@goplusvn/core 0.1.78 → 0.1.81

package/src/rbac/pages/role-form-page.tsx

@@ -45,7 +45,9 @@ import {
   House,
   Info,
   LayoutTemplate,
+  Network,
   Save,
+  ShieldCheck,
   X,
 } from "lucide-react"
 
@@ -80,6 +82,49 @@ const STANDARD_ORDER = ["create", "update", "delete", "export", "import"]
 /** Radix Select không nhận value rỗng — dùng mã riêng cho "tự suy ra". */
 const LANDING_AUTO = "__auto__"
 
+/** Cùng lý do: "" = theo mặc định của app (`subtree`). */
+const DATA_SCOPE_DEFAULT = "__default__"
+
+/** Cùng lý do: "" = vai trò DÙNG CHUNG (`workspaceId = null`). */
+const WORKSPACE_SHARED = "__shared__"
+
+/**
+ * Thang 5 nấc của `@goerp/core/workspace` (Δ1). Chữ ở đây cố ý nói theo NGƯỜI
+ * DÙNG chứ không theo tên kỹ thuật: người tick quyền không biết "subtree" là gì.
+ */
+const DATA_SCOPE_OPTIONS: { value: string; label: string; hint: string }[] = [
+  {
+    value: DATA_SCOPE_DEFAULT,
+    label: "Theo mặc định",
+    hint: "Workspace được gán + cấp dưới",
+  },
+  {
+    value: "all",
+    label: "Tất cả dữ liệu",
+    hint: "Không cô lập — thấy mọi workspace",
+  },
+  {
+    value: "subtree",
+    label: "Workspace + cấp dưới",
+    hint: "Đơn vị được gán và các bộ phận con",
+  },
+  {
+    value: "workspace",
+    label: "Chỉ workspace được gán",
+    hint: "Không thấy dữ liệu của bộ phận con",
+  },
+  {
+    value: "own",
+    label: "Chỉ bản ghi của mình",
+    hint: "Cần app khai cột chủ sở hữu; thiếu thì không thấy gì",
+  },
+  {
+    value: "none",
+    label: "Không thấy dữ liệu",
+    hint: "Vai trò chỉ thao tác, không đọc danh sách",
+  },
+]
+
 /** Bộ quyền mẫu áp khi TẠO vai trò mới (consumer định nghĩa). */
 export interface RoleTemplate {
   code: string
@@ -142,6 +187,10 @@ export interface RoleFormPageProps {
     permissions: string[]
     /** Trang mở đầu của vai trò. Null/undefined = tự suy ra. */
     landingPath?: string | null
+    /** Nấc cô lập dữ liệu. Null = mặc định của app (`subtree`). */
+    dataScope?: string | null
+    /** Đơn vị sở hữu vai trò. Null = vai trò dùng chung. */
+    workspaceId?: string | null
   }
   actionLabels?: Record<string, ActionLabelConfig>
   roleTemplates?: RoleTemplate[]
@@ -151,6 +200,40 @@ export interface RoleFormPageProps {
   menuTree?: MenuTreeSection[]
   /** Endpoint nhật ký đổi quyền (edit mode) — vd /api/roles/{id}/history. */
   historyEndpoint?: string
+  /**
+   * TRẦN QUYỀN của người đang tạo/sửa vai trò, dạng `"action:resource"`.
+   *
+   * Bỏ trống = không giới hạn (app một tổ chức, hành vi cũ). Truyền vào thì ma
+   * trận chỉ hiện thứ họ tự có — cùng luật D2 mà API đang chặn, để người dùng
+   * không tick đủ thứ rồi mới ăn 403 lúc bấm lưu.
+   *
+   * Quyền đã cấp sẵn nằm ngoài trần thì KHÔNG hiện và cũng KHÔNG bị xoá; API sẽ
+   * từ chối lưu — thà chặn còn hơn âm thầm tước quyền của vai trò.
+   */
+  grantablePermissions?: string[]
+  /**
+   * Hiện ô CÔ LẬP DỮ LIỆU (`Role.dataScope`). Chỉ bật cho vai vận hành: quản
+   * trị viên đơn vị mà tự đặt được nấc này thì họ chỉ cần tạo một vai trò "Tất
+   * cả dữ liệu" rồi tự gán, và việc cô lập thành ra tuỳ chọn. API cũng bỏ qua
+   * trường này nếu người gửi không phải vai vận hành — đây chỉ là lớp hiển thị.
+   */
+  showDataScope?: boolean
+  /**
+   * Các ĐƠN VỊ được phép đặt làm chủ sở hữu vai trò (`Role.workspaceId`). Bỏ
+   * trống ⇒ không hiện ô, payload không mang trường này, engine tự đóng dấu theo
+   * nhánh người tạo — đúng hành vi trước khi có ô.
+   *
+   * Hai trường dễ lẫn, đừng gộp:
+   *  - `workspaceId` = vai trò này CỦA ĐƠN VỊ NÀO, tức AI ĐƯỢC SỬA nó;
+   *  - `dataScope`   = người MANG vai trò này nhìn thấy dữ liệu tới đâu.
+   * Một vai trò dùng chung (`null`) vẫn có thể cô lập chặt, và ngược lại.
+   *
+   * `allowShared` chỉ bật cho vai vận hành: quản trị viên đơn vị mà tạo được vai
+   * trò dùng chung là họ vừa đẻ ra thứ mọi đơn vị khác cũng gán được. API chặn
+   * sẵn (D1), đây là lớp hiển thị cho khớp.
+   */
+  workspaceOptions?: Array<{ id: string; name: string; depth?: number }>
+  allowSharedWorkspace?: boolean
 }
 
