@goplusvn/core 0.1.70 → 0.1.71

package/templates/starter-app/src/app/api/security/sessions/route.ts

@@ -0,0 +1,101 @@
+import { NextResponse } from "next/server"
+
+import { apiHandler } from "@/lib/api-handler"
+import { getAuth } from "@/lib/better-auth"
+import { serverError } from "@/lib/errors/server-error"
+import { db } from "@/lib/prisma"
+
+/**
+ * GET /api/security/sessions — QUẢN TRỊ phiên đăng nhập toàn hệ thống
+ * (bảng `sessions` của Better Auth). Gate user:view. Search: tên/email user,
+ * IP, user-agent. Phân trang chuẩn {items,total,page,pageSize}. KHÔNG trả
+ * token (nhạy cảm) — thu hồi dùng id.
+ */
+export const GET = apiHandler(
+  async (req, { session }) => {
+    try {
+      const sp = req.nextUrl.searchParams
+      const search = sp.get("search")?.trim() || ""
+      const page = Math.max(Number(sp.get("page") || 1), 1)
+      const pageSize = Math.min(
+        Math.max(Number(sp.get("pageSize") || 20), 1),
+        100,
+      )
+
+      // Token của phiên hiện tại (đánh dấu "thiết bị này" — so sánh server-side,
+      // không lộ token ra client)
+      const current = await getAuth().api.getSession({ headers: req.headers })
+      const currentToken = current?.session?.token ?? null
+
+      const where = {
+        expiresAt: { gt: new Date() }, // chỉ phiên còn hiệu lực
+        ...(search
+          ? {
+              OR: [
+                {
+                  ipAddress: { contains: search, mode: "insensitive" as const },
+                },
+                {
+                  userAgent: { contains: search, mode: "insensitive" as const },
+                },
+                {
+                  user: {
+                    OR: [
+                      {
+                        name: {
+                          contains: search,
+                          mode: "insensitive" as const,
+                        },
+                      },
+                      {
+                        email: {
+                          contains: search,
+                          mode: "insensitive" as const,
+                        },
+                      },
+                    ],
+                  },
+                },
+              ],
+            }
+          : {}),
+      }
+
+      const [total, rows] = await Promise.all([
+        db.session.count({ where }),
+        db.session.findMany({
+          where,
+          include: { user: { select: { name: true, email: true } } },
+          orderBy: { updatedAt: "desc" },
+          skip: (page - 1) * pageSize,
+          take: pageSize,
+        }),
+      ])
+
+      return NextResponse.json({
+        items: rows.map((r) => ({
+          id: r.id,
+          userId: r.userId,
+          userName: r.user?.name ?? null,
+          userEmail: r.user?.email ?? null,
+          ipAddress: r.ipAddress,
+          userAgent: r.userAgent,
+          createdAt: r.createdAt,
+          updatedAt: r.updatedAt,
+          expiresAt: r.expiresAt,
+          isCurrent: currentToken !== null && r.token === currentToken,
+          isMine: r.userId === session.user.id,
+          impersonatedBy: null,
+        })),
+        total,
+        page,
+        pageSize,
+      })
+    } catch (error) {
+      return serverError(error, req, {
+        message: "Không tải được danh sách phiên",
+      })
+    }
+  },
+  { resource: "user", action: "view" },
+)

package/templates/starter-app/src/app/api/suppliers/route.ts

@@ -0,0 +1,13 @@
+import { NextResponse } from "next/server"
+
+import { apiHandler } from "@/lib/api-handler"
+
+/**
+ * STUB — template không có model Supplier. UnifiedProfileDialog của core
+ * fetch cứng /api/suppliers?pageSize=100 (tab "Nhà cung cấp" khi userType =
+ * supplier); trả rỗng để dialog không vỡ. App nào có nhà cung cấp thì thay
+ * bằng query thật (shape: { data: [{ id, name }] }).
+ */
+export const GET = apiHandler(async () => {
+  return NextResponse.json({ data: [] })
+})

