@goplusvn/core 0.1.79 → 0.1.82

package/CHANGELOG.md

@@ -1,5 +1,74 @@
 # Changelog
 
+## 0.1.81 — Cây workspace kiểu explorer, xoá/khôi phục lộ ra, thêm thành viên bằng dialog
+
+Vẫn **ADDITIVE**: prop mới đều tuỳ chọn, app không truyền thì màn hình vẫn chạy.
+
+- `workspace/components/workspace-tree-panel.tsx` (MỚI, thay
+  `workspace-org-block.tsx` đã xoá) — cây thu gọn được kiểu explorer: một kiểu
+  dòng duy nhất cho mọi cấp, chevron riêng, vạch dẫn con, nút gọn thì cộng dồn
+  số người của cả nhánh. Chọn dòng bằng `bg-accent` + vạch `primary` bên trái
+  thay vì nền đậm. Mỗi dòng có menu `⋯`: thêm cấp con, sửa tên/mã, chuyển
+  nhánh, và **“Xoá workspace”** — trước đây thao tác xoá nấp sau chữ “Ngừng
+  hoạt động” nên nhìn vào không ai thấy màn hình có chức năng xoá.
+  Tên cũ (`WorkspaceOrgAnnotation`, `filterWorkspaceTree`, `rollupCounts`,
+  `WorkspaceRollup`) vẫn export được từ module này.
+- `workspace/service.ts` — `reactivateSubtree()` đối xứng với
+  `deactivateSubtree()`; `PATCH { isActive: true }` bật lại CẢ NHÁNH. Xoá là
+  cửa hai chiều: không có đường về thì nút đã xoá nằm lại vĩnh viễn.
+- `workspace/components/workspace-member-picker-dialog.tsx` (MỚI) — “Thêm thành
+  viên” chuyển từ khối chèn trong trang sang **dialog** theo đúng khuôn dialog
+  chọn của vinhhoa (`h-[85vh]`, header/toolbar dính, vùng cuộn `bg-muted/30`,
+  footer hành động). Tìm theo họ tên · mã nhân viên · email; lọc theo chi nhánh,
+  vai trò (app truyền) và **“đang ở bộ phận nào”** (core tự phục vụ bằng chính
+  bảng `userWorkspace`). Tick nhiều dòng, gán một lượt; dòng nào hỏng thì giữ
+  dialog và chọn lại đúng những người đó.
+- `workspace/route-handlers.ts` — dep tuỳ chọn `candidateSearch(query)` (nhánh
+  tìm THÊM của app, ví dụ mã nhân viên) và tham số `inWorkspaceId`;
+  `memberIdentity.describe` trả thêm `code` để hiện mã nhân viên cạnh tên.
+
+## 0.1.80 — Gán người vào workspace: hàng loạt theo bộ lọc, và nhìn ra người đó là ai
+
+Đợt 0.1.76–0.1.79 dựng xong hàng rào; đợt này là phần THAO TÁC — chỗ người ta
+thực sự ngồi làm. Toàn bộ **ADDITIVE**: mọi prop và dep mới đều tuỳ chọn, app
+không truyền thì màn hình chạy y như 0.1.79.
+
+- `workspace/components/workspace-members-panel.tsx`
+  - **Gán hàng loạt** (bật bằng prop `bulkFilters`): lọc → tick nhiều dòng →
+    chuyển một lần. Hai nút, hai nghĩa: **“Chuyển”** (`mode: "move"`) GỠ mọi
