@goplusvn/core 0.1.75 → 0.1.77

package/src/guardrails/rules/one-door.ts

@@ -70,6 +70,29 @@ export const oneDoorRules: GuardrailRule[] = [
       ctx.files.some((f) => /\b(getBranchScope|scopedBranchWhere)\s*\(/.test(ctx.readCode(f))),
   }),
 
+  singleDoorImport({
+    id: "one-door/workspace",
+    title: "chỉ file hạ tầng được import @goerp/core/workspace",
+    why:
+      "Cùng một engine, cùng một AsyncLocalStorage với branch-scope — chỉ tổng " +
+      "quát hơn (chi nhánh / đơn vị / phòng ban là một cây). Import thẳng lấy " +
+      "được hàm nhưng bỏ lỡ `configureWorkspaces()`, và ở module này 'bỏ lỡ' " +
+      "nghĩa là rò dữ liệu chéo không gian — im lặng, không exception.",
+    fix: "Import qua cửa của app (`@/lib/workspace` hoặc `@/lib/branch-scope`); composition root phải gọi `configureWorkspaces`.",
+    pattern: /from\s+["']@goerp\/core\/workspace["']/,
+    doors: (ctx) => ctx.options.doors.workspace,
+    mustConfigure: /configureWorkspaces\s*[<(]/,
+    mustConfigureName: "configureWorkspaces",
+    // Lớp 2 (`createScopeGuardExtension`) và các hàm cây thuần không cần
+    // singleton; chỉ lớp 1 mới cần, và thiếu thì nó NÉM.
+    mustConfigureWhen: (ctx) =>
+      ctx.files.some((f) =>
+        /\b(getWorkspaceScope|scopedWhere|scopeLevelWhere|workspaceScopeField)\s*\(/.test(
+          ctx.readCode(f),
+        ),
+      ),
+  }),
+
   forbidPattern({
     id: "one-door/export-no-window-open",
     title: "không window.open(...) tới endpoint /export",

package/src/guardrails/scanner.ts

@@ -79,6 +79,15 @@ export function resolveOptions(
         "lib/rbac/branch-scope.ts",
         "lib/prisma.ts",
       ],
+      // `lib/workspace.ts` đứng trước để app nào tách file riêng thì phép kiểm
+      // "cửa duy nhất phải gọi configureWorkspaces" nhìn đúng file đó.
+      workspace: options.doors?.workspace ??
+        options.doors?.branchScope ?? [
+          "lib/workspace.ts",
+          "lib/branch-scope.ts",
+          "lib/rbac/branch-scope.ts",
+          "lib/prisma.ts",
+        ],
     },
   };
 }

package/src/guardrails/types.ts

@@ -137,6 +137,12 @@ export interface GuardrailOptions {
     storage?: string[];
     /** File hạ tầng được import `@goerp/core/branch-scope`. */
     branchScope?: string[];
+    /**
+     * File hạ tầng được import `@goerp/core/workspace`. Mặc định gồm cả các cửa
+     * của `branchScope` — hai module chạy chung MỘT AsyncLocalStorage, nên app
+     * cắm chúng ở cùng một composition root là chuyện thường.
+     */
+    workspace?: string[];
   };
 }
 
@@ -149,6 +155,7 @@ export type ResolvedGuardrailOptions = GuardrailOptions &
       prisma: string;
       storage: string[];
       branchScope: string[];
+      workspace: string[];
     };
   };
 