package/templates/starter-app/src/app/api/system-categories/route.ts

@@ -0,0 +1,154 @@
+import { NextResponse } from "next/server"
+
+import { apiHandler } from "@/lib/api-handler"
+import { db } from "@/lib/prisma"
+
+/**
+ * Danh mục hệ thống (mục con trong nhóm). Component SystemCategoryPage của
+ * core gọi collection route này cho CẢ 4 thao tác — PUT/DELETE nhận `?id=`
+ * trên query (PUT còn kèm `id` trong body), không có route [id] riêng.
+ */
+
+/** Lấy id từ query `?id=` hoặc body — core gửi cả hai nơi tuỳ thao tác. */
+function idFromRequest(req: Request, body?: { id?: string }) {
+  return new URL(req.url).searchParams.get("id") || body?.id || ""
+}
+
+export const GET = apiHandler(
+  async (req) => {
+    const { searchParams } = new URL(req.url)
+    const page = Math.max(Number(searchParams.get("page") || 1), 1)
+    const pageSize = Math.min(Number(searchParams.get("pageSize") || 10), 100)
+    const search = (searchParams.get("q") || searchParams.get("search"))?.trim()
+    const status = searchParams.get("status")?.trim()
+    const groupCode = searchParams.get("groupCode")?.trim()
+
+    const where = {
+      AND: [
+        search
+          ? {
+              OR: [
+                { code: { contains: search, mode: "insensitive" as const } },
+                { name: { contains: search, mode: "insensitive" as const } },
+                { description: { contains: search, mode: "insensitive" as const } },
+              ],
+            }
+          : {},
+        status && status !== "all" ? { status } : {},
+        groupCode && groupCode !== "all" ? { groupCode } : {},
+      ],
+    }
+
+    const [total, items] = await Promise.all([
+      db.systemCategory.count({ where }),
+      db.systemCategory.findMany({
+        where,
+        orderBy: [{ order: "asc" }, { updatedAt: "desc" }],
+        skip: (page - 1) * pageSize,
+        take: pageSize,
+      }),
+    ])
+
+    return NextResponse.json({ total, page, pageSize, items })
+  },
+  { resource: "system-category", action: "view" },
+)
+
+export const POST = apiHandler(
+  async (req, { session }) => {
+    const body = await req.json()
+    const { code, name, groupCode } = body as Record<string, unknown>
+
+    if (!code || !name || !groupCode) {
+      return NextResponse.json(
+        { error: "Mã, tên và nhóm danh mục là bắt buộc", field: !code ? "code" : !name ? "name" : "groupCode" },
+        { status: 400 },
+      )
+    }
+
+    const existing = await db.systemCategory.findUnique({ where: { code: String(code) } })
+    if (existing) {
+      return NextResponse.json({ error: "Mã danh mục đã tồn tại", field: "code" }, { status: 400 })
+    }
+
+    const userId = session.user.id
+    const created = await db.systemCategory.create({
+      data: {
+        id: crypto.randomUUID(),
+        code: String(code),
+        name: String(name),
+        groupCode: String(groupCode),
+        description: String(body.description || ""),
+        status: String(body.status || "active"),
+        order: body.order ? Number(body.order) : null,
+        createdBy: userId,
+        updatedAt: new Date(),
+        updatedBy: userId,
+      },
+    })
+
+    return NextResponse.json(created, { status: 201 })
+  },
+  { resource: "system-category", action: "create" },
+)
+
+export const PUT = apiHandler(
+  async (req, { session }) => {
+    const body = await req.json()
+    const id = idFromRequest(req, body)
+    if (!id) {
+      return NextResponse.json({ error: "ID là bắt buộc", field: "id" }, { status: 400 })
+    }
+
+    const { code, name, groupCode } = body as Record<string, unknown>
+    if (!code || !name || !groupCode) {
+      return NextResponse.json(
+        { error: "Mã, tên và nhóm danh mục là bắt buộc", field: !code ? "code" : !name ? "name" : "groupCode" },
+        { status: 400 },
+      )
+    }
+
+    // Mã phải duy nhất — trừ chính bản ghi đang sửa.
+    const existing = await db.systemCategory.findFirst({
+      where: { code: String(code), id: { not: id } },
+    })
+    if (existing) {
+      return NextResponse.json({ error: "Mã danh mục đã tồn tại", field: "code" }, { status: 400 })
+    }
+
+    const updated = await db.systemCategory.update({
+      where: { id },
+      data: {
+        code: String(code),
+        name: String(name),
+        groupCode: String(groupCode),
+        description: String(body.description || ""),
+        status: String(body.status || "active"),
+        order: body.order ? Number(body.order) : null,
+        updatedAt: new Date(),
+        updatedBy: session.user.id,
+      },
+    })
+
+    return NextResponse.json(updated)
+  },
+  { resource: "system-category", action: "update" },
+)
+
+export const DELETE = apiHandler(
+  async (req) => {
+    const id = idFromRequest(req)
+    if (!id) {
+      return NextResponse.json({ error: "ID là bắt buộc" }, { status: 400 })
+    }
+
+    const existing = await db.systemCategory.findUnique({ where: { id } })
+    if (!existing) {
+      return NextResponse.json({ error: "Không tìm thấy danh mục" }, { status: 404 })
+    }
+
+    await db.systemCategory.delete({ where: { id } })
+    return NextResponse.json({ message: "Đã xóa danh mục" })
+  },
+  { resource: "system-category", action: "delete" },
+)

