@goplusvn/core 0.1.69 → 0.1.71

package/templates/starter-app/scripts/migration-new.mjs

@@ -0,0 +1,89 @@
+#!/usr/bin/env node
+/**
+ * Sinh migration MỚI từ diff (migrations hiện có → prisma/schema) mà không đụng
+ * DB thật — thay cho `prisma migrate dev` (bị cấm ở đây vì nó có thể RESET DB).
+ *
+ * Prisma 7.9 đã BỎ cờ `--shadow-database-url` khỏi `migrate diff`, nên quy
+ * trình đúng là: tạo DB shadow tạm cạnh DB chính → deploy toàn bộ migrations
+ * vào shadow → diff shadow ↔ schema → ghi file migration → xoá shadow.
+ *
+ * Dùng: pnpm migration:new <ten_migration>   (vd: pnpm migration:new add_devices)
+ * Yêu cầu: DATABASE_URL trong .env; tài khoản DB có quyền CREATE DATABASE
+ * (không có thì tự trỏ SHADOW_DATABASE_URL sang một DB trống bạn tạo sẵn).
+ */
+import { execSync } from "node:child_process"
+import fs from "node:fs"
+import path from "node:path"
+import process from "node:process"
+
+import "dotenv/config"
+import pg from "pg"
+
+const name = process.argv[2]
+if (!name || !/^[a-z0-9_]+$/.test(name)) {
+  console.error("Cách dùng: pnpm migration:new <ten_snake_case>")
+  process.exit(1)
+}
+
+const dbUrl = process.env.DATABASE_URL
+if (!dbUrl) {
+  console.error("Thiếu DATABASE_URL (xem .env)")
+  process.exit(1)
+}
+
+const url = new URL(dbUrl)
+const mainDb = url.pathname.slice(1)
+const shadowDb = `${mainDb}_shadow_migrate`
+const shadowUrl = process.env.SHADOW_DATABASE_URL ?? (() => {
+  const u = new URL(dbUrl)
+  u.pathname = `/${shadowDb}`
+  return u.toString()
+})()
+
+const adminUrl = (() => {
+  const u = new URL(dbUrl)
+  u.pathname = "/postgres"
+  return u.toString()
+})()
+
+const ownShadow = !process.env.SHADOW_DATABASE_URL
+
+async function withShadow(fn) {
+  if (!ownShadow) return fn()
+  const admin = new pg.Client({ connectionString: adminUrl })
+  await admin.connect()
+  await admin.query(`DROP DATABASE IF EXISTS "${shadowDb}"`)
+  await admin.query(`CREATE DATABASE "${shadowDb}"`)
+  try {
+    return await fn()
+  } finally {
+    await admin.query(`DROP DATABASE IF EXISTS "${shadowDb}"`)
+    await admin.end()
+  }
+}
+
+const run = (cmd, env = {}) =>
+  execSync(cmd, { stdio: ["inherit", "pipe", "inherit"], env: { ...process.env, ...env } })
+
+await withShadow(async () => {
+  console.log(`→ deploy migrations hiện có vào shadow (${shadowDb})…`)
+  run("pnpm exec prisma migrate deploy", { DATABASE_URL: shadowUrl })
+
+  console.log("→ diff shadow ↔ prisma/schema…")
+  const sql = run(
+    "pnpm exec prisma migrate diff --from-config-datasource --to-schema prisma/schema --script",
+    { DATABASE_URL: shadowUrl },
+  ).toString()
+
+  if (!sql.trim() || /This is an empty migration/.test(sql)) {
+    console.log("Schema không đổi so với migrations — không có gì để sinh.")
+    return
+  }
+
+  const ts = new Date().toISOString().replace(/\D/g, "").slice(0, 14)
+  const dir = path.join("prisma", "migrations", `${ts}_${name}`)
+  fs.mkdirSync(dir, { recursive: true })
+  fs.writeFileSync(path.join(dir, "migration.sql"), sql)
+  console.log(`✓ ${dir}/migration.sql`)
+  console.log("Xem lại SQL rồi chạy: pnpm prisma:deploy")
+})

