@goplusvn/core 0.1.76 → 0.1.77

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@goplusvn/core",
   "description": "GoPlusVN Platform Kit - ERP kernel: layout, RBAC, CRUD, multi-tenant, system pages",
-  "version": "0.1.76",
+  "version": "0.1.77",
   "private": false,
   "publishConfig": {
     "registry": "https://registry.npmjs.org",

package/src/user/components/unified-profile-dialog.tsx

@@ -52,6 +52,25 @@ interface UnifiedProfileDialogProps {
   onSaveProfile?: (data: any, id?: string) => Promise<void>;
   onSaveRoles?: (userId: string, roleCodes: string[]) => Promise<void>;
   onSavePassword?: (userId: string, password: string) => Promise<void>;
+  /**
+   * Bật ô chọn KHÔNG GIAN LÀM VIỆC bằng cách trỏ tới API cây không gian
+   * (thường `/api/workspaces`). Bỏ trống ⇒ không fetch, không render, hộp thoại
+   * y hệt trước — app chưa bật tính năng workspace (vinhhoa) không đổi một pixel.
+   */
+  workspaceApiUrl?: string;
+  /** Nhãn theo nghiệp vụ của app: "Đơn vị", "Tổ chức", "Chi nhánh"… */
+  workspaceLabel?: string;
+}
+
+/** Cây → danh sách phẳng, giữ thứ tự duyệt để dòng con nằm ngay dưới dòng cha. */
+function flattenWorkspaceTree(
+  nodes: any[],
+  depth = 0,
+): { id: string; name: string; depth: number }[] {
+  return (nodes ?? []).flatMap((node) => [
+    { id: node.id, name: node.name, depth },
+    ...flattenWorkspaceTree(node.children ?? [], depth + 1),
+  ]);
 }
 
 const fetcher = async (url: string) => {
@@ -87,6 +106,8 @@ export function UnifiedProfileDialog({
   onSaveProfile,
   onSaveRoles,
   onSavePassword,
+  workspaceApiUrl,
+  workspaceLabel = "Không gian làm việc",
 }: UnifiedProfileDialogProps) {
   // -- Data Fetching --
   const { data: departments } = useSWR<{ id: string; name: string }[]>(
@@ -109,6 +130,16 @@ export function UnifiedProfileDialog({
     "/api/branches",
     fetcher,
   );
+  // Key `null` ⇒ SWR không gọi gì cả. App chưa bật workspace không phát sinh
+  // thêm một request nào.
+  const { data: workspaceTree } = useSWR<any[]>(
+    workspaceApiUrl ?? null,
+    fetcher,
+  );
+  const workspaces = useMemo(
+    () => flattenWorkspaceTree(workspaceTree ?? []),
+    [workspaceTree],
+  );
 
   // -- State --
   const [activeSection, setActiveSection] = useState("general");
@@ -121,6 +152,10 @@ export function UnifiedProfileDialog({
   const [selectedRoles, setSelectedRoles] = useState<string[]>([]);
   const [selectedBranches, setSelectedBranches] = useState<string[]>([]);
   const [defaultBranchId, setDefaultBranchId] = useState<string | null>(null);
+  const [selectedWorkspaces, setSelectedWorkspaces] = useState<string[]>([]);
+  const [defaultWorkspaceId, setDefaultWorkspaceId] = useState<string | null>(
+    null,
+  );
   const [passwordData, setPasswordData] = useState({
     password: "",
     confirm: "",
@@ -193,6 +228,8 @@ export function UnifiedProfileDialog({
         setSelectedRoles([]);
         setSelectedBranches([]);
         setDefaultBranchId(null);
+        setSelectedWorkspaces([]);
+        setDefaultWorkspaceId(null);
         setPasswordData({ password: "", confirm: "" });
         setEnableAccount(false);
       } else {
@@ -226,6 +263,10 @@ export function UnifiedProfileDialog({
         setDefaultBranchId(
           d.defaultBranchId || (d.branchIds && d.branchIds[0]) || null,
         );
+        setSelectedWorkspaces(d.workspaceIds || []);
+        setDefaultWorkspaceId(
+          d.defaultWorkspaceId || (d.workspaceIds && d.workspaceIds[0]) || null,
+        );
         setPasswordData({ password: "", confirm: "" });
         // Enable account if user has roles or if it's not a customer (employees always have accounts?)
         // For now, if roles exist, we assume account is enabled.
@@ -245,6 +286,38 @@ export function UnifiedProfileDialog({
     }
   }, [open, branches, mode, data]);
 
