@goplusvn/core 0.1.77 → 0.1.79

package/src/rbac/__tests__/route-handlers.test.ts

@@ -0,0 +1,330 @@
+/* eslint-disable @typescript-eslint/no-explicit-any */
+// `Role.landingPath` là cột BỔ SUNG: chỉ app nào đã migrate mới có. Hai app
+// đang chạy thật dùng chung core này, nên handler phải tự dò và im lặng bỏ qua
+// — ghi bừa một cột không tồn tại là 500 ở mọi lần lưu vai trò.
+//
+// Đây cũng là chỗ chặn đường dẫn ra ngoài: `landingPath` là nơi người dùng bị
+// đưa tới ngay sau khi đăng nhập, để lọt "//host" là mở đường phishing.
+
+import { describe, expect, it } from "vitest";
+
+import {
+  createRoleItemHandlers,
+  createRolesCollectionHandlers,
+} from "../route-handlers";
+
+function fakeDb(opts: { withLandingPath: boolean }) {
+  const existing = {
+    id: "r1",
+    code: "staff",
+    name: "Nhân viên",
+    description: "",
+    status: "active",
+    landingPath: null as string | null,
+    rolePermissions: [],
+  };
+  const created: any[] = [];
+  const updated: any[] = [];
+
+  const tx = {
+    role: {
+      create: async ({ data }: any) => {
+        created.push(data);
+        return { ...existing, ...data };
+      },
+      update: async ({ data }: any) => {
+        updated.push(data);
+        return { ...existing, ...data };
+      },
+    },
+    rolePermission: {
+      deleteMany: async () => undefined,
+      createMany: async () => undefined,
+    },
+  };
+
+  const role: any = { findUnique: async () => existing };
+  // Prisma sinh sẵn `model.fields` — chỉ có khi schema thật khai cột đó.
+  if (opts.withLandingPath) role.fields = { landingPath: { name: "landingPath" } };
+
+  const prisma: any = {
+    role,
+    systemConfig: { upsert: async () => undefined },
+    $transaction: async (fn: any) => fn(tx),
+  };
+
+  const deps = {
+    prisma,
+    getSession: async () => ({ user: { id: "u1" } }),
+    getCrudPermissions: async () => ({
+      read: true,
+      create: true,
+      update: true,
+      delete: true,
+    }),
+  };
+
+  return { deps, created, updated };
+}
+
+const post = (body: unknown) =>
+  new Request("http://app.test/api/roles", {
+    method: "POST",
+    body: JSON.stringify(body),
+  });
+
+const put = (body: unknown) =>
+  new Request("http://app.test/api/roles/r1", {
+    method: "PUT",
+    body: JSON.stringify(body),
+  });
+
+const ctx = { params: Promise.resolve({ id: "r1" }) };
+
+describe("roles route handlers — landingPath", () => {
+  it("ghi landingPath khi app ĐÃ có cột", async () => {
+    const { deps, created } = fakeDb({ withLandingPath: true });
+    const res = await createRolesCollectionHandlers(deps as any).POST(
+      post({ code: "staff", name: "Nhân viên", landingPath: "/ordering" })
+    );
+
+    expect(res.status).toBe(201);
+    expect(created[0].landingPath).toBe("/ordering");
+  });
+
+  it("app CHƯA migrate: không đưa landingPath vào data (không làm 500)", async () => {
+    const { deps, created } = fakeDb({ withLandingPath: false });
+    const res = await createRolesCollectionHandlers(deps as any).POST(
+      post({ code: "staff", name: "Nhân viên", landingPath: "/ordering" })
+    );
+
+    expect(res.status).toBe(201);
+    expect(created[0]).not.toHaveProperty("landingPath");
+  });
+
+  it("không gửi khóa landingPath thì KHÔNG đụng giá trị đang có", async () => {
+    const { deps, updated } = fakeDb({ withLandingPath: true });
+    await createRoleItemHandlers(deps as any).PUT(
+      put({ name: "Nhân viên" }),
+      ctx as any
+    );
+
+    expect(updated[0]).not.toHaveProperty("landingPath");
+  });
+
