@goplusvn/core 0.1.85 → 0.1.87

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@goplusvn/core",
   "description": "GoPlusVN Platform Kit - ERP kernel: layout, RBAC, CRUD, multi-tenant, system pages",
-  "version": "0.1.85",
+  "version": "0.1.87",
   "private": false,
   "publishConfig": {
     "registry": "https://registry.npmjs.org",

package/src/import/import-dialog.tsx

@@ -94,12 +94,22 @@ export interface ImportDialogProps {
   apiUrl: string;
   /**
    * Nguồn file mẫu — chọn MỘT:
-   *  - `templateApiUrl`: GET mẫu do server dựng (nhiều sheet, chứng từ), hoặc
-   *  - `config`: dựng mẫu ngay ở client từ EntityConfig.
-   * Có `config` thì dialog còn kiểm tra file TRƯỚC khi gửi và gửi kèm `format`.
+   *  - `templateApiUrl`: GET mẫu do server dựng (nhiều sheet, chứng từ),
+   *  - `config`: dựng mẫu ngay ở client từ EntityConfig, hoặc
+   *  - `onDownloadTemplate`: app tự dựng (mẫu phụ thuộc cấu hình đang chạy —
+   *    danh sách ca, danh sách món… — nên không khai trước bằng config được,
+   *    mà app lại không tự resolve được `xlsx`; core có).
    */
   templateApiUrl?: string;
   config?: EntityConfig;
+  onDownloadTemplate?: () => void | Promise<void>;
+  /**
+   * Nội dung riêng của app chèn NGAY DƯỚI khối kết quả — chỗ đặt nút "Tải file
+   * lỗi". Nhận nguyên văn thân JSON server trả, vì mỗi nghiệp vụ đính kèm một
+   * kiểu chi tiết khác nhau (dòng xem trước, lý do từng dòng…) mà dialog không
+   * nên biết.
+   */
+  renderResultExtra?: (raw: unknown) => ReactNode;
   /** Không có quyền nhập thì không render gì. */
   canImport?: boolean;
   onSuccess?: () => void;
@@ -132,6 +142,8 @@ export function ImportDialog({
   apiUrl,
   templateApiUrl,
   config,
+  onDownloadTemplate,
+  renderResultExtra,
   canImport = true,
   onSuccess,
   tasksPath,
@@ -140,6 +152,7 @@ export function ImportDialog({
   const [file, setFile] = useState<File | null>(null);
   const [loading, setLoading] = useState(false);
   const [result, setResult] = useState<NormalizedResult | null>(null);
+  const [rawResult, setRawResult] = useState<unknown>(null);
   const [format, setFormat] = useState<ImportOptions["format"]>("xlsx");
   const successTimeoutRef = useRef<ReturnType<typeof setTimeout> | null>(null);
 
@@ -164,6 +177,7 @@ export function ImportDialog({
     (selectedFile: File) => {
       setFile(selectedFile);
       setResult(null);
+      setRawResult(null);
       if (configMode) {
         const extension = selectedFile.name.split(".").pop()?.toLowerCase();
         if (extension === "json") setFormat("json");
@@ -177,6 +191,7 @@ export function ImportDialog({
   const clearSelectedFile = () => {
     setFile(null);
     setResult(null);
+    setRawResult(null);
   };
 
   const onDrop = useCallback(
@@ -216,6 +231,10 @@ export function ImportDialog({
 
   const handleDownloadTemplate = async () => {
     try {
+      if (onDownloadTemplate) {
+        await onDownloadTemplate();
+        return;
+      }
       if (config) {
         const blob = await generateXLSXTemplate(config);
         triggerBlobDownload(blob, `${config.name}_template.xlsx`);
@@ -242,6 +261,7 @@ export function ImportDialog({
 
     setLoading(true);
     setResult(null);
+    setRawResult(null);
 
     try {
       // Chế độ config kiểm tra ở client trước, để người dùng thấy lỗi cột mà
@@ -297,6 +317,7 @@ export function ImportDialog({
         setOpen(false);
         setFile(null);
         setResult(null);
+        setRawResult(null);
         setLoading(false);
         return;
       }
@@ -307,6 +328,7 @@ export function ImportDialog({
 
       const normalized = normalizeImportResult(raw);
       setResult(normalized);
+      setRawResult(raw);
 
       if (normalized.success && normalized.importedCount > 0) {
         if (successTimeoutRef.current) clearTimeout(successTimeoutRef.current);
@@ -314,6 +336,7 @@ export function ImportDialog({
           setOpen(false);
           setFile(null);
           setResult(null);
+          setRawResult(null);
           onSuccess?.();
           successTimeoutRef.current = null;
         }, 2000);
@@ -353,6 +376,7 @@ export function ImportDialog({
     if (!open) {
       setFile(null);
       setResult(null);
+      setRawResult(null);
     }
   }, [open]);
 