package/src/user/__tests__/user-service-scope.test.ts

@@ -0,0 +1,148 @@
+import { beforeEach, describe, expect, it } from "vitest";
+
+import {
+  configureWorkspaces,
+  createWorkspaceScope,
+  resetWorkspaceConfig,
+} from "../../workspace/scope";
+import {
+  getUsersData,
+  getUserStats,
+  getUsersWithDetails,
+} from "../user-service";
+import type { UserPrismaClient } from "../user-service";
+
+/**
+ * Lỗ hổng đang được vá ở đây: danh sách người dùng của core dựng `where` từ
+ * search/status/roleCode và KHÔNG có điều kiện phạm vi nào — admin nhánh của
+ * khách hàng A nhìn thấy toàn bộ người dùng của khách hàng B.
+ *
+ * Test soi thẳng `where` gửi xuống Prisma chứ không soi kết quả: kết quả là do
+ * DB giả trả, còn `where` mới là thứ chạy trên DB thật.
+ */
+function spyDb() {
+  // eslint-disable-next-line @typescript-eslint/no-explicit-any
+  const calls: { fn: string; where: any }[] = [];
+  const db = {
+    user: {
+      // eslint-disable-next-line @typescript-eslint/no-explicit-any
+      findMany: async (args: any) => {
+        calls.push({ fn: "user.findMany", where: args.where });
+        return [];
+      },
+      // eslint-disable-next-line @typescript-eslint/no-explicit-any
+      count: async (args?: any) => {
+        calls.push({ fn: "user.count", where: args?.where });
+        return 0;
+      },
+    },
+    role: { count: async () => 0, findMany: async () => [] },
+    department: { findMany: async () => [] },
+    // eslint-disable-next-line @typescript-eslint/no-explicit-any
+    $transaction: async (args: any) => args,
+  } as unknown as UserPrismaClient;
+  return { db, calls };
+}
+
+const SCOPE_WHERE = {
+  userBranches: { some: { branchId: { in: ["spa", "spa-qc"] } } },
+};
+
+function scopeOfSpa() {
+  return createWorkspaceScope({
+    canViewAll: false,
+    rootIds: ["spa"],
+    allowedIds: ["spa", "spa-qc"],
+    adminIds: ["spa"],
+  });
+}
+
+beforeEach(() => {
+  resetWorkspaceConfig();
+  configureWorkspaces({
+    getUserId: () => undefined,
+    canViewAll: () => false,
+    membershipRelation: "userBranches",
+    membershipField: "branchId",
+  });
+});
+
+describe("getUsersData", () => {
+  it("không truyền scope ⇒ where y hệt hôm nay (L2: additive)", async () => {
+    const { db, calls } = spyDb();
+    await getUsersData(db, { search: "an" });
+    expect(JSON.stringify(calls[0].where)).not.toContain("userBranches");
+  });
+
+  it("truyền scope ⇒ điều kiện phạm vi vào CẢ findMany lẫn count", async () => {
+    const { db, calls } = spyDb();
+    await getUsersData(db, { scope: scopeOfSpa() });
+    const find = calls.find((c) => c.fn === "user.findMany")!;
+    const count = calls.find((c) => c.fn === "user.count")!;
+    expect(find.where.AND).toContainEqual(SCOPE_WHERE);
+    expect(count.where.AND).toContainEqual(SCOPE_WHERE);
+  });
+
+  it("phạm vi cộng THÊM vào bộ lọc, không thay thế", async () => {
+    const { db, calls } = spyDb();
+    await getUsersData(db, {
+      search: "an",
+      status: "active",
+      scope: scopeOfSpa(),
+    });
+    expect(calls[0].where.AND).toHaveLength(3);
+    expect(calls[0].where.AND).toContainEqual(SCOPE_WHERE);
+  });
+
+  it("xem được tất ⇒ không thêm điều kiện", async () => {
+    const { db, calls } = spyDb();
+    await getUsersData(db, {
+      scope: createWorkspaceScope({ canViewAll: true }),
+    });
+    expect(JSON.stringify(calls[0].where)).not.toContain("userBranches");
+  });
+
+  it("adminOnly thu hẹp về nhánh được uỷ quyền", async () => {
+    const { db, calls } = spyDb();
+    await getUsersData(db, { scope: scopeOfSpa(), adminOnly: true });
+    expect(calls[0].where.AND).toContainEqual({
+      userBranches: { some: { branchId: { in: ["spa"] } } },
+    });
+  });
+});
+
+describe("getUsersWithDetails — kể cả các ô thống kê", () => {
+  it("MỌI truy vấn đếm đều mang phạm vi, không sót ô nào", async () => {
+    const { db, calls } = spyDb();
+    await getUsersWithDetails(db, { scope: scopeOfSpa() });
+    const userQueries = calls.filter((c) => c.fn.startsWith("user."));
+    expect(userQueries.length).toBeGreaterThan(3);
+    for (const call of userQueries) {
+      expect(JSON.stringify(call.where)).toContain("userBranches");
+    }
+  });
+
+  it("không có scope thì không truy vấn nào bị thêm điều kiện", async () => {
+    const { db, calls } = spyDb();
+    await getUsersWithDetails(db, {});
+    for (const call of calls) {
+      expect(JSON.stringify(call.where ?? {})).not.toContain("userBranches");
+    }
+  });
+});
+
+describe("getUserStats", () => {
+  it("đếm trong phạm vi khi được truyền scope", async () => {
+    const { db, calls } = spyDb();
+    await getUserStats(db, scopeOfSpa());
+    for (const call of calls.filter((c) => c.fn === "user.count")) {
+      expect(JSON.stringify(call.where)).toContain("userBranches");
+    }
+  });
+
+  it("không scope ⇒ đếm toàn hệ thống như cũ", async () => {
+    const { db, calls } = spyDb();
+    await getUserStats(db);
+    expect(calls.find((c) => c.fn === "user.count")!.where).toEqual({});
+  });
+});