+    không gian khác của người được chọn, **“Thêm”** giữ nguyên nơi cũ. Đây là
+    điểm dễ hiểu nhầm nhất của cả tính năng: phạm vi đọc là HỢP các không gian
+    một người thuộc về, nên chỉ THÊM thì người vừa “gán vào bộ phận Kho” vẫn
+    còn membership gốc và vẫn thấy toàn hệ thống — bấm xong tưởng đã cô lập mà
+    thực ra không đổi gì. Vì vậy “Chuyển” là mặc định, không phải “Thêm”.
+  - **Danh tính mỗi dòng**: chi nhánh · vai trò · các không gian đang thuộc về,
+    cho cả thành viên lẫn ứng viên. Tên với email không trả lời được câu hỏi
+    thật của người đang gán (“ông này là ai, đang nằm ở đâu, có phải quản trị
+    không”), mà gán nhầm là cắt mất tầm nhìn của một người thật.
+- `workspace/route-handlers.ts`
+  - Dep tuỳ chọn `candidateFilter(params)` — app dịch tham số URL thành mảnh
+    `where` của Prisma. Mảnh này **chồng thêm** vào `memberScopeWhere(...,
+    adminOnly)`, không thay thế: không dùng nó để với ra ngoài phạm vi quản trị
+    được.
+  - Dep tuỳ chọn `memberIdentity { select, describe }` — “chi nhánh”/“vai trò”
+    là quan hệ của app, nhét thẳng `userBranches`/`userRoles` vào truy vấn thì
+    app nào không có đúng hai quan hệ đó sẽ vỡ lúc chạy. Các không gian đang
+    thuộc về thì core tự đọc (đã trừ nút đang mở).
+  - POST nhận `{ userIds[], mode }`; từng dòng hỏng trả lý do RIÊNG (ngoài phạm
+    vi, tài khoản được bảo vệ…) thay vì gộp thành một câu “có lỗi”.
+- `workspace/components/workspace-org-block.tsx` — cây con **nằm trong** nút
+  gốc: thụt lề mọc ra từ tim ô icon của khối (1.75rem) kèm vạch dọc nối các nút
+  cùng cấp. Trước đó cấp đầu tiên chỉ lùi 0.75rem — ít hơn cả lề của tiêu đề
+  khối — nên đơn vị con nhìn ra thành ngang hàng với tổ chức, đúng thứ màn hình
+  này không được phép nói. Prop `annotations` (tra theo `code`) gắn được huy
+  hiệu cho cả nút CON, cần khi cây có một nút gốc phủ toàn hệ thống và “vận
+  hành”/“khách hàng” tụt xuống làm con.
+- `rbac` — `Role.workspaceName` giải sẵn ở server (một câu SQL cho cả trang,
+  không `include` lồng: quan hệ `workspace` có thể chưa khai trên `Role`).
+  `PUT /api/roles/[id]` cho **chuyển chủ sở hữu** vai trò, nhưng chỉ ghi khi
+  client CÓ gửi `workspaceId` — ghi vô điều kiện thì vai trò dùng chung do vai
+  vận hành sửa sẽ lặng lẽ rơi vào một đơn vị.
+
 ## 0.1.79 — Vai trò cũng có phạm vi: quản trị viên đơn vị chỉ thấy & sửa vai trò của mình
 