package/templates/starter-app/src/app/api/system-category-groups/route.ts

@@ -0,0 +1,131 @@
+import { NextResponse } from "next/server"
+import { getSystemCategoryGroupsData } from "@goerp/core/system/services/system-category-service"
+
+import { apiHandler } from "@/lib/api-handler"
+import { db } from "@/lib/prisma"
+
+/**
+ * Nhóm danh mục hệ thống (sidebar trái của SystemCategoryPage). Cùng khuôn
+ * với /api/system-categories: PUT/DELETE nhận `?id=` trên query.
+ */
+
+function idFromRequest(req: Request, body?: { id?: string }) {
+  return new URL(req.url).searchParams.get("id") || body?.id || ""
+}
+
+export const GET = apiHandler(
+  async (req) => {
+    const { searchParams } = new URL(req.url)
+    const result = await getSystemCategoryGroupsData(db, {
+      page: Math.max(Number(searchParams.get("page") || 1), 1),
+      pageSize: Math.min(Number(searchParams.get("pageSize") || 10), 100),
+      search: (searchParams.get("q") || searchParams.get("search"))?.trim(),
+      status: searchParams.get("status")?.trim(),
+    })
+    return NextResponse.json(result)
+  },
+  { resource: "system-category", action: "view" },
+)
+
+export const POST = apiHandler(
+  async (req, { session }) => {
+    const body = await req.json()
+    const { code, name } = body as Record<string, unknown>
+
+    if (!code || !name) {
+      return NextResponse.json(
+        { error: "Mã và tên nhóm là bắt buộc", field: !code ? "code" : "name" },
+        { status: 400 },
+      )
+    }
+
+    const existing = await db.systemCategoryGroup.findUnique({ where: { code: String(code) } })
+    if (existing) {
+      return NextResponse.json({ error: "Mã nhóm đã tồn tại", field: "code" }, { status: 400 })
+    }
+
+    const userId = session.user.id
+    const created = await db.systemCategoryGroup.create({
+      data: {
+        id: crypto.randomUUID(),
+        code: String(code),
+        name: String(name),
+        description: String(body.description || ""),
+        status: String(body.status || "active"),
+        createdBy: userId,
+        updatedAt: new Date(),
+        updatedBy: userId,
+      },
+    })
+
+    return NextResponse.json(created, { status: 201 })
+  },
+  { resource: "system-category", action: "create" },
+)
+
+export const PUT = apiHandler(
+  async (req, { session }) => {
+    const body = await req.json()
+    const id = idFromRequest(req, body)
+    if (!id) {
+      return NextResponse.json({ error: "ID là bắt buộc", field: "id" }, { status: 400 })
+    }
+
+    const { code, name } = body as Record<string, unknown>
+    if (!code || !name) {
+      return NextResponse.json(
+        { error: "Mã và tên nhóm là bắt buộc", field: !code ? "code" : "name" },
+        { status: 400 },
+      )
+    }
+
+    const existing = await db.systemCategoryGroup.findFirst({
+      where: { code: String(code), id: { not: id } },
+    })
+    if (existing) {
+      return NextResponse.json({ error: "Mã nhóm đã tồn tại", field: "code" }, { status: 400 })
+    }
+
+    const updated = await db.systemCategoryGroup.update({
+      where: { id },
+      data: {
+        code: String(code),
+        name: String(name),
+        description: String(body.description || ""),
+        status: String(body.status || "active"),
+        updatedAt: new Date(),
+        updatedBy: session.user.id,
+      },
+    })
+
+    return NextResponse.json(updated)
+  },
+  { resource: "system-category", action: "update" },
+)
+
+export const DELETE = apiHandler(
+  async (req) => {
+    const id = idFromRequest(req)
+    if (!id) {
+      return NextResponse.json({ error: "ID là bắt buộc" }, { status: 400 })
+    }
+
+    const group = await db.systemCategoryGroup.findUnique({ where: { id } })
+    if (!group) {
+      return NextResponse.json({ error: "Không tìm thấy nhóm danh mục" }, { status: 404 })
+    }
+
+    // Chặn xoá nhóm còn mục con — tránh mồ côi groupCode.
+    const childCount = await db.systemCategory.count({ where: { groupCode: group.code } })
+    if (childCount > 0) {
+      return NextResponse.json(
+        { error: `Nhóm còn ${childCount} danh mục con, hãy xóa hoặc chuyển chúng trước` },
+        { status: 400 },
+      )
+    }
+
+    await db.systemCategoryGroup.delete({ where: { id } })
+    return NextResponse.json({ message: "Đã xóa nhóm danh mục" })
+  },
+  { resource: "system-category", action: "delete" },
+)

