@goplusvn/core 0.1.70 → 0.1.71

package/templates/starter-app/prisma/schema/system.prisma

@@ -20,3 +20,77 @@ model SystemConfig {
 
   @@map("system_configs")
 }
+
+// Danh mục hệ thống: cặp bảng nhóm → mục, phục vụ trang /system-categories
+// (SystemCategoryPage của @goerp/core). Định nghĩa chép nguyên từ app chuẩn —
+// GIỮ tên bảng/cột để dữ liệu port qua lại được.
+model SystemCategory {
+  id          String   @id @map("id")
+  code        String   @unique @map("code")
+  name        String   @map("name")
+  groupCode   String   @map("group_code")
+  description String   @map("description")
+  status      String   @default("active") @map("status")
+  order       Int?     @map("order")
+  createdAt   DateTime @default(now()) @map("created_at")
+  createdBy   String   @map("created_by")
+  updatedAt   DateTime @map("updated_at")
+  updatedBy   String   @map("updated_by")
+
+  @@map("system_categories")
+}
+
+model SystemCategoryGroup {
+  id          String   @id @map("id")
+  code        String   @unique @map("code")
+  name        String   @map("name")
+  description String   @map("description")
+  status      String   @default("active") @map("status")
+  createdAt   DateTime @default(now()) @map("created_at")
+  createdBy   String   @map("created_by")
+  updatedAt   DateTime @map("updated_at")
+  updatedBy   String   @map("updated_by")
+
+  @@map("system_category_groups")
+}
+
+// Cảnh báo/thông báo hệ thống — entity CRUD generic (/crud/system-alerts).
+// App chuẩn KHÔNG có model riêng (map tạm vào system_logs); template khai
+// model thật khớp các field của system-alerts.config.ts.
+model SystemAlert {
+  id        String   @id @default(cuid()) @map("id")
+  title     String   @map("title")
+  message   String   @map("message")
+  type      String   @default("info") @map("type")
+  status    String   @default("pending") @map("status")
+  createdAt DateTime @default(now()) @map("created_at")
+  createdBy String?  @map("created_by")
+  updatedAt DateTime @updatedAt @map("updated_at")
+  updatedBy String?  @map("updated_by")
+
+  @@index([status])
+  @@index([type])
+  @@map("system_alerts")
+}
+
+/// Hồ sơ công ty gốc — MỘT dòng duy nhất, dùng cho biểu mẫu/hoá đơn/branding.
+/// (Đơn giản hoá từ vinhhoa: không quan hệ branches — Branch của template
+/// độc lập; app đa-công-ty tự thêm quan hệ sau.)
+model Company {
+  id         String   @id @default(cuid()) @map("id")
+  name       String   @map("name")
+  taxCode    String   @unique @map("tax_code")
+  address    String   @map("address")
+  phone      String   @map("phone")
+  email      String   @map("email")
+  logoUrl    String?  @map("logo_url")
+  systemName String?  @map("system_name")
+  status     String   @default("active") @map("status")
+  createdAt  DateTime @default(now()) @map("created_at")
+  createdBy  String   @default("system") @map("created_by")
+  updatedAt  DateTime @updatedAt @map("updated_at")
+  updatedBy  String   @default("system") @map("updated_by")
+
+  @@index([status])
+  @@map("companies")
+}

package/templates/starter-app/prisma/seed.ts

@@ -1,14 +1,16 @@
 /**
  * Seed dữ liệu khởi tạo — chạy được nhiều lần (toàn upsert).
  *
- *   pnpm prisma:deploy && pnpm rbac-sync && pnpm seed
+ *   pnpm prisma:deploy && pnpm seed && pnpm rbac-sync
  *
- * Phân công rõ ràng: `rbac-sync` sở hữu resource/action/grant mặc định (đọc từ
+ * THỨ TỰ `seed → rbac-sync` là BẮT BUỘC: rbac-sync chỉ cấp grant mặc định cho
+ * resource nó vừa TẠO MỚI, và grant cần VAI TRÒ (do seed tạo) tồn tại sẵn.
+ * Chạy rbac-sync trước seed thì grant bị bỏ qua VĨNH VIỄN trong im lặng —
+ * lối thoát duy nhất là `pnpm rbac-sync --force-grants`.
+ *
+ * Phân công: `rbac-sync` sở hữu resource/action/grant mặc định (đọc từ
  * Permission Registry); file này chỉ tạo những thứ registry không biết —
  * VAI TRÒ, tài khoản quản trị, chi nhánh, cấu hình và vài dòng dữ liệu mẫu.
- * Vì vậy hãy chạy rbac-sync TRƯỚC seed ở lần đầu... nhưng grant mặc định cần
- * vai trò tồn tại sẵn, nên seed cũng tạo vai trò và bạn chạy rbac-sync lần nữa
- * sau seed. Thứ tự an toàn nhất: seed → rbac-sync.
  */
 
