@goplusvn/core 0.1.76 → 0.1.78

package/src/rbac/landing-path.ts

@@ -0,0 +1,140 @@
+import { cache } from "react";
+
+import type { NavigationType } from "../types";
+import type { Session } from "../auth";
+import { checkPermission } from "../auth";
+
+/**
+ * TRANG MỞ ĐẦU của một người — nơi đưa họ tới sau khi đăng nhập, và nơi đá về
+ * khi họ mở một trang không có quyền.
+ *
+ * Mặc định của mọi app là cắm cứng "/" cho tất cả. Hệ quả: người chỉ có một
+ * phần việc (đặt cơm, nhận món, chấm công) vẫn bị ném vào bảng số liệu tổng —
+ * và khi trang chủ có quyền riêng thì "/" còn là ngõ cụt thật sự với họ.
+ *
+ * Thứ tự quyết định, dừng ở cái đầu tiên hợp lệ:
+ *
+ *  1. `landingPath` của vai trò, ưu tiên vai trò MẠNH nhất (`rank` nhỏ nhất) —
+ *     người kiêm nhiều vai vào trang của vai cao nhất.
+ *  2. Mục ĐẦU TIÊN trên menu mà họ mở được, theo đúng thứ tự sidebar.
+ *  3. "/" — chịu thua, để trang chủ tự nói là chưa có quyền.
+ *
+ * Bước 1 LUÔN kiểm tra lại quyền thật. Cấu hình nhập một lần rồi quyền đổi sau
+ * đó; một `landingPath` trỏ tới trang người ta không mở được sẽ thành vòng
+ * chuyển hướng vô hạn — người dùng chỉ thấy trình duyệt quay mãi.
+ */
+
+/** Chỉ cần đúng một câu hỏi trên bảng `roles` — app truyền client nào cũng được. */
+export interface LandingPrismaClient {
+  role: {
+    findMany: (args: any) => Promise<Array<{ landingPath?: string | null }>>;
+    // `fields` của Prisma là object sinh sẵn theo model, không có index
+    // signature — khai lỏng để client thật của app nào cũng khớp.
+    fields?: object;
+  };
+}
+
+export interface LandingPathDeps {
+  prisma: LandingPrismaClient;
+  /** Cây menu GỐC của app (chưa lọc quyền) — thứ tự ở đây là thứ tự ưu tiên. */
+  navigations: readonly NavigationType[];
+}
+
+/**
+ * Chuẩn hoá giá trị người dùng nhập/chọn trước khi ghi DB. Chỉ nhận đường dẫn
+ * NỘI BỘ; rỗng hoặc bậy = "tự suy ra" (null).
+ *
+ * "//host" là URL giao thức tương đối — chặn, nếu không cấu hình vai trò thành
+ * chỗ đá người dùng sang tên miền lạ ngay sau khi đăng nhập.
+ */
+export function normalizeLandingPath(value: unknown): string | null {
+  if (typeof value !== "string") return null;
+  const path = value.trim();
+  if (!path.startsWith("/") || path.startsWith("//")) return null;
+  return path;
+}
+
+interface Leaf {
+  href: string;
+  resource?: string;
+  action?: string;
+}
+
+/** Mọi mục có `href`, phẳng ra theo đúng thứ tự hiển thị trên sidebar. */
+function menuLeaves(navigations: readonly NavigationType[]): Leaf[] {
+  const out: Leaf[] = [];
+  const walk = (items: readonly unknown[]) => {
+    for (const raw of items) {
+      const item = raw as {
+        href?: string;
+        resource?: string;
+        action?: string;
+        items?: readonly unknown[];
+      };
+      if (item.items?.length) {
+        walk(item.items);
+        continue;
+      }
+      if (item.href) {
+        out.push({
+          href: item.href,
+          resource: item.resource,
+          action: item.action,
+        });
+      }
+    }
+  };
+  for (const group of navigations) walk(group.items ?? []);
+  return out;
+}
+
+/** Mục không khai `resource` là trang công khai với người đã đăng nhập. */
+function canOpen(session: Session, leaf: Leaf): boolean {
+  if (!leaf.resource) return true;
+  return checkPermission(session, leaf.resource, leaf.action ?? "view");
+}
+
+const withLocale = (locale: string, href: string) =>
+  href === "/" ? `/${locale}` : `/${locale}${href}`;
+
+/**
+ * App nào CHƯA migrate cột `landing_path` thì bỏ qua bước 1, vẫn chạy bình
+ * thường bằng mục menu đầu tiên — hỏi cột không tồn tại là Prisma ném thẳng.
+ */
+const hasField = (prisma: LandingPrismaClient, field: string) =>
+  Boolean((prisma as any)?.role?.fields?.[field]);
+
+const hasLandingPath = (prisma: LandingPrismaClient) =>
+  hasField(prisma, "landingPath");
+
+export function createLandingPathResolver({
+  prisma,
+  navigations,
+}: LandingPathDeps) {
+  return cache(
+    async (session: Session | null, locale: string): Promise<string> => {
+      if (!session?.user) return `/${locale}/sign-in`;
+
+      const leaves = menuLeaves(navigations);
+      const roleCodes = ((session.user as any).roles ?? []) as string[];
+
+      if (roleCodes.length > 0 && hasLandingPath(prisma)) {
+        const configured = await prisma.role.findMany({
+          where: { code: { in: roleCodes }, landingPath: { not: null } },
+          select: { landingPath: true },
+          // `rank` nhỏ = quyền lực cao. App nào chưa có cột `rank` (vinhhoa) thì
+          // bỏ orderBy — sắp theo cột không tồn tại là Prisma ném.
+          ...(hasField(prisma, "rank") ? { orderBy: { rank: "asc" } } : {}),
+        });
+        for (const role of configured) {
+          const leaf = leaves.find((l) => l.href === role.landingPath);
+          if (leaf && canOpen(session, leaf))
+            return withLocale(locale, leaf.href);
+        }
+      }
+
+      const first = leaves.find((l) => canOpen(session, l));
+      return withLocale(locale, first?.href ?? "/");
+    },
+  );
+}