 export function RoleFormPage({
@@ -167,9 +250,18 @@ export function RoleFormPage({
   resourcePages,
   menuTree,
   historyEndpoint,
+  grantablePermissions,
+  showDataScope,
+  workspaceOptions,
+  allowSharedWorkspace,
 }: RoleFormPageProps) {
   const router = useRouter()
 
+  const grantable = React.useMemo(
+    () => (grantablePermissions ? new Set(grantablePermissions) : null),
+    [grantablePermissions]
+  )
+
   const mergedActionLabels = React.useMemo(
     () => ({ ...DEFAULT_ACTION_LABELS, ...actionLabels }),
     [actionLabels]
@@ -199,6 +291,19 @@ export function RoleFormPage({
     landingPath: initialData?.landingPath || "",
   })
 
+  // Tách khỏi `formData` vì payload gửi thẳng cả object: vai trò không được
+  // phép đặt nấc này thì trường phải KHÔNG có mặt, chứ không phải gửi rỗng.
+  const [dataScope, setDataScope] = React.useState<string>(
+    initialData?.dataScope ?? ""
+  )
+
+  // Cùng lý do tách khỏi `formData`: không hiện ô thì payload phải KHÔNG có
+  // trường `workspaceId`, để cổng uỷ quyền tự đóng dấu theo nhánh người tạo.
+  const showWorkspace = Boolean(workspaceOptions?.length)
+  const [workspaceId, setWorkspaceId] = React.useState<string>(
+    initialData?.workspaceId ?? ""
+  )
+
   const getLocalizedName = React.useCallback(
     (key: string | null) => {
       if (!key) return ""
@@ -258,6 +363,17 @@ export function RoleFormPage({
       } catch {
         allowed = actions.map((a) => a.code).filter((c) => fallback.includes(c))
       }
+      // TRẦN QUYỀN (D2): người tạo vai trò không cấp được thứ chính mình không
+      // có. Cắt ngay ở `allowed` nên mọi thứ dựng trên nó — hàng thao tác, tick
+      // trang, mẫu vai trò, phạm vi chi nhánh — tự động tuân theo; lọc riêng ở
+      // từng chỗ vẽ là kiểu bỏ sót một chỗ rồi không ai biết.
+      if (grantable) {
+        allowed = allowed.filter((a) => grantable.has(`${a}:${resource.code}`))
+      }
+      // Trang không cấp được gì thì biến khỏi ma trận luôn: một dòng có mỗi cái
+      // tick trang bị khoá chỉ tổ gây hiểu lầm là "đang bật".
+      if (grantable && allowed.length === 0) return
+
       map.set(resource.code, {
         name: getLocalizedName(resource.name),
         icon: resource.icon,
@@ -265,7 +381,7 @@ export function RoleFormPage({
       })
     })
     return map
-  }, [resources, actions, getLocalizedName])
+  }, [resources, actions, getLocalizedName, grantable])
 