 import { PrismaPg } from "@prisma/adapter-pg"

package/templates/starter-app/scripts/migration-new.mjs

@@ -0,0 +1,89 @@
+#!/usr/bin/env node
+/**
+ * Sinh migration MỚI từ diff (migrations hiện có → prisma/schema) mà không đụng
+ * DB thật — thay cho `prisma migrate dev` (bị cấm ở đây vì nó có thể RESET DB).
+ *
+ * Prisma 7.9 đã BỎ cờ `--shadow-database-url` khỏi `migrate diff`, nên quy
+ * trình đúng là: tạo DB shadow tạm cạnh DB chính → deploy toàn bộ migrations
+ * vào shadow → diff shadow ↔ schema → ghi file migration → xoá shadow.
+ *
+ * Dùng: pnpm migration:new <ten_migration>   (vd: pnpm migration:new add_devices)
+ * Yêu cầu: DATABASE_URL trong .env; tài khoản DB có quyền CREATE DATABASE
+ * (không có thì tự trỏ SHADOW_DATABASE_URL sang một DB trống bạn tạo sẵn).
+ */
+import { execSync } from "node:child_process"
+import fs from "node:fs"
+import path from "node:path"
+import process from "node:process"
+
+import "dotenv/config"
+import pg from "pg"
+
+const name = process.argv[2]
+if (!name || !/^[a-z0-9_]+$/.test(name)) {
+  console.error("Cách dùng: pnpm migration:new <ten_snake_case>")
+  process.exit(1)
+}
+
+const dbUrl = process.env.DATABASE_URL
+if (!dbUrl) {
+  console.error("Thiếu DATABASE_URL (xem .env)")
+  process.exit(1)
+}
+
+const url = new URL(dbUrl)
+const mainDb = url.pathname.slice(1)
+const shadowDb = `${mainDb}_shadow_migrate`
+const shadowUrl = process.env.SHADOW_DATABASE_URL ?? (() => {
+  const u = new URL(dbUrl)
+  u.pathname = `/${shadowDb}`
+  return u.toString()
+})()
+
+const adminUrl = (() => {
+  const u = new URL(dbUrl)
+  u.pathname = "/postgres"
+  return u.toString()
+})()
+
+const ownShadow = !process.env.SHADOW_DATABASE_URL
+
+async function withShadow(fn) {
+  if (!ownShadow) return fn()
+  const admin = new pg.Client({ connectionString: adminUrl })
+  await admin.connect()
+  await admin.query(`DROP DATABASE IF EXISTS "${shadowDb}"`)
+  await admin.query(`CREATE DATABASE "${shadowDb}"`)
+  try {
+    return await fn()
+  } finally {
+    await admin.query(`DROP DATABASE IF EXISTS "${shadowDb}"`)
+    await admin.end()
+  }
+}
+
+const run = (cmd, env = {}) =>
+  execSync(cmd, { stdio: ["inherit", "pipe", "inherit"], env: { ...process.env, ...env } })
+
+await withShadow(async () => {
+  console.log(`→ deploy migrations hiện có vào shadow (${shadowDb})…`)
+  run("pnpm exec prisma migrate deploy", { DATABASE_URL: shadowUrl })
+
+  console.log("→ diff shadow ↔ prisma/schema…")
+  const sql = run(
+    "pnpm exec prisma migrate diff --from-config-datasource --to-schema prisma/schema --script",
+    { DATABASE_URL: shadowUrl },
+  ).toString()
+
+  if (!sql.trim() || /This is an empty migration/.test(sql)) {
+    console.log("Schema không đổi so với migrations — không có gì để sinh.")
+    return
+  }
+
+  const ts = new Date().toISOString().replace(/\D/g, "").slice(0, 14)
+  const dir = path.join("prisma", "migrations", `${ts}_${name}`)
+  fs.mkdirSync(dir, { recursive: true })
+  fs.writeFileSync(path.join(dir, "migration.sql"), sql)
+  console.log(`✓ ${dir}/migration.sql`)
+  console.log("Xem lại SQL rồi chạy: pnpm prisma:deploy")
+})

