@goplusvn/core 0.1.70 → 0.1.72

package/templates/starter-app/prisma/schema/system.prisma

@@ -20,3 +20,77 @@ model SystemConfig {
 
   @@map("system_configs")
 }
+
+// Danh mục hệ thống: cặp bảng nhóm → mục, phục vụ trang /system-categories
+// (SystemCategoryPage của @goerp/core). Định nghĩa chép nguyên từ app chuẩn —
+// GIỮ tên bảng/cột để dữ liệu port qua lại được.
+model SystemCategory {
+  id          String   @id @map("id")
+  code        String   @unique @map("code")
+  name        String   @map("name")
+  groupCode   String   @map("group_code")
+  description String   @map("description")
+  status      String   @default("active") @map("status")
+  order       Int?     @map("order")
+  createdAt   DateTime @default(now()) @map("created_at")
+  createdBy   String   @map("created_by")
+  updatedAt   DateTime @map("updated_at")
+  updatedBy   String   @map("updated_by")
+
+  @@map("system_categories")
+}
+
+model SystemCategoryGroup {
+  id          String   @id @map("id")
+  code        String   @unique @map("code")
+  name        String   @map("name")
+  description String   @map("description")
+  status      String   @default("active") @map("status")
+  createdAt   DateTime @default(now()) @map("created_at")
+  createdBy   String   @map("created_by")
+  updatedAt   DateTime @map("updated_at")
+  updatedBy   String   @map("updated_by")
+
+  @@map("system_category_groups")
+}
+
+// Cảnh báo/thông báo hệ thống — entity CRUD generic (/crud/system-alerts).
+// App chuẩn KHÔNG có model riêng (map tạm vào system_logs); template khai
+// model thật khớp các field của system-alerts.config.ts.
+model SystemAlert {
+  id        String   @id @default(cuid()) @map("id")
+  title     String   @map("title")
+  message   String   @map("message")
+  type      String   @default("info") @map("type")
+  status    String   @default("pending") @map("status")
+  createdAt DateTime @default(now()) @map("created_at")
+  createdBy String?  @map("created_by")
+  updatedAt DateTime @updatedAt @map("updated_at")
+  updatedBy String?  @map("updated_by")
+
+  @@index([status])
+  @@index([type])
+  @@map("system_alerts")
+}
+
+/// Hồ sơ công ty gốc — MỘT dòng duy nhất, dùng cho biểu mẫu/hoá đơn/branding.
+/// (Đơn giản hoá từ vinhhoa: không quan hệ branches — Branch của template
+/// độc lập; app đa-công-ty tự thêm quan hệ sau.)
+model Company {
+  id         String   @id @default(cuid()) @map("id")
+  name       String   @map("name")
+  taxCode    String   @unique @map("tax_code")
+  address    String   @map("address")
+  phone      String   @map("phone")
+  email      String   @map("email")
+  logoUrl    String?  @map("logo_url")
+  systemName String?  @map("system_name")
+  status     String   @default("active") @map("status")
+  createdAt  DateTime @default(now()) @map("created_at")
+  createdBy  String   @default("system") @map("created_by")
+  updatedAt  DateTime @updatedAt @map("updated_at")
+  updatedBy  String   @default("system") @map("updated_by")
+
+  @@index([status])
+  @@map("companies")
+}