+  // Chỉ có đúng một không gian để chọn thì chọn sẵn — cùng cách cư xử với ô chi
+  // nhánh ngay bên cạnh, đỡ một cú bấm bắt buộc mà không có lựa chọn nào khác.
+  useEffect(() => {
+    if (!open || !workspaceApiUrl || workspaces.length !== 1) return;
+    if (mode === "create" && selectedWorkspaces.length === 0) {
+      setSelectedWorkspaces([workspaces[0].id]);
+      setDefaultWorkspaceId(workspaces[0].id);
+    }
+    // eslint-disable-next-line react-hooks/exhaustive-deps
+  }, [open, workspaces, mode, workspaceApiUrl]);
+
+  // -- Workspace selection helpers — giữ đúng khuôn của cặp hàm chi nhánh dưới đây.
+  const toggleWorkspace = (workspaceId: string) => {
+    if (selectedWorkspaces.includes(workspaceId)) {
+      const next = selectedWorkspaces.filter((id) => id !== workspaceId);
+      setSelectedWorkspaces(next);
+      if (defaultWorkspaceId === workspaceId) {
+        setDefaultWorkspaceId(next[0] ?? null);
+      }
+    } else {
+      setSelectedWorkspaces([...selectedWorkspaces, workspaceId]);
+      if (!defaultWorkspaceId) setDefaultWorkspaceId(workspaceId);
+    }
+  };
+
+  const markDefaultWorkspace = (workspaceId: string) => {
+    if (!selectedWorkspaces.includes(workspaceId)) {
+      setSelectedWorkspaces((prev) => [...prev, workspaceId]);
+    }
+    setDefaultWorkspaceId(workspaceId);
+  };
+
   // -- Branch selection helpers --
   // Toggle a branch's membership while keeping a valid default branch.
   const toggleBranch = (branchId: string) => {
@@ -311,6 +384,16 @@ export function UnifiedProfileDialog({
             : (selectedBranches[0] ?? null),
       };
 