package/src/rbac/pages/role-form-page.tsx

@@ -42,6 +42,7 @@ import {
   ChevronDown,
   ChevronRight,
   Copy,
+  House,
   Info,
   LayoutTemplate,
   Save,
@@ -76,6 +77,9 @@ const DEFAULT_ACTION_LABELS: Record<string, ActionLabelConfig> = {
 // Thứ tự hiển thị action trong một trang: CRUD chuẩn trước, nghiệp vụ sau.
 const STANDARD_ORDER = ["create", "update", "delete", "export", "import"]
 
+/** Radix Select không nhận value rỗng — dùng mã riêng cho "tự suy ra". */
+const LANDING_AUTO = "__auto__"
+
 /** Bộ quyền mẫu áp khi TẠO vai trò mới (consumer định nghĩa). */
 export interface RoleTemplate {
   code: string
@@ -136,6 +140,8 @@ export interface RoleFormPageProps {
     description: string | undefined
     status: string
     permissions: string[]
+    /** Trang mở đầu của vai trò. Null/undefined = tự suy ra. */
+    landingPath?: string | null
   }
   actionLabels?: Record<string, ActionLabelConfig>
   roleTemplates?: RoleTemplate[]
@@ -189,6 +195,8 @@ export function RoleFormPage({
     description: initialData?.description || "",
     status: (initialData?.status || "active") as "active" | "inactive",
     permissions: initialData?.permissions || ([] as string[]),
+    // "" = tự suy ra (mục đầu tiên trên menu mà vai trò này mở được).
+    landingPath: initialData?.landingPath || "",
   })
 
   const getLocalizedName = React.useCallback(
@@ -436,6 +444,30 @@ export function RoleFormPage({
     })
   }
 
+  // ── Trang mở đầu của vai trò ──────────────────────────────────────────
+  // Chỉ cho chọn trang mà vai trò này THẬT SỰ mở được: đặt trang chưa cấp
+  // quyền làm nơi hạ cánh là đá người ta vào tường ngay sau khi đăng nhập.
+  const landingOptions = React.useMemo(() => {
+    const byHref = new Map<string, { href: string; label: string }>()
+    tree.forEach((section) =>
+      section.items.forEach((i) => {
+        if (!i.href || i.note || !has(i.resource, "view")) return
+        // Hai mục cùng href (vd trang chi tiết gắn 2 chỗ) — giữ mục đầu.
+        if (!byHref.has(i.href))
+          byHref.set(i.href, {
+            href: i.href,
+            label: `${section.title} · ${i.title}`,
+          })
+      })
+    )
+    return Array.from(byHref.values())
+  }, [tree, has])
+
+  /** Đã cấu hình nhưng quyền bị gỡ sau đó — vẫn hiện để admin thấy mà sửa. */
+  const landingStale =
+    formData.landingPath !== "" &&
+    !landingOptions.some((o) => o.href === formData.landingPath)
+
   const applyTemplate = (templateCode: string) => {
     const tpl = roleTemplates?.find((t) => t.code === templateCode)
     if (!tpl) return
@@ -854,6 +886,73 @@ export function RoleFormPage({
             </div>
           )}
 
