@goplusvn/core 0.1.77 → 0.1.79

package/src/rbac/pages/role-form-page.tsx

@@ -42,9 +42,11 @@ import {
   ChevronDown,
   ChevronRight,
   Copy,
+  House,
   Info,
   LayoutTemplate,
   Save,
+  ShieldCheck,
   X,
 } from "lucide-react"
 
@@ -76,6 +78,49 @@ const DEFAULT_ACTION_LABELS: Record<string, ActionLabelConfig> = {
 // Thứ tự hiển thị action trong một trang: CRUD chuẩn trước, nghiệp vụ sau.
 const STANDARD_ORDER = ["create", "update", "delete", "export", "import"]
 
+/** Radix Select không nhận value rỗng — dùng mã riêng cho "tự suy ra". */
+const LANDING_AUTO = "__auto__"
+
+/** Cùng lý do: "" = theo mặc định của app (`subtree`). */
+const DATA_SCOPE_DEFAULT = "__default__"
+
+/**
+ * Thang 5 nấc của `@goerp/core/workspace` (Δ1). Chữ ở đây cố ý nói theo NGƯỜI
+ * DÙNG chứ không theo tên kỹ thuật: người tick quyền không biết "subtree" là gì.
+ */
+const DATA_SCOPE_OPTIONS: { value: string; label: string; hint: string }[] = [
+  {
+    value: DATA_SCOPE_DEFAULT,
+    label: "Theo mặc định",
+    hint: "Workspace được gán + cấp dưới",
+  },
+  {
+    value: "all",
+    label: "Tất cả dữ liệu",
+    hint: "Không cô lập — thấy mọi workspace",
+  },
+  {
+    value: "subtree",
+    label: "Workspace + cấp dưới",
+    hint: "Đơn vị được gán và các bộ phận con",
+  },
+  {
+    value: "workspace",
+    label: "Chỉ workspace được gán",
+    hint: "Không thấy dữ liệu của bộ phận con",
+  },
+  {
+    value: "own",
+    label: "Chỉ bản ghi của mình",
+    hint: "Cần app khai cột chủ sở hữu; thiếu thì không thấy gì",
+  },
+  {
+    value: "none",
+    label: "Không thấy dữ liệu",
+    hint: "Vai trò chỉ thao tác, không đọc danh sách",
+  },
+]
+
 /** Bộ quyền mẫu áp khi TẠO vai trò mới (consumer định nghĩa). */
 export interface RoleTemplate {
   code: string
@@ -136,6 +181,10 @@ export interface RoleFormPageProps {
     description: string | undefined
     status: string
     permissions: string[]
+    /** Trang mở đầu của vai trò. Null/undefined = tự suy ra. */
+    landingPath?: string | null
+    /** Nấc cô lập dữ liệu. Null = mặc định của app (`subtree`). */
+    dataScope?: string | null
   }
   actionLabels?: Record<string, ActionLabelConfig>
   roleTemplates?: RoleTemplate[]
@@ -145,6 +194,24 @@ export interface RoleFormPageProps {
   menuTree?: MenuTreeSection[]
   /** Endpoint nhật ký đổi quyền (edit mode) — vd /api/roles/{id}/history. */
   historyEndpoint?: string
+  /**
+   * TRẦN QUYỀN của người đang tạo/sửa vai trò, dạng `"action:resource"`.
+   *
+   * Bỏ trống = không giới hạn (app một tổ chức, hành vi cũ). Truyền vào thì ma
+   * trận chỉ hiện thứ họ tự có — cùng luật D2 mà API đang chặn, để người dùng
+   * không tick đủ thứ rồi mới ăn 403 lúc bấm lưu.
+   *
+   * Quyền đã cấp sẵn nằm ngoài trần thì KHÔNG hiện và cũng KHÔNG bị xoá; API sẽ
+   * từ chối lưu — thà chặn còn hơn âm thầm tước quyền của vai trò.
+   */
+  grantablePermissions?: string[]
+  /**
+   * Hiện ô CÔ LẬP DỮ LIỆU (`Role.dataScope`). Chỉ bật cho vai vận hành: quản
+   * trị viên đơn vị mà tự đặt được nấc này thì họ chỉ cần tạo một vai trò "Tất
+   * cả dữ liệu" rồi tự gán, và việc cô lập thành ra tuỳ chọn. API cũng bỏ qua
+   * trường này nếu người gửi không phải vai vận hành — đây chỉ là lớp hiển thị.
+   */
+  showDataScope?: boolean
 }
 
 export function RoleFormPage({
@@ -161,9 +228,16 @@ export function RoleFormPage({
   resourcePages,
   menuTree,
   historyEndpoint,
+  grantablePermissions,
+  showDataScope,
 }: RoleFormPageProps) {
   const router = useRouter()
 
