@goplusvn/core 0.1.76 → 0.1.78

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@goplusvn/core",
   "description": "GoPlusVN Platform Kit - ERP kernel: layout, RBAC, CRUD, multi-tenant, system pages",
-  "version": "0.1.76",
+  "version": "0.1.78",
   "private": false,
   "publishConfig": {
     "registry": "https://registry.npmjs.org",
@@ -54,6 +54,7 @@
     "./import": "./src/import/index.ts",
     "./auth/proxy-gate": "./src/auth/proxy-gate.ts",
     "./rbac/route-handlers": "./src/rbac/route-handlers.ts",
+    "./rbac/landing-path": "./src/rbac/landing-path.ts",
     "./workspace/route-handlers": "./src/workspace/route-handlers.ts",
     "./rbac/permissions-version": "./src/rbac/permissions-version.ts",
     "./ui/shared/table-styles": "./src/ui/shared/table-styles.ts",

package/src/guardrails/__tests__/guardrails.test.ts

@@ -343,6 +343,88 @@ describe("rule bắt được vi phạm thật", () => {
     ]);
   });
 
+  /**
+   * Ca lỗi thật: tanloc-spartronics khởi tạo mà không chép
+   * `services/navigation-service.ts`, nên layout truyền thẳng cây menu xuống —
+   * vai `staff` thấy đủ mục, bấm vào mới bị cổng gác đá về (2026-08-15).
+   */
+  const NAV_RULE = "rbac/nav-filtered-by-permission";
+
+  it(`${NAV_RULE} — layout cấp menu thô cho vỏ ứng dụng thì đỏ`, () => {
+    const results = run(
+      fixture({
+        "app/[lang]/(main)/layout.tsx": [
+          'import { navigations } from "@/data/navigations"',
+          "export default function L() {",
+          "  return <MainLayout navigation={navigations} />",
+          "}",
+        ].join("\n"),
+      }),
+    );
+    expect(resultOf(results, NAV_RULE).violations).toEqual([
+      "app/[lang]/(main)/layout.tsx — cấp menu cho vỏ ứng dụng mà không lọc",
+    ]);
+  });
+
+  it(`${NAV_RULE} — lọc bằng mốc rộng hơn cổng gác trang thì đỏ`, () => {
+    const results = run(
+      fixture({
+        "app/[lang]/(main)/layout.tsx": [
+          'import { getAccessibleResources } from "@goerp/core/auth"',
+          'import { filterNavigationTree } from "@goerp/core/navigation"',
+          'import { navigations } from "@/data/navigations"',
+          "export default async function L() {",
+          // Thiếu `"view"` = "có BẤT KỲ action nào" → menu rộng hơn trang mở được.
+          "  const nav = filterNavigationTree(navigations, getAccessibleResources(session))",
+          "  return <MainLayout navigation={nav} />",
+          "}",
+        ].join("\n"),
+      }),
+    );
+    expect(resultOf(results, NAV_RULE).violations).toEqual([
+      'app/[lang]/(main)/layout.tsx — lọc menu không theo action "view"',
+    ]);
+  });
+
+  it(`${NAV_RULE} — truy sang service mà layout gọi, không dừng ở layout`, () => {
+    const results = run(
+      fixture({
+        "app/[lang]/(main)/layout.tsx": [
+          'import { getNavigationForUser } from "@/services/navigation-service"',
+          "export default async function L() {",
+          "  const nav = await getNavigationForUser()",
+          "  return <MainLayout navigation={nav} />",
+          "}",
+        ].join("\n"),
+        "services/navigation-service.ts": [
+          'import { navigationsData } from "@/data/navigations"',
+          "export async function getNavigationForUser() { return navigationsData }",
+        ].join("\n"),
+      }),
+    );
+    expect(resultOf(results, NAV_RULE).violations).toEqual([
+      "services/navigation-service.ts (qua app/[lang]/(main)/layout.tsx) — cấp menu cho vỏ ứng dụng mà không lọc",
+    ]);
+  });
+
+  it(`${NAV_RULE} — file đọc menu cho việc KHÁC không bị bắt oan`, () => {
+    // Ba ca có thật trong vinhhoa/thingtodo/spartronics: sinh registry TỪ menu,
+    // seed RBAC từ menu, và provider tra tiêu đề tab. Không chỗ nào vẽ menu.
+    const results = run(
+      fixture({
+        "configs/permissions/menu-tree.ts":
+          'import { navigations } from "@/data/navigations"\nexport const MENU_TREE = navigations',
+        "app/api/resources/sync/route.ts":
+          'import { navigationsData } from "@/data/navigations"\nexport const POST = () => sync(navigationsData)',
+        "providers/index.tsx":
+          'import { navigations } from "@/data/navigations"\nexport const P = () => <TabNavigationProvider navigations={navigations} />',
+        "app/[lang]/layout.tsx":
+          'import { P } from "@/providers"\nexport default function Root() { return <P /> }',
+      }),
+    );
+    expect(resultOf(results, NAV_RULE).violations).toEqual([]);
+  });
+
   it("rbac/* tự bỏ qua khi app không truyền registry", () => {
     const results = run(fixture({ "lib/a.ts": "export const a = 1" }));
     expect(resultOf(results, "rbac/known-actions").status).toBe(