+          {/* Trang mở đầu — nơi vai trò này hạ cánh sau khi đăng nhập */}
+          <div className="flex items-center gap-1.5">
+            <House className="h-3.5 w-3.5 text-muted-foreground" />
+            <span className="text-xs text-muted-foreground">
+              Trang mở đầu:
+            </span>
+            <Select
+              value={formData.landingPath || LANDING_AUTO}
+              onValueChange={(v) =>
+                setFormData({
+                  ...formData,
+                  landingPath: v === LANDING_AUTO ? "" : v,
+                })
+              }
+            >
+              <SelectTrigger
+                className={cn(
+                  "h-8 w-52 rounded-md border border-border bg-card text-sm",
+                  landingStale && "border-amber-500 text-amber-700 dark:text-amber-400"
+                )}
+              >
+                <SelectValue>
+                  {!formData.landingPath
+                    ? "Tự động"
+                    : landingStale
+                      ? `${formData.landingPath} · chưa cấp quyền`
+                      : landingOptions.find(
+                          (o) => o.href === formData.landingPath
+                        )?.label}
+                </SelectValue>
+              </SelectTrigger>
+              <SelectContent className="rounded-lg">
+                <SelectItem value={LANDING_AUTO}>
+                  <span className="flex flex-col">
+                    <span>Tự động</span>
+                    <span className="text-[11px] text-muted-foreground">
+                      Menu đầu tiên vai trò này mở được
+                    </span>
+                  </span>
+                </SelectItem>
+                {/* Cấu hình cũ trỏ tới trang vừa bị gỡ quyền — giữ lại trong
+                    danh sách, nếu không nó biến mất im lặng và admin tưởng
+                    mình chưa từng đặt. */}
+                {landingStale && (
+                  <SelectItem value={formData.landingPath}>
+                    <span className="flex flex-col">
+                      <span>{formData.landingPath}</span>
+                      <span className="text-[11px] text-amber-600 dark:text-amber-400">
+                        Chưa cấp quyền vào trang này
+                      </span>
+                    </span>
+                  </SelectItem>
+                )}
+                {landingOptions.map((o) => (
+                  <SelectItem key={o.href} value={o.href}>
+                    <span className="flex flex-col">
+                      <span>{o.label}</span>
+                      <span className="text-[11px] text-muted-foreground">
+                        {o.href}
+                      </span>
+                    </span>
+                  </SelectItem>
+                ))}
+              </SelectContent>
+            </Select>
+          </div>
+
           <p className="ml-auto whitespace-nowrap text-xs text-muted-foreground">
             <span className="font-semibold tabular-nums text-foreground">
               {formData.permissions.length}

package/src/rbac/route-handlers.ts

@@ -14,6 +14,7 @@
 //   });
 
 import { getRolesData, type RoleServiceSchema } from "./role-service";
+import { normalizeLandingPath } from "./landing-path";
 import {
   bumpPermissionsVersion,
   getPermissionsVersion,
@@ -46,6 +47,18 @@ async function writePermissions(tx: any, roleCode: string, permissions: string[]
   if (rows.length) await tx.rolePermission.createMany({ data: rows, skipDuplicates: true });
 }
 
