@goplusvn/core 0.1.77 → 0.1.79

package/CHANGELOG.md

@@ -1,5 +1,61 @@
 # Changelog
 
+## 0.1.79 — Vai trò cũng có phạm vi: quản trị viên đơn vị chỉ thấy & sửa vai trò của mình
+
+Lỗ hổng đối xứng của đợt 0.1.76: người dùng đã bị kẹp theo workspace, còn VAI
+TRÒ thì không. Chặn *gán* vai trò mạnh (D4) mà để ngỏ đường *tạo* vai trò mạnh
+chỉ là hàng rào có cửa sau — admin đơn vị tạo "Trợ lý" kèm `role:update` rồi tự
+gán cho tài khoản mình vừa lập. Toàn bộ đợt này **ADDITIVE**: app không truyền
+`getDelegationActor` / `scope` chạy y như trước.
+
+- `workspace/delegation.ts` — thêm `assertCanManageRole`, `assertCanDeleteRole`,
+  `canManageRole`, `defaultRoleWorkspaceIdFor`, type `RoleDraft`. Vai trò mới bị
+  đóng dấu `workspaceId` của người tạo, ép `rank > actor.rank`, chặn quyền nguy
+  hiểm (D4) và quyền vượt trần của chính người tạo (D2).
+- `rbac/role-service.ts` — `getRolesData(db, params, schema, scope?)` nhận
+  `RoleQueryScope`: lọc theo `adminWorkspaceIds` (+ vai trò dùng chung, chỉ
+  đọc), kẹp cả mảng `users[]` nhúng trong mỗi vai trò bằng `userWhere` — trước
+  đó trang vai trò là cửa hậu xem toàn bộ danh bạ. Trả thêm `workspaceId` /
+  `isSystem` / `rank` / `canManage`.
+- `rbac/route-handlers.ts` — dep tuỳ chọn `getDelegationActor`. GET lọc theo
+  phạm vi; GET một vai trò ngoài phạm vi trả **404** (403 là xác nhận nó tồn
+  tại); POST/PUT/DELETE đi qua cổng uỷ quyền, từ chối trả 403 kèm mã D1/D2/D4.
+- `user/user-service.ts` — `getAssignableRoles(db, actor)`: ô chọn vai trò trong
+  hộp thoại người dùng chỉ hiện vai trò GÁN ĐƯỢC (D2∧D4), không còn kiểu chọn
+  xong bấm lưu mới ăn 403.
+- `rbac/pages/role-form-page.tsx` — prop `grantablePermissions`: ma trận quyền
+  cắt theo trần quyền người tạo ngay tại `resourceInfo.allowed` (mọi thứ dựng
+  trên nó tự tuân theo), mẫu vai trò cũng bị kẹp. Quyền đã cấp nằm ngoài trần
+  thì KHÔNG hiện và KHÔNG bị xoá — API từ chối lưu, thà chặn còn hơn âm thầm
+  tước quyền.
+- `rbac` UI — `Role.canManage` tắt nút Sửa/Xoá và ô nhiệt trong danh sách, kèm
+  huy hiệu "Dùng chung" / "Hệ thống" để người dùng hiểu vì sao nút biến mất.
+
+### Cô lập DỮ LIỆU theo vai trò (`Role.dataScope` → nấc phạm vi)
+
+Nửa còn lại: 0.1.76 kẹp *người dùng*, phần trên kẹp *vai trò*, nhưng **dữ liệu
+nghiệp vụ** vẫn mở. Thang 5 nấc `none | own | workspace | subtree | all` (Δ1,
+kiểu Dynamics 365) trước đây là code chết — nay được đấu vào phạm vi thật.
+
+Quyết định thiết kế đáng nhớ: bốn nấc `none/workspace/subtree/all` được **gấp
+thẳng vào `canViewAll` + `allowedIds` lúc dựng phạm vi**, nên mọi `scopedWhere`
+/ `memberScopeWhere` / guard lớp 2 đang có tự tuân theo — **không call-site nào
+phải sửa**. Chỉ nấc `own` cần biết cột chủ sở hữu nên phải khai ở call-site.
+
+- `workspace/types.ts` — `WorkspaceScope` thêm `level?` + `userId?`;
+  `WorkspaceScopeConfig` thêm `getScopeLevel?(session)` và `ownerField?`.
+- `workspace/scope.ts` — `getWorkspaceScope` áp nấc: `all` → bỏ cô lập kể cả khi
+  không có quyền view-all; `none` → sentinel; `workspace` → **không** bung con
+  cháu; `subtree`/bỏ trống → y hệt hôm nay. `scopedWhere(scope, { ownerField })`
+  và `memberScopeWhere` hiểu nấc `own`; **thiếu `ownerField` là fail-closed**
+  (khớp sentinel) chứ không âm thầm nới lên `subtree`.
+- `rbac/route-handlers.ts` — đọc/ghi `Role.dataScope` (dò cột bằng
+  `role.fields`, app chưa có cột thì bỏ qua). **Chỉ vai vận hành**
+  (`actor.canManageAll`) đặt được nấc: admin đơn vị gửi `dataScope` lên thì
+  field bị bỏ im lặng, nếu không họ tự nới tầm nhìn của chính mình.
+- `rbac/pages/role-form-page.tsx` — ô chọn "Cô lập dữ liệu" sau prop
+  `showDataScope` (app truyền `canViewAllWorkspaces(session)`).
+
 ## 0.1.76 — Multi-tenant + workspace: một cây tổ chức/chi nhánh/phòng ban, uỷ quyền cấp tài khoản trong phạm vi
 
