@goplusvn/core 0.1.85 → 0.1.86

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@goplusvn/core",
   "description": "GoPlusVN Platform Kit - ERP kernel: layout, RBAC, CRUD, multi-tenant, system pages",
-  "version": "0.1.85",
+  "version": "0.1.86",
   "private": false,
   "publishConfig": {
     "registry": "https://registry.npmjs.org",

package/src/navigation/__tests__/navigation.test.ts

@@ -0,0 +1,133 @@
+import { describe, expect, it, vi } from "vitest";
+
+import { buildNavigationForSession, filterNavigationTree } from "../index";
+
+import type { NavigationType, PermissionMap, Session } from "../../types";
+
+/**
+ * Menu mẫu: một mục xem thường và một mục CHỈ dành cho người có quyền nhập.
+ * Đúng hình dạng đã làm lộ lỗ hổng ở tanloc-spartronics (2026-08-20).
+ */
+const NAVIGATION: NavigationType[] = [
+  {
+    title: "Căn-tin",
+    items: [
+      {
+        title: "Đặt suất ăn",
+        iconName: "UtensilsCrossed",
+        href: "/ordering",
+        resource: "ordering",
+      },
+      {
+        title: "Nhập đăng ký",
+        iconName: "FileSpreadsheet",
+        href: "/ordering/import",
+        resource: "ordering",
+        action: "import",
+      },
+    ],
+  },
+];
+
+function sessionWith(permissionMap: PermissionMap): Session {
+  return { user: { id: "u1", roles: ["staff"], permissionMap } } as Session;
+}
+
+const titles = (nav: NavigationType[]) =>
+  nav.flatMap((group) => group.items.map((item) => item.title));
+
+describe("buildNavigationForSession", () => {
+  it("giấu mục khai action mà người dùng không có quyền đó", () => {
+    const nav = buildNavigationForSession(
+      NAVIGATION,
+      sessionWith({ ordering: ["view", "create"] }),
+    );
+
+    expect(titles(nav)).toEqual(["Đặt suất ăn"]);
+  });
+
+  it("hiện mục khai action khi người dùng có ĐÚNG action đó", () => {
+    const nav = buildNavigationForSession(
+      NAVIGATION,
+      sessionWith({ ordering: ["view", "import"] }),
+    );
+
+    expect(titles(nav)).toEqual(["Đặt suất ăn", "Nhập đăng ký"]);
+  });
+
+  it("có action nhưng không xem được resource thì rụng cả nhóm", () => {
+    const nav = buildNavigationForSession(
+      NAVIGATION,
+      sessionWith({ employees: ["view"] }),
+    );
+
+    expect(nav).toEqual([]);
+  });
+
+  it("admin thấy nguyên cây, không đụng tới action", () => {
+    const session = { user: { id: "u1", roles: ["admin"] } } as Session;
+
+    expect(buildNavigationForSession(NAVIGATION, session)).toEqual(NAVIGATION);
+  });
+
+  it("chưa đăng nhập ⇒ menu rỗng", () => {
+    expect(buildNavigationForSession(NAVIGATION, null)).toEqual([]);
+  });
+});
+
+describe("filterNavigationTree", () => {
+  it("không có `can` thì mục khai action bị ẩn kèm cảnh báo (fail-closed)", () => {
+    const warn = vi.spyOn(console, "warn").mockImplementation(() => {});
+
+    const nav = filterNavigationTree(NAVIGATION, new Set(["ordering"]));
+
+    expect(titles(nav)).toEqual(["Đặt suất ăn"]);
+    expect(warn).toHaveBeenCalledOnce();
+    warn.mockRestore();
+  });
+
+  it("nhận `can` thì hỏi đúng cặp (resource, action)", () => {
+    const can = vi.fn(
+      (resource: string, action: string) =>
+        resource === "ordering" && action === "import",
+    );
+
+    const nav = filterNavigationTree(NAVIGATION, new Set(["ordering"]), {
+      can,
+    });
+
+    expect(titles(nav)).toEqual(["Đặt suất ăn", "Nhập đăng ký"]);
+    expect(can).toHaveBeenCalledExactlyOnceWith("ordering", "import");
+  });
+
+  it("mục lồng nhau cũng được kiểm theo action đã khai", () => {
+    const nested: NavigationType[] = [
+      {
+        title: "Căn-tin",
+        items: [
+          {
+            title: "Quản trị",
+            iconName: "Settings",
+            items: [
+              { title: "Thực đơn", href: "/menus", resource: "ordering" },
+              {
+                title: "Nhập đăng ký",
+                href: "/ordering/import",
+                resource: "ordering",
+                action: "import",
+              },
+            ],
+          },
+        ],
+      },
+    ];
+
+    const nav = filterNavigationTree(nested, new Set(["ordering"]), {
+      can: () => false,
+    });
+
+    expect(nav[0].items[0].items?.map((item) => item.title)).toEqual([
+      "Thực đơn",
+    ]);
+  });
+});

package/src/navigation/index.ts

@@ -2,7 +2,7 @@
 // Core navigation utilities for GoERP platform
 // Consolidated from packages/shared/navigation
 
-import { getAccessibleResources } from "../auth";
+import { checkPermission, getAccessibleResources } from "../auth";
 
 import type {
   NavigationType,
@@ -11,20 +11,72 @@ import type {
   Session,
 } from "../types";
 