+// ── Trang mở đầu theo vai trò (`Role.landingPath`) ─────────────────────────
+// Cột BỔ SUNG: app nào chưa migrate thì handler phải im lặng bỏ qua, không ném
+// — hai app đang chạy thật vẫn dùng core này. Dò bằng `prisma.role.fields`
+// (Prisma sinh sẵn), rẻ và đúng với schema THẬT của app chứ không đoán.
+const hasLandingPath = (prisma: any) => Boolean(prisma?.role?.fields?.landingPath);
+
+/** Mảnh `data` để ghép vào create/update — rỗng khi app chưa có cột. */
+function landingPathData(prisma: any, body: any) {
+  if (!hasLandingPath(prisma) || !("landingPath" in (body ?? {}))) return {};
+  return { landingPath: normalizeLandingPath(body.landingPath) };
+}
+
 // GET (list, schema-tolerant) + POST (create + permissions) for /api/roles.
 export function createRolesCollectionHandlers(deps: RbacHandlerDeps) {
   const { prisma, getSession, getCrudPermissions, schema, onError } = deps;
@@ -87,7 +100,13 @@ export function createRolesCollectionHandlers(deps: RbacHandlerDeps) {
       const permissions: string[] = Array.isArray(body.permissions) ? body.permissions : [];
       const role = await prisma.$transaction(async (tx: any) => {
         const created = await tx.role.create({
-          data: { code, name, description: body.description ?? null, status: body.status ?? "active" },
+          data: {
+            code,
+            name,
+            description: body.description ?? null,
+            status: body.status ?? "active",
+            ...landingPathData(prisma, body),
+          },
         });
         await writePermissions(tx, created.code, permissions);
         return created;
@@ -126,6 +145,7 @@ export function createRoleItemHandlers(deps: RbacHandlerDeps) {
         name: role.name,
         description: role.description ?? "",
         status: role.status,
+        landingPath: role.landingPath ?? null,
         permissions: role.rolePermissions.map((p: any) => `${p.actionCode}:${p.resourceCode}`),
       });
     } catch (e) {
@@ -151,6 +171,7 @@ export function createRoleItemHandlers(deps: RbacHandlerDeps) {
             name: (body.name ?? existing.name).trim(),
             description: body.description ?? existing.description,
             status: body.status ?? existing.status,
+            ...landingPathData(prisma, body),
           },
         });
         await writePermissions(tx, updated.code, permissions);

package/src/schemas/role.schema.ts

@@ -6,6 +6,12 @@ export const roleSchema = z.object({
   description: z.string().optional(),
   status: z.enum(["active", "inactive"]).default("active"),
   permissions: z.array(z.string()).optional(),
+  /**
+   * Trang mở đầu của vai trò (`Role.landingPath`). Rỗng = "tự suy ra".
+   * Route phải lọc lại bằng `normalizeLandingPath` (@goerp/core/rbac/landing-path)
+   * trước khi ghi — schema chỉ nhận kiểu, không phán đường dẫn có an toàn không.
+   */
+  landingPath: z.string().optional().nullable(),
 });
 
 export type RoleFormData = z.infer<typeof roleSchema>;

package/src/ui/auth/sign-in-form.tsx

@@ -47,6 +47,18 @@ export interface SignInFormProps {
   /** Ghi đè nhãn ô định danh (vd "Email hoặc mã nhân viên"). */
   identifierLabel?: string;
   identifierPlaceholder?: string;
+  /**
+   * Endpoint trả `{ path }` — TRANG MỞ ĐẦU của chính người vừa đăng nhập.
+   *
+   * Chỉ hỏi được SAU khi đăng nhập xong (trước đó server chưa biết là ai), nên
+   * không thể gói vào `?redirectTo=`. Không khai prop này thì mọi thứ y như cũ:
+   * về `?redirectTo=` / NEXT_PUBLIC_HOME_PATHNAME / "/".
+   *
+   * Hỏng mạng hay trả bậy đều bỏ qua, vẫn về đường mặc định — chặn đăng nhập
+   * thành công rồi kẹt ở màn hình trắng là cái giá quá đắt cho một gợi ý điều
+   * hướng.
+   */
+  landingEndpoint?: string;
 }
 
 const IDENTIFIER_PRESETS = {
@@ -80,6 +92,7 @@ export function SignInForm({
   identifier = "email",
   identifierLabel,
   identifierPlaceholder,
+  landingEndpoint,
 }: SignInFormProps = {}) {
   const preset = IDENTIFIER_PRESETS[identifier];
   const schema = React.useMemo(
@@ -98,10 +111,9 @@ export function SignInForm({
   const { clearAllCache } = useTabContentCache();
   const { clearTabs } = useTabNavigation();
 