 Nguồn: `docs/WORKSPACE-MULTITENANT-PLAN.md` + `docs/WORKSPACE-RESEARCH-IAM.md`

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@goplusvn/core",
   "description": "GoPlusVN Platform Kit - ERP kernel: layout, RBAC, CRUD, multi-tenant, system pages",
-  "version": "0.1.77",
+  "version": "0.1.79",
   "private": false,
   "publishConfig": {
     "registry": "https://registry.npmjs.org",
@@ -54,6 +54,7 @@
     "./import": "./src/import/index.ts",
     "./auth/proxy-gate": "./src/auth/proxy-gate.ts",
     "./rbac/route-handlers": "./src/rbac/route-handlers.ts",
+    "./rbac/landing-path": "./src/rbac/landing-path.ts",
     "./workspace/route-handlers": "./src/workspace/route-handlers.ts",
     "./rbac/permissions-version": "./src/rbac/permissions-version.ts",
     "./ui/shared/table-styles": "./src/ui/shared/table-styles.ts",

package/src/guardrails/__tests__/guardrails.test.ts

@@ -343,6 +343,88 @@ describe("rule bắt được vi phạm thật", () => {
     ]);
   });
 
+  /**
+   * Ca lỗi thật: tanloc-spartronics khởi tạo mà không chép
+   * `services/navigation-service.ts`, nên layout truyền thẳng cây menu xuống —
+   * vai `staff` thấy đủ mục, bấm vào mới bị cổng gác đá về (2026-08-15).
+   */
+  const NAV_RULE = "rbac/nav-filtered-by-permission";
+
+  it(`${NAV_RULE} — layout cấp menu thô cho vỏ ứng dụng thì đỏ`, () => {
+    const results = run(
+      fixture({
+        "app/[lang]/(main)/layout.tsx": [
+          'import { navigations } from "@/data/navigations"',
+          "export default function L() {",
+          "  return <MainLayout navigation={navigations} />",
+          "}",
+        ].join("\n"),
+      }),
+    );
+    expect(resultOf(results, NAV_RULE).violations).toEqual([
+      "app/[lang]/(main)/layout.tsx — cấp menu cho vỏ ứng dụng mà không lọc",
+    ]);
+  });
+
+  it(`${NAV_RULE} — lọc bằng mốc rộng hơn cổng gác trang thì đỏ`, () => {
+    const results = run(
+      fixture({
+        "app/[lang]/(main)/layout.tsx": [
+          'import { getAccessibleResources } from "@goerp/core/auth"',
+          'import { filterNavigationTree } from "@goerp/core/navigation"',
+          'import { navigations } from "@/data/navigations"',
+          "export default async function L() {",
+          // Thiếu `"view"` = "có BẤT KỲ action nào" → menu rộng hơn trang mở được.
+          "  const nav = filterNavigationTree(navigations, getAccessibleResources(session))",
+          "  return <MainLayout navigation={nav} />",
+          "}",
+        ].join("\n"),
+      }),
+    );
+    expect(resultOf(results, NAV_RULE).violations).toEqual([
+      'app/[lang]/(main)/layout.tsx — lọc menu không theo action "view"',
+    ]);
+  });
+
+  it(`${NAV_RULE} — truy sang service mà layout gọi, không dừng ở layout`, () => {
+    const results = run(
+      fixture({
+        "app/[lang]/(main)/layout.tsx": [
+          'import { getNavigationForUser } from "@/services/navigation-service"',
+          "export default async function L() {",
+          "  const nav = await getNavigationForUser()",
+          "  return <MainLayout navigation={nav} />",
+          "}",
+        ].join("\n"),
+        "services/navigation-service.ts": [
+          'import { navigationsData } from "@/data/navigations"',
+          "export async function getNavigationForUser() { return navigationsData }",
+        ].join("\n"),
+      }),
+    );
+    expect(resultOf(results, NAV_RULE).violations).toEqual([
+      "services/navigation-service.ts (qua app/[lang]/(main)/layout.tsx) — cấp menu cho vỏ ứng dụng mà không lọc",
+    ]);
+  });
+
+  it(`${NAV_RULE} — file đọc menu cho việc KHÁC không bị bắt oan`, () => {
+    // Ba ca có thật trong vinhhoa/thingtodo/spartronics: sinh registry TỪ menu,
+    // seed RBAC từ menu, và provider tra tiêu đề tab. Không chỗ nào vẽ menu.
+    const results = run(
+      fixture({
+        "configs/permissions/menu-tree.ts":
+          'import { navigations } from "@/data/navigations"\nexport const MENU_TREE = navigations',
+        "app/api/resources/sync/route.ts":
+          'import { navigationsData } from "@/data/navigations"\nexport const POST = () => sync(navigationsData)',
+        "providers/index.tsx":
+          'import { navigations } from "@/data/navigations"\nexport const P = () => <TabNavigationProvider navigations={navigations} />',
+        "app/[lang]/layout.tsx":
+          'import { P } from "@/providers"\nexport default function Root() { return <P /> }',
+      }),
+    );
+    expect(resultOf(results, NAV_RULE).violations).toEqual([]);
+  });
+
   it("rbac/* tự bỏ qua khi app không truyền registry", () => {
     const results = run(fixture({ "lib/a.ts": "export const a = 1" }));
     expect(resultOf(results, "rbac/known-actions").status).toBe(

