@open-mercato/core 0.6.7 → 0.6.8-develop.6874.1.982d6097d8

package/src/modules/auth/components/UserConsentsPanel.tsx

@@ -65,7 +65,7 @@ export function UserConsentsPanel({ userId }: UserConsentsPanelProps) {
   }
 
   if (error) {
-    return <p className="text-sm text-red-600">{error}</p>
+    return <p className="text-sm text-status-error-text">{error}</p>
   }
 
   if (consents.length === 0) {
@@ -86,15 +86,15 @@ export function UserConsentsPanel({ userId }: UserConsentsPanelProps) {
             <span className="flex items-center gap-1.5">
               {consent.isGranted ? (
                 <>
-                  <ShieldCheck className="size-4 text-emerald-600" />
-                  <span className="text-emerald-700 font-medium">
+                  <ShieldCheck className="size-4 text-status-success-icon" />
+                  <span className="text-status-success-text font-medium">
                     {t('auth.users.consents.granted', 'Granted')}
                   </span>
                 </>
               ) : (
                 <>
-                  <ShieldX className="size-4 text-red-500" />
-                  <span className="text-red-600 font-medium">
+                  <ShieldX className="size-4 text-status-error-icon" />
+                  <span className="text-status-error-text font-medium">
                     {t('auth.users.consents.withdrawn', 'Withdrawn')}
                   </span>
                 </>
@@ -118,13 +118,13 @@ export function UserConsentsPanel({ userId }: UserConsentsPanelProps) {
             <dd className="flex items-center gap-1">
               {consent.integrityValid ? (
                 <>
-                  <ShieldCheck className="size-3 text-emerald-600" />
-                  <span className="text-emerald-700">{t('auth.users.consents.integrityValid', 'Valid')}</span>
+                  <ShieldCheck className="size-3 text-status-success-icon" />
+                  <span className="text-status-success-text">{t('auth.users.consents.integrityValid', 'Valid')}</span>
                 </>
               ) : (
                 <>
-                  <ShieldAlert className="size-3 text-amber-500" />
-                  <span className="text-amber-600">{t('auth.users.consents.integrityInvalid', 'Tampered or missing')}</span>
+                  <ShieldAlert className="size-3 text-status-warning-icon" />
+                  <span className="text-status-warning-text">{t('auth.users.consents.integrityInvalid', 'Tampered or missing')}</span>
                 </>
               )}
             </dd>

package/src/modules/auth/extension-points.ts

@@ -0,0 +1,18 @@
+import { dataTableExtensionHost, defineModuleExtensionPoints, injectionExtensionHost } from '@open-mercato/shared/modules/widgets/extension-points'
+
+export const extensionPoints = defineModuleExtensionPoints({
+  moduleId: 'auth',
+  hosts: {
+    loginForm: injectionExtensionHost({
+      family: 'generic',
+      spotId: 'auth.login:form',
+      supported: ['render-widget'],
+      contextContract: 'auth.login-form.v1',
+      source: 'frontend/login.tsx',
+    }),
+    usersTable: dataTableExtensionHost({ tableId: 'auth.users.list', source: 'backend/users/page.tsx' }),
+    rolesTable: dataTableExtensionHost({ tableId: 'auth.roles.list', source: 'backend/roles/page.tsx' }),
+  },
+})
+
+export default extensionPoints