+  const explicitRedirect = searchParams.get("redirectTo");
   const redirectPathname =
-    searchParams.get("redirectTo") ||
-    process.env.NEXT_PUBLIC_HOME_PATHNAME ||
-    "/";
+    explicitRedirect || process.env.NEXT_PUBLIC_HOME_PATHNAME || "/";
 
   const form = useForm<SignInFormType>({
     resolver: zodResolver(schema),
@@ -145,7 +157,27 @@ export function SignInForm({
         // Best-effort only
       }
 
-      router.push(redirectPathname);
+      // `?redirectTo=` là chỗ người dùng đang muốn tới trước khi bị đòi đăng
+      // nhập — luôn thắng trang mở đầu của vai trò.
+      let target = redirectPathname;
+      if (landingEndpoint && !explicitRedirect) {
+        try {
+          const res = await fetch(landingEndpoint);
+          const data = await res.json();
+          // Chỉ nhận đường dẫn nội bộ ("//host" là URL giao thức tương đối).
+          if (
+            typeof data?.path === "string" &&
+            data.path.startsWith("/") &&
+            !data.path.startsWith("//")
+          ) {
+            target = data.path;
+          }
+        } catch {
+          // Giữ đường mặc định — đăng nhập đã thành công rồi.
+        }
+      }
+
+      router.push(target);
     } catch (error) {
       const rawMessage =
         error instanceof Error ? error.message : "Đăng nhập thất bại";

package/src/user/components/unified-profile-dialog.tsx

@@ -52,6 +52,25 @@ interface UnifiedProfileDialogProps {
   onSaveProfile?: (data: any, id?: string) => Promise<void>;
   onSaveRoles?: (userId: string, roleCodes: string[]) => Promise<void>;
   onSavePassword?: (userId: string, password: string) => Promise<void>;
+  /**
+   * Bật ô chọn KHÔNG GIAN LÀM VIỆC bằng cách trỏ tới API cây không gian
+   * (thường `/api/workspaces`). Bỏ trống ⇒ không fetch, không render, hộp thoại
+   * y hệt trước — app chưa bật tính năng workspace (vinhhoa) không đổi một pixel.
+   */
+  workspaceApiUrl?: string;
+  /** Nhãn theo nghiệp vụ của app: "Đơn vị", "Tổ chức", "Chi nhánh"… */
+  workspaceLabel?: string;
+}
+
+/** Cây → danh sách phẳng, giữ thứ tự duyệt để dòng con nằm ngay dưới dòng cha. */
+function flattenWorkspaceTree(
+  nodes: any[],
+  depth = 0,
+): { id: string; name: string; depth: number }[] {
+  return (nodes ?? []).flatMap((node) => [
+    { id: node.id, name: node.name, depth },
+    ...flattenWorkspaceTree(node.children ?? [], depth + 1),
+  ]);
 }
 
 const fetcher = async (url: string) => {
@@ -87,6 +106,8 @@ export function UnifiedProfileDialog({
   onSaveProfile,
   onSaveRoles,
   onSavePassword,
+  workspaceApiUrl,
+  workspaceLabel = "Không gian làm việc",
 }: UnifiedProfileDialogProps) {
   // -- Data Fetching --
   const { data: departments } = useSWR<{ id: string; name: string }[]>(
@@ -109,6 +130,16 @@ export function UnifiedProfileDialog({
     "/api/branches",
     fetcher,
   );
+  // Key `null` ⇒ SWR không gọi gì cả. App chưa bật workspace không phát sinh
+  // thêm một request nào.
+  const { data: workspaceTree } = useSWR<any[]>(
+    workspaceApiUrl ?? null,
+    fetcher,
+  );
+  const workspaces = useMemo(
+    () => flattenWorkspaceTree(workspaceTree ?? []),
+    [workspaceTree],
+  );
 