package/templates/starter-app/src/app/api/users/[id]/route.ts

@@ -0,0 +1,222 @@
+import { NextResponse } from "next/server"
+import { bumpPermissionsVersion, invalidateUserPermissions } from "@goerp/core/rbac"
+import bcrypt from "bcryptjs"
+
+import { apiHandler } from "@/lib/api-handler"
+import { serverError } from "@/lib/errors/server-error"
+import { db } from "@/lib/prisma"
+
+/**
+ * /api/users/[id] — xem / cập nhật / vô hiệu hóa một người dùng.
+ *
+ * PUT nhận payload của UnifiedProfileDialog (core): name/email/status +
+ * roleCodes + branchIds/defaultBranchId + password (tùy chọn). Field
+ * vinhhoa-specific (phone, departmentId, jobTitleId…) bị bỏ qua — template
+ * không có bảng profile.
+ */
+
+export const GET = apiHandler(
+  async (req, { params }) => {
+    try {
+      const { id } = await params
+      const user = await db.user.findUnique({
+        where: { id },
+        select: {
+          id: true,
+          name: true,
+          email: true,
+          image: true,
+          isActive: true,
+          createdAt: true,
+          updatedAt: true,
+          userRoles: { select: { roleCode: true } },
+          userBranches: {
+            select: { branchId: true, isDefault: true },
+            orderBy: [{ isDefault: "desc" }, { createdAt: "asc" }],
+          },
+        },
+      })
+      if (!user) {
+        return NextResponse.json(
+          { error: "Không tìm thấy người dùng" },
+          { status: 404 },
+        )
+      }
+      const { userRoles, userBranches, ...base } = user
+      return NextResponse.json({
+        ...base,
+        roleCodes: userRoles.map((ur) => ur.roleCode),
+        branchIds: userBranches.map((ub) => ub.branchId),
+        defaultBranchId:
+          userBranches.find((ub) => ub.isDefault)?.branchId ??
+          userBranches[0]?.branchId ??
+          null,
+      })
+    } catch (error) {
+      return serverError(error, req, { message: "Lỗi tải thông tin người dùng" })
+    }
+  },
+  { resource: "user", action: "view" },
+)
+
+export const PUT = apiHandler(
+  async (req, { params }) => {
+    try {
+      const { id } = await params
+      const body = await req.json()
+
+      const name = typeof body.name === "string" ? body.name.trim() : ""
+      const email =
+        typeof body.email === "string" ? body.email.toLowerCase().trim() : ""
+      const password = typeof body.password === "string" ? body.password : ""
+      const isActive =
+        typeof body.status === "string" ? body.status === "active" : undefined
+      const roleCodes: string[] | null = Array.isArray(body.roleCodes)
+        ? body.roleCodes
+        : null
+      const branchIds: string[] | null = Array.isArray(body.branchIds)
+        ? body.branchIds
+        : null
+
+      if (!name) {
+        return NextResponse.json(
+          { error: "Tên là bắt buộc", field: "name" },
+          { status: 400 },
+        )
+      }
+      if (!email) {
+        return NextResponse.json(
+          { error: "Email là bắt buộc", field: "email" },
+          { status: 400 },
+        )
+      }
+      if (password && password.length < 6) {
+        return NextResponse.json(
+          { error: "Mật khẩu phải có ít nhất 6 ký tự", field: "password" },
+          { status: 400 },
+        )
+      }
+
+      const duplicated = await db.user.findFirst({
+        where: { email, id: { not: id } },
+        select: { id: true },
+      })
+      if (duplicated) {
+        return NextResponse.json(
+          { error: "Email đã tồn tại", field: "email" },
+          { status: 400 },
+        )
+      }
+