+  it("chuỗi rỗng = trả về 'tự suy ra' (null)", async () => {
+    const { deps, updated } = fakeDb({ withLandingPath: true });
+    await createRoleItemHandlers(deps as any).PUT(
+      put({ name: "Nhân viên", landingPath: "" }),
+      ctx as any
+    );
+
+    expect(updated[0].landingPath).toBeNull();
+  });
+
+  it.each(["//evil.example/x", "https://evil.example", "javascript:alert(1)", "ordering"])(
+    "chặn đường dẫn ra ngoài app: %s",
+    async (value) => {
+      const { deps, updated } = fakeDb({ withLandingPath: true });
+      await createRoleItemHandlers(deps as any).PUT(
+        put({ name: "Nhân viên", landingPath: value }),
+        ctx as any
+      );
+
+      expect(updated[0].landingPath).toBeNull();
+    }
+  );
+
+  it("GET trả landingPath để form sửa prefill được", async () => {
+    const { deps } = fakeDb({ withLandingPath: true });
+    const res = await createRoleItemHandlers(deps as any).GET(
+      new Request("http://app.test/api/roles/r1"),
+      ctx as any
+    );
+
+    expect(await res.json()).toMatchObject({ landingPath: null });
+  });
+});
+
+// ── Uỷ quyền vai trò (app multi-tenant) ────────────────────────────────────
+// Chặn *gán* vai trò mạnh mà để ngỏ đường *tạo* vai trò mạnh là hàng rào có
+// cửa sau: quản trị viên đơn vị chỉ cần tạo "Trợ lý" kèm `role:update`.
+
+function tenantDb(role: Partial<Record<string, any>> = {}) {
+  const existing = {
+    id: "r1",
+    code: "to_truong",
+    name: "Tổ trưởng",
+    description: "",
+    status: "active",
+    landingPath: null,
+    workspaceId: "spa",
+    rank: 100,
+    isSystem: false,
+    rolePermissions: [{ resourceCode: "meal-order", actionCode: "view" }],
+    _count: { userRoles: 0 },
+    ...role,
+  };
+  const created: any[] = [];
+  const updated: any[] = [];
+  const deleted: string[] = [];
+
+  const tx = {
+    role: {
+      create: async ({ data }: any) => {
+        created.push(data);
+        return { ...existing, ...data };
+      },
+      update: async ({ data }: any) => {
+        updated.push(data);
+        return { ...existing, ...data };
+      },
+      delete: async ({ where }: any) => {
+        deleted.push(where.id);
+      },
+    },
+    rolePermission: {
+      deleteMany: async () => undefined,
+      createMany: async () => undefined,
+    },
+  };
+
+  const prisma: any = {
+    role: {
+      findUnique: async () => existing,
+      fields: {
+        workspaceId: { name: "workspaceId" },
+        rank: { name: "rank" },
+        isSystem: { name: "isSystem" },
+      },
+    },
+    systemConfig: { upsert: async () => undefined },
+    $transaction: async (fn: any) => fn(tx),
+  };
+
+  const actor = {
+    userId: "u-spa",
+    scope: {
+      canViewAll: false,
+      rootIds: ["spa"],
+      allowedIds: ["spa"],
+      adminIds: ["spa"],
+      defaultId: "spa",
+    },
+    canManageAll: false,
+    permissions: new Set(["meal-order:view", "meal-order:create"]),
+    rank: 50,
+  };
+
+  const deps = {
+    prisma,
+    getSession: async () => ({ user: { id: "u-spa" } }),
+    getCrudPermissions: async () => ({
+      read: true,
+      create: true,
+      update: true,
+      delete: true,
+    }),
+    getDelegationActor: async () => actor,
+  };
+
+  return { deps, actor, created, updated, deleted };
+}
+
+describe("roles route handlers — uỷ quyền", () => {
+  it("POST đóng dấu đơn vị của người tạo, không để vai trò dùng chung", async () => {
+    const { deps, created } = tenantDb();
+    const res = await createRolesCollectionHandlers(deps as any).POST(