 Lỗ hổng đối xứng của đợt 0.1.76: người dùng đã bị kẹp theo workspace, còn VAI

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@goplusvn/core",
   "description": "GoPlusVN Platform Kit - ERP kernel: layout, RBAC, CRUD, multi-tenant, system pages",
-  "version": "0.1.79",
+  "version": "0.1.82",
   "private": false,
   "publishConfig": {
     "registry": "https://registry.npmjs.org",

package/src/rbac/__tests__/route-handlers.test.ts

@@ -296,6 +296,75 @@ describe("roles route handlers — uỷ quyền", () => {
     expect(updated[0].name).toBe("Tổ trưởng bếp");
   });
 
+  // ── Chủ sở hữu vai trò (`Role.workspaceId`) — ô "Đơn vị sở hữu" trên form ──
+  // Khác `dataScope`: cái này trả lời "vai trò của ai, AI SỬA ĐƯỢC", không phải
+  // "người mang vai trò thấy dữ liệu tới đâu".
+
+  it("POST nhận đơn vị do vai vận hành chọn thay vì tự đóng dấu", async () => {
+    const { deps, actor, created } = tenantDb();
+    actor.canManageAll = true;
+    const res = await createRolesCollectionHandlers(deps as any).POST(
+      post({
+        code: "qc_lead",
+        name: "Trưởng QC",
+        workspaceId: "spa-qc",
+        permissions: ["view:meal-order"],
+      })
+    );
+
+    expect(res.status).toBe(201);
+    expect(created[0].workspaceId).toBe("spa-qc");
+  });
+
+  it("POST vai vận hành chọn 'dùng chung' thì workspaceId là null", async () => {
+    const { deps, actor, created } = tenantDb();
+    actor.canManageAll = true;
+    const res = await createRolesCollectionHandlers(deps as any).POST(
+      post({ code: "chung", name: "Dùng chung", workspaceId: null, permissions: [] })
+    );
+
+    expect(res.status).toBe(201);
+    expect(created[0].workspaceId).toBeNull();
+  });
+
+  it("PUT KHÔNG gửi workspaceId thì không đóng dấu lại (vai trò dùng chung ở yên)", async () => {
+    // Đây là hồi quy thật: ghi `gate.workspaceId` vô điều kiện thì mỗi lần vai
+    // vận hành sửa một vai trò dùng chung là nó lặng lẽ rơi vào một đơn vị.
+    const { deps, actor, updated } = tenantDb({ workspaceId: null });
+    actor.canManageAll = true;
+    const res = await createRoleItemHandlers(deps as any).PUT(
+      put({ name: "Đổi tên", permissions: [] }),
+      ctx as any
+    );
+
+    expect(res.status).toBe(200);
+    expect(updated[0]).not.toHaveProperty("workspaceId");
+  });
+
+  it("PUT vai vận hành chuyển vai trò sang đơn vị khác", async () => {
+    const { deps, actor, updated } = tenantDb();
+    actor.canManageAll = true;
+    const res = await createRoleItemHandlers(deps as any).PUT(
+      put({ name: "Tổ trưởng", workspaceId: "tanloc", permissions: [] }),
+      ctx as any
+    );
+
+    expect(res.status).toBe(200);
+    expect(updated[0].workspaceId).toBe("tanloc");
+  });
+
+  it("PUT quản trị viên đơn vị KHÔNG chuyển được vai trò ra ngoài nhánh mình", async () => {
+    const { deps, updated } = tenantDb();
+    const res = await createRoleItemHandlers(deps as any).PUT(
+      put({ name: "Tổ trưởng", workspaceId: "tanloc", permissions: ["view:meal-order"] }),
+      ctx as any
+    );
+
+    expect(res.status).toBe(403);
+    expect((await res.json()).code).toBe("D1_OUT_OF_SCOPE");
+    expect(updated).toHaveLength(0);
+  });
+
   it("DELETE chặn vai trò hệ thống", async () => {
     const { deps, deleted } = tenantDb({ isSystem: true });
     const res = await createRoleItemHandlers(deps as any).DELETE(

package/src/rbac/components/roles/role-card.tsx

@@ -58,6 +58,17 @@ export const RoleCard = memo(function RoleCard({
       ? "Dùng chung"
       : null;
 
+  // ĐƠN VỊ SỞ HỮU — chỉ ở app multi-tenant. Phân biệt `undefined` (app một tổ
+  // chức, không có khái niệm này) với `null` (có, và là vai trò dùng chung):
+  // gộp hai cái là app cũ tự nhiên mọc thêm huy hiệu "Dùng chung" vô nghĩa.
+  const multiTenant = "workspaceId" in role;
+  // Người không sửa được đã có nhãn riêng ở trên rồi, đừng dán hai huy hiệu
+  // cùng nghĩa cạnh nhau.
+  const ownerLabel =
+    multiTenant && !readOnlyLabel
+      ? (role.workspaceName ?? (role.workspaceId ? "Đơn vị khác" : "Dùng chung"))
+      : null;
+
   const handleEdit = useCallback(() => {
     router.push(`/${lang}/roles/${role.id}/edit`);
   }, [router, lang, role.id]);
@@ -95,6 +106,19 @@ export const RoleCard = memo(function RoleCard({
                 {readOnlyLabel}
               </Badge>
             )}
+            {ownerLabel && (
+              <Badge
+                variant="outline"
+                className="bg-muted text-muted-foreground border-border text-[10px] px-2 py-0 h-5 font-semibold max-w-[9rem] truncate"
+                title={
+                  role.workspaceId
+                    ? "Đơn vị sở hữu vai trò — chỉ quản trị đơn vị này sửa được"
+                    : "Vai trò dùng chung — mọi đơn vị đều gán được, chỉ cấp vận hành sửa"
+                }
+              >
+                {ownerLabel}
+              </Badge>
+            )}
             {role.status === "active" ? (
               <Badge
                 variant="outline"

