@goplusvn/core 0.1.70 → 0.1.72

package/src/crud/server-service.ts

@@ -7,16 +7,15 @@
 // lives here so every app stops re-implementing it.
 //
 // Usage (app side):
-//   import { createServerCrudService, getModelName } from "@goerp/core/crud/server";
+//   import { createServerCrudService } from "@goerp/core/crud/server";
 //   import { prisma } from "@/lib/prisma";
-//   const MODEL_MAP = { customers: "customer", "fee-schedules": "feeSchedule" };
-//   export const crudService = createServerCrudService({
-//     prisma,
-//     getModelName: (e) => getModelName(e, MODEL_MAP),
-//   });
+//   export const crudService = createServerCrudService({ prisma });
+// Tên model Prisma khai ngay trong EntityConfig (`modelName: "feeSchedule"`),
+// không cần MODEL_MAP riêng; thiếu modelName thì fallback convention getModelName.
 
 import { buildListQuery } from "./lib/query-builder";
 import { prepareMutationData } from "./lib/mutation-builder";
+import { CrudRequestError } from "./lib/errors";
 import type { CrudQueryParams, CrudResponse, EntityConfig } from "../types";
 import { serializeDecimalFields } from "../utils/serialize";
 
@@ -24,14 +23,16 @@ type PrismaLike = Record<string, any>;
 
 export interface ServerCrudService {
   list(entity: string, config: EntityConfig, params: CrudQueryParams): Promise<CrudResponse>;
-  /** `config` (tùy chọn) để áp cùng `include` như list — detail không hiện raw FK id. */
+  /** `config` (tùy chọn) để áp cùng `include` như list — detail không hiện raw FK id.
+   *  Mọi method nhận id dạng chuỗi thô từ URL; entity `idKind: "int"` được ép
+   *  Number bên trong (sai định dạng → {@link CrudRequestError} 400). */
   getById(entity: string, id: string, config?: EntityConfig): Promise<any>;
   /** `tx` (tùy chọn) để app chạy create CÙNG transaction với sinh số phiếu
    *  advisory-lock (document-number yêu cầu cùng tx với insert). */
   create(entity: string, data: any, config?: EntityConfig, tx?: PrismaLike): Promise<any>;
   update(entity: string, id: string, data: any, config?: EntityConfig, tx?: PrismaLike): Promise<any>;
-  delete(entity: string, id: string): Promise<any>;
-  deleteMany(entity: string, ids: string[]): Promise<any>;
+  delete(entity: string, id: string, config?: EntityConfig): Promise<any>;
+  deleteMany(entity: string, ids: string[], config?: EntityConfig): Promise<any>;
 }
 
 export interface ServerCrudLogger {
@@ -79,13 +80,31 @@ const DEFAULT_SYSTEM_FIELDS = [
 
 const MAX_PAGE_SIZE = 200;
 
-// Default plural→model resolver: strip trailing "s", camelCase kebab. Apps with
-// irregular names pass a map: getModelName(entity, { "fee-schedules": "feeSchedule" }).
+// Default plural→model resolver: strip trailing "s", camelCase kebab. Ưu tiên
+// khai `modelName` ngay trong EntityConfig; map ở đây chỉ còn cho chỗ gọi cũ
+// chưa có config trong tay.
 export function getModelName(entity: string, map?: Record<string, string>): string {
   if (map && map[entity]) return map[entity];
   return entity.replace(/s$/, "").replace(/-([a-z])/g, (_, c) => c.toUpperCase());
 }
 
+// Ép id từ URL theo idKind của entity — "abc" vào cột Int phải trả 400 rõ
+// ràng thay vì để Prisma nổ 500.
+function coerceIdParam(
+  entity: string,
+  config: EntityConfig | undefined,
+  id: string,
+): string | number {
+  if (config?.idKind !== "int") return id;
+  const num = Number(id);
+  if (!Number.isInteger(num)) {
+    throw new CrudRequestError(
+      `Id không hợp lệ cho "${entity}": "${id}" (idKind=int cần số nguyên)`,
+    );
+  }
+  return num;
+}
+
 // Opt-in audit-name resolver. Overwrites createdByName/updatedByName from a User
 // model. `nameField` handles schema drift (vinhhoa: "name", wu: "fullName").
 export function createAuditUserNameResolver(opts: {
@@ -130,18 +149,18 @@ export function createServerCrudService(deps: ServerCrudDeps): ServerCrudService
 
   const systemFields = deps.systemFields ?? DEFAULT_SYSTEM_FIELDS;
 