+/**
+ * Cách kiểm MỘT cặp (resource, action) cho mục menu tự khai `action`.
+ *
+ * `accessibleCodes` chỉ là tập resource của ĐÚNG MỘT action (thường là "view"),
+ * nên tự nó không trả lời được câu "người này có `ordering:import` không".
+ * `buildNavigationForSession` tự dựng hàm này từ session; app gọi thẳng
+ * `filterNavigationTree` thì truyền vào.
+ */
+export interface NavigationFilterOptions {
+  can?: (resourceCode: string, actionCode: string) => boolean;
+}
+
+/**
+ * Một mục menu có được hiện không.
+ *
+ * Mục KHÔNG khai `resource` ⇒ công khai. Mục khai `resource` mà không khai
+ * `action` ⇒ so với `accessibleCodes` như trước nay.
+ *
+ * Mục khai `action` (vd `resource: "ordering", action: "import"`) phải kiểm
+ * ĐÚNG action đó: `accessibleCodes` dựng theo "view" nên mọi người xem được
+ * `ordering` sẽ thấy mục "Nhập đăng ký" rồi bấm vào bị cổng gác trang đá về
+ * trang chủ — đúng cái bẫy "menu hứa một đằng, trang trả lời một nẻo" mà
+ * `buildNavigationForSession` sinh ra để dẹp (tanloc-spartronics, 2026-08-20).
+ *
+ * Không có `can` thì FAIL-CLOSED kèm cảnh báo: ẩn một mục còn đỡ hơn mời người
+ * dùng bấm vào chỗ họ không có quyền, và cảnh báo giữ cho nó không im lặng —
+ * sidebar trắng trơn không lời giải thích là chế độ hỏng tệ nhất của app RBAC.
+ */
+function isItemVisible(
+  item: NavigationRootItem | NavigationNestedItem,
+  accessibleCodes: Set<string>,
+  options?: NavigationFilterOptions,
+): boolean {
+  if (!item.resource) return true;
+  if (!item.action) return accessibleCodes.has(item.resource);
+
+  if (!options?.can) {
+    console.warn(
+      `[goerp/navigation] Mục "${item.title}" khai action "${item.action}" ` +
+        `nhưng filterNavigationTree không nhận được \`options.can\` nên không ` +
+        `kiểm được — đã ẩn. Dùng buildNavigationForSession(navigation, session) ` +
+        `hoặc truyền { can } vào.`,
+    );
+    return false;
+  }
+
+  return options.can(item.resource, item.action);
+}
+
 /**
  * Filter navigation items based on permissions recursively
  */
 export function filterNavigationItems(
   items: NavigationRootItem[],
   accessibleCodes: Set<string>,
+  options?: NavigationFilterOptions,
 ): NavigationRootItem[];
 export function filterNavigationItems(
   items: NavigationNestedItem[],
   accessibleCodes: Set<string>,
+  options?: NavigationFilterOptions,
 ): NavigationNestedItem[];
 export function filterNavigationItems(
   items: NavigationRootItem[] | NavigationNestedItem[],
   accessibleCodes: Set<string>,
+  options?: NavigationFilterOptions,
 ): (NavigationRootItem | NavigationNestedItem)[] {
   return items.reduce<(NavigationRootItem | NavigationNestedItem)[]>(
     (acc, item) => {
@@ -34,9 +86,9 @@ export function filterNavigationItems(
         return acc;
       }
 
-      // Default Deny: If resource is defined AND resource is not accessible
-      // If resource is missing, we consider it public (as per comment below)
-      if (item.resource && !accessibleCodes.has(item.resource)) {
+      // Default Deny: mục khai resource mà không đạt quyền thì rụng. Mục khai
+      // thêm `action` được kiểm theo đúng action đó (xem isItemVisible).
+      if (!isItemVisible(item, accessibleCodes, options)) {
         return acc;
       }
 
@@ -45,6 +97,7 @@ export function filterNavigationItems(
         const filteredChildren = filterNavigationItems(
           item.items as (NavigationRootItem | NavigationNestedItem)[],
           accessibleCodes,
+          options,
         );
 
         // Only add parent if it has visible children
@@ -72,6 +125,7 @@ export function filterNavigationItems(
 export function filterNavigationTree(
   navigation: NavigationType[],
   accessibleCodes: Set<string>,
+  options?: NavigationFilterOptions,
 ): NavigationType[] {
   if (accessibleCodes.has("*")) {
     return navigation;
@@ -80,7 +134,11 @@ export function filterNavigationTree(
   const filteredNavigation: NavigationType[] = [];
 
   for (const group of navigation) {
-    const filteredItems = filterNavigationItems(group.items, accessibleCodes);
+    const filteredItems = filterNavigationItems(
+      group.items,
+      accessibleCodes,
+      options,
+    );
 
     if (filteredItems.length > 0) {
       filteredNavigation.push({
@@ -116,6 +174,10 @@ export function filterNavigationTree(
  *     thành sidebar trắng trơn không lời giải thích — chế độ hỏng tệ nhất của
  *     app RBAC: người dùng tưởng bị thu hồi quyền và đi báo lỗi sai chỗ. Cứ để
  *     lỗi nổi lên error boundary.
+ *  4. **Mục tự khai `action` được kiểm theo ĐÚNG action đó**, không theo mốc
+ *     chung ở (2). Ví dụ "Nhập đăng ký" (`resource: "ordering"`,
+ *     `action: "import"`) chỉ hiện với ai có `ordering:import`, dù cả phòng đều
+ *     có `ordering:view`.
  *
  * Core KHÔNG tự đọc session: app dùng better-auth, app dùng next-auth, và cách
  * lấy session là thứ duy nhất khác nhau thật giữa chúng. App truyền session vào
@@ -136,5 +198,8 @@ export function buildNavigationForSession(
   return filterNavigationTree(
     navigation,
     getAccessibleResources(session, options.action ?? "view"),
+    // Mục tự khai `action` được kiểm theo ĐÚNG action đó, không theo mốc chung
+    // ở trên: `accessibleCodes` chỉ là tập resource của một action duy nhất.
+    { can: (resource, action) => checkPermission(session, resource, action) },
   );
 }