%", primaryDark: "230 62% 60%", fg: "0 0% 100%", sidebar: "233.9 88.8% 17.5%", sidebarDark: "234 50% 10%" },
+  yellow: { primary: "42 92% 46%", primaryDark: "46 96% 56%", fg: "40 60% 12%", sidebar: "40 72% 25%", sidebarDark: "42 70% 14%" },
+  violet: { primary: "262 72% 52%", primaryDark: "263 72% 64%", fg: "0 0% 100%", sidebar: "264 56% 25%", sidebarDark: "265 52% 15%" },
+};
+
 /** Dịch lightness của "H S% L%" (cho hover/active). */
 export function shiftLightness(triple: string, delta: number): string {
   const parts = triple.trim().split(/\s+/);

package/src/rbac/pages/permission-catalog-pages.tsx

@@ -567,7 +567,9 @@ export function ResourceCatalogPage({
                                                     ?.description ||
                                                   actionName(code)
                                                 }
-                                                className="inline-flex items-center gap-1 rounded-md border border-primary/40 bg-primary/10 px-1.5 py-0.5 text-[11px] font-medium text-primary"
+                                                // Check màu đã tự nói lên trạng thái — không cần thêm khung
+                                                // viền/nền màu (nhiễu khi cả dãy chip đứng cạnh nhau).
+                                                className="inline-flex items-center gap-1 px-1 py-0.5 text-[11px] font-medium text-foreground"
                                               >
                                                 <span
                                                   className={cn(

package/src/security/index.ts

@@ -0,0 +1,2 @@
+// @goerp/core/security — trang quản trị bảo mật dùng chung (Better Auth).
+export { SessionsPage, type SessionsPageProps } from "./pages/sessions-page"