package/src/rbac/pages/role-form-page.tsx

@@ -45,6 +45,7 @@ import {
   House,
   Info,
   LayoutTemplate,
+  Network,
   Save,
   ShieldCheck,
   X,
@@ -84,6 +85,9 @@ const LANDING_AUTO = "__auto__"
 /** Cùng lý do: "" = theo mặc định của app (`subtree`). */
 const DATA_SCOPE_DEFAULT = "__default__"
 
+/** Cùng lý do: "" = vai trò DÙNG CHUNG (`workspaceId = null`). */
+const WORKSPACE_SHARED = "__shared__"
+
 /**
  * Thang 5 nấc của `@goerp/core/workspace` (Δ1). Chữ ở đây cố ý nói theo NGƯỜI
  * DÙNG chứ không theo tên kỹ thuật: người tick quyền không biết "subtree" là gì.
@@ -185,6 +189,8 @@ export interface RoleFormPageProps {
     landingPath?: string | null
     /** Nấc cô lập dữ liệu. Null = mặc định của app (`subtree`). */
     dataScope?: string | null
+    /** Đơn vị sở hữu vai trò. Null = vai trò dùng chung. */
+    workspaceId?: string | null
   }
   actionLabels?: Record<string, ActionLabelConfig>
   roleTemplates?: RoleTemplate[]
@@ -212,6 +218,22 @@ export interface RoleFormPageProps {
    * trường này nếu người gửi không phải vai vận hành — đây chỉ là lớp hiển thị.
    */
   showDataScope?: boolean
+  /**
+   * Các ĐƠN VỊ được phép đặt làm chủ sở hữu vai trò (`Role.workspaceId`). Bỏ
+   * trống ⇒ không hiện ô, payload không mang trường này, engine tự đóng dấu theo
+   * nhánh người tạo — đúng hành vi trước khi có ô.
+   *
+   * Hai trường dễ lẫn, đừng gộp:
+   *  - `workspaceId` = vai trò này CỦA ĐƠN VỊ NÀO, tức AI ĐƯỢC SỬA nó;
+   *  - `dataScope`   = người MANG vai trò này nhìn thấy dữ liệu tới đâu.
+   * Một vai trò dùng chung (`null`) vẫn có thể cô lập chặt, và ngược lại.
+   *
+   * `allowShared` chỉ bật cho vai vận hành: quản trị viên đơn vị mà tạo được vai
+   * trò dùng chung là họ vừa đẻ ra thứ mọi đơn vị khác cũng gán được. API chặn
+   * sẵn (D1), đây là lớp hiển thị cho khớp.
+   */
+  workspaceOptions?: Array<{ id: string; name: string; depth?: number }>
+  allowSharedWorkspace?: boolean
 }
 
 export function RoleFormPage({
@@ -230,6 +252,8 @@ export function RoleFormPage({
   historyEndpoint,
   grantablePermissions,
   showDataScope,
+  workspaceOptions,
+  allowSharedWorkspace,
 }: RoleFormPageProps) {
   const router = useRouter()
 
@@ -273,6 +297,13 @@ export function RoleFormPage({
     initialData?.dataScope ?? ""
   )
 