-  const model = (entity: string, client: PrismaLike = prisma) => {
-    const name = resolveModel(entity);
+  // config.modelName thắng convention/MODEL_MAP — một registry duy nhất ở
+  // entity config, app không phải nuôi map song song.
+  const model = (entity: string, config?: EntityConfig, client: PrismaLike = prisma) => {
+    const name = config?.modelName ?? resolveModel(entity);
     const m = client[name];
     if (!m) throw new Error(`Prisma model not found for entity: ${entity} (${name})`);
     return m;
   };
 
-
-
   return {
     async list(entity, config, params) {
-      const prismaModel = model(entity);
+      const prismaModel = model(entity, config);
       
       const {
         where,
@@ -174,12 +193,13 @@ export function createServerCrudService(deps: ServerCrudDeps): ServerCrudService
     },
 
     async getById(entity, id, config) {
-      const prismaModel = model(entity);
+      const prismaModel = model(entity, config);
       // Áp cùng include như list — detail dialog hiện label relation thay raw FK id.
       const include: any = {};
       if (config?.include?.length) config.include.forEach((inc) => (include[inc] = true));
       const includeOption = Object.keys(include).length ? { include } : {};
-      const result = await prismaModel.findUnique({ where: { id }, ...includeOption });
+      const where = { [config?.idField ?? "id"]: coerceIdParam(entity, config, id) };
+      const result = await prismaModel.findUnique({ where, ...includeOption });
       if (!result) return null;
       const serialized = serializeDecimalFields(result);
       const [resolved] = await resolveAuditNames([serialized]);
@@ -187,7 +207,7 @@ export function createServerCrudService(deps: ServerCrudDeps): ServerCrudService
     },
 
     async create(entity, data, config, tx) {
-      const prismaModel = model(entity, tx ?? prisma);
+      const prismaModel = model(entity, config, tx ?? prisma);
       try {
         const prismaData = prepareMutationData({
           data,
@@ -206,7 +226,8 @@ export function createServerCrudService(deps: ServerCrudDeps): ServerCrudService
     },
 
     async update(entity, id, data, config, tx) {
-      const prismaModel = model(entity, tx ?? prisma);
+      const prismaModel = model(entity, config, tx ?? prisma);
+      const where = { [config?.idField ?? "id"]: coerceIdParam(entity, config, id) };
       try {
         const prismaData = prepareMutationData({
           data,
@@ -216,27 +237,31 @@ export function createServerCrudService(deps: ServerCrudDeps): ServerCrudService
           relationFieldSkip: deps.relationFieldSkip,
           logger: log,
         });
-        return serializeDecimalFields(await prismaModel.update({ where: { id }, data: prismaData }));
+        return serializeDecimalFields(await prismaModel.update({ where, data: prismaData }));
       } catch (error) {
         log.error(`Error updating ${entity}:`, error);
         throw error;
       }
     },
 
-    async delete(entity, id) {
-      const prismaModel = model(entity);
+    async delete(entity, id, config) {
+      const prismaModel = model(entity, config);
+      const where = { [config?.idField ?? "id"]: coerceIdParam(entity, config, id) };
       try {
-        return await prismaModel.delete({ where: { id } });
+        return await prismaModel.delete({ where });
       } catch (error) {
         log.error(`Error deleting ${entity}:`, error);
         throw error;
       }
     },
 