+      post({ code: "ca_truong", name: "Ca trưởng", rank: 90, permissions: ["view:meal-order"] })
+    );
+
+    expect(res.status).toBe(201);
+    expect(created[0].workspaceId).toBe("spa");
+    expect(created[0].rank).toBe(90);
+  });
+
+  it("POST từ chối quyền quản trị hệ thống (403 kèm mã D4)", async () => {
+    const { deps, created } = tenantDb();
+    const res = await createRolesCollectionHandlers(deps as any).POST(
+      post({ code: "tro_ly", name: "Trợ lý", rank: 90, permissions: ["create:role"] })
+    );
+
+    expect(res.status).toBe(403);
+    expect((await res.json()).code).toBe("D4_DANGEROUS_ROLE");
+    expect(created).toHaveLength(0);
+  });
+
+  it("POST từ chối quyền vượt trần của chính người tạo", async () => {
+    const { deps } = tenantDb();
+    const res = await createRolesCollectionHandlers(deps as any).POST(
+      post({ code: "kt", name: "Kế toán", rank: 90, permissions: ["view:payroll"] })
+    );
+
+    expect(res.status).toBe(403);
+    expect((await res.json()).code).toBe("D2_EXCEEDS_CEILING");
+  });
+
+  it("PUT chặn sửa vai trò DÙNG CHUNG (workspaceId null)", async () => {
+    const { deps, updated } = tenantDb({ workspaceId: null });
+    const res = await createRoleItemHandlers(deps as any).PUT(
+      put({ name: "Đổi tên", permissions: ["view:meal-order"] }),
+      ctx as any
+    );
+
+    expect(res.status).toBe(403);
+    expect(updated).toHaveLength(0);
+  });
+
+  it("PUT chặn sửa vai trò của đơn vị khác", async () => {
+    const { deps } = tenantDb({ workspaceId: "tanloc" });
+    const res = await createRoleItemHandlers(deps as any).PUT(
+      put({ name: "Đổi tên", permissions: [] }),
+      ctx as any
+    );
+
+    expect(res.status).toBe(403);
+  });
+
+  it("PUT sửa vai trò trong nhánh mình thì qua", async () => {
+    const { deps, updated } = tenantDb();
+    const res = await createRoleItemHandlers(deps as any).PUT(
+      put({ name: "Tổ trưởng bếp", permissions: ["view:meal-order"] }),
+      ctx as any
+    );
+
+    expect(res.status).toBe(200);
+    expect(updated[0].name).toBe("Tổ trưởng bếp");
+  });
+
+  it("DELETE chặn vai trò hệ thống", async () => {
+    const { deps, deleted } = tenantDb({ isSystem: true });
+    const res = await createRoleItemHandlers(deps as any).DELETE(
+      new Request("http://app.test/api/roles/r1", { method: "DELETE" }),
+      ctx as any
+    );
+
+    expect(res.status).toBe(403);
+    expect(deleted).toHaveLength(0);
+  });
+
+  it("GET vai trò ngoài phạm vi trả 404 chứ không phải 403 (đừng xác nhận nó tồn tại)", async () => {
+    const { deps } = tenantDb({ workspaceId: "tanloc" });
+    const res = await createRoleItemHandlers(deps as any).GET(
+      new Request("http://app.test/api/roles/r1"),
+      ctx as any
+    );
+
+    expect(res.status).toBe(404);
+  });
+
+  it("GET vai trò dùng chung: xem được, canManage = false", async () => {
+    const { deps } = tenantDb({ workspaceId: null });
+    const res = await createRoleItemHandlers(deps as any).GET(
+      new Request("http://app.test/api/roles/r1"),
+      ctx as any
+    );
+
+    expect(res.status).toBe(200);
+    expect(await res.json()).toMatchObject({ canManage: false });
+  });
+});

package/src/rbac/components/roles/role-card.tsx

@@ -49,6 +49,14 @@ export const RoleCard = memo(function RoleCard({
   const router = useRouter();
   const permissionsCount = role.permissions.length;
   const roleColor = roleColors[role.code] || "bg-indigo-500";
+  // Vai trò dùng chung / vai trò hệ thống / vai trò đơn vị khác: XEM được (để
+  // biết mình đang gán gì) nhưng không sửa. `undefined` = app không xét.