+  // Cùng lý do tách khỏi `formData`: không hiện ô thì payload phải KHÔNG có
+  // trường `workspaceId`, để cổng uỷ quyền tự đóng dấu theo nhánh người tạo.
+  const showWorkspace = Boolean(workspaceOptions?.length)
+  const [workspaceId, setWorkspaceId] = React.useState<string>(
+    initialData?.workspaceId ?? ""
+  )
+
   const getLocalizedName = React.useCallback(
     (key: string | null) => {
       if (!key) return ""
@@ -580,9 +611,11 @@ export function RoleFormPage({
       const res = await fetch(url, {
         method,
         headers: { "Content-Type": "application/json" },
-        body: JSON.stringify(
-          showDataScope ? { ...formData, dataScope: dataScope || null } : formData
-        ),
+        body: JSON.stringify({
+          ...formData,
+          ...(showDataScope ? { dataScope: dataScope || null } : {}),
+          ...(showWorkspace ? { workspaceId: workspaceId || null } : {}),
+        }),
       })
       if (!res.ok) {
         await throwFetchError(res, `Failed to ${mode} role`)
@@ -942,6 +975,56 @@ export function RoleFormPage({
             </Select>
           )}
 
+          {/* Đơn vị sở hữu — vai trò này CỦA AI, tức ai được sửa nó. Khác hẳn
+              ô "Cô lập dữ liệu" ngay bên cạnh (người MANG vai trò thấy gì). */}
+          {showWorkspace && (
+            <div className="flex items-center gap-1.5">
+              <Network className="h-3.5 w-3.5 text-muted-foreground" />
+              <span className="text-xs text-muted-foreground">
+                Đơn vị sở hữu:
+              </span>
+              <Select
+                value={workspaceId || WORKSPACE_SHARED}
+                onValueChange={(v) =>
+                  setWorkspaceId(v === WORKSPACE_SHARED ? "" : v)
+                }
+              >
+                <SelectTrigger className="h-8 w-56 rounded-md border border-border bg-card text-sm">
+                  <SelectValue>
+                    {workspaceId
+                      ? (workspaceOptions?.find((w) => w.id === workspaceId)
+                          ?.name ?? workspaceId)
+                      : "Dùng chung (mọi đơn vị)"}
+                  </SelectValue>
+                </SelectTrigger>
+                <SelectContent className="rounded-lg">
+                  {allowSharedWorkspace !== false && (
+                    <SelectItem value={WORKSPACE_SHARED}>
+                      <span className="flex flex-col">
+                        <span>Dùng chung (mọi đơn vị)</span>
+                        <span className="text-[11px] text-muted-foreground">
+                          Đơn vị nào cũng gán được, chỉ cấp vận hành sửa
+                        </span>
+                      </span>
+                    </SelectItem>
+                  )}
+                  {workspaceOptions?.map((w) => (
+                    <SelectItem key={w.id} value={w.id}>
+                      <span
+                        className="flex flex-col"
+                        // Thụt theo cấp để nhìn ra bộ phận con của đơn vị nào —
+                        // danh sách phẳng thì "Kho" của hai khách hàng trông y hệt.
+                        style={{ paddingLeft: `${((w.depth ?? 1) - 1) * 12}px` }}
+                      >
+                        <span>{w.name}</span>
+                      </span>
+                    </SelectItem>
+                  ))}
+                </SelectContent>
+              </Select>
+            </div>
+          )}
+
           {branchScopeResources.length > 0 && (
             <div className="flex items-center gap-1.5">
               <Building2 className="h-3.5 w-3.5 text-muted-foreground" />

package/src/rbac/role-service.ts

@@ -206,6 +206,30 @@ export async function getRolesData(
     }),
   ]);
 