package/templates/starter-app/prisma/seed.ts

@@ -1,14 +1,16 @@
 /**
  * Seed dữ liệu khởi tạo — chạy được nhiều lần (toàn upsert).
  *
- *   pnpm prisma:deploy && pnpm rbac-sync && pnpm seed
+ *   pnpm prisma:deploy && pnpm seed && pnpm rbac-sync
  *
- * Phân công rõ ràng: `rbac-sync` sở hữu resource/action/grant mặc định (đọc từ
+ * THỨ TỰ `seed → rbac-sync` là BẮT BUỘC: rbac-sync chỉ cấp grant mặc định cho
+ * resource nó vừa TẠO MỚI, và grant cần VAI TRÒ (do seed tạo) tồn tại sẵn.
+ * Chạy rbac-sync trước seed thì grant bị bỏ qua VĨNH VIỄN trong im lặng —
+ * lối thoát duy nhất là `pnpm rbac-sync --force-grants`.
+ *
+ * Phân công: `rbac-sync` sở hữu resource/action/grant mặc định (đọc từ
  * Permission Registry); file này chỉ tạo những thứ registry không biết —
  * VAI TRÒ, tài khoản quản trị, chi nhánh, cấu hình và vài dòng dữ liệu mẫu.
- * Vì vậy hãy chạy rbac-sync TRƯỚC seed ở lần đầu... nhưng grant mặc định cần
- * vai trò tồn tại sẵn, nên seed cũng tạo vai trò và bạn chạy rbac-sync lần nữa
- * sau seed. Thứ tự an toàn nhất: seed → rbac-sync.
  */
 
 import { PrismaPg } from "@prisma/adapter-pg"

package/templates/starter-app/scripts/migration-new.mjs

@@ -0,0 +1,89 @@
+#!/usr/bin/env node
+/**
+ * Sinh migration MỚI từ diff (migrations hiện có → prisma/schema) mà không đụng
+ * DB thật — thay cho `prisma migrate dev` (bị cấm ở đây vì nó có thể RESET DB).
+ *
+ * Prisma 7.9 đã BỎ cờ `--shadow-database-url` khỏi `migrate diff`, nên quy
+ * trình đúng là: tạo DB shadow tạm cạnh DB chính → deploy toàn bộ migrations
+ * vào shadow → diff shadow ↔ schema → ghi file migration → xoá shadow.
+ *
+ * Dùng: pnpm migration:new <ten_migration>   (vd: pnpm migration:new add_devices)
+ * Yêu cầu: DATABASE_URL trong .env; tài khoản DB có quyền CREATE DATABASE
+ * (không có thì tự trỏ SHADOW_DATABASE_URL sang một DB trống bạn tạo sẵn).
+ */
+import { execSync } from "node:child_process"
+import fs from "node:fs"
+import path from "node:path"
+import process from "node:process"
+
+import "dotenv/config"
+import pg from "pg"
+
+const name = process.argv[2]
+if (!name || !/^[a-z0-9_]+$/.test(name)) {
+  console.error("Cách dùng: pnpm migration:new <ten_snake_case>")
+  process.exit(1)
+}
+
+const dbUrl = process.env.DATABASE_URL
+if (!dbUrl) {
+  console.error("Thiếu DATABASE_URL (xem .env)")
+  process.exit(1)
+}
+
+const url = new URL(dbUrl)
+const mainDb = url.pathname.slice(1)
+const shadowDb = `${mainDb}_shadow_migrate`
+const shadowUrl = process.env.SHADOW_DATABASE_URL ?? (() => {
+  const u = new URL(dbUrl)
+  u.pathname = `/${shadowDb}`
+  return u.toString()
+})()
+
+const adminUrl = (() => {
+  const u = new URL(dbUrl)
+  u.pathname = "/postgres"
+  return u.toString()
+})()
+
+const ownShadow = !process.env.SHADOW_DATABASE_URL
+
+async function withShadow(fn) {
+  if (!ownShadow) return fn()
+  const admin = new pg.Client({ connectionString: adminUrl })
+  await admin.connect()
+  await admin.query(`DROP DATABASE IF EXISTS "${shadowDb}"`)
+  await admin.query(`CREATE DATABASE "${shadowDb}"`)
+  try {
+    return await fn()
+  } finally {
+    await admin.query(`DROP DATABASE IF EXISTS "${shadowDb}"`)
+    await admin.end()
+  }
+}
+
+const run = (cmd, env = {}) =>
+  execSync(cmd, { stdio: ["inherit", "pipe", "inherit"], env: { ...process.env, ...env } })
+
+await withShadow(async () => {
+  console.log(`→ deploy migrations hiện có vào shadow (${shadowDb})…`)
+  run("pnpm exec prisma migrate deploy", { DATABASE_URL: shadowUrl })
+
+  console.log("→ diff shadow ↔ prisma/schema…")
+  const sql = run(
+    "pnpm exec prisma migrate diff --from-config-datasource --to-schema prisma/schema --script",
+    { DATABASE_URL: shadowUrl },
+  ).toString()
+
+  if (!sql.trim() || /This is an empty migration/.test(sql)) {
+    console.log("Schema không đổi so với migrations — không có gì để sinh.")
+    return
+  }
+
+  const ts = new Date().toISOString().replace(/\D/g, "").slice(0, 14)
+  const dir = path.join("prisma", "migrations", `${ts}_${name}`)
+  fs.mkdirSync(dir, { recursive: true })
+  fs.writeFileSync(path.join(dir, "migration.sql"), sql)
+  console.log(`✓ ${dir}/migration.sql`)
+  console.log("Xem lại SQL rồi chạy: pnpm prisma:deploy")
+})