package/src/user/components/unified-profile-dialog.tsx

@@ -52,6 +52,25 @@ interface UnifiedProfileDialogProps {
   onSaveProfile?: (data: any, id?: string) => Promise<void>;
   onSaveRoles?: (userId: string, roleCodes: string[]) => Promise<void>;
   onSavePassword?: (userId: string, password: string) => Promise<void>;
+  /**
+   * Bật ô chọn KHÔNG GIAN LÀM VIỆC bằng cách trỏ tới API cây không gian
+   * (thường `/api/workspaces`). Bỏ trống ⇒ không fetch, không render, hộp thoại
+   * y hệt trước — app chưa bật tính năng workspace (vinhhoa) không đổi một pixel.
+   */
+  workspaceApiUrl?: string;
+  /** Nhãn theo nghiệp vụ của app: "Đơn vị", "Tổ chức", "Chi nhánh"… */
+  workspaceLabel?: string;
+}
+
+/** Cây → danh sách phẳng, giữ thứ tự duyệt để dòng con nằm ngay dưới dòng cha. */
+function flattenWorkspaceTree(
+  nodes: any[],
+  depth = 0,
+): { id: string; name: string; depth: number }[] {
+  return (nodes ?? []).flatMap((node) => [
+    { id: node.id, name: node.name, depth },
+    ...flattenWorkspaceTree(node.children ?? [], depth + 1),
+  ]);
 }
 
 const fetcher = async (url: string) => {
@@ -87,6 +106,8 @@ export function UnifiedProfileDialog({
   onSaveProfile,
   onSaveRoles,
   onSavePassword,
+  workspaceApiUrl,
+  workspaceLabel = "Không gian làm việc",
 }: UnifiedProfileDialogProps) {
   // -- Data Fetching --
   const { data: departments } = useSWR<{ id: string; name: string }[]>(
@@ -109,6 +130,16 @@ export function UnifiedProfileDialog({
     "/api/branches",
     fetcher,
   );
+  // Key `null` ⇒ SWR không gọi gì cả. App chưa bật workspace không phát sinh
+  // thêm một request nào.
+  const { data: workspaceTree } = useSWR<any[]>(
+    workspaceApiUrl ?? null,
+    fetcher,
+  );
+  const workspaces = useMemo(
+    () => flattenWorkspaceTree(workspaceTree ?? []),
+    [workspaceTree],
+  );
 
   // -- State --
   const [activeSection, setActiveSection] = useState("general");
@@ -121,6 +152,10 @@ export function UnifiedProfileDialog({
   const [selectedRoles, setSelectedRoles] = useState<string[]>([]);
   const [selectedBranches, setSelectedBranches] = useState<string[]>([]);
   const [defaultBranchId, setDefaultBranchId] = useState<string | null>(null);
+  const [selectedWorkspaces, setSelectedWorkspaces] = useState<string[]>([]);
+  const [defaultWorkspaceId, setDefaultWorkspaceId] = useState<string | null>(
+    null,
+  );
   const [passwordData, setPasswordData] = useState({
     password: "",
     confirm: "",
@@ -193,6 +228,8 @@ export function UnifiedProfileDialog({
         setSelectedRoles([]);
         setSelectedBranches([]);
         setDefaultBranchId(null);
+        setSelectedWorkspaces([]);
+        setDefaultWorkspaceId(null);
         setPasswordData({ password: "", confirm: "" });
         setEnableAccount(false);
       } else {
@@ -226,6 +263,10 @@ export function UnifiedProfileDialog({
         setDefaultBranchId(
           d.defaultBranchId || (d.branchIds && d.branchIds[0]) || null,
         );
+        setSelectedWorkspaces(d.workspaceIds || []);
+        setDefaultWorkspaceId(
+          d.defaultWorkspaceId || (d.workspaceIds && d.workspaceIds[0]) || null,
+        );
         setPasswordData({ password: "", confirm: "" });
         // Enable account if user has roles or if it's not a customer (employees always have accounts?)
         // For now, if roles exist, we assume account is enabled.
@@ -245,6 +286,38 @@ export function UnifiedProfileDialog({
     }
   }, [open, branches, mode, data]);
 