package/templates/starter-app/src/__tests__/architecture.test.ts

@@ -29,6 +29,14 @@ runCoreGuardrails({
   permissionRegistry,
   navigations,
 
+  allowlists: {
+    // Thu hồi PHIÊN CỦA CHÍNH MÌNH không cần quyền, phiên NGƯỜI KHÁC cần
+    // user:update — quyền phụ thuộc dữ liệu request nên không khai được ở cổng.
+    "auth/api-inline-check-permission": [
+      "app/api/security/sessions/[id]/route.ts",
+    ],
+  },
+
   ceilings: {
     // Năm chỗ `any` này có sẵn trong bộ khung, mỗi chỗ đã kèm một dòng
     // eslint-disable giải thích. Chúng được KHAI ở đây để mọi `any` bạn thêm về

package/templates/starter-app/src/app/[lang]/(main)/actions/page.tsx

@@ -0,0 +1,37 @@
+import { requirePageAccess } from "@/lib/page-guard"
+import {
+  getActionsForPermissionMatrix,
+  getResourcesForPermissionMatrix,
+} from "@goerp/core/rbac/resource-service"
+// Trang hành động = catalog TRA CỨU. Action mới khai trong customActions của
+// Permission Registry rồi chạy rbac-sync.
+import { ActionCatalogPage } from "@goerp/core/rbac/pages"
+
+import { getActionMetaMap } from "@/configs/permissions"
+import { RESOURCE_PAGES } from "@/configs/permissions/menu-tree"
+import { db } from "@/lib/prisma"
+
+export const metadata = { title: "Hành động" }
+
+export default async function ActionsPage({
+  params,
+}: {
+  params: Promise<{ lang: string }>
+}) {
+  const { lang } = await params
+  await requirePageAccess(lang, "action")
+
+  const [resources, actions] = await Promise.all([
+    getResourcesForPermissionMatrix(db),
+    getActionsForPermissionMatrix(db),
+  ])
+
+  return (
+    <ActionCatalogPage
+      resources={resources}
+      actions={actions}
+      actionMeta={getActionMetaMap()}
+      resourcePages={RESOURCE_PAGES}
+    />
+  )
+}

package/templates/starter-app/src/app/[lang]/(main)/admin/system/cache/page.tsx

@@ -0,0 +1,69 @@
+import { checkPermission } from "@goerp/core/auth"
+import { cacheManager } from "@goerp/core/infrastructure/cache"
+import { CacheManagementPage } from "@goerp/core/ui/management"
+
+import { getSession } from "@/lib/auth"
+import { requirePageAccess } from "@/lib/page-guard"
+
+export const metadata = { title: "Bộ nhớ đệm" }
+
+// Server action là endpoint POST độc lập (gác render KHÔNG bảo vệ chúng) —
+// mỗi action phải tự kiểm tra quyền khi được gọi. PHẢI ở MODULE SCOPE: khai
+// trong component thì inline "use server" action đóng closure lên nó → Next
+// serialize closure → "Functions cannot be passed directly to Client Components".
+async function assertCacheAccess(action: "view" | "update") {
+  const session = await getSession()
+  const s = session as Parameters<typeof checkPermission>[0]
+  if (!checkPermission(s, "system-cache", action)) {
+    throw new Error("Forbidden")
+  }
+}
+
+export default async function CachePage({
+  params,
+}: {
+  params: Promise<{ lang: string }>
+}) {
+  const { lang } = await params
+  await requirePageAccess(lang, "system-cache")
+
+  async function fetchStats() {
+    "use server"
+    await assertCacheAccess("view")
+    return cacheManager.getStats()
+  }
+
+  async function clearCache(name: string) {
+    "use server"
+    await assertCacheAccess("update")
+    return cacheManager.clearCache(name)
+  }
+
+  async function clearAll() {
+    "use server"
+    await assertCacheAccess("update")
+    return cacheManager.flushAll()
+  }
+
+  async function getCacheKeys(name: string) {
+    "use server"
+    await assertCacheAccess("view")
+    return cacheManager.get(name)?.keys() ?? []
+  }
+
+  async function getCacheValue(name: string, key: string) {
+    "use server"
+    await assertCacheAccess("view")
+    return cacheManager.get(name)?.get(key) ?? null
+  }
+
+  return (
+    <CacheManagementPage
+      fetchStats={fetchStats}
+      clearCache={clearCache}
+      clearAll={clearAll}
+      getCacheKeys={getCacheKeys}
+      getCacheValue={getCacheValue}
+    />
+  )
+}

package/templates/starter-app/src/app/[lang]/(main)/admin/system/company/actions.ts