package/src/guardrails/rules/rbac.ts

@@ -18,6 +18,41 @@ const declaredResources = (ctx: GuardrailContext) =>
     (registryOf(ctx) ?? []).flatMap((f) => f.resources.map((r) => r.code)),
   );
 
+/** Cây menu thô. Mọi app đều để ở `data/navigations` — cũng là `options.navigations`. */
+const READS_RAW_NAV = /from\s+["'][^"']*data\/navigations["']/;
+
+/** Hai lối ra hợp lệ cho việc lọc menu. */
+const FILTERS_NAV = /(buildNavigationForSession|filterNavigationTree)\s*\(/;
+
+/**
+ * Các file nguồn (rel `srcDir`) mà `code` import từ TRONG app — cả `@/x` lẫn
+ * `./x`. Trả về mọi ứng viên phần mở rộng; chỗ gọi dùng `readCodeRel` nên file
+ * không tồn tại chỉ ra chuỗi rỗng, không cần kiểm tra trước.
+ */
+function localImportsOf(code: string, fromDir: string): string[] {
+  const out: string[] = [];
+  for (const m of code.matchAll(/from\s+["'](@\/|\.\.?\/)([^"']+)["']/g)) {
+    const base =
+      m[1] === "@/"
+        ? m[2]
+        : // `./a/b` và `../a/b` — gộp về đường dẫn tương đối srcDir rồi rút gọn.
+          `${fromDir}/${m[1]}${m[2]}`
+            .split("/")
+            .reduce<string[]>((acc, seg) => {
+              if (seg === "." || seg === "") return acc;
+              if (seg === "..") {
+                acc.pop();
+                return acc;
+              }
+              acc.push(seg);
+              return acc;
+            }, [])
+            .join("/");
+    out.push(`${base}.ts`, `${base}.tsx`, `${base}/index.ts`, `${base}/index.tsx`);
+  }
+  return out;
+}
+
 const isApiFile = (rel: string) =>
   (rel.startsWith("app/api/") && rel.endsWith("/route.ts")) ||
   /^modules\/[a-z-]+\/api\//.test(rel);
@@ -202,6 +237,91 @@ export const rbacRules: GuardrailRule[] = [
     },
   },
 