+  // Chỉ có đúng một không gian để chọn thì chọn sẵn — cùng cách cư xử với ô chi
+  // nhánh ngay bên cạnh, đỡ một cú bấm bắt buộc mà không có lựa chọn nào khác.
+  useEffect(() => {
+    if (!open || !workspaceApiUrl || workspaces.length !== 1) return;
+    if (mode === "create" && selectedWorkspaces.length === 0) {
+      setSelectedWorkspaces([workspaces[0].id]);
+      setDefaultWorkspaceId(workspaces[0].id);
+    }
+    // eslint-disable-next-line react-hooks/exhaustive-deps
+  }, [open, workspaces, mode, workspaceApiUrl]);
+
+  // -- Workspace selection helpers — giữ đúng khuôn của cặp hàm chi nhánh dưới đây.
+  const toggleWorkspace = (workspaceId: string) => {
+    if (selectedWorkspaces.includes(workspaceId)) {
+      const next = selectedWorkspaces.filter((id) => id !== workspaceId);
+      setSelectedWorkspaces(next);
+      if (defaultWorkspaceId === workspaceId) {
+        setDefaultWorkspaceId(next[0] ?? null);
+      }
+    } else {
+      setSelectedWorkspaces([...selectedWorkspaces, workspaceId]);
+      if (!defaultWorkspaceId) setDefaultWorkspaceId(workspaceId);
+    }
+  };
+
+  const markDefaultWorkspace = (workspaceId: string) => {
+    if (!selectedWorkspaces.includes(workspaceId)) {
+      setSelectedWorkspaces((prev) => [...prev, workspaceId]);
+    }
+    setDefaultWorkspaceId(workspaceId);
+  };
+
   // -- Branch selection helpers --
   // Toggle a branch's membership while keeping a valid default branch.
   const toggleBranch = (branchId: string) => {
@@ -311,6 +384,16 @@ export function UnifiedProfileDialog({
             : (selectedBranches[0] ?? null),
       };
 
+      // Chỉ gửi khi app bật tính năng — gửi mảng rỗng lên app chưa bật là mời
+      // route xoá sạch membership của người đang sửa.
+      if (workspaceApiUrl) {
+        payload.workspaceIds = selectedWorkspaces;
+        payload.defaultWorkspaceId =
+          defaultWorkspaceId && selectedWorkspaces.includes(defaultWorkspaceId)
+            ? defaultWorkspaceId
+            : (selectedWorkspaces[0] ?? null);
+      }
+
       // Handle Password for Customer
       if (isCustomer) {
         if (enableAccount) {
@@ -943,6 +1026,83 @@ export function UnifiedProfileDialog({
                           })}
                         </div>
                       </div>
+
+                      {workspaceApiUrl ? (
+                        <div className="col-span-2 space-y-3 pt-2">
+                          <div className="flex items-center justify-between gap-3 flex-wrap">
+                            <Label className="text-[13px] font-medium text-foreground">
+                              {workspaceLabel}
+                            </Label>
+                            <span className="inline-flex items-center gap-1 text-[12px] text-muted-foreground">
+                              <Star className="h-3 w-3" />
+                              Đánh dấu một mục mặc định
+                            </span>
+                          </div>
+                          {workspaces.length === 0 ? (
+                            // Rỗng ở đây gần như luôn là "ngoài phạm vi của bạn",
+                            // không phải "hệ thống chưa có" — nói rõ để khỏi
+                            // tưởng mất dữ liệu.
+                            <p className="text-[13px] text-muted-foreground">
+                              Không có mục nào trong phạm vi của bạn.
+                            </p>
+                          ) : (
+                            <div className="grid grid-cols-1 sm:grid-cols-2 gap-3">
+                              {workspaces.map((ws) => {
+                                const isSelected = selectedWorkspaces.includes(
+                                  ws.id,
+                                );
+                                const isDefault =
+                                  isSelected && defaultWorkspaceId === ws.id;
+                                return (
+                                  <div
+                                    key={ws.id}
+                                    className={cn(
+                                      "flex items-center gap-3 p-3 rounded-md border cursor-pointer hover:bg-accent/50 transition-colors",
+                                      isSelected
+                                        ? "border-primary bg-primary/5"
+                                        : "bg-background border-border",
+                                    )}
+                                    onClick={() => toggleWorkspace(ws.id)}
+                                  >
+                                    <Checkbox
+                                      checked={isSelected}
+                                      className="data-[state=checked]:bg-primary data-[state=checked]:border-primary"
+                                    />
+                                    <span
+                                      className="flex-1 text-sm font-medium text-foreground truncate"
+                                      // Thụt theo cấp để dòng con đọc ra là con
+                                      // của dòng ngay trên nó.
+                                      style={{ paddingLeft: ws.depth * 12 }}
+                                    >
+                                      {ws.name}
+                                    </span>
+                                    {isSelected &&
+                                      (isDefault ? (
+                                        <span className="inline-flex items-center gap-1 rounded-full bg-primary px-2 py-0.5 text-[11px] font-semibold text-primary-foreground shrink-0">
+                                          <Star className="h-3 w-3 fill-current" />
+                                          Mặc định
+                                        </span>
+                                      ) : (
+                                        <button
+                                          type="button"
+                                          onClick={(e) => {
+                                            e.stopPropagation();
+                                            markDefaultWorkspace(ws.id);
+                                          }}
+                                          title="Đặt làm mặc định"
+                                          className="inline-flex items-center gap-1 rounded-full border border-border px-2 py-0.5 text-[11px] font-medium text-muted-foreground hover:border-primary/50 hover:text-primary transition-colors shrink-0"
+                                        >
+                                          <Star className="h-3 w-3" />
+                                          Đặt mặc định
+                                        </button>
+                                      ))}
+                                  </div>
+                                );
+                              })}
+                            </div>
+                          )}
+                        </div>
+                      ) : null}
                     </div>
                   </div>
                 )}