+      // Chỉ gửi khi app bật tính năng — gửi mảng rỗng lên app chưa bật là mời
+      // route xoá sạch membership của người đang sửa.
+      if (workspaceApiUrl) {
+        payload.workspaceIds = selectedWorkspaces;
+        payload.defaultWorkspaceId =
+          defaultWorkspaceId && selectedWorkspaces.includes(defaultWorkspaceId)
+            ? defaultWorkspaceId
+            : (selectedWorkspaces[0] ?? null);
+      }
+
       // Handle Password for Customer
       if (isCustomer) {
         if (enableAccount) {
@@ -943,6 +1026,83 @@ export function UnifiedProfileDialog({
                           })}
                         </div>
                       </div>
+
+                      {workspaceApiUrl ? (
+                        <div className="col-span-2 space-y-3 pt-2">
+                          <div className="flex items-center justify-between gap-3 flex-wrap">
+                            <Label className="text-[13px] font-medium text-foreground">
+                              {workspaceLabel}
+                            </Label>
+                            <span className="inline-flex items-center gap-1 text-[12px] text-muted-foreground">
+                              <Star className="h-3 w-3" />
+                              Đánh dấu một mục mặc định
+                            </span>
+                          </div>
+                          {workspaces.length === 0 ? (
+                            // Rỗng ở đây gần như luôn là "ngoài phạm vi của bạn",
+                            // không phải "hệ thống chưa có" — nói rõ để khỏi
+                            // tưởng mất dữ liệu.
+                            <p className="text-[13px] text-muted-foreground">
+                              Không có mục nào trong phạm vi của bạn.
+                            </p>
+                          ) : (
+                            <div className="grid grid-cols-1 sm:grid-cols-2 gap-3">
+                              {workspaces.map((ws) => {
+                                const isSelected = selectedWorkspaces.includes(
+                                  ws.id,
+                                );
+                                const isDefault =
+                                  isSelected && defaultWorkspaceId === ws.id;
+                                return (
+                                  <div
+                                    key={ws.id}
+                                    className={cn(
+                                      "flex items-center gap-3 p-3 rounded-md border cursor-pointer hover:bg-accent/50 transition-colors",
+                                      isSelected
+                                        ? "border-primary bg-primary/5"
+                                        : "bg-background border-border",
+                                    )}
+                                    onClick={() => toggleWorkspace(ws.id)}
+                                  >
+                                    <Checkbox
+                                      checked={isSelected}
+                                      className="data-[state=checked]:bg-primary data-[state=checked]:border-primary"
+                                    />
+                                    <span
+                                      className="flex-1 text-sm font-medium text-foreground truncate"
+                                      // Thụt theo cấp để dòng con đọc ra là con
+                                      // của dòng ngay trên nó.
+                                      style={{ paddingLeft: ws.depth * 12 }}
+                                    >
+                                      {ws.name}
+                                    </span>
+                                    {isSelected &&
+                                      (isDefault ? (
+                                        <span className="inline-flex items-center gap-1 rounded-full bg-primary px-2 py-0.5 text-[11px] font-semibold text-primary-foreground shrink-0">
+                                          <Star className="h-3 w-3 fill-current" />
+                                          Mặc định
+                                        </span>
+                                      ) : (
+                                        <button
+                                          type="button"
+                                          onClick={(e) => {
+                                            e.stopPropagation();
+                                            markDefaultWorkspace(ws.id);
+                                          }}
+                                          title="Đặt làm mặc định"
+                                          className="inline-flex items-center gap-1 rounded-full border border-border px-2 py-0.5 text-[11px] font-medium text-muted-foreground hover:border-primary/50 hover:text-primary transition-colors shrink-0"
+                                        >
+                                          <Star className="h-3 w-3" />
+                                          Đặt mặc định
+                                        </button>
+                                      ))}
+                                  </div>
+                                );
+                              })}
+                            </div>
+                          )}
+                        </div>
+                      ) : null}
                     </div>
                   </div>
                 )}

package/src/user/pages/users-client-page.tsx

@@ -37,6 +37,12 @@ interface UsersClientPageProps {
   /** Cây menu + meta action cho dialog "Quyền hiệu lực" (additive). */
   menuTree?: EffectiveMenuTreeSection[];
   actionMeta?: Record<string, { label?: string; flow?: string; description?: string }>;
+  /**
+   * Bật ô chọn không gian làm việc trong hộp thoại người dùng (additive). Bỏ
+   * trống ⇒ hộp thoại giữ nguyên như cũ, không fetch gì thêm.
+   */
+  workspaceApiUrl?: string;
+  workspaceLabel?: string;
 }
 
 const DEFAULT_PAGE_SIZE = 20;
@@ -52,6 +58,8 @@ export function UsersClientPage({
   onResetPassword,
   menuTree,
   actionMeta,
+  workspaceApiUrl,
+  workspaceLabel,
 }: UsersClientPageProps) {
   const [permUser, setPermUser] = useState<any | null>(null);
   const router = useRouter();
@@ -282,6 +290,8 @@ export function UsersClientPage({
         mode="create"
         viewMode="admin"
         roles={roles}
+        workspaceApiUrl={workspaceApiUrl}
+        workspaceLabel={workspaceLabel}
         onSaveProfile={(data) => handleUserSubmit(data)}
       />
 