-    async deleteMany(entity, ids) {
-      const prismaModel = model(entity);
+    async deleteMany(entity, ids, config) {
+      const prismaModel = model(entity, config);
+      // Ép cả mảng — một phần tử sai định dạng là 400 cả request, không xóa nửa vời.
+      const idField = config?.idField ?? "id";
+      const where = { [idField]: { in: ids.map((id) => coerceIdParam(entity, config, id)) } };
       try {
-        return await prismaModel.deleteMany({ where: { id: { in: ids } } });
+        return await prismaModel.deleteMany({ where });
       } catch (error) {
         log.error(`Error deleting many ${entity}:`, error);
         throw error;

package/src/crud/server.ts

@@ -22,6 +22,16 @@ export type {
 export {
   createCrudCollectionHandlers,
   createCrudItemHandlers,
+  createCrudExportHandler,
+  createCrudImportHandler,
 } from './crud-route-handlers'
-export type { CrudHandlerDeps } from './crud-route-handlers'
+export type {
+  CrudHandlerDeps,
+  CrudExportHandlerDeps,
+  CrudImportHandlerDeps,
+} from './crud-route-handlers'
+export { readImportRows, coerceBooleanCell } from './lib/import-request'
 export { compileFilterTree, conditionForOperator, type FilterTreeLeaf, type FilterTreeNode } from "./lib/filter-tree";
+export { CrudRequestError } from "./lib/errors";
+export { coerceFieldValue } from "./lib/coerce";
+export { getEntityEndpoints } from "./lib/entity-endpoints";

package/src/guardrails/index.ts

@@ -52,6 +52,7 @@ export type {
   GuardrailResult,
   GuardrailRule,
   NavigationGroupLike,
+  NavigationItemLike,
   PermissionFeatureLike,
   ResolvedGuardrailOptions,
 } from "./types";

package/src/guardrails/rules/auth.ts

@@ -42,6 +42,26 @@ function publicPrefixes(ctx: GuardrailContext): string[] {
   );
 }
 
+/**
+ * MỌI tiền tố trong danh sách công khai của proxy.ts — kể cả ngoài /api
+ * (/pub, /iclock, webhook…). Chỉ đọc bên trong mảng `publicPrefixes:`/
+ * `publicApiPrefixes:` chứ không vơ mọi chuỗi (signInPath/homePath không phải
+ * tuyên bố công khai).
+ */
+function declaredPublicPrefixes(ctx: GuardrailContext): string[] {
+  if (!ctx.existsInSrc("proxy.ts")) return [];
+  const code = ctx.readCodeRel("proxy.ts");
+  const out: string[] = [];
+  for (const m of code.matchAll(
+    /public(?:Api)?Prefixes\s*:\s*\[([^\]]*)\]/g,
+  )) {
+    for (const s of m[1].matchAll(/["'](\/[^"']*)["']/g)) {
+      out.push(s[1].replace(/\/$/, ""));
+    }
+  }
+  return out;
+}
+
 function gateSources(ctx: GuardrailContext, code: string): string[] {
   const targets = [...code.matchAll(/export \* from ["']@\/([^"']+)["']/g)].map(
     (m) => m[1],
@@ -77,7 +97,8 @@ export const authRules: GuardrailRule[] = [
       // Hai lối dựng đều hợp lệ: factory của core, hoặc bản tự dựng của app.
       // Ràng cứng vào một lối là bắt app phải giống hệt vinhhoa về CÁCH VIẾT,
       // trong khi thứ cần ràng là TÍNH CHẤT: /api chặn trước, công khai phải khai.
-      const viaCore = /createAuthProxy\s*\(/.test(code) && /publicApiPrefixes/.test(code);
+      const viaCore =
+        /createAuthProxy\s*\(/.test(code) && /public(?:Api)?Prefixes/.test(code);
       const handRolled =
         /getSessionCookie/.test(code) &&
         /pathname\.startsWith\(["']\/api["']\)/.test(code) &&
@@ -151,6 +172,38 @@ export const authRules: GuardrailRule[] = [
     },
   },
 