+  const grantable = React.useMemo(
+    () => (grantablePermissions ? new Set(grantablePermissions) : null),
+    [grantablePermissions]
+  )
+
   const mergedActionLabels = React.useMemo(
     () => ({ ...DEFAULT_ACTION_LABELS, ...actionLabels }),
     [actionLabels]
@@ -189,8 +263,16 @@ export function RoleFormPage({
     description: initialData?.description || "",
     status: (initialData?.status || "active") as "active" | "inactive",
     permissions: initialData?.permissions || ([] as string[]),
+    // "" = tự suy ra (mục đầu tiên trên menu mà vai trò này mở được).
+    landingPath: initialData?.landingPath || "",
   })
 
+  // Tách khỏi `formData` vì payload gửi thẳng cả object: vai trò không được
+  // phép đặt nấc này thì trường phải KHÔNG có mặt, chứ không phải gửi rỗng.
+  const [dataScope, setDataScope] = React.useState<string>(
+    initialData?.dataScope ?? ""
+  )
+
   const getLocalizedName = React.useCallback(
     (key: string | null) => {
       if (!key) return ""
@@ -250,6 +332,17 @@ export function RoleFormPage({
       } catch {
         allowed = actions.map((a) => a.code).filter((c) => fallback.includes(c))
       }
+      // TRẦN QUYỀN (D2): người tạo vai trò không cấp được thứ chính mình không
+      // có. Cắt ngay ở `allowed` nên mọi thứ dựng trên nó — hàng thao tác, tick
+      // trang, mẫu vai trò, phạm vi chi nhánh — tự động tuân theo; lọc riêng ở
+      // từng chỗ vẽ là kiểu bỏ sót một chỗ rồi không ai biết.
+      if (grantable) {
+        allowed = allowed.filter((a) => grantable.has(`${a}:${resource.code}`))
+      }
+      // Trang không cấp được gì thì biến khỏi ma trận luôn: một dòng có mỗi cái
+      // tick trang bị khoá chỉ tổ gây hiểu lầm là "đang bật".
+      if (grantable && allowed.length === 0) return
+
       map.set(resource.code, {
         name: getLocalizedName(resource.name),
         icon: resource.icon,
@@ -257,7 +350,7 @@ export function RoleFormPage({
       })
     })
     return map
-  }, [resources, actions, getLocalizedName])
+  }, [resources, actions, getLocalizedName, grantable])
 
   /** Action hiển thị dưới một trang (bỏ view = chính checkbox trang; bỏ lookup
    *  = combo tự động). CRUD chuẩn trước, nghiệp vụ sau. */
@@ -436,12 +529,44 @@ export function RoleFormPage({
     })
   }
 
+  // ── Trang mở đầu của vai trò ──────────────────────────────────────────
+  // Chỉ cho chọn trang mà vai trò này THẬT SỰ mở được: đặt trang chưa cấp
+  // quyền làm nơi hạ cánh là đá người ta vào tường ngay sau khi đăng nhập.
+  const landingOptions = React.useMemo(() => {
+    const byHref = new Map<string, { href: string; label: string }>()
+    tree.forEach((section) =>
+      section.items.forEach((i) => {
+        if (!i.href || i.note || !has(i.resource, "view")) return
+        // Hai mục cùng href (vd trang chi tiết gắn 2 chỗ) — giữ mục đầu.
+        if (!byHref.has(i.href))
+          byHref.set(i.href, {
+            href: i.href,
+            label: `${section.title} · ${i.title}`,
+          })
+      })
+    )
+    return Array.from(byHref.values())
+  }, [tree, has])
+
+  /** Đã cấu hình nhưng quyền bị gỡ sau đó — vẫn hiện để admin thấy mà sửa. */
+  const landingStale =
+    formData.landingPath !== "" &&
+    !landingOptions.some((o) => o.href === formData.landingPath)
+
   const applyTemplate = (templateCode: string) => {
     const tpl = roleTemplates?.find((t) => t.code === templateCode)
     if (!tpl) return
-    setFormData((prev) => ({ ...prev, permissions: [...tpl.permissions] }))
+    // Mẫu là bộ quyền dựng sẵn cho TOÀN hệ thống — kẹp lại theo trần quyền của
+    // người đang tạo, không thì bấm một cái là vượt trần và API từ chối.
+    const applied = grantable
+      ? tpl.permissions.filter((p) => grantable.has(p))
+      : [...tpl.permissions]
+    setFormData((prev) => ({ ...prev, permissions: applied }))
     toast.success(`Đã áp bộ quyền mẫu "${tpl.label}"`, {
-      description: `${tpl.permissions.length} quyền — chỉnh tiếp rồi bấm Lưu.`,
+      description:
+        applied.length === tpl.permissions.length
+          ? `${tpl.permissions.length} quyền — chỉnh tiếp rồi bấm Lưu.`
+          : `${applied.length}/${tpl.permissions.length} quyền (phần còn lại ngoài phạm vi của bạn).`,
     })
   }
 