@@ -294,6 +304,8 @@ export function UsersClientPage({
           mode="edit"
           viewMode="admin"
           roles={roles}
+          workspaceApiUrl={workspaceApiUrl}
+          workspaceLabel={workspaceLabel}
           onSaveProfile={handleUserSubmit}
           onSaveRoles={handleAssignRoles}
           onSavePassword={handleResetPassword}

package/src/workspace/__tests__/workspace-delegation.test.ts

@@ -352,7 +352,7 @@ describe("cổng tổng hợp", () => {
       assertCanCreateUser(actor, ["spa-qc"], [role()]),
     ).not.toThrow();
     expect(() => assertCanCreateUser(actor, [])).toThrow(
-      /ít nhất một không gian/,
+      /ít nhất một workspace/,
     );
     expect(() =>
       assertCanCreateUser(actor, ["spa-qc"], [role({ rank: 10 })]),

package/src/workspace/__tests__/workspace-member-handlers.test.ts

@@ -0,0 +1,407 @@
+/* eslint-disable @typescript-eslint/no-explicit-any */
+// Đường GHI membership — nơi một admin khách hàng có thể tự bành trướng nếu
+// hàng rào hở.
+//
+// Mọi ca gọi thẳng handler như một client tự chế (curl), không đi qua giao diện:
+// trang có ẩn nút hay không là chuyện khác, hàng rào phải nằm ở đây. Ba đường
+// leo thang được soi riêng: hút người của tenant khác về nhánh mình (D5), tự
+// nâng chính mình (D3), và đẩy nạn nhân ra khỏi nhánh khác để chiếm (D7).
+
+import { beforeEach, describe, expect, it } from "vitest";
+
+import { createWorkspaceMemberHandlers } from "../route-handlers";
+import { configureWorkspaces, resetWorkspaceConfig } from "../scope";
+import { subtreePrefix } from "../tree";
+
+beforeEach(() => {
+  resetWorkspaceConfig();
+});
+
+/**
+ *   grp                (tập đoàn)
+ *   ├── tanloc         (Nhà ăn Tấn Lộc — vận hành)
+ *   └── spa            (Spartronics — khách hàng)
+ *       └── spa-qc     (phòng QC của khách hàng)
+ */
+const WORKSPACES = [
+  { id: "grp", path: "/grp/" },
+  { id: "tanloc", path: "/grp/tanloc/" },
+  { id: "spa", path: "/grp/spa/" },
+  { id: "spa-qc", path: "/grp/spa/spa-qc/" },
+];
+
+interface FakeUser {
+  id: string;
+  name: string;
+  email: string;
+  isActive: boolean;
+  isProtected?: boolean;
+  permissionCeilingRoleId?: string | null;
+  workspaceIds: string[];
+}
+
+function fakeDb(users: FakeUser[]) {
+  const calls: { fn: string; args: any }[] = [];
+  const members = users.flatMap((u) =>
+    u.workspaceIds.map((workspaceId) => ({
+      userId: u.id,
+      workspaceId,
+      isAdmin: false,
+      isDefault: false,
+    })),
+  );
+
+  const findUser = (id: string) => users.find((u) => u.id === id) ?? null;
+
+  return {
+    calls,
+    members,
+    user: {
+      async findUnique(args: any) {
+        const u = findUser(args?.where?.id);
+        if (!u) return null;
+        return {
+          id: u.id,
+          isProtected: u.isProtected ?? false,
+          permissionCeilingRoleId: u.permissionCeilingRoleId ?? null,
+          userWorkspaces: members
+            .filter((m) => m.userId === u.id)
+            .map((m) => ({ workspaceId: m.workspaceId })),
+        };
+      },
+      async findMany(args: any) {
+        calls.push({ fn: "user.findMany", args });
+        // Không mô phỏng lại engine Prisma — ca kiểm tra `where` gửi xuống, còn
+        // ở đây chỉ cần trả một tập ổn định để handler chạy hết đường.
+        return users
+          .filter(
+            (u) =>
+              !members.some(
+                (m) => m.userId === u.id && m.workspaceId === "spa-qc",