@@ -0,0 +1,31 @@
+"use server"
+
+import { revalidatePath } from "next/cache"
+
+import { requirePermission } from "@/lib/action-guard"
+import {
+  updateSystemCompany,
+  type CompanyProfileInput,
+} from "@/server/services/company-service"
+
+/** Hồ sơ công ty dùng chung quyền với Cấu hình hệ thống (system-setting). */
+export async function submitCompanyProfile(data: CompanyProfileInput) {
+  let userId: string
+  try {
+    const session = await requirePermission("system-setting", "update")
+    userId = session.user?.id ?? "system"
+  } catch {
+    return { success: false, error: "Bạn không có quyền cập nhật hồ sơ công ty" }
+  }
+
+  try {
+    await updateSystemCompany(data, userId)
+    revalidatePath("/admin/system/company")
+    // Tên/logo công ty có thể hiện ở layout + trang in — revalidate cả cây.
+    revalidatePath("/", "layout")
+    return { success: true }
+  } catch (error) {
+    console.error("Cập nhật hồ sơ công ty lỗi:", error)
+    return { success: false, error: "Đã có lỗi khi lưu hồ sơ công ty." }
+  }
+}

package/templates/starter-app/src/app/[lang]/(main)/admin/system/company/company-profile-form.tsx

@@ -0,0 +1,184 @@
+"use client"
+
+import * as React from "react"
+import { useForm } from "react-hook-form"
+import { zodResolver } from "@hookform/resolvers/zod"
+import { toast } from "sonner"
+import { z } from "zod"
+
+import {
+  Card,
+  CardContent,
+  CardDescription,
+  CardHeader,
+  CardTitle,
+  Form,
+  FormControl,
+  FormField,
+  FormItem,
+  FormLabel,
+  FormMessage,
+} from "@goerp/core/ui"
+import { Button } from "@goerp/core/ui/primitives/button"
+import { Input } from "@goerp/core/ui/primitives/input"
+
+import { submitCompanyProfile } from "./actions"
+
+const schema = z.object({
+  name: z.string().min(1, "Nhập tên công ty"),
+  taxCode: z.string().min(1, "Nhập mã số thuế"),
+  address: z.string().min(1, "Nhập địa chỉ"),
+  phone: z.string().min(1, "Nhập số điện thoại"),
+  email: z.string().email("Email không hợp lệ"),
+  systemName: z.string().optional(),
+  logoUrl: z.string().optional(),
+})
+
+type FormValues = z.infer<typeof schema>
+
+interface CompanyProfileFormProps {
+  initialData: {
+    name: string
+    taxCode: string
+    address: string
+    phone: string
+    email: string
+    logoUrl?: string | null
+    systemName?: string | null
+  }
+}
+
+const FIELDS: Array<{
+  name: keyof FormValues
+  label: string
+  placeholder?: string
+}> = [
+  { name: "name", label: "Tên công ty (trên biểu mẫu/hoá đơn)" },
+  { name: "taxCode", label: "Mã số thuế" },
+  { name: "address", label: "Địa chỉ" },
+  { name: "phone", label: "Số điện thoại" },
+  { name: "email", label: "Email" },
+  { name: "systemName", label: "Tên hệ thống (hiển thị trên app)", placeholder: "Bỏ trống = dùng tên công ty" },
+]
+
+export function CompanyProfileForm({ initialData }: CompanyProfileFormProps) {
+  const form = useForm<FormValues>({
+    resolver: zodResolver(schema),
+    defaultValues: {
+      name: initialData.name ?? "",
+      taxCode: initialData.taxCode ?? "",
+      address: initialData.address ?? "",
+      phone: initialData.phone ?? "",
+      email: initialData.email ?? "",
+      systemName: initialData.systemName ?? "",
+      logoUrl: initialData.logoUrl ?? "",
+    },
+  })
+  const { isSubmitting } = form.formState
+  const [isUploadingLogo, setIsUploadingLogo] = React.useState(false)
+  const logoUrl = form.watch("logoUrl")
+
+  async function handleLogoChange(e: React.ChangeEvent<HTMLInputElement>) {
+    const file = e.target.files?.[0]
+    if (!file) return
+    setIsUploadingLogo(true)
+    try {
+      const formData = new FormData()
+      formData.append("file", file)
+      const res = await fetch("/api/upload", { method: "POST", body: formData })
+      if (!res.ok) {
+        const err = await res.json().catch(() => ({}))
+        throw new Error(err.error || "Tải logo thất bại")
+      }
+      const data = await res.json()
+      form.setValue("logoUrl", data.url as string, { shouldDirty: true })
+    } catch (err) {
+      toast.error(err instanceof Error ? err.message : "Tải logo thất bại")
+    } finally {
+      setIsUploadingLogo(false)
+      e.target.value = ""
+    }
+  }
+