@@ -554,13 +578,23 @@ export function ImportDialog({
               </AlertDescription>
             </Alert>
           )}
+
+          {result && renderResultExtra?.(rawResult)}
         </div>
 
         <DialogFooter className="flex flex-row sm:justify-end gap-2 space-x-0 pt-2">
-          <Button variant="outline" className="flex-1 sm:flex-none" onClick={() => setOpen(false)}>
+          <Button
+            variant="outline"
+            className="flex-1 sm:flex-none"
+            onClick={() => setOpen(false)}
+          >
             Đóng
           </Button>
-          <Button className="flex-1 sm:flex-none" onClick={handleImport} disabled={!file || loading}>
+          <Button
+            className="flex-1 sm:flex-none"
+            onClick={handleImport}
+            disabled={!file || loading}
+          >
             {loading ? "Đang import..." : "Import"}
           </Button>
         </DialogFooter>

package/src/navigation/__tests__/navigation.test.ts

@@ -0,0 +1,133 @@
+import { describe, expect, it, vi } from "vitest";
+
+import { buildNavigationForSession, filterNavigationTree } from "../index";
+
+import type { NavigationType, PermissionMap, Session } from "../../types";
+
+/**
+ * Menu mẫu: một mục xem thường và một mục CHỈ dành cho người có quyền nhập.
+ * Đúng hình dạng đã làm lộ lỗ hổng ở tanloc-spartronics (2026-08-20).
+ */
+const NAVIGATION: NavigationType[] = [
+  {
+    title: "Căn-tin",
+    items: [
+      {
+        title: "Đặt suất ăn",
+        iconName: "UtensilsCrossed",
+        href: "/ordering",
+        resource: "ordering",
+      },
+      {
+        title: "Nhập đăng ký",
+        iconName: "FileSpreadsheet",
+        href: "/ordering/import",
+        resource: "ordering",
+        action: "import",
+      },
+    ],
+  },
+];
+
+function sessionWith(permissionMap: PermissionMap): Session {
+  return { user: { id: "u1", roles: ["staff"], permissionMap } } as Session;
+}
+
+const titles = (nav: NavigationType[]) =>
+  nav.flatMap((group) => group.items.map((item) => item.title));
+
+describe("buildNavigationForSession", () => {
+  it("giấu mục khai action mà người dùng không có quyền đó", () => {
+    const nav = buildNavigationForSession(
+      NAVIGATION,
+      sessionWith({ ordering: ["view", "create"] }),
+    );
+
+    expect(titles(nav)).toEqual(["Đặt suất ăn"]);
+  });
+
+  it("hiện mục khai action khi người dùng có ĐÚNG action đó", () => {
+    const nav = buildNavigationForSession(
+      NAVIGATION,
+      sessionWith({ ordering: ["view", "import"] }),
+    );
+
+    expect(titles(nav)).toEqual(["Đặt suất ăn", "Nhập đăng ký"]);
+  });
+
+  it("có action nhưng không xem được resource thì rụng cả nhóm", () => {
+    const nav = buildNavigationForSession(
+      NAVIGATION,
+      sessionWith({ employees: ["view"] }),
+    );
+
+    expect(nav).toEqual([]);
+  });
+
+  it("admin thấy nguyên cây, không đụng tới action", () => {
+    const session = { user: { id: "u1", roles: ["admin"] } } as Session;
+
+    expect(buildNavigationForSession(NAVIGATION, session)).toEqual(NAVIGATION);
+  });
+
+  it("chưa đăng nhập ⇒ menu rỗng", () => {
+    expect(buildNavigationForSession(NAVIGATION, null)).toEqual([]);
+  });
+});
+
+describe("filterNavigationTree", () => {
+  it("không có `can` thì mục khai action bị ẩn kèm cảnh báo (fail-closed)", () => {
+    const warn = vi.spyOn(console, "warn").mockImplementation(() => {});
+
+    const nav = filterNavigationTree(NAVIGATION, new Set(["ordering"]));
+
+    expect(titles(nav)).toEqual(["Đặt suất ăn"]);
+    expect(warn).toHaveBeenCalledOnce();
+    warn.mockRestore();
+  });
+
+  it("nhận `can` thì hỏi đúng cặp (resource, action)", () => {
+    const can = vi.fn(
+      (resource: string, action: string) =>
+        resource === "ordering" && action === "import",
+    );
+
+    const nav = filterNavigationTree(NAVIGATION, new Set(["ordering"]), {
+      can,
+    });
+
+    expect(titles(nav)).toEqual(["Đặt suất ăn", "Nhập đăng ký"]);
+    expect(can).toHaveBeenCalledExactlyOnceWith("ordering", "import");
+  });
+
+  it("mục lồng nhau cũng được kiểm theo action đã khai", () => {
+    const nested: NavigationType[] = [
+      {
+        title: "Căn-tin",
+        items: [
+          {
+            title: "Quản trị",
+            iconName: "Settings",
+            items: [
+              { title: "Thực đơn", href: "/menus", resource: "ordering" },
+              {
+                title: "Nhập đăng ký",
+                href: "/ordering/import",
+                resource: "ordering",
+                action: "import",
+              },
+            ],
+          },
+        ],
+      },
+    ];
+
+    const nav = filterNavigationTree(nested, new Set(["ordering"]), {
+      can: () => false,
+    });
+
+    expect(nav[0].items[0].items?.map((item) => item.title)).toEqual([
+      "Thực đơn",
+    ]);
+  });
+});