package/templates/starter-app/scripts/rbac-sync.ts

@@ -27,6 +27,7 @@ import { randomUUID } from "node:crypto"
 
 import { PrismaPg } from "@prisma/adapter-pg"
 import { PrismaClient } from "@prisma/client"
+
 import "dotenv/config"
 
 import { permissionRegistry } from "../src/configs/permissions"
@@ -46,29 +47,39 @@ const STANDARD_ACTIONS: Record<string, string> = {
 }
 
 const connectionString = process.env.DATABASE_URL
-if (!connectionString) throw new Error("DATABASE_URL chưa được set (xem .env.example)")
+if (!connectionString)
+  throw new Error("DATABASE_URL chưa được set (xem .env.example)")
 const prisma = new PrismaClient({ adapter: new PrismaPg({ connectionString }) })
 
 async function main() {
-  const now = new Date()
-  const resourceCount = permissionRegistry.reduce((n, f) => n + f.resources.length, 0)
+  const resourceCount = permissionRegistry.reduce(
+    (n, f) => n + f.resources.length,
+    0
+  )
   console.log(
-    `→ rbac-sync: ${permissionRegistry.length} phân hệ, ${resourceCount} resource${DRY_RUN ? " [DRY RUN]" : ""}`,
+    `→ rbac-sync: ${permissionRegistry.length} phân hệ, ${resourceCount} resource${DRY_RUN ? " [DRY RUN]" : ""}`
   )
 
   // ── 1. Action: tạo nếu thiếu ───────────────────────────────────────────
-  const declaredActions = new Map<string, { name: string; description?: string }>()
+  const declaredActions = new Map<
+    string,
+    { name: string; description?: string }
+  >()
   for (const feature of permissionRegistry) {
     for (const a of feature.customActions ?? []) {
       declaredActions.set(a.code, { name: a.name, description: a.description })
     }
   }
   const usedActionCodes = new Set(
-    permissionRegistry.flatMap((f) => f.resources.flatMap((r) => [...r.actions])),
+    permissionRegistry.flatMap((f) =>
+      f.resources.flatMap((r) => [...r.actions])
+    )
   )
 
   const existingActionCodes = new Set(
-    (await prisma.action.findMany({ select: { code: true } })).map((a) => a.code),
+    (await prisma.action.findMany({ select: { code: true } })).map(
+      (a) => a.code
+    )
   )
 