   // -- State --
   const [activeSection, setActiveSection] = useState("general");
@@ -121,6 +152,10 @@ export function UnifiedProfileDialog({
   const [selectedRoles, setSelectedRoles] = useState<string[]>([]);
   const [selectedBranches, setSelectedBranches] = useState<string[]>([]);
   const [defaultBranchId, setDefaultBranchId] = useState<string | null>(null);
+  const [selectedWorkspaces, setSelectedWorkspaces] = useState<string[]>([]);
+  const [defaultWorkspaceId, setDefaultWorkspaceId] = useState<string | null>(
+    null,
+  );
   const [passwordData, setPasswordData] = useState({
     password: "",
     confirm: "",
@@ -193,6 +228,8 @@ export function UnifiedProfileDialog({
         setSelectedRoles([]);
         setSelectedBranches([]);
         setDefaultBranchId(null);
+        setSelectedWorkspaces([]);
+        setDefaultWorkspaceId(null);
         setPasswordData({ password: "", confirm: "" });
         setEnableAccount(false);
       } else {
@@ -226,6 +263,10 @@ export function UnifiedProfileDialog({
         setDefaultBranchId(
           d.defaultBranchId || (d.branchIds && d.branchIds[0]) || null,
         );
+        setSelectedWorkspaces(d.workspaceIds || []);
+        setDefaultWorkspaceId(
+          d.defaultWorkspaceId || (d.workspaceIds && d.workspaceIds[0]) || null,
+        );
         setPasswordData({ password: "", confirm: "" });
         // Enable account if user has roles or if it's not a customer (employees always have accounts?)
         // For now, if roles exist, we assume account is enabled.
@@ -245,6 +286,38 @@ export function UnifiedProfileDialog({
     }
   }, [open, branches, mode, data]);
 
+  // Chỉ có đúng một không gian để chọn thì chọn sẵn — cùng cách cư xử với ô chi
+  // nhánh ngay bên cạnh, đỡ một cú bấm bắt buộc mà không có lựa chọn nào khác.
+  useEffect(() => {
+    if (!open || !workspaceApiUrl || workspaces.length !== 1) return;
+    if (mode === "create" && selectedWorkspaces.length === 0) {
+      setSelectedWorkspaces([workspaces[0].id]);
+      setDefaultWorkspaceId(workspaces[0].id);
+    }
+    // eslint-disable-next-line react-hooks/exhaustive-deps
+  }, [open, workspaces, mode, workspaceApiUrl]);
+
+  // -- Workspace selection helpers — giữ đúng khuôn của cặp hàm chi nhánh dưới đây.
+  const toggleWorkspace = (workspaceId: string) => {
+    if (selectedWorkspaces.includes(workspaceId)) {
+      const next = selectedWorkspaces.filter((id) => id !== workspaceId);
+      setSelectedWorkspaces(next);
+      if (defaultWorkspaceId === workspaceId) {
+        setDefaultWorkspaceId(next[0] ?? null);
+      }
+    } else {
+      setSelectedWorkspaces([...selectedWorkspaces, workspaceId]);
+      if (!defaultWorkspaceId) setDefaultWorkspaceId(workspaceId);
+    }
+  };
+
+  const markDefaultWorkspace = (workspaceId: string) => {
+    if (!selectedWorkspaces.includes(workspaceId)) {
+      setSelectedWorkspaces((prev) => [...prev, workspaceId]);
+    }
+    setDefaultWorkspaceId(workspaceId);
+  };
+
   // -- Branch selection helpers --
   // Toggle a branch's membership while keeping a valid default branch.
   const toggleBranch = (branchId: string) => {
@@ -311,6 +384,16 @@ export function UnifiedProfileDialog({
             : (selectedBranches[0] ?? null),
       };
 