package/src/navigation/index.ts

@@ -2,7 +2,7 @@
 // Core navigation utilities for GoERP platform
 // Consolidated from packages/shared/navigation
 
-import { getAccessibleResources } from "../auth";
+import { checkPermission, getAccessibleResources } from "../auth";
 
 import type {
   NavigationType,
@@ -11,20 +11,72 @@ import type {
   Session,
 } from "../types";
 
+/**
+ * Cách kiểm MỘT cặp (resource, action) cho mục menu tự khai `action`.
+ *
+ * `accessibleCodes` chỉ là tập resource của ĐÚNG MỘT action (thường là "view"),
+ * nên tự nó không trả lời được câu "người này có `ordering:import` không".
+ * `buildNavigationForSession` tự dựng hàm này từ session; app gọi thẳng
+ * `filterNavigationTree` thì truyền vào.
+ */
+export interface NavigationFilterOptions {
+  can?: (resourceCode: string, actionCode: string) => boolean;
+}
+
+/**
+ * Một mục menu có được hiện không.
+ *
+ * Mục KHÔNG khai `resource` ⇒ công khai. Mục khai `resource` mà không khai
+ * `action` ⇒ so với `accessibleCodes` như trước nay.
+ *
+ * Mục khai `action` (vd `resource: "ordering", action: "import"`) phải kiểm
+ * ĐÚNG action đó: `accessibleCodes` dựng theo "view" nên mọi người xem được
+ * `ordering` sẽ thấy mục "Nhập đăng ký" rồi bấm vào bị cổng gác trang đá về
+ * trang chủ — đúng cái bẫy "menu hứa một đằng, trang trả lời một nẻo" mà
+ * `buildNavigationForSession` sinh ra để dẹp (tanloc-spartronics, 2026-08-20).
+ *
+ * Không có `can` thì FAIL-CLOSED kèm cảnh báo: ẩn một mục còn đỡ hơn mời người
+ * dùng bấm vào chỗ họ không có quyền, và cảnh báo giữ cho nó không im lặng —
+ * sidebar trắng trơn không lời giải thích là chế độ hỏng tệ nhất của app RBAC.
+ */
+function isItemVisible(
+  item: NavigationRootItem | NavigationNestedItem,
+  accessibleCodes: Set<string>,
+  options?: NavigationFilterOptions,
+): boolean {
+  if (!item.resource) return true;
+  if (!item.action) return accessibleCodes.has(item.resource);
+
+  if (!options?.can) {
+    console.warn(
+      `[goerp/navigation] Mục "${item.title}" khai action "${item.action}" ` +
+        `nhưng filterNavigationTree không nhận được \`options.can\` nên không ` +
+        `kiểm được — đã ẩn. Dùng buildNavigationForSession(navigation, session) ` +
+        `hoặc truyền { can } vào.`,
+    );
+    return false;
+  }
+
+  return options.can(item.resource, item.action);
+}
+
 /**
  * Filter navigation items based on permissions recursively
  */
 export function filterNavigationItems(
   items: NavigationRootItem[],
   accessibleCodes: Set<string>,
+  options?: NavigationFilterOptions,
 ): NavigationRootItem[];
 export function filterNavigationItems(
   items: NavigationNestedItem[],
   accessibleCodes: Set<string>,
+  options?: NavigationFilterOptions,
 ): NavigationNestedItem[];
 export function filterNavigationItems(
   items: NavigationRootItem[] | NavigationNestedItem[],
   accessibleCodes: Set<string>,
+  options?: NavigationFilterOptions,
 ): (NavigationRootItem | NavigationNestedItem)[] {
   return items.reduce<(NavigationRootItem | NavigationNestedItem)[]>(
     (acc, item) => {
@@ -34,9 +86,9 @@ export function filterNavigationItems(
         return acc;
       }
 