   for (const code of usedActionCodes) {
@@ -81,7 +92,7 @@ async function main() {
       // Dừng hẳn thay vì tạo action rác: sai chính tả một action code sẽ khiến
       // quyền không bao giờ khớp và nút bấm ẩn vĩnh viễn.
       throw new Error(
-        `Action "${code}" được dùng nhưng không nằm trong bộ chuẩn và chưa khai ở customActions của phân hệ nào.`,
+        `Action "${code}" được dùng nhưng không nằm trong bộ chuẩn và chưa khai ở customActions của phân hệ nào.`
       )
     }
     console.log(`  + action: ${code} (${decl.name})`)
@@ -113,12 +124,14 @@ async function main() {
       }
       // Lớp tùy chỉnh của admin (thêm/tắt action trên UI) được BẢO TOÀN:
       // hiệu lực = registry ∪ customActions − disabledActions
-      const custom = Array.isArray(config.customActions) ? (config.customActions as string[]) : []
+      const custom = Array.isArray(config.customActions)
+        ? (config.customActions as string[])
+        : []
       const disabled = Array.isArray(config.disabledActions)
         ? (config.disabledActions as string[])
         : []
       config.actions = [...new Set([...r.actions, ...custom])].filter(
-        (a) => !disabled.includes(a),
+        (a) => !disabled.includes(a)
       )
 
       if (!existing) {
@@ -147,14 +160,16 @@ async function main() {
   }
 
   // ── 3. Grant mặc định — CHỈ cho resource vừa tạo (trừ khi --force-grants) ──
-  const wantsGrants = (code: string) => FORCE_GRANTS || createdResourceCodes.has(code)
+  const wantsGrants = (code: string) =>
+    FORCE_GRANTS || createdResourceCodes.has(code)
   let skippedGrants = 0
 
   const neededRoleCodes = new Set<string>()
   for (const feature of permissionRegistry) {
     for (const r of feature.resources) {
       if (!wantsGrants(r.code)) continue
-      for (const roleCode of Object.keys(r.defaultGrants ?? {})) neededRoleCodes.add(roleCode)
+      for (const roleCode of Object.keys(r.defaultGrants ?? {}))
+        neededRoleCodes.add(roleCode)
     }
   }
   const presentRoles = new Set(
@@ -165,7 +180,7 @@ async function main() {
             select: { code: true },
           })
         ).map((r) => r.code)
-      : [],
+      : []
   )
 
   for (const feature of permissionRegistry) {
@@ -174,11 +189,14 @@ async function main() {
       for (const [roleCode, grant] of Object.entries(r.defaultGrants ?? {})) {
         if (!presentRoles.has(roleCode)) {
           skippedGrants++
-          console.warn(`  ! vai trò "${roleCode}" chưa tồn tại — bỏ qua grant cho ${r.code}`)
+          console.warn(
+            `  ! vai trò "${roleCode}" chưa tồn tại — bỏ qua grant cho ${r.code}`
+          )
           continue
         }
         for (const actionCode of grant === "*" ? r.actions : grant) {
-          if (VERBOSE || !FORCE_GRANTS) console.log(`  ✓ grant: ${roleCode} → ${r.code}:${actionCode}`)
+          if (VERBOSE || !FORCE_GRANTS)
+            console.log(`  ✓ grant: ${roleCode} → ${r.code}:${actionCode}`)
           if (!DRY_RUN) {
             await prisma.rolePermission.upsert({
               where: {
@@ -188,7 +206,12 @@ async function main() {
                   actionCode,
                 },
               },
-              create: { id: randomUUID(), roleCode, resourceCode: r.code, actionCode },
+              create: {
+                id: randomUUID(),
+                roleCode,
+                resourceCode: r.code,
+                actionCode,
+              },
               update: {},
             })
           }
@@ -199,22 +222,27 @@ async function main() {
 
   // ── 4. Drift (chỉ cảnh báo) ────────────────────────────────────────────
   const registryCodes = new Set(
-    permissionRegistry.flatMap((f) => f.resources.map((r) => r.code)),
+    permissionRegistry.flatMap((f) => f.resources.map((r) => r.code))
   )
   const legacy = (
-    await prisma.resource.findMany({ where: { status: "active" }, select: { code: true } })
+    await prisma.resource.findMany({
+      where: { status: "active" },
+      select: { code: true },
+    })
   )
     .map((r) => r.code)
     .filter((code) => !registryCodes.has(code))
     .sort()
 
   if (legacy.length) {
-    console.log(`→ Drift: ${legacy.length} resource trong DB chưa khai registry`)
+    console.log(
+      `→ Drift: ${legacy.length} resource trong DB chưa khai registry`
+    )
     if (VERBOSE) console.log(`  ${legacy.join(", ")}`)
   }
 
   console.log(
-    `→ Xong: ${createdResourceCodes.size} resource mới, ${registryCodes.size - createdResourceCodes.size} resource cập nhật.`,
+    `→ Xong: ${createdResourceCodes.size} resource mới, ${registryCodes.size - createdResourceCodes.size} resource cập nhật.`
   )
 
