@goplusvn/core 0.1.74 → 0.1.76

package/src/workspace/pages/workspace-list-page.tsx

@@ -0,0 +1,430 @@
+"use client";
+
+// Trang "Không gian làm việc" — cây tổ chức + thao tác nhánh.
+//
+// Dùng lại khung `RbacPageBar` / `RbacStickyToolbar` của các trang RBAC thay vì
+// tự dựng bar riêng: đây là trang quản trị cùng họ, lệch khung một chút là người
+// dùng nhận ra ngay (L1 — tái dùng, không hand-roll).
+//
+// API contract: GET/POST `/api/workspaces`, PATCH/DELETE `/api/workspaces/:id`,
+// POST `/api/workspaces/:id/move`.
+import * as React from "react";
+
+import { Network } from "lucide-react";
+import { toast } from "sonner";
+
+import {
+  Button,
+  ConfirmDialog,
+  Dialog,
+  DialogContent,
+  DialogDescription,
+  DialogFooter,
+  DialogHeader,
+  DialogTitle,
+  Input,
+  Label,
+  Select,
+  SelectContent,
+  SelectItem,
+  SelectTrigger,
+  SelectValue,
+  Skeleton,
+} from "../../ui";
+import { RbacPageBar } from "../../rbac/pages/lib/rbac-page-shell";
+import { Search, X } from "lucide-react";
+import { cn } from "../../utils";
+import {
+  countTreeNodes,
+  WorkspaceTreeView,
+} from "../components/workspace-tree-view";
+import type { WorkspaceTreeNode } from "../components/workspace-tree-view";
+import type { WorkspaceKindConfig } from "../types";
+
+export interface WorkspaceListPageProps {
+  /** Cây đã dựng sẵn ở server (`buildTree`) — trang này không tự gọi API lần đầu. */
+  initialTree: WorkspaceTreeNode[];
+  /** Nhãn cấp của app; rỗng = ẩn ô chọn cấp, mọi nút cùng một loại. */
+  kinds?: WorkspaceKindConfig[];
+  /** Nhánh người dùng được uỷ quyền quản trị (đã bung con cháu). */
+  adminIds?: string[];
+  canManageAll?: boolean;
+  canCreate?: boolean;
+  apiEndpoint?: string;
+  title?: string;
+}
+
+interface FormState {
+  mode: "create" | "edit";
+  id?: string;
+  parentId: string | null;
+  parentName?: string;
+  code: string;
+  name: string;
+  kind: string;
+}
+
+/** Nhãn con hợp lệ dưới một nút — theo `childKinds` của cấp cha. */
+function allowedChildKinds(
+  kinds: WorkspaceKindConfig[],
+  parentKind?: string,
+): WorkspaceKindConfig[] {
+  if (!parentKind) return kinds;
+  const parent = kinds.find((k) => k.key === parentKind);
+  if (!parent?.childKinds) return kinds;
+  return kinds.filter((k) => parent.childKinds?.includes(k.key));
+}
+
+function findNode(
+  nodes: WorkspaceTreeNode[],
+  id: string,
+): WorkspaceTreeNode | null {
+  for (const node of nodes) {
+    if (node.id === id) return node;
+    const hit = findNode(node.children, id);
+    if (hit) return hit;
+  }
+  return null;
+}
+
+/** Làm phẳng cây thành danh sách chọn "chuyển vào nhánh nào". */
+function flatten(
+  nodes: WorkspaceTreeNode[],
+  depth = 0,
+): { id: string; name: string; depth: number }[] {
+  return nodes.flatMap((node) => [
+    { id: node.id, name: node.name, depth },
+    ...flatten(node.children, depth + 1),
+  ]);
+}
+
+/** Nút và toàn bộ con cháu — không cho chuyển một nhánh vào chính nó. */
+function subtreeIds(node: WorkspaceTreeNode): string[] {
+  return [node.id, ...node.children.flatMap(subtreeIds)];
+}
+
+export function WorkspaceListPage({
+  initialTree,
+  kinds = [],
+  adminIds,
+  canManageAll = false,
+  canCreate = false,
+  apiEndpoint = "/api/workspaces",
+  title = "Không gian làm việc",
+}: WorkspaceListPageProps) {
+  const [tree, setTree] = React.useState(initialTree);