   /** Action hiển thị dưới một trang (bỏ view = chính checkbox trang; bỏ lookup
    *  = combo tự động). CRUD chuẩn trước, nghiệp vụ sau. */
@@ -471,9 +587,17 @@ export function RoleFormPage({
   const applyTemplate = (templateCode: string) => {
     const tpl = roleTemplates?.find((t) => t.code === templateCode)
     if (!tpl) return
-    setFormData((prev) => ({ ...prev, permissions: [...tpl.permissions] }))
+    // Mẫu là bộ quyền dựng sẵn cho TOÀN hệ thống — kẹp lại theo trần quyền của
+    // người đang tạo, không thì bấm một cái là vượt trần và API từ chối.
+    const applied = grantable
+      ? tpl.permissions.filter((p) => grantable.has(p))
+      : [...tpl.permissions]
+    setFormData((prev) => ({ ...prev, permissions: applied }))
     toast.success(`Đã áp bộ quyền mẫu "${tpl.label}"`, {
-      description: `${tpl.permissions.length} quyền — chỉnh tiếp rồi bấm Lưu.`,
+      description:
+        applied.length === tpl.permissions.length
+          ? `${tpl.permissions.length} quyền — chỉnh tiếp rồi bấm Lưu.`
+          : `${applied.length}/${tpl.permissions.length} quyền (phần còn lại ngoài phạm vi của bạn).`,
     })
   }
 
@@ -487,7 +611,11 @@ export function RoleFormPage({
       const res = await fetch(url, {
         method,
         headers: { "Content-Type": "application/json" },
-        body: JSON.stringify(formData),
+        body: JSON.stringify({
+          ...formData,
+          ...(showDataScope ? { dataScope: dataScope || null } : {}),
+          ...(showWorkspace ? { workspaceId: workspaceId || null } : {}),
+        }),
       })
       if (!res.ok) {
         await throwFetchError(res, `Failed to ${mode} role`)
@@ -847,6 +975,56 @@ export function RoleFormPage({
             </Select>
           )}
 
+          {/* Đơn vị sở hữu — vai trò này CỦA AI, tức ai được sửa nó. Khác hẳn
+              ô "Cô lập dữ liệu" ngay bên cạnh (người MANG vai trò thấy gì). */}
+          {showWorkspace && (
+            <div className="flex items-center gap-1.5">
+              <Network className="h-3.5 w-3.5 text-muted-foreground" />
+              <span className="text-xs text-muted-foreground">
+                Đơn vị sở hữu:
+              </span>
+              <Select
+                value={workspaceId || WORKSPACE_SHARED}
+                onValueChange={(v) =>
+                  setWorkspaceId(v === WORKSPACE_SHARED ? "" : v)
+                }
+              >
+                <SelectTrigger className="h-8 w-56 rounded-md border border-border bg-card text-sm">
+                  <SelectValue>
+                    {workspaceId
+                      ? (workspaceOptions?.find((w) => w.id === workspaceId)
+                          ?.name ?? workspaceId)
+                      : "Dùng chung (mọi đơn vị)"}
+                  </SelectValue>
+                </SelectTrigger>
+                <SelectContent className="rounded-lg">
+                  {allowSharedWorkspace !== false && (
+                    <SelectItem value={WORKSPACE_SHARED}>
+                      <span className="flex flex-col">
+                        <span>Dùng chung (mọi đơn vị)</span>
+                        <span className="text-[11px] text-muted-foreground">
+                          Đơn vị nào cũng gán được, chỉ cấp vận hành sửa
+                        </span>
+                      </span>
+                    </SelectItem>
+                  )}
+                  {workspaceOptions?.map((w) => (
+                    <SelectItem key={w.id} value={w.id}>
+                      <span
+                        className="flex flex-col"
+                        // Thụt theo cấp để nhìn ra bộ phận con của đơn vị nào —
+                        // danh sách phẳng thì "Kho" của hai khách hàng trông y hệt.
+                        style={{ paddingLeft: `${((w.depth ?? 1) - 1) * 12}px` }}
+                      >
+                        <span>{w.name}</span>
+                      </span>
+                    </SelectItem>
+                  ))}
+                </SelectContent>
+              </Select>
+            </div>
+          )}
+
           {branchScopeResources.length > 0 && (
             <div className="flex items-center gap-1.5">
               <Building2 className="h-3.5 w-3.5 text-muted-foreground" />
@@ -886,6 +1064,42 @@ export function RoleFormPage({
             </div>
           )}
 