+  {
+    id: "rbac/nav-filtered-by-permission",
+    title: "file nào đọc cây menu thô cũng phải lọc theo quyền",
+    why:
+      "Cây menu là bản đồ TOÀN BỘ hệ thống. Truyền thẳng nó xuống layout thì " +
+      "mọi người đăng nhập đều thấy đủ mục — vai `staff` không có một quyền " +
+      "nào trên `role`/`user` vẫn thấy Vai trò, Người dùng; bấm vào thì cổng " +
+      "gác đá về trang chủ, menu hứa một đằng trang trả lời một nẻo, và người " +
+      "dùng chỉ đọc được là 'hệ thống lỗi'. Đúng lỗi này sống trong " +
+      "tanloc-spartronics tới 2026-08-15 vì app đó khởi tạo mà không chép " +
+      "`services/navigation-service.ts` — `filterNavigationTree` có trong core " +
+      "nhưng KHÔNG một chỗ nào gọi. Ẩn ở client không cứu được: layout render " +
+      "ra HTML nên mục ẩn bằng CSS vẫn nằm nguyên trong payload gửi xuống.",
+    fix:
+      "Dùng `buildNavigationForSession(navigations, session)` của " +
+      "`@goerp/core/navigation` (fail-closed, mốc `view` sẵn), hoặc tự gọi " +
+      "`filterNavigationTree`. File chỉ đọc menu cho việc khác (breadcrumb, " +
+      "sitemap) thì khai vào `allowlists[\"rbac/nav-filtered-by-permission\"]`.",
+    run(ctx) {
+      const allowed = new Set(
+        ctx.options.allowlists["rbac/nav-filtered-by-permission"] ?? [],
+      );
+
+      const problems: string[] = [];
+      const seen = new Set<string>();
+
+      const check = (rel: string, code: string, via?: string) => {
+        if (!code || seen.has(rel) || allowed.has(rel)) return;
+        seen.add(rel);
+        const label = via ? `${rel} (qua ${via})` : rel;
+        if (!FILTERS_NAV.test(code)) {
+          problems.push(`${label} — cấp menu cho vỏ ứng dụng mà không lọc`);
+          return;
+        }
+        // Mốc lọc phải TRÙNG mốc cổng gác trang. `getAccessibleResources` bỏ
+        // trống action = "có BẤT KỲ action nào" → menu rộng hơn trang mở được.
+        // `buildNavigationForSession` đã chốt `"view"` bên trong nên không soi.
+        if (
+          /getAccessibleResources\s*\(/.test(code) &&
+          !/getAccessibleResources\s*\([^)]*["']view["']/.test(code)
+        ) {
+          problems.push(`${label} — lọc menu không theo action "view"`);
+        }
+      };
+
+      for (const file of ctx.files) {
+        const rel = ctx.rel(file);
+        const code = ctx.readCode(file);
+        // Chỉ soi chỗ menu đi VÀO GIAO DIỆN: prop `navigation` của vỏ ứng dụng
+        // (`MainLayout` của core), hoặc file layout. Quét mọi file đọc cây menu
+        // là báo oan hàng loạt — `configs/permissions/menu-tree.ts` sinh registry
+        // TỪ menu, `api/resources/sync` seed RBAC từ menu, trang audit tra nhãn
+        // resource: không chỗ nào trong số đó vẽ menu ra cả.
+        const feedsShell = /\bnavigation=\{/.test(code);
+        const isLayout = /(^|\/)layout\.tsx$/.test(rel);
+        if (!feedsShell && !isLayout) continue;
+
+        if (READS_RAW_NAV.test(code)) {
+          check(rel, code);
+          continue;
+        }
+        // Layout thường không tự đọc cây menu mà gọi một service
+        // (`getNavigationForUser`). Truy sang file đó: chính nó mới là chỗ
+        // quên lọc được, và không ai soi nó cả.
+        //
+        // CHỈ truy từ layout đang thật sự cấp `navigation=` cho vỏ. Truy từ mọi
+        // layout thì layout GỐC kéo theo `providers/index.tsx` — file này đọc
+        // cây menu để `TabNavigationProvider` tra tiêu đề tab, không vẽ menu, và
+        // bắt nó ở đây là báo oan ở cả ba app đang chạy.
+        if (!feedsShell) continue;
+        const dir = rel.split("/").slice(0, -1).join("/");
+        for (const dep of localImportsOf(code, dir)) {
+          const depCode = ctx.readCodeRel(dep);
+          if (depCode && READS_RAW_NAV.test(depCode)) check(dep, depCode, rel);
+        }
+      }
+      return problems;
+    },
+    staleAllowlist(ctx) {
+      return (
+        ctx.options.allowlists["rbac/nav-filtered-by-permission"] ?? []
+      ).filter((rel) => !ctx.existsInSrc(rel));
+    },
+  },
+
   {
     id: "rbac/gate-resource-declared",
     title: "resource mà cổng gác đều đã khai trong registry",

package/src/navigation/index.ts

@@ -2,10 +2,13 @@
 // Core navigation utilities for GoERP platform
 // Consolidated from packages/shared/navigation
 
+import { getAccessibleResources } from "../auth";
+
 import type {
   NavigationType,
   NavigationRootItem,
   NavigationNestedItem,
+  Session,
 } from "../types";
 