+  const managed = role.canManage !== false;
+  const readOnlyLabel = role.isSystem
+    ? "Hệ thống"
+    : role.canManage === false && !role.workspaceId
+      ? "Dùng chung"
+      : null;
 
   const handleEdit = useCallback(() => {
     router.push(`/${lang}/roles/${role.id}/edit`);
@@ -77,21 +85,32 @@ export const RoleCard = memo(function RoleCard({
               </CardDescription>
             </div>
           </div>
-          {role.status === "active" ? (
-            <Badge
-              variant="outline"
-              className="bg-emerald-50 text-emerald-600 border-emerald-200 dark:bg-emerald-500/10 dark:text-emerald-400 dark:border-emerald-500/20 text-[10px] px-2 py-0 h-5 font-semibold"
-            >
-              Hoạt động
-            </Badge>
-          ) : (
-            <Badge
-              variant="outline"
-              className="bg-muted text-muted-foreground border-border text-[10px] px-2 py-0 h-5 font-semibold"
-            >
-              Khóa
-            </Badge>
-          )}
+          <div className="flex items-center gap-1.5">
+            {readOnlyLabel && (
+              <Badge
+                variant="outline"
+                className="bg-muted text-muted-foreground border-border text-[10px] px-2 py-0 h-5 font-semibold"
+                title="Vai trò do cấp trên quản lý — bạn xem được nhưng không sửa"
+              >
+                {readOnlyLabel}
+              </Badge>
+            )}
+            {role.status === "active" ? (
+              <Badge
+                variant="outline"
+                className="bg-emerald-50 text-emerald-600 border-emerald-200 dark:bg-emerald-500/10 dark:text-emerald-400 dark:border-emerald-500/20 text-[10px] px-2 py-0 h-5 font-semibold"
+              >
+                Hoạt động
+              </Badge>
+            ) : (
+              <Badge
+                variant="outline"
+                className="bg-muted text-muted-foreground border-border text-[10px] px-2 py-0 h-5 font-semibold"
+              >
+                Khóa
+              </Badge>
+            )}
+          </div>
         </div>
       </CardHeader>
       <CardContent className="p-4 pt-0 space-y-3">
@@ -119,7 +138,7 @@ export const RoleCard = memo(function RoleCard({
         </div>
 
         <div className="flex gap-2 pt-2">
-          {canUpdate && (
+          {canUpdate && managed && (
             <Button
               variant="outline"
               size="sm"
@@ -141,7 +160,7 @@ export const RoleCard = memo(function RoleCard({
               Chép
             </Button>
           )}
-          {canDelete && (
+          {canDelete && managed && (
             <Button
               variant="outline"
               size="sm"

package/src/rbac/landing-path.ts

@@ -0,0 +1,140 @@
+import { cache } from "react";
+
+import type { NavigationType } from "../types";
+import type { Session } from "../auth";
+import { checkPermission } from "../auth";
+
+/**
+ * TRANG MỞ ĐẦU của một người — nơi đưa họ tới sau khi đăng nhập, và nơi đá về
+ * khi họ mở một trang không có quyền.
+ *
+ * Mặc định của mọi app là cắm cứng "/" cho tất cả. Hệ quả: người chỉ có một
+ * phần việc (đặt cơm, nhận món, chấm công) vẫn bị ném vào bảng số liệu tổng —
+ * và khi trang chủ có quyền riêng thì "/" còn là ngõ cụt thật sự với họ.
+ *
+ * Thứ tự quyết định, dừng ở cái đầu tiên hợp lệ:
+ *
+ *  1. `landingPath` của vai trò, ưu tiên vai trò MẠNH nhất (`rank` nhỏ nhất) —
+ *     người kiêm nhiều vai vào trang của vai cao nhất.
+ *  2. Mục ĐẦU TIÊN trên menu mà họ mở được, theo đúng thứ tự sidebar.
+ *  3. "/" — chịu thua, để trang chủ tự nói là chưa có quyền.
+ *
+ * Bước 1 LUÔN kiểm tra lại quyền thật. Cấu hình nhập một lần rồi quyền đổi sau
+ * đó; một `landingPath` trỏ tới trang người ta không mở được sẽ thành vòng
+ * chuyển hướng vô hạn — người dùng chỉ thấy trình duyệt quay mãi.
+ */
+
+/** Chỉ cần đúng một câu hỏi trên bảng `roles` — app truyền client nào cũng được. */
+export interface LandingPrismaClient {
+  role: {
+    findMany: (args: any) => Promise<Array<{ landingPath?: string | null }>>;
+    // `fields` của Prisma là object sinh sẵn theo model, không có index
+    // signature — khai lỏng để client thật của app nào cũng khớp.