+          {/* Cô lập dữ liệu — vai trò này nhìn thấy dữ liệu của những ai */}
+          {showDataScope && (
+            <div className="flex items-center gap-1.5">
+              <ShieldCheck className="h-3.5 w-3.5 text-muted-foreground" />
+              <span className="text-xs text-muted-foreground">
+                Cô lập dữ liệu:
+              </span>
+              <Select
+                value={dataScope || DATA_SCOPE_DEFAULT}
+                onValueChange={(v) =>
+                  setDataScope(v === DATA_SCOPE_DEFAULT ? "" : v)
+                }
+              >
+                <SelectTrigger className="h-8 w-56 rounded-md border border-border bg-card text-sm">
+                  <SelectValue>
+                    {DATA_SCOPE_OPTIONS.find(
+                      (o) => o.value === (dataScope || DATA_SCOPE_DEFAULT)
+                    )?.label ?? dataScope}
+                  </SelectValue>
+                </SelectTrigger>
+                <SelectContent className="rounded-lg">
+                  {DATA_SCOPE_OPTIONS.map((o) => (
+                    <SelectItem key={o.value} value={o.value}>
+                      <span className="flex flex-col">
+                        <span>{o.label}</span>
+                        <span className="text-[11px] text-muted-foreground">
+                          {o.hint}
+                        </span>
+                      </span>
+                    </SelectItem>
+                  ))}
+                </SelectContent>
+              </Select>
+            </div>
+          )}
+
           {/* Trang mở đầu — nơi vai trò này hạ cánh sau khi đăng nhập */}
           <div className="flex items-center gap-1.5">
             <House className="h-3.5 w-3.5 text-muted-foreground" />

package/src/rbac/pages/role-list-page.tsx

@@ -174,11 +174,14 @@ function RolePermissionHeatmap({
                 {groups.map((g) => {
                   const { granted, total } = cellFor(role, g)
                   const ratio = total > 0 ? granted / total : 0
+                  // Ô nhiệt là lối tắt sang trang sửa — vai trò không sửa được
+                  // thì đừng mời bấm rồi để trang sửa từ chối.
+                  const editable = canUpdate && role.canManage !== false
                   return (
                     <td key={g} className="px-1 py-1 text-center">
                       <button
                         type="button"
-                        disabled={!canUpdate}
+                        disabled={!editable}
                         onClick={() =>
                           router.push(`/${lang}/roles/${role.id}/edit`)
                         }
@@ -186,7 +189,7 @@ function RolePermissionHeatmap({
                         className={cn(
                           "mx-auto block h-5 w-10 rounded",
                           shade(ratio),
-                          canUpdate && "cursor-pointer hover:ring-2 hover:ring-primary/40"
+                          editable && "cursor-pointer hover:ring-2 hover:ring-primary/40"
                         )}
                         aria-label={`${role.name} — ${g}: ${granted}/${total} quyền`}
                       />

package/src/rbac/role-service.ts

@@ -35,6 +35,32 @@ export type RoleServiceSchema = {
   roleTimestamps?: boolean;
 };
 