   // Bỏ qua grant = resource đã tạo nhưng KHÔNG ai có quyền, và lần chạy sau
@@ -222,7 +250,7 @@ async function main() {
   if (skippedGrants) {
     console.warn(
       `\n⚠ ${skippedGrants} grant bị bỏ vì vai trò chưa tồn tại. Chạy \`pnpm seed\` để tạo vai trò,` +
-        ` rồi \`pnpm rbac-sync --force-grants\` để áp lại — nếu không sẽ không ai vào được màn hình nào.`,
+        ` rồi \`pnpm rbac-sync --force-grants\` để áp lại — nếu không sẽ không ai vào được màn hình nào.`
     )
   }
 }

package/templates/starter-app/src/__tests__/architecture.test.ts

@@ -2,9 +2,10 @@ import { join } from "node:path"
 
 import { runCoreGuardrails } from "@goerp/core/guardrails"
 
-import { permissionRegistry } from "@/configs/permissions"
 import { navigations } from "@/data/navigations"
 
+import { permissionRegistry } from "@/configs/permissions"
+
 /**
  * HÀNG RÀO KIẾN TRÚC — mỗi thước ở đây ứng với một lỗi im lặng đã từng làm mất
  * thời gian trong app thật: quyền khai sai thì nút biến mất mà không báo lỗi,
@@ -29,6 +30,14 @@ runCoreGuardrails({
   permissionRegistry,
   navigations,
 
+  allowlists: {
+    // Thu hồi PHIÊN CỦA CHÍNH MÌNH không cần quyền, phiên NGƯỜI KHÁC cần
+    // user:update — quyền phụ thuộc dữ liệu request nên không khai được ở cổng.
+    "auth/api-inline-check-permission": [
+      "app/api/security/sessions/[id]/route.ts",
+    ],
+  },
+
   ceilings: {
     // Năm chỗ `any` này có sẵn trong bộ khung, mỗi chỗ đã kèm một dòng
     // eslint-disable giải thích. Chúng được KHAI ở đây để mọi `any` bạn thêm về
@@ -36,7 +45,7 @@ runCoreGuardrails({
     // tương ứng trong CÙNG commit — trần dư cũng bị báo đỏ.
     "debt/any": {
       app: 2, // Record<string, any> cho where của Prisma (audit, error-logs)
-      lib: 2, // session as any ở api-handler / page-guard
+      lib: 0, // Session của app gán thẳng vào checkPermission — không cần ép kiểu
       server: 1, // mask(config: any) trong system-config-service
     },
   },

package/templates/starter-app/src/app/[lang]/(main)/actions/page.tsx

@@ -0,0 +1,37 @@
+// Trang hành động = catalog TRA CỨU. Action mới khai trong customActions của
+// Permission Registry rồi chạy rbac-sync.
+import { ActionCatalogPage } from "@goerp/core/rbac/pages"
+import {
+  getActionsForPermissionMatrix,
+  getResourcesForPermissionMatrix,
+} from "@goerp/core/rbac/resource-service"
+
+import { getActionMetaMap } from "@/configs/permissions"
+import { RESOURCE_PAGES } from "@/configs/permissions/menu-tree"
+import { requirePageAccess } from "@/lib/page-guard"
+import { db } from "@/lib/prisma"
+
+export const metadata = { title: "Hành động" }
+
+export default async function ActionsPage({
+  params,
+}: {
+  params: Promise<{ lang: string }>
+}) {
+  const { lang } = await params
+  await requirePageAccess(lang, "action")
+
+  const [resources, actions] = await Promise.all([
+    getResourcesForPermissionMatrix(db),
+    getActionsForPermissionMatrix(db),
+  ])
+
+  return (
+    <ActionCatalogPage
+      resources={resources}
+      actions={actions}
+      actionMeta={getActionMetaMap()}
+      resourcePages={RESOURCE_PAGES}
+    />
+  )
+}