@@ -455,7 +580,9 @@ export function RoleFormPage({
       const res = await fetch(url, {
         method,
         headers: { "Content-Type": "application/json" },
-        body: JSON.stringify(formData),
+        body: JSON.stringify(
+          showDataScope ? { ...formData, dataScope: dataScope || null } : formData
+        ),
       })
       if (!res.ok) {
         await throwFetchError(res, `Failed to ${mode} role`)
@@ -854,6 +981,109 @@ export function RoleFormPage({
             </div>
           )}
 
+          {/* Cô lập dữ liệu — vai trò này nhìn thấy dữ liệu của những ai */}
+          {showDataScope && (
+            <div className="flex items-center gap-1.5">
+              <ShieldCheck className="h-3.5 w-3.5 text-muted-foreground" />
+              <span className="text-xs text-muted-foreground">
+                Cô lập dữ liệu:
+              </span>
+              <Select
+                value={dataScope || DATA_SCOPE_DEFAULT}
+                onValueChange={(v) =>
+                  setDataScope(v === DATA_SCOPE_DEFAULT ? "" : v)
+                }
+              >
+                <SelectTrigger className="h-8 w-56 rounded-md border border-border bg-card text-sm">
+                  <SelectValue>
+                    {DATA_SCOPE_OPTIONS.find(
+                      (o) => o.value === (dataScope || DATA_SCOPE_DEFAULT)
+                    )?.label ?? dataScope}
+                  </SelectValue>
+                </SelectTrigger>
+                <SelectContent className="rounded-lg">
+                  {DATA_SCOPE_OPTIONS.map((o) => (
+                    <SelectItem key={o.value} value={o.value}>
+                      <span className="flex flex-col">
+                        <span>{o.label}</span>
+                        <span className="text-[11px] text-muted-foreground">
+                          {o.hint}
+                        </span>
+                      </span>
+                    </SelectItem>
+                  ))}
+                </SelectContent>
+              </Select>
+            </div>
+          )}
+
+          {/* Trang mở đầu — nơi vai trò này hạ cánh sau khi đăng nhập */}
+          <div className="flex items-center gap-1.5">
+            <House className="h-3.5 w-3.5 text-muted-foreground" />
+            <span className="text-xs text-muted-foreground">
+              Trang mở đầu:
+            </span>
+            <Select
+              value={formData.landingPath || LANDING_AUTO}
+              onValueChange={(v) =>
+                setFormData({
+                  ...formData,
+                  landingPath: v === LANDING_AUTO ? "" : v,
+                })
+              }
+            >
+              <SelectTrigger
+                className={cn(
+                  "h-8 w-52 rounded-md border border-border bg-card text-sm",
+                  landingStale && "border-amber-500 text-amber-700 dark:text-amber-400"
+                )}
+              >
+                <SelectValue>
+                  {!formData.landingPath
+                    ? "Tự động"
+                    : landingStale
+                      ? `${formData.landingPath} · chưa cấp quyền`
+                      : landingOptions.find(
+                          (o) => o.href === formData.landingPath
+                        )?.label}
+                </SelectValue>
+              </SelectTrigger>
+              <SelectContent className="rounded-lg">
+                <SelectItem value={LANDING_AUTO}>
+                  <span className="flex flex-col">
+                    <span>Tự động</span>
+                    <span className="text-[11px] text-muted-foreground">
+                      Menu đầu tiên vai trò này mở được
+                    </span>
+                  </span>
+                </SelectItem>
+                {/* Cấu hình cũ trỏ tới trang vừa bị gỡ quyền — giữ lại trong
+                    danh sách, nếu không nó biến mất im lặng và admin tưởng
+                    mình chưa từng đặt. */}
+                {landingStale && (
+                  <SelectItem value={formData.landingPath}>
+                    <span className="flex flex-col">
+                      <span>{formData.landingPath}</span>
+                      <span className="text-[11px] text-amber-600 dark:text-amber-400">
+                        Chưa cấp quyền vào trang này
+                      </span>
+                    </span>
+                  </SelectItem>
+                )}
+                {landingOptions.map((o) => (
+                  <SelectItem key={o.href} value={o.href}>
+                    <span className="flex flex-col">
+                      <span>{o.label}</span>
+                      <span className="text-[11px] text-muted-foreground">
+                        {o.href}
+                      </span>
+                    </span>
+                  </SelectItem>
+                ))}
+              </SelectContent>
+            </Select>
+          </div>
+
           <p className="ml-auto whitespace-nowrap text-xs text-muted-foreground">
             <span className="font-semibold tabular-nums text-foreground">
               {formData.permissions.length}