package/templates/starter-app/src/__tests__/architecture.test.ts

@@ -29,6 +29,14 @@ runCoreGuardrails({
   permissionRegistry,
   navigations,
 
+  allowlists: {
+    // Thu hồi PHIÊN CỦA CHÍNH MÌNH không cần quyền, phiên NGƯỜI KHÁC cần
+    // user:update — quyền phụ thuộc dữ liệu request nên không khai được ở cổng.
+    "auth/api-inline-check-permission": [
+      "app/api/security/sessions/[id]/route.ts",
+    ],
+  },
+
   ceilings: {
     // Năm chỗ `any` này có sẵn trong bộ khung, mỗi chỗ đã kèm một dòng
     // eslint-disable giải thích. Chúng được KHAI ở đây để mọi `any` bạn thêm về

package/templates/starter-app/src/app/[lang]/(main)/actions/page.tsx

@@ -0,0 +1,37 @@
+import { requirePageAccess } from "@/lib/page-guard"
+import {
+  getActionsForPermissionMatrix,
+  getResourcesForPermissionMatrix,
+} from "@goerp/core/rbac/resource-service"
+// Trang hành động = catalog TRA CỨU. Action mới khai trong customActions của
+// Permission Registry rồi chạy rbac-sync.
+import { ActionCatalogPage } from "@goerp/core/rbac/pages"
+
+import { getActionMetaMap } from "@/configs/permissions"
+import { RESOURCE_PAGES } from "@/configs/permissions/menu-tree"
+import { db } from "@/lib/prisma"
+
+export const metadata = { title: "Hành động" }
+
+export default async function ActionsPage({
+  params,
+}: {
+  params: Promise<{ lang: string }>
+}) {
+  const { lang } = await params
+  await requirePageAccess(lang, "action")
+
+  const [resources, actions] = await Promise.all([
+    getResourcesForPermissionMatrix(db),
+    getActionsForPermissionMatrix(db),
+  ])
+
+  return (
+    <ActionCatalogPage
+      resources={resources}
+      actions={actions}
+      actionMeta={getActionMetaMap()}
+      resourcePages={RESOURCE_PAGES}
+    />
+  )
+}

package/templates/starter-app/src/app/[lang]/(main)/admin/system/cache/page.tsx

@@ -0,0 +1,69 @@
+import { checkPermission } from "@goerp/core/auth"
+import { cacheManager } from "@goerp/core/infrastructure/cache"
+import { CacheManagementPage } from "@goerp/core/ui/management"
+
+import { getSession } from "@/lib/auth"
+import { requirePageAccess } from "@/lib/page-guard"
+
+export const metadata = { title: "Bộ nhớ đệm" }
+
+// Server action là endpoint POST độc lập (gác render KHÔNG bảo vệ chúng) —
+// mỗi action phải tự kiểm tra quyền khi được gọi. PHẢI ở MODULE SCOPE: khai
+// trong component thì inline "use server" action đóng closure lên nó → Next
+// serialize closure → "Functions cannot be passed directly to Client Components".
+async function assertCacheAccess(action: "view" | "update") {
+  const session = await getSession()
+  const s = session as Parameters<typeof checkPermission>[0]
+  if (!checkPermission(s, "system-cache", action)) {
+    throw new Error("Forbidden")
+  }
+}
+
+export default async function CachePage({
+  params,
+}: {
+  params: Promise<{ lang: string }>
+}) {
+  const { lang } = await params
+  await requirePageAccess(lang, "system-cache")
+
+  async function fetchStats() {
+    "use server"
+    await assertCacheAccess("view")
+    return cacheManager.getStats()
+  }
+
+  async function clearCache(name: string) {
+    "use server"
+    await assertCacheAccess("update")
+    return cacheManager.clearCache(name)
+  }
+
+  async function clearAll() {
+    "use server"
+    await assertCacheAccess("update")
+    return cacheManager.flushAll()
+  }
+
+  async function getCacheKeys(name: string) {
+    "use server"
+    await assertCacheAccess("view")
+    return cacheManager.get(name)?.keys() ?? []
+  }
+
+  async function getCacheValue(name: string, key: string) {
+    "use server"
+    await assertCacheAccess("view")
+    return cacheManager.get(name)?.get(key) ?? null
+  }
+
+  return (
+    <CacheManagementPage
+      fetchStats={fetchStats}
+      clearCache={clearCache}
+      clearAll={clearAll}
+      getCacheKeys={getCacheKeys}
+      getCacheValue={getCacheValue}
+    />
+  )
+}

package/templates/starter-app/src/app/[lang]/(main)/admin/system/company/actions.ts