+              ),
+          )
+          .map((u) => ({
+            id: u.id,
+            name: u.name,
+            email: u.email,
+            isActive: u.isActive,
+          }));
+      },
+    },
+    userWorkspace: {
+      async findMany(args: any) {
+        calls.push({ fn: "userWorkspace.findMany", args });
+        return members
+          .filter((m) => m.workspaceId === args?.where?.workspaceId)
+          .map((m) => ({
+            isAdmin: m.isAdmin,
+            isDefault: m.isDefault,
+            user: findUser(m.userId),
+          }));
+      },
+      async upsert(args: any) {
+        calls.push({ fn: "userWorkspace.upsert", args });
+        const { userId, workspaceId } = args.where.userId_workspaceId;
+        const found = members.find(
+          (m) => m.userId === userId && m.workspaceId === workspaceId,
+        );
+        if (found) Object.assign(found, args.update);
+        else members.push({ userId, workspaceId, ...args.create });
+        return { userId, workspaceId };
+      },
+      async updateMany(args: any) {
+        calls.push({ fn: "userWorkspace.updateMany", args });
+        return { count: 0 };
+      },
+      async deleteMany(args: any) {
+        calls.push({ fn: "userWorkspace.deleteMany", args });
+        const before = members.length;
+        for (let i = members.length - 1; i >= 0; i -= 1) {
+          const m = members[i];
+          if (
+            m.userId === args.where.userId &&
+            m.workspaceId === args.where.workspaceId
+          ) {
+            members.splice(i, 1);
+          }
+        }
+        return { count: before - members.length };
+      },
+    },
+    async $transaction(fn: any) {
+      return fn(this);
+    },
+  };
+}
+
+type Session = { userId: string; adminOf: string[]; viewAll?: boolean };
+
+/** Quản trị viên phía khách hàng: quản trị nhánh `spa` (và con cháu). */
+const customerAdmin: Session = { userId: "u-spa-admin", adminOf: ["spa"] };
+/** Vận hành Tấn Lộc — toàn quyền, miễn D1–D7. */
+const opsAdmin: Session = { userId: "u-ops", adminOf: [], viewAll: true };
+
+function configure(db: ReturnType<typeof fakeDb>) {
+  void db;
+  configureWorkspaces<Session>({
+    canViewAll: (session) => Boolean(session?.viewAll),
+    getUserId: (session) => session?.userId ?? null,
+    getMemberships: (session) =>
+      (session?.adminOf ?? []).map((workspaceId) => ({
+        workspaceId,
+        isAdmin: true,
+      })),
+    expandDescendants: async (rootIds) => {
+      const prefixes = WORKSPACES.filter((w) => rootIds.includes(w.id)).map(
+        (w) => subtreePrefix(w.path),
+      );
+      return WORKSPACES.filter((w) =>
+        prefixes.some((p) => w.path.startsWith(p)),
+      ).map((w) => w.id);
+    },
+  });
+}
+
+const deps = (db: any, session: Session | null) => ({
+  prisma: db,
+  getSession: () => session,
+  canManageAll: (s: Session) => Boolean(s?.viewAll),
+});
+
+const ctx = (id: string) => ({ params: { id } });
+
+const postReq = (body: unknown) =>
+  new Request("http://test/api/workspaces/x/members", {
+    method: "POST",
+    body: JSON.stringify(body),
+  });
+
+const deleteReq = (userId: string) =>
+  new Request(`http://test/api/workspaces/x/members?userId=${userId}`, {
+    method: "DELETE",
+  });
+
+const baseUsers = (): FakeUser[] => [
+  {
+    id: "u-qc",
+    name: "Nhân viên QC",
+    email: "qc@spa.vn",
+    isActive: true,
+    workspaceIds: ["spa"],
+  },
+  {