+  const [search, setSearch] = React.useState("");
+  const [busy, setBusy] = React.useState(false);
+  const [form, setForm] = React.useState<FormState | null>(null);
+  const [moving, setMoving] = React.useState<WorkspaceTreeNode | null>(null);
+  const [moveTarget, setMoveTarget] = React.useState<string>("");
+  const [deactivating, setDeactivating] =
+    React.useState<WorkspaceTreeNode | null>(null);
+
+  const total = React.useMemo(() => countTreeNodes(tree), [tree]);
+  const flat = React.useMemo(() => flatten(tree), [tree]);
+
+  const reload = React.useCallback(async () => {
+    const res = await fetch(apiEndpoint, { cache: "no-store" });
+    if (!res.ok) {
+      toast.error("Không tải lại được danh sách không gian.");
+      return;
+    }
+    setTree(await res.json());
+  }, [apiEndpoint]);
+
+  /** Mọi lời gọi ghi đi qua đây để thông báo lỗi của server tới thẳng người dùng. */
+  const submit = React.useCallback(
+    async (url: string, method: string, body?: unknown) => {
+      setBusy(true);
+      try {
+        const res = await fetch(url, {
+          method,
+          headers: { "Content-Type": "application/json" },
+          body: body ? JSON.stringify(body) : undefined,
+        });
+        if (!res.ok) {
+          const payload = await res.json().catch(() => null);
+          throw new Error(payload?.error ?? "Thao tác không thành công.");
+        }
+        await reload();
+        return true;
+      } catch (error) {
+        toast.error(
+          error instanceof Error ? error.message : "Thao tác không thành công.",
+        );
+        return false;
+      } finally {
+        setBusy(false);
+      }
+    },
+    [reload],
+  );
+
+  const openCreate = (parent?: WorkspaceTreeNode) => {
+    const options = allowedChildKinds(kinds, parent?.kind);
+    setForm({
+      mode: "create",
+      parentId: parent?.id ?? null,
+      parentName: parent?.name,
+      code: "",
+      name: "",
+      kind: options[0]?.key ?? kinds[0]?.key ?? "unit",
+    });
+  };
+
+  const saveForm = async () => {
+    if (!form) return;
+    if (!form.code.trim() || !form.name.trim()) {
+      toast.error("Mã và tên không được để trống.");
+      return;
+    }
+    const ok =
+      form.mode === "create"
+        ? await submit(apiEndpoint, "POST", {
+            code: form.code.trim(),
+            name: form.name.trim(),
+            kind: form.kind,
+            parentId: form.parentId,
+          })
+        : await submit(`${apiEndpoint}/${form.id}`, "PATCH", {
+            code: form.code.trim(),
+            name: form.name.trim(),
+            kind: form.kind,
+          });
+    if (ok) {
+      toast.success(form.mode === "create" ? "Đã thêm." : "Đã cập nhật.");
+      setForm(null);
+    }
+  };
+
+  const confirmMove = async () => {
+    if (!moving) return;
+    const ok = await submit(`${apiEndpoint}/${moving.id}/move`, "POST", {
+      newParentId: moveTarget === "__root__" ? null : moveTarget,
+    });
+    if (ok) {
+      toast.success("Đã chuyển nhánh.");
+      setMoving(null);
+    }
+  };
+
+  const confirmDeactivate = async () => {
+    if (!deactivating) return;
+    const ok = await submit(`${apiEndpoint}/${deactivating.id}`, "DELETE");
+    if (ok) {
+      toast.success("Đã ngừng hoạt động cả nhánh.");
+      setDeactivating(null);
+    }
+  };
+
+  // Không cho chuyển vào chính mình hay con cháu — chặn ở dropdown luôn cho gọn.