package/src/user/pages/users-client-page.tsx

@@ -37,6 +37,12 @@ interface UsersClientPageProps {
   /** Cây menu + meta action cho dialog "Quyền hiệu lực" (additive). */
   menuTree?: EffectiveMenuTreeSection[];
   actionMeta?: Record<string, { label?: string; flow?: string; description?: string }>;
+  /**
+   * Bật ô chọn không gian làm việc trong hộp thoại người dùng (additive). Bỏ
+   * trống ⇒ hộp thoại giữ nguyên như cũ, không fetch gì thêm.
+   */
+  workspaceApiUrl?: string;
+  workspaceLabel?: string;
 }
 
 const DEFAULT_PAGE_SIZE = 20;
@@ -52,6 +58,8 @@ export function UsersClientPage({
   onResetPassword,
   menuTree,
   actionMeta,
+  workspaceApiUrl,
+  workspaceLabel,
 }: UsersClientPageProps) {
   const [permUser, setPermUser] = useState<any | null>(null);
   const router = useRouter();
@@ -282,6 +290,8 @@ export function UsersClientPage({
         mode="create"
         viewMode="admin"
         roles={roles}
+        workspaceApiUrl={workspaceApiUrl}
+        workspaceLabel={workspaceLabel}
         onSaveProfile={(data) => handleUserSubmit(data)}
       />
 
@@ -294,6 +304,8 @@ export function UsersClientPage({
           mode="edit"
           viewMode="admin"
           roles={roles}
+          workspaceApiUrl={workspaceApiUrl}
+          workspaceLabel={workspaceLabel}
           onSaveProfile={handleUserSubmit}
           onSaveRoles={handleAssignRoles}
           onSavePassword={handleResetPassword}

package/src/user/user-service.ts

@@ -1,3 +1,6 @@
+import { memberScopeWhere } from "../workspace/scope";
+
+import type { WorkspaceScope } from "../workspace/types";
 import type { CrudResponse } from "../types";
 
 // Define the shape of the Prisma Client required by this service
@@ -16,6 +19,24 @@ export interface GetUsersParams {
   status?: string;
   roleCode?: string;
   departmentId?: string;
+  /**
+   * Phạm vi không gian của người ĐANG XEM. Bỏ trống = không lọc, giữ nguyên hành
+   * vi cũ cho app một-tổ-chức (luật L2: additive).
+   *
+   * App nhiều tổ chức PHẢI truyền: thiếu nó thì admin nhánh khách hàng A nhìn
+   * thấy toàn bộ người dùng của khách hàng B. Lọc ở tầng service chứ không ở
+   * tầng page — Entra từng thừa nhận đúng lỗi này (UI lọc, API thì không).
+   */
+  scope?: WorkspaceScope;
+  /** Chỉ hiện người dùng trong nhánh mình QUẢN TRỊ, không phải mọi nhánh nhìn được. */
+  adminOnly?: boolean;
+}
+
+/** Điều kiện phạm vi cho danh sách người dùng; `null` khi không phải lọc. */
+function scopeCondition(params: GetUsersParams): Record<string, unknown> | null {
+  if (!params.scope) return null;
+  const where = memberScopeWhere(params.scope, { adminOnly: params.adminOnly });
+  return Object.keys(where).length > 0 ? where : null;
 }
 
 export interface UserWithDetails {
@@ -82,6 +103,9 @@ export async function getUsersData(
     });
   }
 