+    id: "u-tanloc",
+    name: "Nhân viên Tấn Lộc",
+    email: "nv@tanloc.vn",
+    isActive: true,
+    workspaceIds: ["tanloc"],
+  },
+  {
+    id: "u-orphan",
+    name: "Chưa gán",
+    email: "orphan@x.vn",
+    isActive: true,
+    workspaceIds: [],
+  },
+  {
+    id: "u-spa-admin",
+    name: "Admin Spartronics",
+    email: "admin@spa.vn",
+    isActive: true,
+    workspaceIds: ["spa"],
+  },
+];
+
+describe("gán người vào không gian — đường hợp lệ", () => {
+  let db: ReturnType<typeof fakeDb>;
+  beforeEach(() => {
+    db = fakeDb(baseUsers());
+    configure(db);
+  });
+
+  it("admin nhánh gán được người của chính nhánh mình xuống phòng ban con", async () => {
+    const { POST } = createWorkspaceMemberHandlers(
+      deps(db, customerAdmin) as any,
+    );
+    const res = await POST(postReq({ userId: "u-qc" }), ctx("spa-qc"));
+
+    expect(res.status).toBe(201);
+    expect(
+      db.members.some((m) => m.userId === "u-qc" && m.workspaceId === "spa-qc"),
+    ).toBe(true);
+  });
+
+  it("đặt cờ mặc định thì HẠ cờ mặc định cũ — mỗi người chỉ một không gian mặc định", async () => {
+    const { POST } = createWorkspaceMemberHandlers(
+      deps(db, customerAdmin) as any,
+    );
+    await POST(postReq({ userId: "u-qc", isDefault: true }), ctx("spa-qc"));
+
+    const cleared = db.calls.find((c) => c.fn === "userWorkspace.updateMany");
+    expect(cleared).toBeDefined();
+    expect(cleared!.args.where).toMatchObject({
+      userId: "u-qc",
+      isDefault: true,
+      NOT: { workspaceId: "spa-qc" },
+    });
+  });
+
+  it("gán lại người đã ở trong = đổi cờ, không đẻ bản ghi trùng", async () => {
+    const { POST } = createWorkspaceMemberHandlers(
+      deps(db, customerAdmin) as any,
+    );
+    const res = await POST(
+      postReq({ userId: "u-qc", isAdmin: true }),
+      ctx("spa"),
+    );
+
+    expect(res.status).toBe(200);
+    expect(
+      db.members.filter((m) => m.userId === "u-qc" && m.workspaceId === "spa"),
+    ).toHaveLength(1);
+    expect(
+      db.members.find((m) => m.userId === "u-qc" && m.workspaceId === "spa")
+        ?.isAdmin,
+    ).toBe(true);
+  });
+});
+
+describe("gán người vào không gian — ba đường leo thang", () => {
+  let db: ReturnType<typeof fakeDb>;
+  beforeEach(() => {
+    db = fakeDb(baseUsers());
+    configure(db);
+  });
+
+  it("D1 — không gán được vào nhánh ngoài phạm vi quản trị", async () => {
+    const { POST } = createWorkspaceMemberHandlers(
+      deps(db, customerAdmin) as any,
+    );
+    const res = await POST(postReq({ userId: "u-qc" }), ctx("tanloc"));
+
+    expect(res.status).toBe(403);
+    expect(
+      db.members.some((m) => m.workspaceId === "tanloc" && m.userId === "u-qc"),
+    ).toBe(false);
+  });
+
+  it("D5 — không hút được người của tenant khác về nhánh mình", async () => {
+    const { POST } = createWorkspaceMemberHandlers(
+      deps(db, customerAdmin) as any,
+    );
+    const res = await POST(postReq({ userId: "u-tanloc" }), ctx("spa"));
+
+    expect(res.status).toBe(403);
+    expect(await res.json()).toMatchObject({ code: "D5_NOT_FULLY_OWNED" });
+  });
+
+  it("D5 — người chưa thuộc không gian nào thì admin nhánh KHÔNG tự nhận về", async () => {
+    const { POST } = createWorkspaceMemberHandlers(
+      deps(db, customerAdmin) as any,
+    );
+    const res = await POST(postReq({ userId: "u-orphan" }), ctx("spa"));
+
+    expect(res.status).toBe(403);