+  const moveOptions = React.useMemo(() => {
+    if (!moving) return [];
+    const banned = new Set(subtreeIds(moving));
+    return flat.filter((item) => !banned.has(item.id));
+  }, [moving, flat]);
+
+  const kindOptions = React.useMemo(() => {
+    if (!form) return kinds;
+    const parent = form.parentId ? findNode(tree, form.parentId) : null;
+    return allowedChildKinds(kinds, parent?.kind);
+  }, [form, kinds, tree]);
+
+  return (
+    <div className="space-y-3">
+      <RbacPageBar
+        icon={<Network className="h-5 w-5 text-primary-foreground" />}
+        title={title}
+        subtitle={`${total} không gian`}
+      >
+        {canCreate ? (
+          <Button size="sm" onClick={() => openCreate()} disabled={busy}>
+            Thêm không gian gốc
+          </Button>
+        ) : null}
+      </RbacPageBar>
+
+      <div className="overflow-hidden rounded-xl border border-border bg-card lg:mx-3">
+        <div className="sticky top-0 z-20 flex flex-wrap items-center gap-2 border-b border-border bg-card/95 px-3 py-2 backdrop-blur sm:px-4">
+          <div className="relative min-w-[140px] flex-1 sm:max-w-72">
+            <Search className="pointer-events-none absolute left-2.5 top-2 h-3.5 w-3.5 text-muted-foreground" />
+            <Input
+              placeholder="Tìm theo tên hoặc mã…"
+              className="h-8 w-full rounded-md border border-border bg-card pl-8 pr-8 text-sm"
+              value={search}
+              onChange={(e) => setSearch(e.target.value)}
+            />
+            {search ? (
+              <button
+                type="button"
+                onClick={() => setSearch("")}
+                className="absolute right-2.5 top-1/2 -translate-y-1/2 text-muted-foreground hover:text-foreground"
+                title="Xóa tìm kiếm"
+              >
+                <X className="h-3.5 w-3.5" />
+              </button>
+            ) : null}
+          </div>
+          <p className="ml-auto whitespace-nowrap text-xs text-muted-foreground">
+            <span className="font-semibold tabular-nums text-foreground">
+              {total}
+            </span>{" "}
+            không gian
+          </p>
+        </div>
+
+        <div className={cn(busy && "pointer-events-none opacity-60")}>
+          {busy && tree.length === 0 ? (
+            <div className="space-y-2 p-4">
+              <Skeleton className="h-6 w-full" />
+              <Skeleton className="h-6 w-5/6" />
+            </div>
+          ) : (
+            <WorkspaceTreeView
+              nodes={tree}
+              adminIds={adminIds}
+              canManageAll={canManageAll}
+              search={search}
+              onAddChild={canCreate ? openCreate : undefined}
+              onEdit={(node) =>
+                setForm({
+                  mode: "edit",
+                  id: node.id,
+                  parentId: null,
+                  code: node.code,
+                  name: node.name,
+                  kind: node.kind ?? kinds[0]?.key ?? "unit",
+                })
+              }
+              onMove={(node) => {
+                setMoving(node);
+                setMoveTarget("__root__");
+              }}
+              onDeactivate={setDeactivating}
+            />
+          )}
+        </div>
+      </div>
+
+      <Dialog
+        open={form !== null}
+        onOpenChange={(open) => !open && setForm(null)}
+      >
+        <DialogContent>
+          <DialogHeader>
+            <DialogTitle>
+              {form?.mode === "create" ? "Thêm không gian" : "Sửa không gian"}
+            </DialogTitle>
+            {form?.parentName ? (
+              <DialogDescription>
+                Đặt dưới <strong>{form.parentName}</strong>
+              </DialogDescription>
+            ) : null}
+          </DialogHeader>
+          <div className="space-y-3">
+            <div className="space-y-1.5">
+              <Label htmlFor="ws-code">Mã</Label>
+              <Input
+                id="ws-code"
+                value={form?.code ?? ""}
+                onChange={(e) =>
+                  setForm((f) => (f ? { ...f, code: e.target.value } : f))
+                }
+                placeholder="VD: SPA-QC"
+              />
+            </div>
+            <div className="space-y-1.5">
+              <Label htmlFor="ws-name">Tên</Label>
+              <Input
+                id="ws-name"
+                value={form?.name ?? ""}
+                onChange={(e) =>
+                  setForm((f) => (f ? { ...f, name: e.target.value } : f))
+                }
+                placeholder="VD: Phòng QC"
+              />
+            </div>
+            {kindOptions.length > 1 ? (
+              <div className="space-y-1.5">
+                <Label htmlFor="ws-kind">Cấp</Label>
+                <Select
+                  value={form?.kind}
+                  onValueChange={(v) =>
+                    setForm((f) => (f ? { ...f, kind: v } : f))
+                  }
+                >
+                  <SelectTrigger id="ws-kind">
+                    <SelectValue placeholder="Chọn cấp" />
+                  </SelectTrigger>
+                  <SelectContent>
+                    {kindOptions.map((kind) => (
+                      <SelectItem key={kind.key} value={kind.key}>
+                        {kind.label}
+                      </SelectItem>
+                    ))}
+                  </SelectContent>
+                </Select>
+              </div>
+            ) : null}
+          </div>
+          <DialogFooter>
+            <Button variant="outline" onClick={() => setForm(null)}>
+              Hủy
+            </Button>
+            <Button onClick={saveForm} disabled={busy}>
+              Lưu
+            </Button>
+          </DialogFooter>
+        </DialogContent>
+      </Dialog>
+
+      <Dialog
+        open={moving !== null}
+        onOpenChange={(open) => !open && setMoving(null)}
+      >
+        <DialogContent>
+          <DialogHeader>
+            <DialogTitle>Chuyển nhánh</DialogTitle>
+            <DialogDescription>
+              Chuyển <strong>{moving?.name}</strong> cùng toàn bộ cấp dưới sang
+              nhánh khác.