+  async function onSubmit(values: FormValues) {
+    const result = await submitCompanyProfile({
+      ...values,
+      systemName: values.systemName || null,
+      logoUrl: values.logoUrl || null,
+    })
+    if (result.success) toast.success("Đã lưu hồ sơ công ty")
+    else toast.error(result.error ?? "Lưu thất bại")
+  }
+
+  return (
+    <Card>
+      <CardHeader>
+        <CardTitle>Thông tin công ty</CardTitle>
+        <CardDescription>
+          Dùng cho biểu mẫu in, hoá đơn và phần hiển thị thương hiệu của app.
+        </CardDescription>
+      </CardHeader>
+      <CardContent>
+        <Form {...form}>
+          <form onSubmit={form.handleSubmit(onSubmit)} className="grid gap-4">
+            {/* Logo công ty — dùng cho sidebar/trang in; upload qua /api/upload,
+                file phục vụ lại qua /api/files. */}
+            <div className="space-y-2">
+              <span className="text-sm font-medium">Logo công ty</span>
+              <div className="flex items-center gap-4">
+                <div className="flex h-20 w-20 shrink-0 items-center justify-center overflow-hidden rounded-lg border border-border bg-muted">
+                  {logoUrl ? (
+                    // eslint-disable-next-line @next/next/no-img-element -- ảnh động theo DB, không qua next/image
+                    <img src={logoUrl} alt="Logo công ty" className="h-full w-full object-contain" />
+                  ) : (
+                    <span className="text-[11px] text-muted-foreground">Chưa có</span>
+                  )}
+                </div>
+                <div className="flex flex-col gap-2">
+                  <Input
+                    type="file"
+                    accept="image/*"
+                    disabled={isUploadingLogo}
+                    onChange={handleLogoChange}
+                    className="max-w-xs"
+                  />
+                  <div className="flex items-center gap-3 text-xs text-muted-foreground">
+                    {isUploadingLogo && <span>Đang tải lên...</span>}
+                    {logoUrl && !isUploadingLogo && (
+                      <button
+                        type="button"
+                        className="underline"
+                        onClick={() => form.setValue("logoUrl", "", { shouldDirty: true })}
+                      >
+                        Gỡ logo
+                      </button>
+                    )}
+                  </div>
+                </div>
+              </div>
+            </div>
+            {FIELDS.map((f) => (
+              <FormField
+                key={f.name}
+                control={form.control}
+                name={f.name}
+                render={({ field }) => (
+                  <FormItem>
+                    <FormLabel>{f.label}</FormLabel>
+                    <FormControl>
+                      <Input placeholder={f.placeholder} {...field} />
+                    </FormControl>
+                    <FormMessage />
+                  </FormItem>
+                )}
+              />
+            ))}
+            <Button type="submit" disabled={isSubmitting} className="w-fit">
+              {isSubmitting ? "Đang lưu..." : "Lưu hồ sơ"}
+            </Button>
+          </form>
+        </Form>
+      </CardContent>
+    </Card>
+  )
+}

package/templates/starter-app/src/app/[lang]/(main)/admin/system/company/page.tsx

@@ -0,0 +1,28 @@
+import type { Metadata } from "next"
+
+import { requirePageAccess } from "@/lib/page-guard"
+import { getSystemCompany } from "@/server/services/company-service"
+
+import { CompanyProfileForm } from "./company-profile-form"
+
+export const metadata: Metadata = {
+  title: "Hồ sơ công ty",
+  description: "Thông tin công ty gốc dùng cho biểu mẫu, hoá đơn và branding",
+}
+
+export default async function CompanyProfilePage({
+  params,
+}: {
+  params: Promise<{ lang: string }>
+}) {
+  const { lang } = await params
+  await requirePageAccess(lang, "system-setting")
+  const company = await getSystemCompany()
+
+  return (
+    <div className="mx-auto flex w-full max-w-3xl flex-col gap-4 p-4 md:p-6">
+      <h1 className="text-2xl font-bold tracking-tight">Hồ sơ công ty</h1>
+      <CompanyProfileForm initialData={company} />
+    </div>
+  )
+}