package/src/rbac/pages/role-list-page.tsx

@@ -174,11 +174,14 @@ function RolePermissionHeatmap({
                 {groups.map((g) => {
                   const { granted, total } = cellFor(role, g)
                   const ratio = total > 0 ? granted / total : 0
+                  // Ô nhiệt là lối tắt sang trang sửa — vai trò không sửa được
+                  // thì đừng mời bấm rồi để trang sửa từ chối.
+                  const editable = canUpdate && role.canManage !== false
                   return (
                     <td key={g} className="px-1 py-1 text-center">
                       <button
                         type="button"
-                        disabled={!canUpdate}
+                        disabled={!editable}
                         onClick={() =>
                           router.push(`/${lang}/roles/${role.id}/edit`)
                         }
@@ -186,7 +189,7 @@ function RolePermissionHeatmap({
                         className={cn(
                           "mx-auto block h-5 w-10 rounded",
                           shade(ratio),
-                          canUpdate && "cursor-pointer hover:ring-2 hover:ring-primary/40"
+                          editable && "cursor-pointer hover:ring-2 hover:ring-primary/40"
                         )}
                         aria-label={`${role.name} — ${g}: ${granted}/${total} quyền`}
                       />

package/src/rbac/role-service.ts

@@ -35,6 +35,32 @@ export type RoleServiceSchema = {
   roleTimestamps?: boolean;
 };
 
+/**
+ * PHẠM VI vai trò — chỉ dành cho app đã bật multi-tenant (cột `Role.workspaceId`).
+ *
+ * Không truyền thì hàm chạy y như trước: mọi vai trò, mọi người dùng nhúng bên
+ * trong. App một-đơn-vị (vinhhoa) cứ để trống.
+ *
+ * Vai trò `workspaceId = null` là vai trò DÙNG CHUNG do cấp vận hành dựng
+ * ("Nhân viên", "Bếp"): quản trị viên đơn vị vẫn THẤY để biết mình đang gán gì,
+ * nhưng `canManage` trả `false` nên nút sửa/xoá tắt.
+ */
+export type RoleQueryScope = {
+  /** Nhóm vận hành — thấy tất cả, sửa tất cả. */
+  canManageAll?: boolean;
+  /** Các workspace người này quản trị (`scope.adminIds`). */
+  adminWorkspaceIds?: readonly string[];
+  /** Có kèm vai trò dùng chung (`workspaceId = null`) không. Mặc định có. */
+  includeShared?: boolean;
+  /**
+   * Điều kiện kẹp danh sách NGƯỜI DÙNG nhúng trong mỗi vai trò — dạng where của
+   * bảng User (thường là `memberScopeWhere(scope)`). Thiếu nó thì trang vai trò
+   * là cửa hậu xem toàn bộ danh bạ: mỗi thẻ vai trò in kèm avatar + email của
+   * mọi người mang vai trò đó, kể cả đơn vị khác.
+   */
+  userWhere?: any;
+};
+
 export type RoleData = {
   id: string;
   name: string;
@@ -54,6 +80,12 @@ export type RoleData = {
   updatedAt: string;
   createdBy?: string;
   updatedBy?: string;
+  /** Chỉ có ở app multi-tenant. `null` = vai trò dùng chung. */
+  workspaceId?: string | null;
+  isSystem?: boolean;
+  rank?: number;
+  /** Người đang xem có sửa/xoá được vai trò này không. `undefined` = không xét. */
+  canManage?: boolean;
 };
 