package/src/guardrails/rules/rbac.ts

@@ -18,6 +18,41 @@ const declaredResources = (ctx: GuardrailContext) =>
     (registryOf(ctx) ?? []).flatMap((f) => f.resources.map((r) => r.code)),
   );
 
+/** Cây menu thô. Mọi app đều để ở `data/navigations` — cũng là `options.navigations`. */
+const READS_RAW_NAV = /from\s+["'][^"']*data\/navigations["']/;
+
+/** Hai lối ra hợp lệ cho việc lọc menu. */
+const FILTERS_NAV = /(buildNavigationForSession|filterNavigationTree)\s*\(/;
+
+/**
+ * Các file nguồn (rel `srcDir`) mà `code` import từ TRONG app — cả `@/x` lẫn
+ * `./x`. Trả về mọi ứng viên phần mở rộng; chỗ gọi dùng `readCodeRel` nên file
+ * không tồn tại chỉ ra chuỗi rỗng, không cần kiểm tra trước.
+ */
+function localImportsOf(code: string, fromDir: string): string[] {
+  const out: string[] = [];
+  for (const m of code.matchAll(/from\s+["'](@\/|\.\.?\/)([^"']+)["']/g)) {
+    const base =
+      m[1] === "@/"
+        ? m[2]
+        : // `./a/b` và `../a/b` — gộp về đường dẫn tương đối srcDir rồi rút gọn.
+          `${fromDir}/${m[1]}${m[2]}`
+            .split("/")
+            .reduce<string[]>((acc, seg) => {
+              if (seg === "." || seg === "") return acc;
+              if (seg === "..") {
+                acc.pop();
+                return acc;
+              }
+              acc.push(seg);
+              return acc;
+            }, [])
+            .join("/");
+    out.push(`${base}.ts`, `${base}.tsx`, `${base}/index.ts`, `${base}/index.tsx`);
+  }
+  return out;
+}
+
 const isApiFile = (rel: string) =>
   (rel.startsWith("app/api/") && rel.endsWith("/route.ts")) ||
   /^modules\/[a-z-]+\/api\//.test(rel);
@@ -202,6 +237,91 @@ export const rbacRules: GuardrailRule[] = [
     },
   },
 