+  const scoped = scopeCondition(params);
+  if (scoped) whereConditions.push(scoped);
+
   const where: any = whereConditions.length > 0 ? { AND: whereConditions } : {};
 
   // ⚡ Bolt: Execute independent read queries concurrently to reduce latency
@@ -252,8 +276,15 @@ export async function getUsersWithDetails(
     });
   }
 
+  const scoped = scopeCondition(params);
+  if (scoped) whereConditions.push(scoped);
+
   const where: any = whereConditions.length > 0 ? { AND: whereConditions } : {};
 
+  /** Đếm KHÔNG theo bộ lọc nhưng VẪN theo phạm vi. */
+  const scopedCount = (extra: Record<string, unknown>): any =>
+    scoped ? { AND: [extra, scoped] } : extra;
+
   // ⚡ Bolt: Execute independent read queries concurrently to reduce latency
   const [users, total, activeCount, rolesCount, customers, suppliers] =
     await Promise.all([
@@ -327,13 +358,22 @@ export async function getUsersWithDetails(
       db.user.count({ where }),
       db.user.count({ where: { ...where, isActive: true } }),
       db.role.count({ where: { status: "active" } }),
-      db.user.count({ where: { userType: "customer" } }).catch(() => 0),
-      db.user.count({ where: { userType: "supplier" } }).catch(() => 0),
+      // Hai ô thống kê này cố ý BỎ QUA bộ lọc tìm kiếm, nên phải tự cộng lại
+      // điều kiện phạm vi — không thì con số vẫn đếm cả người dùng của tổ chức
+      // khác. Rò một con số vẫn là rò.
+      db.user
+        .count({ where: scopedCount({ userType: "customer" }) })
+        .catch(() => 0),
+      db.user
+        .count({ where: scopedCount({ userType: "supplier" }) })
+        .catch(() => 0),
     ]);
 
-  // Get total users count (without filters)
-  const totalUsersCount = await db.user.count();
-  const totalActiveCount = await db.user.count({ where: { isActive: true } });
+  // Tổng số người dùng — bỏ bộ lọc nhưng KHÔNG bỏ phạm vi.
+  const totalUsersCount = await db.user.count({ where: scoped ?? {} });
+  const totalActiveCount = await db.user.count({
+    where: scopedCount({ isActive: true }),
+  });
   const employees = Math.max(0, totalUsersCount - customers - suppliers);
 
   // Transform data
@@ -420,13 +460,27 @@ export async function getActiveDepartments(db: UserPrismaClient) {
 /**
  * Get user statistics
  */
-export async function getUserStats(db: UserPrismaClient) {
+export async function getUserStats(
+  db: UserPrismaClient,
+  /** Bỏ trống = đếm toàn hệ thống (hành vi cũ). Truyền vào để đếm trong phạm vi. */
+  scope?: WorkspaceScope,
+) {
+  const scoped = scope ? scopeCondition({ scope }) : null;
+  const withScope = (extra?: Record<string, unknown>): any => {
+    if (!scoped) return extra ?? {};
+    return extra ? { AND: [extra, scoped] } : scoped;
+  };
+
   const [totalUsers, activeUsers, customers, suppliers, totalRoles] =
     await Promise.all([
-      db.user.count(),
-      db.user.count({ where: { isActive: true } }),
-      db.user.count({ where: { userType: "customer" } }).catch(() => 0),
-      db.user.count({ where: { userType: "supplier" } }).catch(() => 0),
+      db.user.count({ where: withScope() }),
+      db.user.count({ where: withScope({ isActive: true }) }),
+      db.user
+        .count({ where: withScope({ userType: "customer" }) })
+        .catch(() => 0),
+      db.user
+        .count({ where: withScope({ userType: "supplier" }) })
+        .catch(() => 0),
       db.role.count({ where: { status: "active" } }),
     ]);