+            </DialogDescription>
+          </DialogHeader>
+          <Select value={moveTarget} onValueChange={setMoveTarget}>
+            <SelectTrigger>
+              <SelectValue placeholder="Chọn nhánh cha" />
+            </SelectTrigger>
+            <SelectContent>
+              <SelectItem value="__root__">— Cấp cao nhất —</SelectItem>
+              {moveOptions.map((item) => (
+                <SelectItem key={item.id} value={item.id}>
+                  {" ".repeat(item.depth * 2)}
+                  {item.name}
+                </SelectItem>
+              ))}
+            </SelectContent>
+          </Select>
+          <DialogFooter>
+            <Button variant="outline" onClick={() => setMoving(null)}>
+              Hủy
+            </Button>
+            <Button onClick={confirmMove} disabled={busy}>
+              Chuyển
+            </Button>
+          </DialogFooter>
+        </DialogContent>
+      </Dialog>
+
+      <ConfirmDialog
+        open={deactivating !== null}
+        onOpenChange={(open) => !open && setDeactivating(null)}
+        title="Ngừng hoạt động không gian?"
+        description={`"${deactivating?.name}" và toàn bộ cấp dưới sẽ ngừng hoạt động. Dữ liệu cũ giữ nguyên, không bị xóa.`}
+        confirmText="Ngừng hoạt động"
+        variant="destructive"
+        onConfirm={confirmDeactivate}
+      />
+    </div>
+  );
+}

package/src/workspace/route-handlers.ts

@@ -0,0 +1,274 @@
+/* eslint-disable @typescript-eslint/no-explicit-any */
+// Route-handler cho `/api/workspaces` — nơi phạm vi được cưỡng chế THẬT.
+//
+// Trang cây ở `pages/workspace-list-page.tsx` đã ẩn nút ở nhánh không quản trị
+// được, nhưng ẩn nút không phải là hàng rào: ai cũng gọi thẳng API được. Entra
+// từng thừa nhận đúng lỗi này (UI lọc, API thì không) — nên mọi kiểm tra ở đây
+// lặp lại độc lập với UI, không tin gì từ client.
+//
+// Cách dùng (phía app):
+//   // src/app/api/workspaces/route.ts
+//   import { createWorkspaceCollectionHandlers } from "@goerp/core/workspace/route-handlers"
+//   export const { GET, POST } = createWorkspaceCollectionHandlers({
+//     prisma, getSession, canManageAll: (s) => checkPermission(s, "workspace", "update"),
+//   })
+
+import { getWorkspaceScope, isWorkspaceAdmin } from "./scope";
+import {
+  buildTree,
+  createWorkspace,
+  deactivateSubtree,
+  moveWorkspace,
+} from "./service";
+import { WorkspaceTreeError } from "./tree";
+import type { WorkspaceScope } from "./types";
+
+type MaybePromise<T> = T | Promise<T>;
+
+export interface WorkspaceHandlerDeps {
+  prisma: any;
+  getSession: () => MaybePromise<any | null>;
+  /**
+   * Quyền quản trị toàn hệ thống. Bỏ trống ⇒ suy từ `scope.canViewAll`, tức là
+   * "xem được tất" cũng "sửa được tất" — chỉ đúng với app một tổ chức.