@@ -0,0 +1,31 @@
+"use server"
+
+import { revalidatePath } from "next/cache"
+
+import { requirePermission } from "@/lib/action-guard"
+import {
+  updateSystemCompany,
+  type CompanyProfileInput,
+} from "@/server/services/company-service"
+
+/** Hồ sơ công ty dùng chung quyền với Cấu hình hệ thống (system-setting). */
+export async function submitCompanyProfile(data: CompanyProfileInput) {
+  let userId: string
+  try {
+    const session = await requirePermission("system-setting", "update")
+    userId = session.user?.id ?? "system"
+  } catch {
+    return { success: false, error: "Bạn không có quyền cập nhật hồ sơ công ty" }
+  }
+
+  try {
+    await updateSystemCompany(data, userId)
+    revalidatePath("/admin/system/company")
+    // Tên/logo công ty có thể hiện ở layout + trang in — revalidate cả cây.
+    revalidatePath("/", "layout")
+    return { success: true }
+  } catch (error) {
+    console.error("Cập nhật hồ sơ công ty lỗi:", error)
+    return { success: false, error: "Đã có lỗi khi lưu hồ sơ công ty." }
+  }
+}

package/templates/starter-app/src/app/[lang]/(main)/admin/system/company/company-profile-form.tsx

@@ -0,0 +1,184 @@
+"use client"
+
+import * as React from "react"
+import { useForm } from "react-hook-form"
+import { zodResolver } from "@hookform/resolvers/zod"
+import { toast } from "sonner"
+import { z } from "zod"
+
+import {
+  Card,
+  CardContent,
+  CardDescription,
+  CardHeader,
+  CardTitle,
+  Form,
+  FormControl,
+  FormField,
+  FormItem,
+  FormLabel,
+  FormMessage,
+} from "@goerp/core/ui"
+import { Button } from "@goerp/core/ui/primitives/button"
+import { Input } from "@goerp/core/ui/primitives/input"
+
+import { submitCompanyProfile } from "./actions"
+
+const schema = z.object({
+  name: z.string().min(1, "Nhập tên công ty"),
+  taxCode: z.string().min(1, "Nhập mã số thuế"),
+  address: z.string().min(1, "Nhập địa chỉ"),
+  phone: z.string().min(1, "Nhập số điện thoại"),
+  email: z.string().email("Email không hợp lệ"),
+  systemName: z.string().optional(),
+  logoUrl: z.string().optional(),
+})
+
+type FormValues = z.infer<typeof schema>
+
+interface CompanyProfileFormProps {
+  initialData: {
+    name: string
+    taxCode: string
+    address: string
+    phone: string
+    email: string
+    logoUrl?: string | null
+    systemName?: string | null
+  }
+}
+
+const FIELDS: Array<{
+  name: keyof FormValues
+  label: string
+  placeholder?: string
+}> = [
+  { name: "name", label: "Tên công ty (trên biểu mẫu/hoá đơn)" },
+  { name: "taxCode", label: "Mã số thuế" },
+  { name: "address", label: "Địa chỉ" },
+  { name: "phone", label: "Số điện thoại" },
+  { name: "email", label: "Email" },
+  { name: "systemName", label: "Tên hệ thống (hiển thị trên app)", placeholder: "Bỏ trống = dùng tên công ty" },
+]
+
+export function CompanyProfileForm({ initialData }: CompanyProfileFormProps) {
+  const form = useForm<FormValues>({
+    resolver: zodResolver(schema),
+    defaultValues: {
+      name: initialData.name ?? "",
+      taxCode: initialData.taxCode ?? "",
+      address: initialData.address ?? "",
+      phone: initialData.phone ?? "",
+      email: initialData.email ?? "",
+      systemName: initialData.systemName ?? "",
+      logoUrl: initialData.logoUrl ?? "",
+    },
+  })
+  const { isSubmitting } = form.formState
+  const [isUploadingLogo, setIsUploadingLogo] = React.useState(false)
+  const logoUrl = form.watch("logoUrl")
+
+  async function handleLogoChange(e: React.ChangeEvent<HTMLInputElement>) {
+    const file = e.target.files?.[0]
+    if (!file) return
+    setIsUploadingLogo(true)
+    try {
+      const formData = new FormData()
+      formData.append("file", file)
+      const res = await fetch("/api/upload", { method: "POST", body: formData })