-      // Default Deny: If resource is defined AND resource is not accessible
-      // If resource is missing, we consider it public (as per comment below)
-      if (item.resource && !accessibleCodes.has(item.resource)) {
+      // Default Deny: mục khai resource mà không đạt quyền thì rụng. Mục khai
+      // thêm `action` được kiểm theo đúng action đó (xem isItemVisible).
+      if (!isItemVisible(item, accessibleCodes, options)) {
         return acc;
       }
 
@@ -45,6 +97,7 @@ export function filterNavigationItems(
         const filteredChildren = filterNavigationItems(
           item.items as (NavigationRootItem | NavigationNestedItem)[],
           accessibleCodes,
+          options,
         );
 
         // Only add parent if it has visible children
@@ -72,6 +125,7 @@ export function filterNavigationItems(
 export function filterNavigationTree(
   navigation: NavigationType[],
   accessibleCodes: Set<string>,
+  options?: NavigationFilterOptions,
 ): NavigationType[] {
   if (accessibleCodes.has("*")) {
     return navigation;
@@ -80,7 +134,11 @@ export function filterNavigationTree(
   const filteredNavigation: NavigationType[] = [];
 
   for (const group of navigation) {
-    const filteredItems = filterNavigationItems(group.items, accessibleCodes);
+    const filteredItems = filterNavigationItems(
+      group.items,
+      accessibleCodes,
+      options,
+    );
 
     if (filteredItems.length > 0) {
       filteredNavigation.push({
@@ -116,6 +174,10 @@ export function filterNavigationTree(
  *     thành sidebar trắng trơn không lời giải thích — chế độ hỏng tệ nhất của
  *     app RBAC: người dùng tưởng bị thu hồi quyền và đi báo lỗi sai chỗ. Cứ để
  *     lỗi nổi lên error boundary.
+ *  4. **Mục tự khai `action` được kiểm theo ĐÚNG action đó**, không theo mốc
+ *     chung ở (2). Ví dụ "Nhập đăng ký" (`resource: "ordering"`,
+ *     `action: "import"`) chỉ hiện với ai có `ordering:import`, dù cả phòng đều
+ *     có `ordering:view`.
  *
  * Core KHÔNG tự đọc session: app dùng better-auth, app dùng next-auth, và cách
  * lấy session là thứ duy nhất khác nhau thật giữa chúng. App truyền session vào
@@ -136,5 +198,8 @@ export function buildNavigationForSession(
   return filterNavigationTree(
     navigation,
     getAccessibleResources(session, options.action ?? "view"),
+    // Mục tự khai `action` được kiểm theo ĐÚNG action đó, không theo mốc chung
+    // ở trên: `accessibleCodes` chỉ là tập resource của một action duy nhất.
+    { can: (resource, action) => checkPermission(session, resource, action) },
   );
 }