package/templates/starter-app/src/app/[lang]/(main)/error.tsx

@@ -0,0 +1,24 @@
+"use client"
+
+import { ErrorView } from "@goerp/core/ui"
+
+/**
+ * Boundary cho MỌI trang trong vỏ app: sidebar/tab/header vẫn còn, trang hỏng
+ * chỉ chiếm phần nội dung — sự cố một trang không thành "cả hệ thống hỏng".
+ */
+export default function MainError({
+  error,
+  reset,
+}: {
+  error: Error & { digest?: string }
+  reset: () => void
+}) {
+  return (
+    <ErrorView
+      error={error}
+      reset={reset}
+      title="Không tải được trang"
+      description="Hệ thống gặp sự cố khi hiển thị trang này. Dữ liệu và quyền truy cập của bạn không thay đổi. Bấm Thử lại, hoặc chuyển sang phân hệ khác; nếu vẫn lỗi, gửi mã lỗi bên dưới cho quản trị viên."
+    />
+  )
+}

package/templates/starter-app/src/app/[lang]/(main)/not-found.tsx

@@ -0,0 +1,6 @@
+import { NotFoundView } from "@goerp/core/ui"
+
+/** `notFound()` trong vỏ app — bản ghi bị xoá, id sai. Vỏ app vẫn còn. */
+export default function MainNotFound() {
+  return <NotFoundView />
+}

package/templates/starter-app/src/app/[lang]/(main)/page.tsx

@@ -1,7 +1,10 @@
 import { StatBar } from "@goerp/core/ui"
 import { ArrowRight, Building2, ShieldCheck, Sparkles } from "lucide-react"
 import Link from "next/link"
+import { redirect } from "next/navigation"
 
+import { i18n } from "@/configs/i18n"
+import { getSession } from "@/lib/auth"
 import { db } from "@/lib/prisma"
 
 export const dynamic = "force-dynamic"
@@ -9,6 +12,13 @@ export const dynamic = "force-dynamic"
 // Sample ERP dashboard. Server component: query counts, hand StatBar plain data.
 // Replace the KPIs + quick actions with your domain's once you add entities.
 export default async function HomePage() {
+  // Proxy chỉ kiểm tra SỰ TỒN TẠI cookie (Edge không xác minh chữ ký được) —
+  // page nào tự query dữ liệu PHẢI tự xác minh phiên thật. Thiếu dòng này thì
+  // một cookie rác (hoặc cookie của app GoERP khác cùng localhost) đủ để xem
+  // dashboard: pilot spartronics 2026-08-07 dính đúng lỗi đó.
+  const session = await getSession()
+  if (!session?.user) redirect(`/${i18n.defaultLocale}/sign-in`)
+
   const [departmentCount, activeDepartments, userCount] = await Promise.all([
     db.department.count(),
     db.department.count({ where: { status: "active" } }),

package/templates/starter-app/src/app/[lang]/(main)/resources/page.tsx

@@ -0,0 +1,39 @@
+import { requirePageAccess } from "@/lib/page-guard"
+import {
+  getActionsForPermissionMatrix,
+  getResourcesForPermissionMatrix,
+} from "@goerp/core/rbac/resource-service"
+// Trang tài nguyên = catalog TRA CỨU (đọc từ DB đã rbac-sync). Khai báo/chỉnh
+// sửa nằm trong Permission Registry (src/configs/permissions) + rbac-sync,
+// không sửa trực tiếp ở đây.
+import { ResourceCatalogPage } from "@goerp/core/rbac/pages"
+
+import { getActionMetaMap, getLookupPolicyMap } from "@/configs/permissions"
+import { MENU_TREE } from "@/configs/permissions/menu-tree"
+import { db } from "@/lib/prisma"
+
+export const metadata = { title: "Tài nguyên" }
+
+export default async function ResourcesPage({
+  params,
+}: {
+  params: Promise<{ lang: string }>
+}) {
+  const { lang } = await params
+  await requirePageAccess(lang, "resource")
+
+  const [resources, actions] = await Promise.all([
+    getResourcesForPermissionMatrix(db),
+    getActionsForPermissionMatrix(db),
+  ])
+
+  return (
+    <ResourceCatalogPage
+      resources={resources}
+      actions={actions}
+      menuTree={MENU_TREE}
+      actionMeta={getActionMetaMap()}
+      lookupPolicies={getLookupPolicyMap()}
+    />
+  )
+}