+  {
+    id: "auth/route-outside-api-declared",
+    title: "route.ts NGOÀI app/api phải khai tiền tố trong danh sách công khai của proxy, hoặc tự gác",
+    why:
+      "Endpoint server ngoài /api (route thiết bị /pub, /iclock của spartronics; " +
+      "webhook đặt ngoài /api…) từng VÔ HÌNH với mọi thước: rule api-route-gated " +
+      "chỉ quét app/api/**, còn proxy mặc-định-chặn thì các route này lại cần được " +
+      "MỞ — một bề mặt công khai không ai review thấy.",
+    fix: "Thêm tiền tố vào `publicPrefixes` trong src/proxy.ts kèm ghi rõ nó tự xác thực bằng gì (allowlist serial, HMAC…), hoặc bọc cổng như route API thường.",
+    run(ctx) {
+      const routes = ctx.files
+        .map(ctx.rel)
+        .filter(
+          (rel) =>
+            rel.startsWith("app/") &&
+            rel.endsWith("/route.ts") &&
+            !rel.startsWith("app/api/"),
+        );
+      if (routes.length === 0) return null;
+      const publics = declaredPublicPrefixes(ctx);
+      const allowed = new Set(
+        ctx.options.allowlists["auth/route-outside-api-declared"] ?? [],
+      );
+      return routes.filter((rel) => {
+        if (allowed.has(rel)) return false;
+        const url = routeUrl(rel);
+        if (publics.some((p) => url === p || url.startsWith(`${p}/`))) return false;
+        return !gateSources(ctx, ctx.readCodeRel(rel)).some((src) => GATED.test(src));
+      });
+    },
+  },
+
   forbidPattern({
     id: "auth/server-action-bare-session",
     title: "file 'use server' không gọi getSession trần — dùng requirePermission",

package/src/guardrails/rules/design.ts

@@ -72,12 +72,13 @@ export const designRules: GuardrailRule[] = [
 
   {
     id: "design/list-table-uses-kit",
-    title: "bảng mới trong app/ dùng DataTableWrapper, không tự dựng <Table>",
+    title:
+      "bảng mới trong app/ dùng DataTable (@goerp/core/ui — import { DataTable }), không tự dựng <Table>",
     why:
       "Bảng tự dựng lại thiếu một trong: header dính, phân trang, trạng thái " +
       "rỗng, hàng bấm được, footer tổng. Mỗi bảng thiếu một thứ khác nhau, và " +
       "người dùng học lại thao tác ở mỗi trang.",
-    fix: "Dùng `DataTableWrapper` + cột tanstack trong `*-columns.tsx`. Thật sự phải tự dựng thì thêm vào allowlist kèm lý do.",
+    fix: "Dùng `DataTable` (@goerp/core/ui — `import { DataTable }`) + cột tanstack trong `*-columns.tsx`. Thật sự phải tự dựng thì thêm vào allowlist kèm lý do.",
     run(ctx) {
       const allowed = new Set(ctx.options.allowlists["design/list-table-uses-kit"] ?? []);
       const handRolled = ctx.files

package/src/guardrails/types.ts

@@ -81,9 +81,9 @@ export interface GuardrailOptions {
    * Registry quyền của app (`src/configs/permissions`). Thiếu thì nhóm rule
    * `rbac/*` tự bỏ qua.
    */
-  permissionRegistry?: PermissionFeatureLike[];
+  permissionRegistry?: readonly PermissionFeatureLike[];
   /** Cây menu (`src/data/navigations`). Thiếu thì rule nav tự bỏ qua. */
-  navigations?: NavigationGroupLike[];
+  navigations?: readonly NavigationGroupLike[];
   /**
    * Bộ action ai cũng hiểu. PHẢI trùng danh sách trong `scripts/rbac-sync.ts`
    * của app — lệch nhau thì test xanh mà seed ném lỗi lúc deploy.
@@ -158,17 +158,26 @@ export type ResolvedGuardrailOptions = GuardrailOptions &
  * guardrails không kéo theo phụ thuộc ngược lên tầng config.
  */
 export interface PermissionFeatureLike {
-  resources: Array<{
+  resources: ReadonlyArray<{
     code: string;
-    actions: string[];
-    defaultGrants?: Record<string, string[] | "*">;
+    actions: readonly string[];
+    defaultGrants?: Readonly<Record<string, readonly string[] | "*">>;
   }>;
-  customActions?: Array<{ code: string }>;
+  customActions?: ReadonlyArray<{ code: string }>;
+}
+
+/**
+ * CHỈ khai trường rule thật sự đọc, KHÔNG index signature: một interface cụ
+ * thể (NavigationType của app) gán vào đây được theo structural typing, còn
+ * `[key: string]: unknown` thì bắt app phải có index signature — chính là lỗi
+ * TS mà template dính ngay sau init (pilot spartronics 2026-08-07).
+ */
+export interface NavigationItemLike {
+  resource?: string;
 }
 
 export interface NavigationGroupLike {
-  items?: Array<{ resource?: string; [key: string]: unknown }>;
-  [key: string]: unknown;
+  items?: readonly NavigationItemLike[];
 }
 