 // Interface for the DB client injected into the service
@@ -68,6 +100,12 @@ export interface RolePrismaClient {
       take: number;
       include: any;
     }) => Promise<any[]>;
+    /**
+     * Prisma sinh sẵn — dùng để dò cột tuỳ chọn (workspaceId/rank/isSystem).
+     * Kiểu `object` chứ không `Record<string, unknown>`: `RoleFieldRefs` của
+     * Prisma không có index signature nên app truyền thẳng `db` sẽ đỏ.
+     */
+    fields?: object;
   };
 }
 
@@ -75,6 +113,11 @@ export interface RolePrismaClient {
 // Service Logic
 // ============================================================================
 
+/** App chưa có cột thì bỏ qua điều kiện tương ứng — hỏi cột không tồn tại là Prisma ném. */
+const hasRoleField = (db: RolePrismaClient, field: string) =>
+  // eslint-disable-next-line @typescript-eslint/no-explicit-any
+  Boolean((db as any)?.role?.fields?.[field]);
+
 /**
  * Get roles data with pagination and filtering
  * Generic core implementation using injected DB client
@@ -86,6 +129,7 @@ export async function getRolesData(
   db: RolePrismaClient,
   params: RoleFilters = {},
   schema: RoleServiceSchema = {},
+  scope?: RoleQueryScope,
 ): Promise<{
   total: number;
   page: number;
@@ -117,6 +161,22 @@ export async function getRolesData(
     whereConditions.push({ status });
   }
 
+  // Kẹp phạm vi — chỉ khi app THẬT SỰ có cột `workspaceId` trên Role. Dò bằng
+  // `role.fields` (Prisma sinh sẵn) thay vì đoán theo tên app.
+  const hasWorkspaceField = hasRoleField(db, "workspaceId");
+  const adminIds = scope?.adminWorkspaceIds ?? [];
+  const scoped = Boolean(scope) && !scope?.canManageAll && hasWorkspaceField;
+
+  if (scoped) {
+    const branches: any[] = [];
+    if (adminIds.length > 0) branches.push({ workspaceId: { in: [...adminIds] } });
+    if (scope?.includeShared !== false) branches.push({ workspaceId: null });
+    // Không quản trị đơn vị nào và không lấy vai trò dùng chung ⇒ không thấy gì.
+    // Viết tường minh chứ không để `OR: []` — dựa vào cách Prisma diễn giải mảng
+    // rỗng là dựa vào chi tiết cài đặt.
+    whereConditions.push(branches.length > 0 ? { OR: branches } : { id: { in: [] } });
+  }
+
   const where: any = whereConditions.length > 0 ? { AND: whereConditions } : {};
 
   // Build the user select from the (possibly overridden) field names.
@@ -132,7 +192,10 @@ export async function getRolesData(
       skip: (page - 1) * pageSize,
       take: pageSize,
       include: {
-        userRoles: { include: { user: { select: userSelect } } },
+        userRoles: {
+          ...(scope?.userWhere ? { where: { user: scope.userWhere } } : {}),
+          include: { user: { select: userSelect } },
+        },
         rolePermissions: {
           include: {
             resource: { select: { code: true, name: true, icon: true } },
@@ -154,6 +217,8 @@ export async function getRolesData(
     permissions: role.rolePermissions.map(
       (rp: any) => `${rp.actionCode}:${rp.resourceCode}`,
     ),
+    // Đếm theo danh sách ĐÃ kẹp: người quản trị đơn vị thấy "3 người dùng" là 3
+    // người trong đơn vị mình, không phải tổng toàn hệ thống.
     usersCount: role.userRoles.length,
     users: role.userRoles.map((ur: any) => ({
       id: ur.user.id,
@@ -166,6 +231,22 @@ export async function getRolesData(
     updatedAt: hasTimestamps && role.updatedAt ? role.updatedAt.toISOString() : "",
     createdBy: role.createdBy || undefined,
     updatedBy: role.updatedBy || undefined,
+    ...(hasWorkspaceField
+      ? {
+          workspaceId: role.workspaceId ?? null,
+          isSystem: Boolean(role.isSystem),
+          rank: typeof role.rank === "number" ? role.rank : undefined,
+          // Vai trò dùng chung / vai trò hệ thống / vai trò của đơn vị khác:
+          // xem được, không sửa được. Cùng luật với `canManageRole` bên
+          // `@goerp/core/workspace` — đây chỉ là bản chiếu xuống UI.
+          canManage: scope
+            ? scope.canManageAll ||
+              (!role.isSystem &&
+                Boolean(role.workspaceId) &&
+                adminIds.includes(role.workspaceId))
+            : undefined,
+        }
+      : {}),
   }));
 
   return { total, page, pageSize, items: transformedItems };