+      if (!res.ok) {
+        const err = await res.json().catch(() => ({}))
+        throw new Error(err.error || "Tải logo thất bại")
+      }
+      const data = await res.json()
+      form.setValue("logoUrl", data.url as string, { shouldDirty: true })
+    } catch (err) {
+      toast.error(err instanceof Error ? err.message : "Tải logo thất bại")
+    } finally {
+      setIsUploadingLogo(false)
+      e.target.value = ""
+    }
+  }
+
+  async function onSubmit(values: FormValues) {
+    const result = await submitCompanyProfile({
+      ...values,
+      systemName: values.systemName || null,
+      logoUrl: values.logoUrl || null,
+    })
+    if (result.success) toast.success("Đã lưu hồ sơ công ty")
+    else toast.error(result.error ?? "Lưu thất bại")
+  }
+
+  return (
+    <Card>
+      <CardHeader>
+        <CardTitle>Thông tin công ty</CardTitle>
+        <CardDescription>
+          Dùng cho biểu mẫu in, hoá đơn và phần hiển thị thương hiệu của app.
+        </CardDescription>
+      </CardHeader>
+      <CardContent>
+        <Form {...form}>
+          <form onSubmit={form.handleSubmit(onSubmit)} className="grid gap-4">
+            {/* Logo công ty — dùng cho sidebar/trang in; upload qua /api/upload,
+                file phục vụ lại qua /api/files. */}
+            <div className="space-y-2">
+              <span className="text-sm font-medium">Logo công ty</span>
+              <div className="flex items-center gap-4">
+                <div className="flex h-20 w-20 shrink-0 items-center justify-center overflow-hidden rounded-lg border border-border bg-muted">
+                  {logoUrl ? (
+                    // eslint-disable-next-line @next/next/no-img-element -- ảnh động theo DB, không qua next/image
+                    <img src={logoUrl} alt="Logo công ty" className="h-full w-full object-contain" />
+                  ) : (
+                    <span className="text-[11px] text-muted-foreground">Chưa có</span>
+                  )}
+                </div>
+                <div className="flex flex-col gap-2">
+                  <Input
+                    type="file"
+                    accept="image/*"
+                    disabled={isUploadingLogo}
+                    onChange={handleLogoChange}
+                    className="max-w-xs"
+                  />
+                  <div className="flex items-center gap-3 text-xs text-muted-foreground">
+                    {isUploadingLogo && <span>Đang tải lên...</span>}
+                    {logoUrl && !isUploadingLogo && (
+                      <button
+                        type="button"
+                        className="underline"
+                        onClick={() => form.setValue("logoUrl", "", { shouldDirty: true })}
+                      >
+                        Gỡ logo
+                      </button>
+                    )}
+                  </div>
+                </div>
+              </div>
+            </div>
+            {FIELDS.map((f) => (
+              <FormField
+                key={f.name}
+                control={form.control}
+                name={f.name}
+                render={({ field }) => (
+                  <FormItem>
+                    <FormLabel>{f.label}</FormLabel>
+                    <FormControl>
+                      <Input placeholder={f.placeholder} {...field} />
+                    </FormControl>
+                    <FormMessage />
+                  </FormItem>
+                )}
+              />
+            ))}
+            <Button type="submit" disabled={isSubmitting} className="w-fit">
+              {isSubmitting ? "Đang lưu..." : "Lưu hồ sơ"}
+            </Button>
+          </form>
+        </Form>
+      </CardContent>
+    </Card>
+  )
+}