 /**
@@ -89,3 +92,49 @@ export function filterNavigationTree(
 
   return filteredNavigation;
 }
+
+/**
+ * Menu của MỘT session — bản ráp sẵn, đúng-mặc-định.
+ *
+ * `filterNavigationTree` ở trên là nguyên liệu, và trong hai năm nó là thứ DUY
+ * NHẤT core cung cấp: mỗi app tự viết lấy phần ráp trong
+ * `src/services/navigation-service.ts`. Bốn app, bốn bản chép tay, và mỗi bản
+ * lệch một kiểu — tanloc-spartronics thì không có file đó luôn, nên menu không
+ * hề được lọc: mọi người đăng nhập đều thấy đủ mục, bấm vào mới bị
+ * `requirePageAccess` đá về trang chủ (2026-08-15). Hàm này tồn tại để câu trả
+ * lời đúng có đúng MỘT chỗ.
+ *
+ * Ba mặc định ở đây đều là bài học đã trả giá, đừng đảo:
+ *
+ *  1. **Chưa đăng nhập ⇒ menu RỖNG.** Fail-closed. Cây menu là bản đồ toàn bộ
+ *     hệ thống; trả đầy đủ rồi tính sau là lộ cấu trúc màn hình cho người lạ.
+ *  2. **Mốc lọc mặc định là `"view"`**, TRÙNG mặc định của cổng gác trang
+ *     (`requirePageAccess(lang, resource)`). `getAccessibleResources` bỏ trống
+ *     action nghĩa là "có bất kỳ action nào" — lấy mốc đó thì menu rộng hơn
+ *     trang, tức là lại hứa một đằng trả lời một nẻo, chỉ lệch ít hơn.
+ *  3. **KHÔNG bắt lỗi.** Hai bản chép tay cũ `catch → return []`, biến sự cố DB
+ *     thành sidebar trắng trơn không lời giải thích — chế độ hỏng tệ nhất của
+ *     app RBAC: người dùng tưởng bị thu hồi quyền và đi báo lỗi sai chỗ. Cứ để
+ *     lỗi nổi lên error boundary.
+ *
+ * Core KHÔNG tự đọc session: app dùng better-auth, app dùng next-auth, và cách
+ * lấy session là thứ duy nhất khác nhau thật giữa chúng. App truyền session vào
+ * và tự bọc `cache()` của React nếu muốn gọi nhiều lần trong một request.
+ *
+ * ```ts
+ * // app/[lang]/(main)/layout.tsx
+ * const navigation = buildNavigationForSession(navigations, await getSession())
+ * ```
+ */
+export function buildNavigationForSession(
+  navigation: NavigationType[],
+  session: Session | null,
+  options: { action?: string } = {},
+): NavigationType[] {
+  if (!session?.user) return [];
+
+  return filterNavigationTree(
+    navigation,
+    getAccessibleResources(session, options.action ?? "view"),
+  );
+}