+      const hashedPassword = password ? await bcrypt.hash(password, 10) : null
+
+      const updated = await db.$transaction(async (tx) => {
+        const user = await tx.user.update({
+          where: { id },
+          data: {
+            name,
+            email,
+            ...(isActive === undefined ? {} : { isActive }),
+          },
+        })
+
+        if (hashedPassword) {
+          // Mật khẩu sống ở Account credential; đổi xong thu hồi mọi phiên
+          // đang mở của người này.
+          await tx.account.upsert({
+            where: {
+              providerId_accountId: { providerId: "credential", accountId: id },
+            },
+            update: { password: hashedPassword },
+            create: {
+              userId: id,
+              providerId: "credential",
+              accountId: id,
+              password: hashedPassword,
+            },
+          })
+          await tx.session.deleteMany({ where: { userId: id } })
+        }
+
+        if (roleCodes) {
+          await tx.userRole.deleteMany({ where: { userId: id } })
+          if (roleCodes.length > 0) {
+            await tx.userRole.createMany({
+              data: roleCodes.map((roleCode, index) => ({
+                userId: id,
+                roleCode,
+                isPrimary: index === 0,
+              })),
+              skipDuplicates: true,
+            })
+          }
+        }
+
+        if (branchIds) {
+          await tx.userBranch.deleteMany({ where: { userId: id } })
+          if (branchIds.length > 0) {
+            const defaultBranchId =
+              typeof body.defaultBranchId === "string" &&
+              branchIds.includes(body.defaultBranchId)
+                ? body.defaultBranchId
+                : branchIds[0]
+            await tx.userBranch.createMany({
+              data: branchIds.map((branchId) => ({
+                userId: id,
+                branchId,
+                isDefault: branchId === defaultBranchId,
+              })),
+              skipDuplicates: true,
+            })
+          }
+        }
+
+        return user
+      })
+
+      // Đổi vai trò thì phiên đang mở phải nhận quyền mới: xóa cache quyền +
+      // bump permissions-version để watcher phía client tự reload.
+      if (roleCodes) {
+        await invalidateUserPermissions(id)
+        await bumpPermissionsVersion(db)
+      }
+
+      return NextResponse.json({
+        id: updated.id,
+        name: updated.name,
+        email: updated.email,
+        isActive: updated.isActive,
+      })
+    } catch (error) {
+      return serverError(error, req, { message: "Lỗi cập nhật người dùng" })
+    }
+  },
+  { resource: "user", action: "update" },
+)
+
+export const DELETE = apiHandler(
+  async (req, { params }) => {
+    try {
+      const { id } = await params
+      const user = await db.user.findUnique({ where: { id }, select: { id: true } })
+      if (!user) {
+        return NextResponse.json(
+          { error: "Không tìm thấy người dùng" },
+          { status: 404 },
+        )
+      }
+
+      // Vô hiệu hóa thay vì xóa cứng: người dùng dính vào audit_logs và các
+      // chứng từ nghiệp vụ của app — xóa hẳn là mất dấu "ai đã làm gì".
+      await db.$transaction(async (tx) => {
+        await tx.user.update({ where: { id }, data: { isActive: false } })
+        await tx.session.deleteMany({ where: { userId: id } })
+      })
+
+      return NextResponse.json({ success: true })
+    } catch (error) {
+      return serverError(error, req, { message: "Lỗi vô hiệu hóa người dùng" })
+    }
+  },
+  { resource: "user", action: "delete" },
+)