+      // Chỉ gửi khi app bật tính năng — gửi mảng rỗng lên app chưa bật là mời
+      // route xoá sạch membership của người đang sửa.
+      if (workspaceApiUrl) {
+        payload.workspaceIds = selectedWorkspaces;
+        payload.defaultWorkspaceId =
+          defaultWorkspaceId && selectedWorkspaces.includes(defaultWorkspaceId)
+            ? defaultWorkspaceId
+            : (selectedWorkspaces[0] ?? null);
+      }
+
       // Handle Password for Customer
       if (isCustomer) {
         if (enableAccount) {
@@ -943,6 +1026,83 @@ export function UnifiedProfileDialog({
                           })}
                         </div>
                       </div>
+
+                      {workspaceApiUrl ? (
+                        <div className="col-span-2 space-y-3 pt-2">
+                          <div className="flex items-center justify-between gap-3 flex-wrap">
+                            <Label className="text-[13px] font-medium text-foreground">
+                              {workspaceLabel}
+                            </Label>
+                            <span className="inline-flex items-center gap-1 text-[12px] text-muted-foreground">
+                              <Star className="h-3 w-3" />
+                              Đánh dấu một mục mặc định
+                            </span>
+                          </div>
+                          {workspaces.length === 0 ? (
+                            // Rỗng ở đây gần như luôn là "ngoài phạm vi của bạn",
+                            // không phải "hệ thống chưa có" — nói rõ để khỏi
+                            // tưởng mất dữ liệu.
+                            <p className="text-[13px] text-muted-foreground">
+                              Không có mục nào trong phạm vi của bạn.
+                            </p>
+                          ) : (
+                            <div className="grid grid-cols-1 sm:grid-cols-2 gap-3">
+                              {workspaces.map((ws) => {
+                                const isSelected = selectedWorkspaces.includes(
+                                  ws.id,
+                                );
+                                const isDefault =
+                                  isSelected && defaultWorkspaceId === ws.id;
+                                return (
+                                  <div
+                                    key={ws.id}
+                                    className={cn(
+                                      "flex items-center gap-3 p-3 rounded-md border cursor-pointer hover:bg-accent/50 transition-colors",
+                                      isSelected
+                                        ? "border-primary bg-primary/5"
+                                        : "bg-background border-border",
+                                    )}
+                                    onClick={() => toggleWorkspace(ws.id)}
+                                  >
+                                    <Checkbox
+                                      checked={isSelected}
+                                      className="data-[state=checked]:bg-primary data-[state=checked]:border-primary"
+                                    />
+                                    <span
+                                      className="flex-1 text-sm font-medium text-foreground truncate"
+                                      // Thụt theo cấp để dòng con đọc ra là con
+                                      // của dòng ngay trên nó.
+                                      style={{ paddingLeft: ws.depth * 12 }}
+                                    >
+                                      {ws.name}
+                                    </span>
+                                    {isSelected &&
+                                      (isDefault ? (
+                                        <span className="inline-flex items-center gap-1 rounded-full bg-primary px-2 py-0.5 text-[11px] font-semibold text-primary-foreground shrink-0">
+                                          <Star className="h-3 w-3 fill-current" />
+                                          Mặc định
+                                        </span>
+                                      ) : (
+                                        <button
+                                          type="button"
+                                          onClick={(e) => {
+                                            e.stopPropagation();
+                                            markDefaultWorkspace(ws.id);
+                                          }}
+                                          title="Đặt làm mặc định"
+                                          className="inline-flex items-center gap-1 rounded-full border border-border px-2 py-0.5 text-[11px] font-medium text-muted-foreground hover:border-primary/50 hover:text-primary transition-colors shrink-0"
+                                        >
+                                          <Star className="h-3 w-3" />
+                                          Đặt mặc định
+                                        </button>
+                                      ))}
+                                  </div>
+                                );
+                              })}
+                            </div>
+                          )}
+                        </div>
+                      ) : null}
                     </div>
                   </div>
                 )}

package/src/user/pages/users-client-page.tsx

@@ -37,6 +37,12 @@ interface UsersClientPageProps {
   /** Cây menu + meta action cho dialog "Quyền hiệu lực" (additive). */
   menuTree?: EffectiveMenuTreeSection[];
   actionMeta?: Record<string, { label?: string; flow?: string; description?: string }>;
+  /**
+   * Bật ô chọn không gian làm việc trong hộp thoại người dùng (additive). Bỏ
+   * trống ⇒ hộp thoại giữ nguyên như cũ, không fetch gì thêm.
+   */
+  workspaceApiUrl?: string;
+  workspaceLabel?: string;
 }
 
 const DEFAULT_PAGE_SIZE = 20;
@@ -52,6 +58,8 @@ export function UsersClientPage({
   onResetPassword,
   menuTree,
   actionMeta,
+  workspaceApiUrl,
+  workspaceLabel,
 }: UsersClientPageProps) {
   const [permUser, setPermUser] = useState<any | null>(null);
   const router = useRouter();
@@ -282,6 +290,8 @@ export function UsersClientPage({
         mode="create"
         viewMode="admin"
         roles={roles}
+        workspaceApiUrl={workspaceApiUrl}
+        workspaceLabel={workspaceLabel}
         onSaveProfile={(data) => handleUserSubmit(data)}
       />
 
@@ -294,6 +304,8 @@ export function UsersClientPage({
           mode="edit"
           viewMode="admin"
           roles={roles}
+          workspaceApiUrl={workspaceApiUrl}
+          workspaceLabel={workspaceLabel}
           onSaveProfile={handleUserSubmit}
           onSaveRoles={handleAssignRoles}
           onSavePassword={handleResetPassword}