+/**
+ * PHẠM VI vai trò — chỉ dành cho app đã bật multi-tenant (cột `Role.workspaceId`).
+ *
+ * Không truyền thì hàm chạy y như trước: mọi vai trò, mọi người dùng nhúng bên
+ * trong. App một-đơn-vị (vinhhoa) cứ để trống.
+ *
+ * Vai trò `workspaceId = null` là vai trò DÙNG CHUNG do cấp vận hành dựng
+ * ("Nhân viên", "Bếp"): quản trị viên đơn vị vẫn THẤY để biết mình đang gán gì,
+ * nhưng `canManage` trả `false` nên nút sửa/xoá tắt.
+ */
+export type RoleQueryScope = {
+  /** Nhóm vận hành — thấy tất cả, sửa tất cả. */
+  canManageAll?: boolean;
+  /** Các workspace người này quản trị (`scope.adminIds`). */
+  adminWorkspaceIds?: readonly string[];
+  /** Có kèm vai trò dùng chung (`workspaceId = null`) không. Mặc định có. */
+  includeShared?: boolean;
+  /**
+   * Điều kiện kẹp danh sách NGƯỜI DÙNG nhúng trong mỗi vai trò — dạng where của
+   * bảng User (thường là `memberScopeWhere(scope)`). Thiếu nó thì trang vai trò
+   * là cửa hậu xem toàn bộ danh bạ: mỗi thẻ vai trò in kèm avatar + email của
+   * mọi người mang vai trò đó, kể cả đơn vị khác.
+   */
+  userWhere?: any;
+};
+
 export type RoleData = {
   id: string;
   name: string;
@@ -54,6 +80,12 @@ export type RoleData = {
   updatedAt: string;
   createdBy?: string;
   updatedBy?: string;
+  /** Chỉ có ở app multi-tenant. `null` = vai trò dùng chung. */
+  workspaceId?: string | null;
+  isSystem?: boolean;
+  rank?: number;
+  /** Người đang xem có sửa/xoá được vai trò này không. `undefined` = không xét. */
+  canManage?: boolean;
 };
 
 // Interface for the DB client injected into the service
@@ -68,6 +100,12 @@ export interface RolePrismaClient {
       take: number;
       include: any;
     }) => Promise<any[]>;
+    /**
+     * Prisma sinh sẵn — dùng để dò cột tuỳ chọn (workspaceId/rank/isSystem).
+     * Kiểu `object` chứ không `Record<string, unknown>`: `RoleFieldRefs` của
+     * Prisma không có index signature nên app truyền thẳng `db` sẽ đỏ.
+     */
+    fields?: object;
   };
 }
 
@@ -75,6 +113,11 @@ export interface RolePrismaClient {
 // Service Logic
 // ============================================================================
 
+/** App chưa có cột thì bỏ qua điều kiện tương ứng — hỏi cột không tồn tại là Prisma ném. */
+const hasRoleField = (db: RolePrismaClient, field: string) =>
+  // eslint-disable-next-line @typescript-eslint/no-explicit-any
+  Boolean((db as any)?.role?.fields?.[field]);
+
 /**
  * Get roles data with pagination and filtering
  * Generic core implementation using injected DB client
@@ -86,6 +129,7 @@ export async function getRolesData(
   db: RolePrismaClient,
   params: RoleFilters = {},
   schema: RoleServiceSchema = {},
+  scope?: RoleQueryScope,
 ): Promise<{
   total: number;
   page: number;
@@ -117,6 +161,22 @@ export async function getRolesData(
     whereConditions.push({ status });
   }
 
+  // Kẹp phạm vi — chỉ khi app THẬT SỰ có cột `workspaceId` trên Role. Dò bằng
+  // `role.fields` (Prisma sinh sẵn) thay vì đoán theo tên app.
+  const hasWorkspaceField = hasRoleField(db, "workspaceId");
+  const adminIds = scope?.adminWorkspaceIds ?? [];
+  const scoped = Boolean(scope) && !scope?.canManageAll && hasWorkspaceField;
+
+  if (scoped) {
+    const branches: any[] = [];
+    if (adminIds.length > 0) branches.push({ workspaceId: { in: [...adminIds] } });
+    if (scope?.includeShared !== false) branches.push({ workspaceId: null });
+    // Không quản trị đơn vị nào và không lấy vai trò dùng chung ⇒ không thấy gì.
+    // Viết tường minh chứ không để `OR: []` — dựa vào cách Prisma diễn giải mảng
+    // rỗng là dựa vào chi tiết cài đặt.
+    whereConditions.push(branches.length > 0 ? { OR: branches } : { id: { in: [] } });
+  }
+
   const where: any = whereConditions.length > 0 ? { AND: whereConditions } : {};
 