package/src/modules/auth/frontend/login.tsx

@@ -1,5 +1,6 @@
 "use client"
 import { useCallback, useEffect, useMemo, useState } from 'react'
+import { extensionPoints } from '@open-mercato/core/modules/auth/extension-points'
 import type { ReactNode } from 'react'
 import Image from 'next/image'
 import Link from 'next/link'
@@ -14,6 +15,7 @@ import { useT } from '@open-mercato/shared/lib/i18n/context'
 import { translateWithFallback } from '@open-mercato/shared/lib/i18n/translate'
 import { clearAllOperations } from '@open-mercato/ui/backend/operations/store'
 import { notifyAuthIdentityChange } from '@open-mercato/ui/backend/AuthSessionGuard'
+import { clearAllPerspectiveState } from '@open-mercato/ui/backend/DataTable'
 import { apiCall } from '@open-mercato/ui/backend/utils/apiCall'
 import { X } from 'lucide-react'
 import { Alert, AlertDescription } from '@open-mercato/ui/primitives/alert'
@@ -266,6 +268,7 @@ export default function LoginPage() {
       const res = await fetch('/api/auth/login', { method: 'POST', body: form })
       if (res.redirected) {
         clearAllOperations()
+        clearAllPerspectiveState()
         notifyAuthIdentityChange()
         // NextResponse.redirect from API
         router.replace(res.url)
@@ -320,6 +323,7 @@ export default function LoginPage() {
       const data = await res.json().catch(() => null) as LoginResponseEventDetail
       emitLoginResponseEvent(data)
       clearAllOperations()
+      clearAllPerspectiveState()
       notifyAuthIdentityChange()
       if (data && typeof data.redirect === 'string' && data.redirect.length > 0) {
         router.replace(data.redirect)
@@ -359,7 +363,7 @@ export default function LoginPage() {
                 <input type="hidden" name="tenantId" value={tenantId} />
               ) : null}
               {!!translatedRoles.length && (
-                <Alert variant="info" className="text-center">
+                <Alert status="information" className="text-center">
                   <AlertDescription>
                     {translate(
                       translatedRoles.length > 1 ? 'auth.login.requireRolesMessage' : 'auth.login.requireRoleMessage',
@@ -372,7 +376,7 @@ export default function LoginPage() {
                 </Alert>
               )}
               {!!translatedFeatures.length && (
-                <Alert variant="info" className="text-center">
+                <Alert status="information" className="text-center">
                   <AlertDescription>
                     {translate('auth.login.featureDenied', "You don't have access to this feature ({feature}). Please contact your administrator.", {
                       feature: translatedFeatures.join(', '),
@@ -429,7 +433,7 @@ export default function LoginPage() {
                 />
               </div>
               <InjectionSpot<LoginFormWidgetContext>
-                spotId="auth.login:form"
+                spotId={extensionPoints.hosts.loginForm.spotId}
                 context={loginFormContext}
               />
               {authOverride?.hidePassword ? null : (

package/src/modules/auth/frontend/reset.tsx

@@ -56,11 +56,11 @@ export default function ResetPage() {
             </div>
           ) : (
             <form className="grid gap-3" onSubmit={onSubmit} noValidate>
-              {error && <div className="text-sm text-red-600">{error}</div>}
+              {error && <div className="text-sm text-status-error-text">{error}</div>}
               <div className="grid gap-1">
                 <Label htmlFor="email">{t('auth.email')}</Label>
                 <EmailInput id="email" name="email" required aria-invalid={!!fieldError} aria-describedby={fieldError ? 'email-error' : undefined} />
-                {fieldError && <p id="email-error" className="text-sm text-red-600">{fieldError}</p>}
+                {fieldError && <p id="email-error" className="text-sm text-status-error-text">{fieldError}</p>}
               </div>
               <Button type="submit" className="mt-2 w-full" disabled={submitting}>
                 {submitting ? '...' : t('auth.sendResetLink')}

package/src/modules/auth/i18n/de.json

@@ -128,6 +128,7 @@
   "auth.roles.form.group.details": "Details",
   "auth.roles.form.group.widgets": "Dashboard-Widgets",
   "auth.roles.form.loading": "Daten werden geladen...",
+  "auth.roles.form.tenantReassignWarning": "Diese Rolle wird einem anderen Mandanten zugewiesen. Die hier ausgewählten Berechtigungen werden beim Absenden unter dem neuen Mandanten gespeichert.",
   "auth.roles.form.title.create": "Rolle erstellen",
   "auth.roles.form.title.edit": "Rolle bearbeiten",
   "auth.roles.list.actions.create": "Erstellen",

package/src/modules/auth/i18n/en.json

@@ -128,6 +128,7 @@
   "auth.roles.form.group.details": "Details",
   "auth.roles.form.group.widgets": "Dashboard Widgets",
   "auth.roles.form.loading": "Loading data...",
+  "auth.roles.form.tenantReassignWarning": "This role is being reassigned to a different tenant. The permissions selected here will be saved under the new tenant when you submit.",
   "auth.roles.form.title.create": "Create Role",
   "auth.roles.form.title.edit": "Edit Role",
   "auth.roles.list.actions.create": "Create",