package/templates/starter-app/src/app/[lang]/(main)/admin/system/company/page.tsx

@@ -0,0 +1,28 @@
+import type { Metadata } from "next"
+
+import { requirePageAccess } from "@/lib/page-guard"
+import { getSystemCompany } from "@/server/services/company-service"
+
+import { CompanyProfileForm } from "./company-profile-form"
+
+export const metadata: Metadata = {
+  title: "Hồ sơ công ty",
+  description: "Thông tin công ty gốc dùng cho biểu mẫu, hoá đơn và branding",
+}
+
+export default async function CompanyProfilePage({
+  params,
+}: {
+  params: Promise<{ lang: string }>
+}) {
+  const { lang } = await params
+  await requirePageAccess(lang, "system-setting")
+  const company = await getSystemCompany()
+
+  return (
+    <div className="mx-auto flex w-full max-w-3xl flex-col gap-4 p-4 md:p-6">
+      <h1 className="text-2xl font-bold tracking-tight">Hồ sơ công ty</h1>
+      <CompanyProfileForm initialData={company} />
+    </div>
+  )
+}

package/templates/starter-app/src/app/[lang]/(main)/error.tsx

@@ -0,0 +1,24 @@
+"use client"
+
+import { ErrorView } from "@goerp/core/ui"
+
+/**
+ * Boundary cho MỌI trang trong vỏ app: sidebar/tab/header vẫn còn, trang hỏng
+ * chỉ chiếm phần nội dung — sự cố một trang không thành "cả hệ thống hỏng".
+ */
+export default function MainError({
+  error,
+  reset,
+}: {
+  error: Error & { digest?: string }
+  reset: () => void
+}) {
+  return (
+    <ErrorView
+      error={error}
+      reset={reset}
+      title="Không tải được trang"
+      description="Hệ thống gặp sự cố khi hiển thị trang này. Dữ liệu và quyền truy cập của bạn không thay đổi. Bấm Thử lại, hoặc chuyển sang phân hệ khác; nếu vẫn lỗi, gửi mã lỗi bên dưới cho quản trị viên."
+    />
+  )
+}

package/templates/starter-app/src/app/[lang]/(main)/not-found.tsx

@@ -0,0 +1,6 @@
+import { NotFoundView } from "@goerp/core/ui"
+
+/** `notFound()` trong vỏ app — bản ghi bị xoá, id sai. Vỏ app vẫn còn. */
+export default function MainNotFound() {
+  return <NotFoundView />
+}

package/templates/starter-app/src/app/[lang]/(main)/page.tsx

@@ -1,7 +1,10 @@
 import { StatBar } from "@goerp/core/ui"
 import { ArrowRight, Building2, ShieldCheck, Sparkles } from "lucide-react"
 import Link from "next/link"
+import { redirect } from "next/navigation"
 
+import { i18n } from "@/configs/i18n"
+import { getSession } from "@/lib/auth"
 import { db } from "@/lib/prisma"
 
 export const dynamic = "force-dynamic"
@@ -9,6 +12,13 @@ export const dynamic = "force-dynamic"
 // Sample ERP dashboard. Server component: query counts, hand StatBar plain data.
 // Replace the KPIs + quick actions with your domain's once you add entities.
 export default async function HomePage() {
+  // Proxy chỉ kiểm tra SỰ TỒN TẠI cookie (Edge không xác minh chữ ký được) —
+  // page nào tự query dữ liệu PHẢI tự xác minh phiên thật. Thiếu dòng này thì
+  // một cookie rác (hoặc cookie của app GoERP khác cùng localhost) đủ để xem
+  // dashboard: pilot spartronics 2026-08-07 dính đúng lỗi đó.
+  const session = await getSession()
+  if (!session?.user) redirect(`/${i18n.defaultLocale}/sign-in`)
+
   const [departmentCount, activeDepartments, userCount] = await Promise.all([
     db.department.count(),
     db.department.count({ where: { status: "active" } }),

package/templates/starter-app/src/app/[lang]/(main)/resources/page.tsx

@@ -0,0 +1,39 @@
+import { requirePageAccess } from "@/lib/page-guard"
+import {
+  getActionsForPermissionMatrix,
+  getResourcesForPermissionMatrix,
+} from "@goerp/core/rbac/resource-service"
+// Trang tài nguyên = catalog TRA CỨU (đọc từ DB đã rbac-sync). Khai báo/chỉnh
+// sửa nằm trong Permission Registry (src/configs/permissions) + rbac-sync,
+// không sửa trực tiếp ở đây.
+import { ResourceCatalogPage } from "@goerp/core/rbac/pages"
+
+import { getActionMetaMap, getLookupPolicyMap } from "@/configs/permissions"
+import { MENU_TREE } from "@/configs/permissions/menu-tree"
+import { db } from "@/lib/prisma"
+
+export const metadata = { title: "Tài nguyên" }
+
+export default async function ResourcesPage({
+  params,
+}: {
+  params: Promise<{ lang: string }>
+}) {
+  const { lang } = await params
+  await requirePageAccess(lang, "resource")
+
+  const [resources, actions] = await Promise.all([
+    getResourcesForPermissionMatrix(db),
+    getActionsForPermissionMatrix(db),
+  ])
+
+  return (
+    <ResourceCatalogPage
+      resources={resources}
+      actions={actions}
+      menuTree={MENU_TREE}
+      actionMeta={getActionMetaMap()}
+      lookupPolicies={getLookupPolicyMap()}
+    />
+  )
+}

