@goplusvn/core 0.1.87 → 0.1.89

package/src/workspace/__tests__/workspace-delegation.test.ts

@@ -104,8 +104,12 @@ describe("D1 — chứa trong nhánh", () => {
     }
   });
 
-  it("người không được uỷ quyền ở đâu cả thì chặn ngay", () => {
-    const nobody = customerAdmin({
+  it("không phải quản trị nhưng ở TRONG nhánh gốc của mình thì qua", () => {
+    // Luật đã được NỚI có chủ đích (commit "relax workspace delegation rules
+    // for user creation"): thành viên của nhánh gốc thao tác được trong chính
+    // nhánh đó, không bắt buộc phải là quản trị viên. Bài test này trước đây
+    // còn khoá luật cũ nên đỏ suốt — nay khoá đúng luật đang chạy.
+    const member = customerAdmin({
       scope: createWorkspaceScope({
         canViewAll: false,
         rootIds: ["spa"],
@@ -113,10 +117,13 @@ describe("D1 — chứa trong nhánh", () => {
         adminIds: [],
       }),
     });
-    expect(() => assertWorkspacesInScope(nobody, ["spa"])).toThrow(
-      /không được uỷ quyền/,
+    expect(() => assertWorkspacesInScope(member, ["spa"])).not.toThrow();
+    // Nhưng RA NGOÀI nhánh thì vẫn chặn — nới không đồng nghĩa với bỏ ngỏ.
+    expect(() => assertWorkspacesInScope(member, ["tanloc"])).toThrow(
+      /Ngoài phạm vi/,
     );
-    expect(canDelegateUsers(nobody)).toBe(false);
+    // Và không có nhánh nào làm quản trị thì vẫn KHÔNG được uỷ quyền người dùng.
+    expect(canDelegateUsers(member)).toBe(false);
   });
 
   it("toàn quyền đi qua mọi thứ", () => {
@@ -375,7 +382,11 @@ describe("Quản trị VAI TRÒ — cổng tạo/sửa/xoá", () => {
   });
 
   it("tạo vai trò trong nhánh mình: được đóng dấu workspace + giữ rank", () => {
-    const gate = assertCanManageRole(customerAdmin(), null, draft({ rank: 80 }));
+    const gate = assertCanManageRole(
+      customerAdmin(),
+      null,
+      draft({ rank: 80 }),
+    );
     expect(gate.workspaceId).toBe("spa");
     expect(gate.rank).toBe(80);
   });
@@ -448,17 +459,24 @@ describe("Quản trị VAI TRÒ — cổng tạo/sửa/xoá", () => {
       canManageRole(customerAdmin(), role({ workspaceId: "tanloc" })),
     ).toBe(false);
     expect(
-      canManageRole(customerAdmin(), role({ workspaceId: "spa", isSystem: true })),
+      canManageRole(
+        customerAdmin(),
+        role({ workspaceId: "spa", isSystem: true }),
+      ),
     ).toBe(false);
-    expect(canManageRole(customerAdmin(), role({ workspaceId: "spa-qc" }))).toBe(
-      true,
-    );
+    expect(
+      canManageRole(customerAdmin(), role({ workspaceId: "spa-qc" })),
+    ).toBe(true);
   });
 
   it("nhóm vận hành miễn mọi luật", () => {
     expect(canManageRole(opsAdmin(), role({ isSystem: true }))).toBe(true);
     expect(() =>
-      assertCanManageRole(opsAdmin(), null, draft({ permissions: ["role:create"] })),
+      assertCanManageRole(
+        opsAdmin(),
+        null,
+        draft({ permissions: ["role:create"] }),
+      ),
     ).not.toThrow();
     expect(defaultRoleWorkspaceIdFor(opsAdmin())).toBeNull();
   });