+  {
+    id: "rbac/nav-filtered-by-permission",
+    title: "file nào đọc cây menu thô cũng phải lọc theo quyền",
+    why:
+      "Cây menu là bản đồ TOÀN BỘ hệ thống. Truyền thẳng nó xuống layout thì " +
+      "mọi người đăng nhập đều thấy đủ mục — vai `staff` không có một quyền " +
+      "nào trên `role`/`user` vẫn thấy Vai trò, Người dùng; bấm vào thì cổng " +
+      "gác đá về trang chủ, menu hứa một đằng trang trả lời một nẻo, và người " +
+      "dùng chỉ đọc được là 'hệ thống lỗi'. Đúng lỗi này sống trong " +
+      "tanloc-spartronics tới 2026-08-15 vì app đó khởi tạo mà không chép " +
+      "`services/navigation-service.ts` — `filterNavigationTree` có trong core " +
+      "nhưng KHÔNG một chỗ nào gọi. Ẩn ở client không cứu được: layout render " +
+      "ra HTML nên mục ẩn bằng CSS vẫn nằm nguyên trong payload gửi xuống.",
+    fix:
+      "Dùng `buildNavigationForSession(navigations, session)` của " +
+      "`@goerp/core/navigation` (fail-closed, mốc `view` sẵn), hoặc tự gọi " +
+      "`filterNavigationTree`. File chỉ đọc menu cho việc khác (breadcrumb, " +
+      "sitemap) thì khai vào `allowlists[\"rbac/nav-filtered-by-permission\"]`.",
+    run(ctx) {
+      const allowed = new Set(
+        ctx.options.allowlists["rbac/nav-filtered-by-permission"] ?? [],
+      );
+
+      const problems: string[] = [];
+      const seen = new Set<string>();
+
+      const check = (rel: string, code: string, via?: string) => {
+        if (!code || seen.has(rel) || allowed.has(rel)) return;
+        seen.add(rel);
+        const label = via ? `${rel} (qua ${via})` : rel;
+        if (!FILTERS_NAV.test(code)) {
+          problems.push(`${label} — cấp menu cho vỏ ứng dụng mà không lọc`);
+          return;
+        }
+        // Mốc lọc phải TRÙNG mốc cổng gác trang. `getAccessibleResources` bỏ
+        // trống action = "có BẤT KỲ action nào" → menu rộng hơn trang mở được.
+        // `buildNavigationForSession` đã chốt `"view"` bên trong nên không soi.
+        if (
+          /getAccessibleResources\s*\(/.test(code) &&
+          !/getAccessibleResources\s*\([^)]*["']view["']/.test(code)
+        ) {
+          problems.push(`${label} — lọc menu không theo action "view"`);
+        }
+      };
+
+      for (const file of ctx.files) {
+        const rel = ctx.rel(file);
+        const code = ctx.readCode(file);
+        // Chỉ soi chỗ menu đi VÀO GIAO DIỆN: prop `navigation` của vỏ ứng dụng
+        // (`MainLayout` của core), hoặc file layout. Quét mọi file đọc cây menu
+        // là báo oan hàng loạt — `configs/permissions/menu-tree.ts` sinh registry
+        // TỪ menu, `api/resources/sync` seed RBAC từ menu, trang audit tra nhãn
+        // resource: không chỗ nào trong số đó vẽ menu ra cả.
+        const feedsShell = /\bnavigation=\{/.test(code);
+        const isLayout = /(^|\/)layout\.tsx$/.test(rel);
+        if (!feedsShell && !isLayout) continue;
+
+        if (READS_RAW_NAV.test(code)) {
+          check(rel, code);
+          continue;
+        }
+        // Layout thường không tự đọc cây menu mà gọi một service
+        // (`getNavigationForUser`). Truy sang file đó: chính nó mới là chỗ
+        // quên lọc được, và không ai soi nó cả.
+        //
+        // CHỈ truy từ layout đang thật sự cấp `navigation=` cho vỏ. Truy từ mọi
+        // layout thì layout GỐC kéo theo `providers/index.tsx` — file này đọc
+        // cây menu để `TabNavigationProvider` tra tiêu đề tab, không vẽ menu, và
+        // bắt nó ở đây là báo oan ở cả ba app đang chạy.
+        if (!feedsShell) continue;
+        const dir = rel.split("/").slice(0, -1).join("/");
+        for (const dep of localImportsOf(code, dir)) {
+          const depCode = ctx.readCodeRel(dep);
+          if (depCode && READS_RAW_NAV.test(depCode)) check(dep, depCode, rel);
+        }
+      }
+      return problems;
+    },
+    staleAllowlist(ctx) {
+      return (
+        ctx.options.allowlists["rbac/nav-filtered-by-permission"] ?? []
+      ).filter((rel) => !ctx.existsInSrc(rel));
+    },
+  },
+
   {
     id: "rbac/gate-resource-declared",
     title: "resource mà cổng gác đều đã khai trong registry",

package/src/navigation/index.ts

@@ -2,10 +2,13 @@
 // Core navigation utilities for GoERP platform
 // Consolidated from packages/shared/navigation
 