package/templates/starter-app/src/app/[lang]/(main)/admin/system/cache/page.tsx

@@ -0,0 +1,68 @@
+import { checkPermission } from "@goerp/core/auth"
+import { cacheManager } from "@goerp/core/infrastructure/cache"
+import { CacheManagementPage } from "@goerp/core/ui/management"
+
+import { getSession } from "@/lib/auth"
+import { requirePageAccess } from "@/lib/page-guard"
+
+export const metadata = { title: "Bộ nhớ đệm" }
+
+// Server action là endpoint POST độc lập (gác render KHÔNG bảo vệ chúng) —
+// mỗi action phải tự kiểm tra quyền khi được gọi. PHẢI ở MODULE SCOPE: khai
+// trong component thì inline "use server" action đóng closure lên nó → Next
+// serialize closure → "Functions cannot be passed directly to Client Components".
+async function assertCacheAccess(action: "view" | "update") {
+  const session = await getSession()
+  if (!checkPermission(session, "system-cache", action)) {
+    throw new Error("Forbidden")
+  }
+}
+
+export default async function CachePage({
+  params,
+}: {
+  params: Promise<{ lang: string }>
+}) {
+  const { lang } = await params
+  await requirePageAccess(lang, "system-cache")
+
+  async function fetchStats() {
+    "use server"
+    await assertCacheAccess("view")
+    return cacheManager.getStats()
+  }
+
+  async function clearCache(name: string) {
+    "use server"
+    await assertCacheAccess("update")
+    return cacheManager.clearCache(name)
+  }
+
+  async function clearAll() {
+    "use server"
+    await assertCacheAccess("update")
+    return cacheManager.flushAll()
+  }
+
+  async function getCacheKeys(name: string) {
+    "use server"
+    await assertCacheAccess("view")
+    return cacheManager.get(name)?.keys() ?? []
+  }
+
+  async function getCacheValue(name: string, key: string) {
+    "use server"
+    await assertCacheAccess("view")
+    return cacheManager.get(name)?.get(key) ?? null
+  }
+
+  return (
+    <CacheManagementPage
+      fetchStats={fetchStats}
+      clearCache={clearCache}
+      clearAll={clearAll}
+      getCacheKeys={getCacheKeys}
+      getCacheValue={getCacheValue}
+    />
+  )
+}

package/templates/starter-app/src/app/[lang]/(main)/admin/system/company/actions.ts

@@ -0,0 +1,33 @@
+"use server"
+
+import { revalidatePath } from "next/cache"
+import { updateSystemCompany } from "@/server/services/company-service"
+
+import type { CompanyProfileInput } from "@/server/services/company-service"
+
+import { requirePermission } from "@/lib/action-guard"
+
+/** Hồ sơ công ty dùng chung quyền với Cấu hình hệ thống (system-setting). */
+export async function submitCompanyProfile(data: CompanyProfileInput) {
+  let userId: string
+  try {
+    const session = await requirePermission("system-setting", "update")
+    userId = session.user?.id ?? "system"
+  } catch {
+    return {
+      success: false,
+      error: "Bạn không có quyền cập nhật hồ sơ công ty",
+    }
+  }
+
+  try {
+    await updateSystemCompany(data, userId)
+    revalidatePath("/admin/system/company")
+    // Tên/logo công ty có thể hiện ở layout + trang in — revalidate cả cây.
+    revalidatePath("/", "layout")
+    return { success: true }
+  } catch (error) {
+    console.error("Cập nhật hồ sơ công ty lỗi:", error)
+    return { success: false, error: "Đã có lỗi khi lưu hồ sơ công ty." }
+  }
+}