 /** Kết quả chạy một rule — dùng cho `goerp doctor` (không cần vitest). */

package/src/providers/brand-theme.ts

@@ -20,6 +20,26 @@ export interface BrandThemeColor {
   sidebarDark: string;
 }
 
+/**
+ * Bảng màu thương hiệu CALIBRATE SẴN, khớp 1-1 với swatch trong
+ * `configs/themes.ts` — app mới dùng thẳng (theme-provider của starter-app),
+ * app muốn nắn tay từng hue (như vinhhoa) thì giữ bảng riêng và bỏ qua cái này.
+ */
+export const THEME_PRESETS: Record<string, BrandThemeColor> = {
+  zinc: { primary: "235 12% 27%", primaryDark: "235 10% 62%", fg: "0 0% 98%", sidebar: "235 18% 15%", sidebarDark: "235 16% 9%" },
+  slate: { primary: "213 30% 42%", primaryDark: "213 26% 64%", fg: "0 0% 100%", sidebar: "214 36% 19%", sidebarDark: "214 32% 12%" },
+  stone: { primary: "26 20% 40%", primaryDark: "28 16% 62%", fg: "0 0% 98%", sidebar: "26 28% 18%", sidebarDark: "26 24% 11%" },
+  gray: { primary: "218 9% 48%", primaryDark: "218 9% 68%", fg: "0 0% 100%", sidebar: "218 16% 19%", sidebarDark: "218 14% 12%" },
+  neutral: { primary: "0 0% 42%", primaryDark: "0 0% 66%", fg: "0 0% 100%", sidebar: "0 0% 16%", sidebarDark: "0 0% 9%" },
+  red: { primary: "4 78% 50%", primaryDark: "6 84% 62%", fg: "0 0% 100%", sidebar: "356 62% 28%", sidebarDark: "356 58% 16%" },
+  rose: { primary: "338 80% 53%", primaryDark: "340 80% 63%", fg: "0 0% 100%", sidebar: "338 56% 28%", sidebarDark: "338 54% 16%" },
+  orange: { primary: "26 88% 47%", primaryDark: "30 92% 58%", fg: "0 0% 100%", sidebar: "20 75% 28%", sidebarDark: "22 72% 15%" },
+  green: { primary: "151 66% 38%", primaryDark: "150 58% 48%", fg: "0 0% 100%", sidebar: "156 70% 16%", sidebarDark: "158 68% 9%" },
+  blue: { primary: "233 74% 44%", primaryDark: "230 62% 60%", fg: "0 0% 100%", sidebar: "233.9 88.8% 17.5%", sidebarDark: "234 50% 10%" },
+  yellow: { primary: "42 92% 46%", primaryDark: "46 96% 56%", fg: "40 60% 12%", sidebar: "40 72% 25%", sidebarDark: "42 70% 14%" },
+  violet: { primary: "262 72% 52%", primaryDark: "263 72% 64%", fg: "0 0% 100%", sidebar: "264 56% 25%", sidebarDark: "265 52% 15%" },
+};
+
 /** Dịch lightness của "H S% L%" (cho hover/active). */
 export function shiftLightness(triple: string, delta: number): string {
   const parts = triple.trim().split(/\s+/);

package/src/rbac/pages/permission-catalog-pages.tsx

@@ -567,7 +567,9 @@ export function ResourceCatalogPage({
                                                     ?.description ||
                                                   actionName(code)
                                                 }
-                                                className="inline-flex items-center gap-1 rounded-md border border-primary/40 bg-primary/10 px-1.5 py-0.5 text-[11px] font-medium text-primary"
+                                                // Check màu đã tự nói lên trạng thái — không cần thêm khung
+                                                // viền/nền màu (nhiễu khi cả dãy chip đứng cạnh nhau).
+                                                className="inline-flex items-center gap-1 px-1 py-0.5 text-[11px] font-medium text-foreground"
                                               >
                                                 <span
                                                   className={cn(

package/src/security/index.ts

@@ -0,0 +1,2 @@
+// @goerp/core/security — trang quản trị bảo mật dùng chung (Better Auth).
+export { SessionsPage, type SessionsPageProps } from "./pages/sessions-page"