+  // Tên đơn vị sở hữu: MỘT câu cho cả trang, không phải `include` lồng — quan hệ
+  // `workspace` có thể không được khai trên `Role` ở app chỉ thêm cột thô, mà
+  // `include` sai tên quan hệ là Prisma ném lỗi cả trang danh sách.
+  const workspaceNames = new Map<string, string>();
+  if (hasWorkspaceField) {
+    const ids = [
+      ...new Set(items.map((r: any) => r.workspaceId).filter(Boolean)),
+    ] as string[];
+    // `db.workspace` chỉ tồn tại ở app đã chạy migration workspace. Có cột mà
+    // chưa có bảng là chuyện có thật giữa hai lần deploy — im lặng bỏ tên còn
+    // hơn cho nổ trang.
+    if (ids.length > 0 && (db as any).workspace?.findMany) {
+      try {
+        const rows = await (db as any).workspace.findMany({
+          where: { id: { in: ids } },
+          select: { id: true, name: true },
+        });
+        for (const w of rows) workspaceNames.set(w.id, w.name);
+      } catch {
+        /* không có bảng workspaces — bỏ qua tên, danh sách vẫn chạy */
+      }
+    }
+  }
+
   // Transform raw DB items to RoleData type
   const transformedItems = items.map((role: any) => ({
     id: role.id,
@@ -234,6 +258,9 @@ export async function getRolesData(
     ...(hasWorkspaceField
       ? {
           workspaceId: role.workspaceId ?? null,
+          workspaceName: role.workspaceId
+            ? (workspaceNames.get(role.workspaceId) ?? null)
+            : null,
           isSystem: Boolean(role.isSystem),
           rank: typeof role.rank === "number" ? role.rank : undefined,
           // Vai trò dùng chung / vai trò hệ thống / vai trò của đơn vị khác:

package/src/rbac/route-handlers.ts

@@ -308,11 +308,23 @@ export function createRoleItemHandlers(deps: RbacHandlerDeps) {
         try {
           const gate = assertCanManageRole(actor, loaded.delegation, {
             code: existing.code,
-            workspaceId: loaded.delegation.workspaceId,
+            // Client KHÔNG gửi trường ⇒ giữ nguyên chủ sở hữu. Gửi ⇒ cổng uỷ
+            // quyền quyết: vai vận hành đổi được tuỳ ý, quản trị đơn vị chỉ
+            // chuyển được trong nhánh mình (D1 ném nếu ra ngoài).
+            workspaceId:
+              body.workspaceId !== undefined
+                ? body.workspaceId
+                : loaded.delegation.workspaceId,
             rank: typeof body.rank === "number" ? body.rank : loaded.delegation.rank,
             permissions: toResourceAction(permissions),
           });
           if (hasRoleField(prisma, "rank")) stamp.rank = gate.rank;
+          // Chỉ ghi khi client CÓ ý đổi: `gate.workspaceId` luôn có giá trị, ghi
+          // vô điều kiện là mọi lần sửa vai trò đều đóng dấu lại — vai trò dùng
+          // chung do vai vận hành sửa sẽ lặng lẽ rơi vào một đơn vị.
+          if (body.workspaceId !== undefined && hasRoleField(prisma, "workspaceId")) {
+            stamp.workspaceId = gate.workspaceId;
+          }
         } catch (e) {
           const denied = delegationDenied(e);
           if (denied) return denied;

package/src/rbac/types.ts

@@ -22,6 +22,12 @@ export type Role = {
   updatedBy?: string | null | undefined;
   /** App multi-tenant: đơn vị sở hữu vai trò; `null` = vai trò dùng chung. */
   workspaceId?: string | null;
+  /**
+   * Tên đơn vị sở hữu — server giải sẵn để thẻ vai trò khỏi phải tra cây. `null`
+   * khi vai trò dùng chung; trường VẮNG MẶT khi app không bật multi-tenant (khác
+   * hẳn `null`, đừng gộp hai trường hợp).
+   */
+  workspaceName?: string | null;
   isSystem?: boolean;
   rank?: number;
   /**