package/src/rbac/__tests__/landing-path.test.ts

@@ -0,0 +1,148 @@
+import { describe, expect, it, vi } from "vitest";
+
+import { createLandingPathResolver } from "../landing-path";
+import type { NavigationType } from "../../types";
+
+/**
+ * Ba thứ dễ hỏng ở đây, và hỏng thì người dùng KHÔNG vào được hệ thống:
+ *  - `landingPath` trỏ tới trang vai trò không còn quyền → phải bỏ qua, nếu
+ *    không sẽ là vòng chuyển hướng vô hạn.
+ *  - App chưa migrate cột → phải im lặng bỏ qua bước 1, không được ném.
+ *  - Người kiêm nhiều vai → theo vai MẠNH nhất (rank nhỏ nhất), tức theo đúng
+ *    thứ tự DB trả về.
+ */
+
+const NAV: NavigationType[] = [
+  {
+    title: "Tổng quan",
+    items: [
+      { title: "Trang chủ", href: "/", iconName: "House", resource: "dashboard" },
+      { title: "Hồ sơ", href: "/profile", iconName: "User" },
+    ],
+  },
+  {
+    title: "Bếp",
+    iconName: "Utensils",
+    items: [
+      {
+        title: "Đặt món",
+        href: "/ordering",
+        iconName: "Utensils",
+        resource: "ordering",
+      },
+      {
+        title: "Nhận món",
+        href: "/pickup",
+        iconName: "Hand",
+        resource: "pickup",
+      },
+    ],
+  },
+];
+
+/** Phiên có đúng bộ quyền được liệt kê, không phải admin. */
+function session(roles: string[], perms: Record<string, string[]>) {
+  return {
+    user: {
+      id: "u1",
+      roles,
+      permissionMap: perms,
+    },
+  } as any;
+}
+
+function fakePrisma(
+  rows: Array<{ landingPath: string | null }>,
+  opts?: { withColumn?: boolean; withRank?: boolean },
+) {
+  const findMany = vi.fn().mockResolvedValue(rows);
+  const role: any = { findMany };
+  if (opts?.withColumn !== false) {
+    role.fields = { landingPath: {} };
+    if (opts?.withRank !== false) role.fields.rank = {};
+  }
+  return { prisma: { role } as any, findMany };
+}
+
+describe("createLandingPathResolver", () => {
+  it("dùng landingPath của vai trò khi quyền còn hợp lệ", async () => {
+    const { prisma } = fakePrisma([{ landingPath: "/pickup" }]);
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(
+      resolve(session(["kitchen"], { pickup: ["view"] }), "vi"),
+    ).resolves.toBe("/vi/pickup");
+  });
+
+  it("bỏ qua landingPath đã mất quyền, rơi về mục menu đầu tiên mở được", async () => {
+    const { prisma } = fakePrisma([{ landingPath: "/pickup" }]);
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(
+      resolve(session(["staff"], { ordering: ["view"] }), "vi"),
+    ).resolves.toBe("/vi/profile");
+  });
+
+  it("bỏ qua landingPath không có trên menu (trang đã bị gỡ)", async () => {
+    const { prisma } = fakePrisma([{ landingPath: "/da-xoa" }]);
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(
+      resolve(session(["staff"], { ordering: ["view"] }), "vi"),
+    ).resolves.toBe("/vi/profile");
+  });
+
+  it("người kiêm nhiều vai đi theo dòng đầu tiên DB trả về (rank asc)", async () => {
+    const { prisma, findMany } = fakePrisma([
+      { landingPath: "/" },
+      { landingPath: "/pickup" },
+    ]);
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(
+      resolve(
+        session(["admin", "kitchen"], { dashboard: ["view"], pickup: ["view"] }),
+        "vi",
+      ),
+    ).resolves.toBe("/vi");
+    expect(findMany.mock.calls[0][0].orderBy).toEqual({ rank: "asc" });
+  });
+
+  it("app không có cột `rank` (vinhhoa) thì không sắp xếp, vẫn chạy", async () => {
+    const { prisma, findMany } = fakePrisma([{ landingPath: "/pickup" }], {
+      withRank: false,
+    });
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(
+      resolve(session(["kitchen"], { pickup: ["view"] }), "vi"),
+    ).resolves.toBe("/vi/pickup");
+    expect(findMany.mock.calls[0][0].orderBy).toBeUndefined();
+  });
+
+  it("app chưa migrate cột thì không hỏi DB, vẫn trả mục menu đầu tiên", async () => {
+    const { prisma, findMany } = fakePrisma([], { withColumn: false });
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(
+      resolve(session(["kitchen"], { pickup: ["view"] }), "vi"),
+    ).resolves.toBe("/vi/profile");
+    expect(findMany).not.toHaveBeenCalled();
+  });
+
+  it("mục không khai resource là trang ai đăng nhập cũng mở được", async () => {
+    const { prisma } = fakePrisma([{ landingPath: null }]);
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(resolve(session(["nobody"], {}), "vi")).resolves.toBe(
+      "/vi/profile",
+    );
+  });
+
+  it("chưa đăng nhập thì về trang đăng nhập", async () => {
+    const { prisma } = fakePrisma([]);
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(resolve(null, "vi")).resolves.toBe("/vi/sign-in");
+  });
+});