   // Build the user select from the (possibly overridden) field names.
@@ -132,7 +192,10 @@ export async function getRolesData(
       skip: (page - 1) * pageSize,
       take: pageSize,
       include: {
-        userRoles: { include: { user: { select: userSelect } } },
+        userRoles: {
+          ...(scope?.userWhere ? { where: { user: scope.userWhere } } : {}),
+          include: { user: { select: userSelect } },
+        },
         rolePermissions: {
           include: {
             resource: { select: { code: true, name: true, icon: true } },
@@ -143,6 +206,30 @@ export async function getRolesData(
     }),
   ]);
 
+  // Tên đơn vị sở hữu: MỘT câu cho cả trang, không phải `include` lồng — quan hệ
+  // `workspace` có thể không được khai trên `Role` ở app chỉ thêm cột thô, mà
+  // `include` sai tên quan hệ là Prisma ném lỗi cả trang danh sách.
+  const workspaceNames = new Map<string, string>();
+  if (hasWorkspaceField) {
+    const ids = [
+      ...new Set(items.map((r: any) => r.workspaceId).filter(Boolean)),
+    ] as string[];
+    // `db.workspace` chỉ tồn tại ở app đã chạy migration workspace. Có cột mà
+    // chưa có bảng là chuyện có thật giữa hai lần deploy — im lặng bỏ tên còn
+    // hơn cho nổ trang.
+    if (ids.length > 0 && (db as any).workspace?.findMany) {
+      try {
+        const rows = await (db as any).workspace.findMany({
+          where: { id: { in: ids } },
+          select: { id: true, name: true },
+        });
+        for (const w of rows) workspaceNames.set(w.id, w.name);
+      } catch {
+        /* không có bảng workspaces — bỏ qua tên, danh sách vẫn chạy */
+      }
+    }
+  }
+
   // Transform raw DB items to RoleData type
   const transformedItems = items.map((role: any) => ({
     id: role.id,
@@ -154,6 +241,8 @@ export async function getRolesData(
     permissions: role.rolePermissions.map(
       (rp: any) => `${rp.actionCode}:${rp.resourceCode}`,
     ),
+    // Đếm theo danh sách ĐÃ kẹp: người quản trị đơn vị thấy "3 người dùng" là 3
+    // người trong đơn vị mình, không phải tổng toàn hệ thống.
     usersCount: role.userRoles.length,
     users: role.userRoles.map((ur: any) => ({
       id: ur.user.id,
@@ -166,6 +255,25 @@ export async function getRolesData(
     updatedAt: hasTimestamps && role.updatedAt ? role.updatedAt.toISOString() : "",
     createdBy: role.createdBy || undefined,
     updatedBy: role.updatedBy || undefined,
+    ...(hasWorkspaceField
+      ? {
+          workspaceId: role.workspaceId ?? null,
+          workspaceName: role.workspaceId
+            ? (workspaceNames.get(role.workspaceId) ?? null)
+            : null,
+          isSystem: Boolean(role.isSystem),
+          rank: typeof role.rank === "number" ? role.rank : undefined,
+          // Vai trò dùng chung / vai trò hệ thống / vai trò của đơn vị khác:
+          // xem được, không sửa được. Cùng luật với `canManageRole` bên
+          // `@goerp/core/workspace` — đây chỉ là bản chiếu xuống UI.
+          canManage: scope
+            ? scope.canManageAll ||
+              (!role.isSystem &&
+                Boolean(role.workspaceId) &&
+                adminIds.includes(role.workspaceId))
+            : undefined,
+        }
+      : {}),
   }));
 
   return { total, page, pageSize, items: transformedItems };