+   */
+  canManageAll?: (session: any) => MaybePromise<boolean>;
+  /** Gate đọc; bỏ trống = ai đăng nhập cũng đọc được cây (trong phạm vi của mình). */
+  canRead?: (session: any) => MaybePromise<boolean>;
+  onError?: (error: unknown, req: Request) => Response | Promise<Response>;
+}
+
+const json = (data: unknown, status = 200) =>
+  new Response(JSON.stringify(data), {
+    status,
+    headers: { "content-type": "application/json" },
+  });
+
+/** Lỗi cây là lỗi NGHIỆP VỤ (chu trình, quá sâu, sai cấp) → 400 kèm câu nguyên văn. */
+function failure(error: unknown, req: Request, deps: WorkspaceHandlerDeps) {
+  if (error instanceof WorkspaceTreeError) {
+    return json({ error: error.message }, 400);
+  }
+  return deps.onError
+    ? deps.onError(error, req)
+    : json({ error: "Internal error" }, 500);
+}
+
+interface Actor {
+  session: any;
+  scope: WorkspaceScope;
+  manageAll: boolean;
+}
+
+async function resolveActor(
+  deps: WorkspaceHandlerDeps,
+): Promise<Actor | Response> {
+  const session = await deps.getSession();
+  if (!session) return json({ error: "Unauthorized" }, 401);
+  if (deps.canRead && !(await deps.canRead(session))) {
+    return json({ error: "Forbidden" }, 403);
+  }
+  const scope = await getWorkspaceScope(session);
+  const manageAll = deps.canManageAll
+    ? await deps.canManageAll(session)
+    : scope.canViewAll;
+  return { session, scope, manageAll };
+}
+
+/** Ghi được nút này không? Toàn quyền, hoặc là quản trị viên của đúng nhánh đó. */
+function assertWritable(actor: Actor, workspaceId: string): Response | null {
+  if (actor.manageAll) return null;
+  if (isWorkspaceAdmin(actor.scope, workspaceId)) return null;
+  return json({ error: "Không gian này ngoài phạm vi quản trị của bạn." }, 403);
+}
+
+/**
+ * Cắt `path` / `parentId` trước khi trả về client.
+ *
+ * Cây đã dựng xong ở server nên UI không cần hai trường này, mà `path` là chuỗi
+ * `/{tổ-tiên}/…/{chính-nó}/` — gửi nguyên đi là lộ id của những nút cha mà người
+ * này không được thấy. Ít thông tin, nhưng vẫn là thông tin về cấu trúc tổ chức
+ * của tenant khác, và trường thừa thì không có lý do gì để rò.
+ */
+function toClient(nodes: any[]): any[] {
+  return nodes.map(({ path: _path, parentId: _parentId, ...node }) => ({
+    ...node,
+    children: toClient(node.children ?? []),
+  }));
+}
+
+/** GET (cây) + POST (tạo nút) cho `/api/workspaces`. */
+export function createWorkspaceCollectionHandlers(deps: WorkspaceHandlerDeps) {
+  async function GET(req: Request) {
+    try {
+      const actor = await resolveActor(deps);
+      if (actor instanceof Response) return actor;
+
+      const rows = await deps.prisma.workspace.findMany({
+        orderBy: { path: "asc" },
+        select: {
+          id: true,
+          code: true,
+          name: true,
+          kind: true,
+          parentId: true,
+          path: true,
+          depth: true,
+          isActive: true,
+          _count: { select: { members: true } },
+        },
+      });
+
+      // Lọc ở SERVER, không ở trang. Người dùng chỉ nhận về nhánh mình thấy được
+      // — nếu không thì cây của mọi khách hàng khác nằm sẵn trong payload HTML.
+      const allowed = actor.scope.canViewAll
+        ? null
+        : new Set(actor.scope.allowedIds ?? []);
+      const visible = allowed
+        ? rows.filter((r: any) => allowed.has(r.id))
+        : rows;
+
+      const nodes = visible.map((r: any) => ({
+        id: r.id,
+        code: r.code,
+        name: r.name,
+        kind: r.kind,
+        parentId: r.parentId,
+        path: r.path,
+        isActive: r.isActive,
+        memberCount: r._count?.members ?? 0,
+      }));
+      return json(toClient(buildTree(nodes)));
+    } catch (error) {
+      return failure(error, req, deps);
+    }
+  }
+
+  async function POST(req: Request) {
+    try {
+      const actor = await resolveActor(deps);
+      if (actor instanceof Response) return actor;
+
+      const body = await req.json();
+      const parentId: string | null = body?.parentId ?? null;
+
+      // Tạo nút GỐC là việc của toàn quyền: nút gốc nằm ngoài mọi nhánh nên
+      // không ai "quản trị" nó, và cho phép thì admin khách hàng tự dựng được
+      // một tổ chức song song bên cạnh tổ chức của mình.