+import { getAccessibleResources } from "../auth";
+
 import type {
   NavigationType,
   NavigationRootItem,
   NavigationNestedItem,
+  Session,
 } from "../types";
 
 /**
@@ -89,3 +92,49 @@ export function filterNavigationTree(
 
   return filteredNavigation;
 }
+
+/**
+ * Menu của MỘT session — bản ráp sẵn, đúng-mặc-định.
+ *
+ * `filterNavigationTree` ở trên là nguyên liệu, và trong hai năm nó là thứ DUY
+ * NHẤT core cung cấp: mỗi app tự viết lấy phần ráp trong
+ * `src/services/navigation-service.ts`. Bốn app, bốn bản chép tay, và mỗi bản
+ * lệch một kiểu — tanloc-spartronics thì không có file đó luôn, nên menu không
+ * hề được lọc: mọi người đăng nhập đều thấy đủ mục, bấm vào mới bị
+ * `requirePageAccess` đá về trang chủ (2026-08-15). Hàm này tồn tại để câu trả
+ * lời đúng có đúng MỘT chỗ.
+ *
+ * Ba mặc định ở đây đều là bài học đã trả giá, đừng đảo:
+ *
+ *  1. **Chưa đăng nhập ⇒ menu RỖNG.** Fail-closed. Cây menu là bản đồ toàn bộ
+ *     hệ thống; trả đầy đủ rồi tính sau là lộ cấu trúc màn hình cho người lạ.
+ *  2. **Mốc lọc mặc định là `"view"`**, TRÙNG mặc định của cổng gác trang
+ *     (`requirePageAccess(lang, resource)`). `getAccessibleResources` bỏ trống
+ *     action nghĩa là "có bất kỳ action nào" — lấy mốc đó thì menu rộng hơn
+ *     trang, tức là lại hứa một đằng trả lời một nẻo, chỉ lệch ít hơn.
+ *  3. **KHÔNG bắt lỗi.** Hai bản chép tay cũ `catch → return []`, biến sự cố DB
+ *     thành sidebar trắng trơn không lời giải thích — chế độ hỏng tệ nhất của
+ *     app RBAC: người dùng tưởng bị thu hồi quyền và đi báo lỗi sai chỗ. Cứ để
+ *     lỗi nổi lên error boundary.
+ *
+ * Core KHÔNG tự đọc session: app dùng better-auth, app dùng next-auth, và cách
+ * lấy session là thứ duy nhất khác nhau thật giữa chúng. App truyền session vào
+ * và tự bọc `cache()` của React nếu muốn gọi nhiều lần trong một request.
+ *
+ * ```ts
+ * // app/[lang]/(main)/layout.tsx
+ * const navigation = buildNavigationForSession(navigations, await getSession())
+ * ```
+ */
+export function buildNavigationForSession(
+  navigation: NavigationType[],
+  session: Session | null,
+  options: { action?: string } = {},
+): NavigationType[] {
+  if (!session?.user) return [];
+
+  return filterNavigationTree(
+    navigation,
+    getAccessibleResources(session, options.action ?? "view"),
+  );
+}