package/src/workspace/__tests__/workspace-member-handlers.test.ts

@@ -118,12 +118,16 @@ function fakeDb(users: FakeUser[]) {
         const before = members.length;
         for (let i = members.length - 1; i >= 0; i -= 1) {
           const m = members[i];
-          if (
-            m.userId === args.where.userId &&
-            m.workspaceId === args.where.workspaceId
-          ) {
-            members.splice(i, 1);
-          }
+          if (m.userId !== args.where.userId) continue;
+          // Hai dạng `where` mà handler thực sự gửi xuống: gỡ ĐÚNG một nút
+          // (đường xoá một người) và gỡ MỌI nút khác (đường chuyển hàng loạt).
+          const matches =
+            args.where.workspaceId !== undefined
+              ? m.workspaceId === args.where.workspaceId
+              : args.where.NOT?.workspaceId !== undefined
+                ? m.workspaceId !== args.where.NOT.workspaceId
+                : true;
+          if (matches) members.splice(i, 1);
         }
         return { count: before - members.length };
       },
@@ -405,3 +409,66 @@ describe("tìm ứng viên để thêm", () => {
     expect(res.status).toBe(403);
   });
 });
+
+describe("gán HÀNG LOẠT", () => {
+  let db: ReturnType<typeof fakeDb>;
+  beforeEach(() => {
+    db = fakeDb(baseUsers());
+    configure(db);
+  });
+
+  const wsOf = (userId: string) =>
+    db.members.filter((m) => m.userId === userId).map((m) => m.workspaceId);
+
+  it('mode "move" GỠ mọi không gian cũ — nếu không thì cô lập là giả', async () => {
+    const { POST } = createWorkspaceMemberHandlers(deps(db, opsAdmin) as any);
+    const res = await POST(
+      postReq({ userIds: ["u-qc", "u-tanloc"], mode: "move" }),
+      ctx("spa-qc"),
+    );
+
+    expect(res.status).toBe(200);
+    await expect(res.json()).resolves.toMatchObject({ changed: 2, failed: [] });
+    // Còn giữ membership cũ là người đó vẫn thấy dữ liệu nhánh cũ (phạm vi là
+    // HỢP các không gian), tức bấm gán xong mà không đổi gì.
+    expect(wsOf("u-qc")).toEqual(["spa-qc"]);
+    expect(wsOf("u-tanloc")).toEqual(["spa-qc"]);
+  });
+
+  it('mode "add" giữ nguyên nơi cũ', async () => {
+    const { POST } = createWorkspaceMemberHandlers(deps(db, opsAdmin) as any);
+    const res = await POST(
+      postReq({ userIds: ["u-qc"], mode: "add" }),
+      ctx("spa-qc"),
+    );
+
+    expect(res.status).toBe(200);
+    expect(wsOf("u-qc").sort()).toEqual(["spa", "spa-qc"]);
+  });
+
+  it("người ngoài phạm vi bị loại RIÊNG, không kéo đổ cả mẻ", async () => {
+    const { POST } = createWorkspaceMemberHandlers(
+      deps(db, customerAdmin) as any,
+    );
+    const res = await POST(
+      // `u-tanloc` thuộc nhánh Tấn Lộc — admin khách hàng không sở hữu (D7).
+      postReq({ userIds: ["u-qc", "u-tanloc"] }),
+      ctx("spa-qc"),
+    );
+
+    expect(res.status).toBe(200);
+    const payload = await res.json();
+    expect(payload.changed).toBe(1);
+    expect(payload.failed).toHaveLength(1);
+    expect(payload.failed[0].userId).toBe("u-tanloc");
+    // Nạn nhân KHÔNG bị đẩy khỏi nhánh cũ — đó chính là đường chiếm người mà D7 chặn.
+    expect(wsOf("u-tanloc")).toEqual(["tanloc"]);
+    expect(wsOf("u-qc")).toEqual(["spa-qc"]);
+  });
+
+  it("danh sách rỗng → 400 chứ không im lặng báo thành công", async () => {
+    const { POST } = createWorkspaceMemberHandlers(deps(db, opsAdmin) as any);
+    const res = await POST(postReq({ userIds: [] }), ctx("spa-qc"));
+    expect(res.status).toBe(400);
+  });
+});