+      if (!parentId) {
+        if (!actor.manageAll) {
+          return json(
+            { error: "Chỉ quản trị toàn hệ thống tạo được không gian gốc." },
+            403,
+          );
+        }
+      } else {
+        const denied = assertWritable(actor, parentId);
+        if (denied) return denied;
+      }
+
+      const created = await createWorkspace(deps.prisma, {
+        code: String(body?.code ?? "").trim(),
+        name: String(body?.name ?? "").trim(),
+        kind: body?.kind,
+        parentId,
+      });
+      return json(created, 201);
+    } catch (error) {
+      return failure(error, req, deps);
+    }
+  }
+
+  return { GET, POST };
+}
+
+/** PATCH (sửa) + DELETE (ngừng hoạt động cả nhánh) cho `/api/workspaces/[id]`. */
+export function createWorkspaceItemHandlers(deps: WorkspaceHandlerDeps) {
+  type Ctx = { params: Promise<{ id: string }> | { id: string } };
+
+  const readId = async (ctx: Ctx) => (await ctx.params).id;
+
+  async function PATCH(req: Request, ctx: Ctx) {
+    try {
+      const actor = await resolveActor(deps);
+      if (actor instanceof Response) return actor;
+      const id = await readId(ctx);
+      const denied = assertWritable(actor, id);
+      if (denied) return denied;
+
+      const body = await req.json();
+      const data: Record<string, unknown> = {};
+      if (body?.code !== undefined) data.code = String(body.code).trim();
+      if (body?.name !== undefined) data.name = String(body.name).trim();
+      if (body?.kind !== undefined) data.kind = body.kind;
+      if (body?.settings !== undefined) data.settings = body.settings;
+      // `path` / `depth` / `parentId` cố ý KHÔNG nhận từ body: sửa tay là cách
+      // làm hỏng cây mà UI vẫn trông đúng. Đổi cha đi qua `/move`.
+
+      const updated = await deps.prisma.workspace.update({
+        where: { id },
+        data,
+      });
+      return json(updated);
+    } catch (error) {
+      return failure(error, req, deps);
+    }
+  }
+
+  async function DELETE(req: Request, ctx: Ctx) {
+    try {
+      const actor = await resolveActor(deps);
+      if (actor instanceof Response) return actor;
+      const id = await readId(ctx);
+      const denied = assertWritable(actor, id);
+      if (denied) return denied;
+
+      // Soft-delete: xoá cứng thì phạm vi của chứng từ cũ thành mồ côi.
+      const count = await deactivateSubtree(deps.prisma, id);
+      return json({ deactivated: count });
+    } catch (error) {
+      return failure(error, req, deps);
+    }
+  }
+
+  return { PATCH, DELETE };
+}
+
+/** POST cho `/api/workspaces/[id]/move`. */
+export function createWorkspaceMoveHandler(deps: WorkspaceHandlerDeps) {
+  type Ctx = { params: Promise<{ id: string }> | { id: string } };
+
+  async function POST(req: Request, ctx: Ctx) {
+    try {
+      const actor = await resolveActor(deps);
+      if (actor instanceof Response) return actor;
+      const { id } = await ctx.params;
+
+      const denied = assertWritable(actor, id);
+      if (denied) return denied;
+
+      const body = await req.json();
+      const newParentId: string | null = body?.newParentId ?? null;
+
+      // Phải quản trị được CẢ hai đầu. Chỉ kiểm nút bị chuyển thì admin nhánh
+      // đẩy được nhánh của mình sang dưới tổ chức khác — hoặc lên gốc, thành
+      // một tổ chức độc lập ngang hàng với tổ chức mẹ.
+      if (newParentId) {
+        const deniedTarget = assertWritable(actor, newParentId);
+        if (deniedTarget) return deniedTarget;
+      } else if (!actor.manageAll) {
+        return json(
+          { error: "Chỉ quản trị toàn hệ thống chuyển được lên cấp cao nhất." },
+          403,
+        );
+      }
+
+      const moved = await moveWorkspace(deps.prisma, { id, newParentId });
+      return json({ updated: moved });
+    } catch (error) {
+      return failure(error, req, deps);
+    }
+  }
+
+  return { POST };
+}