package/src/rbac/__tests__/route-handlers.test.ts

@@ -0,0 +1,147 @@
+/* eslint-disable @typescript-eslint/no-explicit-any */
+// `Role.landingPath` là cột BỔ SUNG: chỉ app nào đã migrate mới có. Hai app
+// đang chạy thật dùng chung core này, nên handler phải tự dò và im lặng bỏ qua
+// — ghi bừa một cột không tồn tại là 500 ở mọi lần lưu vai trò.
+//
+// Đây cũng là chỗ chặn đường dẫn ra ngoài: `landingPath` là nơi người dùng bị
+// đưa tới ngay sau khi đăng nhập, để lọt "//host" là mở đường phishing.
+
+import { describe, expect, it } from "vitest";
+
+import {
+  createRoleItemHandlers,
+  createRolesCollectionHandlers,
+} from "../route-handlers";
+
+function fakeDb(opts: { withLandingPath: boolean }) {
+  const existing = {
+    id: "r1",
+    code: "staff",
+    name: "Nhân viên",
+    description: "",
+    status: "active",
+    landingPath: null as string | null,
+    rolePermissions: [],
+  };
+  const created: any[] = [];
+  const updated: any[] = [];
+
+  const tx = {
+    role: {
+      create: async ({ data }: any) => {
+        created.push(data);
+        return { ...existing, ...data };
+      },
+      update: async ({ data }: any) => {
+        updated.push(data);
+        return { ...existing, ...data };
+      },
+    },
+    rolePermission: {
+      deleteMany: async () => undefined,
+      createMany: async () => undefined,
+    },
+  };
+
+  const role: any = { findUnique: async () => existing };
+  // Prisma sinh sẵn `model.fields` — chỉ có khi schema thật khai cột đó.
+  if (opts.withLandingPath) role.fields = { landingPath: { name: "landingPath" } };
+
+  const prisma: any = {
+    role,
+    systemConfig: { upsert: async () => undefined },
+    $transaction: async (fn: any) => fn(tx),
+  };
+
+  const deps = {
+    prisma,
+    getSession: async () => ({ user: { id: "u1" } }),
+    getCrudPermissions: async () => ({
+      read: true,
+      create: true,
+      update: true,
+      delete: true,
+    }),
+  };
+
+  return { deps, created, updated };
+}
+
+const post = (body: unknown) =>
+  new Request("http://app.test/api/roles", {
+    method: "POST",
+    body: JSON.stringify(body),
+  });
+
+const put = (body: unknown) =>
+  new Request("http://app.test/api/roles/r1", {
+    method: "PUT",
+    body: JSON.stringify(body),
+  });
+
+const ctx = { params: Promise.resolve({ id: "r1" }) };
+
+describe("roles route handlers — landingPath", () => {
+  it("ghi landingPath khi app ĐÃ có cột", async () => {
+    const { deps, created } = fakeDb({ withLandingPath: true });
+    const res = await createRolesCollectionHandlers(deps as any).POST(
+      post({ code: "staff", name: "Nhân viên", landingPath: "/ordering" })
+    );
+
+    expect(res.status).toBe(201);
+    expect(created[0].landingPath).toBe("/ordering");
+  });
+
+  it("app CHƯA migrate: không đưa landingPath vào data (không làm 500)", async () => {
+    const { deps, created } = fakeDb({ withLandingPath: false });
+    const res = await createRolesCollectionHandlers(deps as any).POST(
+      post({ code: "staff", name: "Nhân viên", landingPath: "/ordering" })
+    );
+
+    expect(res.status).toBe(201);
+    expect(created[0]).not.toHaveProperty("landingPath");
+  });
+
+  it("không gửi khóa landingPath thì KHÔNG đụng giá trị đang có", async () => {
+    const { deps, updated } = fakeDb({ withLandingPath: true });
+    await createRoleItemHandlers(deps as any).PUT(
+      put({ name: "Nhân viên" }),
+      ctx as any
+    );
+
+    expect(updated[0]).not.toHaveProperty("landingPath");
+  });
+
+  it("chuỗi rỗng = trả về 'tự suy ra' (null)", async () => {
+    const { deps, updated } = fakeDb({ withLandingPath: true });
+    await createRoleItemHandlers(deps as any).PUT(
+      put({ name: "Nhân viên", landingPath: "" }),
+      ctx as any
+    );
+
+    expect(updated[0].landingPath).toBeNull();
+  });
+
+  it.each(["//evil.example/x", "https://evil.example", "javascript:alert(1)", "ordering"])(
+    "chặn đường dẫn ra ngoài app: %s",
+    async (value) => {
+      const { deps, updated } = fakeDb({ withLandingPath: true });
+      await createRoleItemHandlers(deps as any).PUT(
+        put({ name: "Nhân viên", landingPath: value }),
+        ctx as any
+      );
+
+      expect(updated[0].landingPath).toBeNull();
+    }
+  );
+
+  it("GET trả landingPath để form sửa prefill được", async () => {
+    const { deps } = fakeDb({ withLandingPath: true });
+    const res = await createRoleItemHandlers(deps as any).GET(
+      new Request("http://app.test/api/roles/r1"),
+      ctx as any
+    );
+
+    expect(await res.json()).toMatchObject({ landingPath: null });
+  });
+});