package/src/rbac/__tests__/landing-path.test.ts

@@ -0,0 +1,148 @@
+import { describe, expect, it, vi } from "vitest";
+
+import { createLandingPathResolver } from "../landing-path";
+import type { NavigationType } from "../../types";
+
+/**
+ * Ba thứ dễ hỏng ở đây, và hỏng thì người dùng KHÔNG vào được hệ thống:
+ *  - `landingPath` trỏ tới trang vai trò không còn quyền → phải bỏ qua, nếu
+ *    không sẽ là vòng chuyển hướng vô hạn.
+ *  - App chưa migrate cột → phải im lặng bỏ qua bước 1, không được ném.
+ *  - Người kiêm nhiều vai → theo vai MẠNH nhất (rank nhỏ nhất), tức theo đúng
+ *    thứ tự DB trả về.
+ */
+
+const NAV: NavigationType[] = [
+  {
+    title: "Tổng quan",
+    items: [
+      { title: "Trang chủ", href: "/", iconName: "House", resource: "dashboard" },
+      { title: "Hồ sơ", href: "/profile", iconName: "User" },
+    ],
+  },
+  {
+    title: "Bếp",
+    iconName: "Utensils",
+    items: [
+      {
+        title: "Đặt món",
+        href: "/ordering",
+        iconName: "Utensils",
+        resource: "ordering",
+      },
+      {
+        title: "Nhận món",
+        href: "/pickup",
+        iconName: "Hand",
+        resource: "pickup",
+      },
+    ],
+  },
+];
+
+/** Phiên có đúng bộ quyền được liệt kê, không phải admin. */
+function session(roles: string[], perms: Record<string, string[]>) {
+  return {
+    user: {
+      id: "u1",
+      roles,
+      permissionMap: perms,
+    },
+  } as any;
+}
+
+function fakePrisma(
+  rows: Array<{ landingPath: string | null }>,
+  opts?: { withColumn?: boolean; withRank?: boolean },
+) {
+  const findMany = vi.fn().mockResolvedValue(rows);
+  const role: any = { findMany };
+  if (opts?.withColumn !== false) {
+    role.fields = { landingPath: {} };
+    if (opts?.withRank !== false) role.fields.rank = {};
+  }
+  return { prisma: { role } as any, findMany };
+}
+
+describe("createLandingPathResolver", () => {
+  it("dùng landingPath của vai trò khi quyền còn hợp lệ", async () => {
+    const { prisma } = fakePrisma([{ landingPath: "/pickup" }]);
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(
+      resolve(session(["kitchen"], { pickup: ["view"] }), "vi"),
+    ).resolves.toBe("/vi/pickup");
+  });
+
+  it("bỏ qua landingPath đã mất quyền, rơi về mục menu đầu tiên mở được", async () => {
+    const { prisma } = fakePrisma([{ landingPath: "/pickup" }]);
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(
+      resolve(session(["staff"], { ordering: ["view"] }), "vi"),
+    ).resolves.toBe("/vi/profile");
+  });
+
+  it("bỏ qua landingPath không có trên menu (trang đã bị gỡ)", async () => {
+    const { prisma } = fakePrisma([{ landingPath: "/da-xoa" }]);
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(
+      resolve(session(["staff"], { ordering: ["view"] }), "vi"),
+    ).resolves.toBe("/vi/profile");
+  });
+
+  it("người kiêm nhiều vai đi theo dòng đầu tiên DB trả về (rank asc)", async () => {
+    const { prisma, findMany } = fakePrisma([
+      { landingPath: "/" },
+      { landingPath: "/pickup" },
+    ]);
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(
+      resolve(
+        session(["admin", "kitchen"], { dashboard: ["view"], pickup: ["view"] }),
+        "vi",
+      ),
+    ).resolves.toBe("/vi");
+    expect(findMany.mock.calls[0][0].orderBy).toEqual({ rank: "asc" });
+  });
+
+  it("app không có cột `rank` (vinhhoa) thì không sắp xếp, vẫn chạy", async () => {
+    const { prisma, findMany } = fakePrisma([{ landingPath: "/pickup" }], {
+      withRank: false,
+    });
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(
+      resolve(session(["kitchen"], { pickup: ["view"] }), "vi"),
+    ).resolves.toBe("/vi/pickup");
+    expect(findMany.mock.calls[0][0].orderBy).toBeUndefined();
+  });
+
+  it("app chưa migrate cột thì không hỏi DB, vẫn trả mục menu đầu tiên", async () => {
+    const { prisma, findMany } = fakePrisma([], { withColumn: false });
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(
+      resolve(session(["kitchen"], { pickup: ["view"] }), "vi"),
+    ).resolves.toBe("/vi/profile");
+    expect(findMany).not.toHaveBeenCalled();
+  });
+
+  it("mục không khai resource là trang ai đăng nhập cũng mở được", async () => {
+    const { prisma } = fakePrisma([{ landingPath: null }]);
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(resolve(session(["nobody"], {}), "vi")).resolves.toBe(
+      "/vi/profile",
+    );
+  });
+
+  it("chưa đăng nhập thì về trang đăng nhập", async () => {
+    const { prisma } = fakePrisma([]);
+    const resolve = createLandingPathResolver({ prisma, navigations: NAV });
+
+    await expect(resolve(null, "vi")).resolves.toBe("/vi/sign-in");
+  });
+});