+    fields?: object;
+  };
+}
+
+export interface LandingPathDeps {
+  prisma: LandingPrismaClient;
+  /** Cây menu GỐC của app (chưa lọc quyền) — thứ tự ở đây là thứ tự ưu tiên. */
+  navigations: readonly NavigationType[];
+}
+
+/**
+ * Chuẩn hoá giá trị người dùng nhập/chọn trước khi ghi DB. Chỉ nhận đường dẫn
+ * NỘI BỘ; rỗng hoặc bậy = "tự suy ra" (null).
+ *
+ * "//host" là URL giao thức tương đối — chặn, nếu không cấu hình vai trò thành
+ * chỗ đá người dùng sang tên miền lạ ngay sau khi đăng nhập.
+ */
+export function normalizeLandingPath(value: unknown): string | null {
+  if (typeof value !== "string") return null;
+  const path = value.trim();
+  if (!path.startsWith("/") || path.startsWith("//")) return null;
+  return path;
+}
+
+interface Leaf {
+  href: string;
+  resource?: string;
+  action?: string;
+}
+
+/** Mọi mục có `href`, phẳng ra theo đúng thứ tự hiển thị trên sidebar. */
+function menuLeaves(navigations: readonly NavigationType[]): Leaf[] {
+  const out: Leaf[] = [];
+  const walk = (items: readonly unknown[]) => {
+    for (const raw of items) {
+      const item = raw as {
+        href?: string;
+        resource?: string;
+        action?: string;
+        items?: readonly unknown[];
+      };
+      if (item.items?.length) {
+        walk(item.items);
+        continue;
+      }
+      if (item.href) {
+        out.push({
+          href: item.href,
+          resource: item.resource,
+          action: item.action,
+        });
+      }
+    }
+  };
+  for (const group of navigations) walk(group.items ?? []);
+  return out;
+}
+
+/** Mục không khai `resource` là trang công khai với người đã đăng nhập. */
+function canOpen(session: Session, leaf: Leaf): boolean {
+  if (!leaf.resource) return true;
+  return checkPermission(session, leaf.resource, leaf.action ?? "view");
+}
+
+const withLocale = (locale: string, href: string) =>
+  href === "/" ? `/${locale}` : `/${locale}${href}`;
+
+/**
+ * App nào CHƯA migrate cột `landing_path` thì bỏ qua bước 1, vẫn chạy bình
+ * thường bằng mục menu đầu tiên — hỏi cột không tồn tại là Prisma ném thẳng.
+ */
+const hasField = (prisma: LandingPrismaClient, field: string) =>
+  Boolean((prisma as any)?.role?.fields?.[field]);
+
+const hasLandingPath = (prisma: LandingPrismaClient) =>
+  hasField(prisma, "landingPath");
+
+export function createLandingPathResolver({
+  prisma,
+  navigations,
+}: LandingPathDeps) {
+  return cache(
+    async (session: Session | null, locale: string): Promise<string> => {
+      if (!session?.user) return `/${locale}/sign-in`;
+
+      const leaves = menuLeaves(navigations);
+      const roleCodes = ((session.user as any).roles ?? []) as string[];
+
+      if (roleCodes.length > 0 && hasLandingPath(prisma)) {
+        const configured = await prisma.role.findMany({
+          where: { code: { in: roleCodes }, landingPath: { not: null } },
+          select: { landingPath: true },
+          // `rank` nhỏ = quyền lực cao. App nào chưa có cột `rank` (vinhhoa) thì
+          // bỏ orderBy — sắp theo cột không tồn tại là Prisma ném.
+          ...(hasField(prisma, "rank") ? { orderBy: { rank: "asc" } } : {}),
+        });
+        for (const role of configured) {
+          const leaf = leaves.find((l) => l.href === role.landingPath);
+          if (leaf && canOpen(session, leaf))
+            return withLocale(locale, leaf.href);
+        }
+      }
+
+      const first = leaves.find((l) => canOpen(session, l));
+      return withLocale(locale, first?.href ?? "/");
+    },
+  );
+}