package/templates/starter-app/src/app/[lang]/(main)/security/sessions/page.tsx

@@ -0,0 +1,24 @@
+import { SessionsPage } from "@goerp/core/security"
+
+import type { Metadata } from "next"
+
+import { requirePageAccess } from "@/lib/page-guard"
+
+export const metadata: Metadata = { title: "Quản lý phiên đăng nhập" }
+export const dynamic = "force-dynamic"
+
+/**
+ * Trang QUẢN TRỊ — quản lý phiên đăng nhập (Better Auth) của MỌI user.
+ * Màn hình sẵn của core; app chỉ gác quyền `user:view` (cùng resource với
+ * trang Người dùng) và cung cấp 3 endpoint /api/security/sessions.
+ */
+export default async function SecuritySessionsPage({
+  params,
+}: {
+  params: Promise<{ lang: string }>
+}) {
+  const { lang } = await params
+  await requirePageAccess(lang, "user")
+
+  return <SessionsPage />
+}

package/templates/starter-app/src/app/[lang]/(main)/system-categories/page.tsx

@@ -0,0 +1,30 @@
+import { SystemCategoryPage } from "@goerp/core/system/pages/system-category-page"
+import { getSystemCategoryGroupsData } from "@goerp/core/system/services/system-category-service"
+
+import type { Metadata } from "next"
+
+import { requirePageAccess } from "@/lib/page-guard"
+import { db } from "@/lib/prisma"
+
+export const metadata: Metadata = { title: "Danh mục hệ thống" }
+export const dynamic = "force-dynamic"
+
+/**
+ * Danh mục hệ thống — màn hình sẵn của core (sidebar nhóm + danh sách mục).
+ * Trang chỉ nạp danh sách nhóm ban đầu; mọi thao tác CRUD sau đó component
+ * core tự gọi /api/system-categories + /api/system-category-groups.
+ */
+export default async function SystemCategoriesPage({
+  params,
+}: {
+  params: Promise<{ lang: string }>
+}) {
+  const { lang } = await params
+  await requirePageAccess(lang, "system-category")
+
+  const { items: initialGroups } = await getSystemCategoryGroupsData(db, {
+    pageSize: 100, // nạp hết nhóm cho sidebar
+  })
+
+  return <SystemCategoryPage initialGroups={initialGroups} />
+}

package/templates/starter-app/src/app/[lang]/(main)/user/profile/actions.ts

@@ -0,0 +1,60 @@
+"use server"
+
+import { headers } from "next/headers"
+import { z } from "zod"
+
+import { getAuth } from "@/lib/better-auth"
+
+const schema = z
+  .object({
+    currentPassword: z.string().min(1, "Nhập mật khẩu hiện tại"),
+    newPassword: z.string().min(6, "Mật khẩu mới tối thiểu 6 ký tự"),
+    confirmPassword: z.string().min(1, "Nhập lại mật khẩu mới"),
+  })
+  .refine((d) => d.newPassword === d.confirmPassword, {
+    message: "Mật khẩu nhập lại không khớp",
+    path: ["confirmPassword"],
+  })
+
+export interface ChangePasswordState {
+  success?: boolean
+  message?: string
+}
+
+/**
+ * Đổi mật khẩu của CHÍNH người đang đăng nhập — đi qua Better Auth
+ * `changePassword` (tự verify mật khẩu cũ + hash bằng bcrypt đã cấu hình +
+ * thu hồi các phiên khác), không tự chế so bcrypt ở app.
+ */
+export async function changePassword(
+  _prev: ChangePasswordState,
+  formData: FormData,
+): Promise<ChangePasswordState> {
+  // Không getSession() trần ở đây (guardrail server-action-bare-session):
+  // auth.api.changePassword tự validate phiên từ headers — không phiên là ném.
+  const parsed = schema.safeParse({
+    currentPassword: formData.get("currentPassword"),
+    newPassword: formData.get("newPassword"),
+    confirmPassword: formData.get("confirmPassword"),
+  })
+  if (!parsed.success) {
+    return { message: parsed.error.issues[0]?.message ?? "Dữ liệu không hợp lệ" }
+  }
+
+  try {
+    await getAuth().api.changePassword({
+      headers: await headers(),
+      body: {
+        currentPassword: parsed.data.currentPassword,
+        newPassword: parsed.data.newPassword,
+        revokeOtherSessions: true,
+      },
+    })
+    return { success: true, message: "Đã đổi mật khẩu." }
+  } catch {
+    return {
+      message:
+        "Không đổi được mật khẩu — kiểm tra mật khẩu hiện tại, hoặc đăng nhập lại nếu phiên đã hết hạn.",
+    }
+  }
+}