+    expect(await res.json()).toMatchObject({ code: "D5_NOT_FULLY_OWNED" });
+  });
+
+  it("nhưng vận hành toàn quyền thì gán được người chưa thuộc đâu cả", async () => {
+    const { POST } = createWorkspaceMemberHandlers(deps(db, opsAdmin) as any);
+    const res = await POST(postReq({ userId: "u-orphan" }), ctx("spa"));
+
+    expect(res.status).toBe(201);
+  });
+
+  it("D3 — không tự sửa membership của chính mình", async () => {
+    const { POST } = createWorkspaceMemberHandlers(
+      deps(db, customerAdmin) as any,
+    );
+    const res = await POST(
+      postReq({ userId: "u-spa-admin", isAdmin: true }),
+      ctx("spa-qc"),
+    );
+
+    expect(res.status).toBe(403);
+    expect(await res.json()).toMatchObject({ code: "D3_SELF_ESCALATION" });
+  });
+});
+
+describe("gỡ người khỏi không gian", () => {
+  let db: ReturnType<typeof fakeDb>;
+  beforeEach(() => {
+    db = fakeDb(baseUsers());
+    configure(db);
+  });
+
+  it("chặn gỡ không gian CUỐI CÙNG — gỡ xong thì chính mình cũng hết đụng được", async () => {
+    const { DELETE } = createWorkspaceMemberHandlers(
+      deps(db, customerAdmin) as any,
+    );
+    const res = await DELETE(deleteReq("u-qc"), ctx("spa"));
+
+    expect(res.status).toBe(400);
+    expect(db.members.some((m) => m.userId === "u-qc")).toBe(true);
+  });
+
+  it("gỡ được khi người đó còn không gian khác trong phạm vi", async () => {
+    const { POST, DELETE } = createWorkspaceMemberHandlers(
+      deps(db, customerAdmin) as any,
+    );
+    await POST(postReq({ userId: "u-qc" }), ctx("spa-qc"));
+    const res = await DELETE(deleteReq("u-qc"), ctx("spa"));
+
+    expect(res.status).toBe(200);
+    expect(
+      db.members.some((m) => m.userId === "u-qc" && m.workspaceId === "spa"),
+    ).toBe(false);
+  });
+
+  it("không gỡ được người thuộc nhánh ngoài phạm vi", async () => {
+    const { DELETE } = createWorkspaceMemberHandlers(
+      deps(db, customerAdmin) as any,
+    );
+    const res = await DELETE(deleteReq("u-tanloc"), ctx("tanloc"));
+
+    expect(res.status).toBe(403);
+    expect(db.members.some((m) => m.userId === "u-tanloc")).toBe(true);
+  });
+});
+
+describe("tìm ứng viên để thêm", () => {
+  let db: ReturnType<typeof fakeDb>;
+  beforeEach(() => {
+    db = fakeDb(baseUsers());
+    configure(db);
+  });
+
+  it("chỉ tìm trong nhánh QUẢN TRỊ được, và loại người đã ở trong", async () => {
+    const { GET } = createWorkspaceMemberHandlers(
+      deps(db, customerAdmin) as any,
+    );
+    const res = await GET(
+      new Request("http://test/api/workspaces/x/members?candidates=1&q=nh"),
+      ctx("spa-qc"),
+    );
+    expect(res.status).toBe(200);
+
+    const call = db.calls.find((c) => c.fn === "user.findMany");
+    const and = call!.args.where.AND;
+    // Ràng buộc phạm vi phải bám `adminIds` (spa + spa-qc), KHÔNG phải allowedIds.
+    expect(JSON.stringify(and[0])).toContain("spa-qc");
+    expect(JSON.stringify(and[0])).not.toContain("tanloc");
+    expect(and[1]).toMatchObject({
+      userWorkspaces: { none: { workspaceId: "spa-qc" } },
+    });
+  });
+
+  it("người thường (không quản trị nhánh nào) không tìm được ứng viên", async () => {
+    const plain: Session = { userId: "u-plain", adminOf: [] };
+    const { GET } = createWorkspaceMemberHandlers(deps(db, plain) as any);
+    const res = await GET(
+      new Request("http://test/api/workspaces/x/members?candidates=1"),
+      ctx("spa"),
+    );
+
+    expect(res.status).toBe(403);
+  });
+});