package/src/modules/auth/i18n/es.json

@@ -128,6 +128,7 @@
   "auth.roles.form.group.details": "Detalles",
   "auth.roles.form.group.widgets": "Widgets del panel",
   "auth.roles.form.loading": "Cargando datos...",
+  "auth.roles.form.tenantReassignWarning": "Este rol se está reasignando a otro inquilino. Los permisos seleccionados aquí se guardarán bajo el nuevo inquilino al enviar.",
   "auth.roles.form.title.create": "Crear rol",
   "auth.roles.form.title.edit": "Editar rol",
   "auth.roles.list.actions.create": "Crear",

package/src/modules/auth/i18n/ko.json

@@ -0,0 +1,255 @@
+{
+  "auth.accessDenied.dashboard": "대시보드로 이동",
+  "auth.accessDenied.home": "홈으로 이동",
+  "auth.accessDenied.message": "이 페이지를 볼 권한이 없습니다. 관리자에게 문의하세요.",
+  "auth.accessDenied.title": "접근이 거부되었습니다",
+  "auth.acl.allowAllOrganizations": "모든 조직 허용",
+  "auth.acl.deps.missing.add": "\"{dep}\" 추가",
+  "auth.acl.deps.missing.item": "\"{feature}\"에 필요한 항목:",
+  "auth.acl.deps.missing.title": "일부 부여된 권한이 작동하려면 다른 권한이 필요합니다:",
+  "auth.acl.deps.orphaned.drop": "종속 항목 제거",
+  "auth.acl.deps.orphaned.item": "\"{dependency}\"이(가) 다음 항목에 필요합니다:",
+  "auth.acl.deps.orphaned.restore": "\"{dependency}\" 복원",
+  "auth.acl.deps.orphaned.title": "다른 부여된 권한에 필요한 권한을 제거하고 있습니다:",
+  "auth.acl.deps.unknown.title": "일부 선언된 종속성이 알려진 권한과 일치하지 않습니다:",
+  "auth.acl.organizationWarning": "조직 제한은 최소 하나의 기능 재정의가 선택된 경우에만 저장됩니다. 저장하기 전에 기능을 추가하거나 모듈 와일드카드를 활성화하세요.",
+  "auth.acl.organizationsScope": "조직 범위",
+  "auth.acl.restricted": "제한됨",
+  "auth.actions.contactSupport": "지원팀 문의",
+  "auth.actions.viewPermissions": "권한 보기",
+  "auth.actions.viewSessions": "세션 보기",
+  "auth.audit.roles.create": "역할 생성",
+  "auth.audit.roles.delete": "역할 삭제",
+  "auth.audit.roles.update": "역할 수정",
+  "auth.audit.users.create": "사용자 생성",
+  "auth.audit.users.delete": "사용자 삭제",
+  "auth.audit.users.update": "사용자 수정",
+  "auth.changePassword.title": "비밀번호 변경",
+  "auth.email": "이메일",
+  "auth.email.invite.body": "관리자가 회원님을 위한 계정을 생성했습니다. 아래 링크를 클릭하여 비밀번호를 설정하세요. 이 링크는 48시간 후 만료됩니다.",
+  "auth.email.invite.cta": "비밀번호 설정하기",
+  "auth.email.invite.hint": "이 초대를 예상하지 못하셨다면 이 이메일을 무시하셔도 됩니다.",
+  "auth.email.invite.preview": "계정을 설정하세요",
+  "auth.email.invite.subject": "초대되었습니다",
+  "auth.email.invite.title": "초대되었습니다",
+  "auth.email.resetPassword.body": "아래 링크를 클릭하여 새 비밀번호를 설정하세요. 이 링크는 60분 후 만료됩니다.",
+  "auth.email.resetPassword.cta": "새 비밀번호 설정",
+  "auth.email.resetPassword.hint": "요청하지 않으셨다면 이 이메일을 무시하셔도 됩니다.",
+  "auth.email.resetPassword.preview": "비밀번호를 재설정하세요",
+  "auth.email.resetPassword.subject": "비밀번호 재설정",
+  "auth.email.resetPassword.title": "비밀번호 재설정",
+  "auth.login.brandName": "Open Mercato",
+  "auth.login.errors.generic": "오류가 발생했습니다. 다시 시도해 주세요.",
+  "auth.login.errors.invalidCredentials": "잘못된 이메일 또는 비밀번호입니다",
+  "auth.login.errors.permissionDenied": "이 영역에 접근할 권한이 없습니다. 관리자에게 문의하세요.",
+  "auth.login.errors.tenantInvalid": "테넌트를 찾을 수 없습니다. 테넌트 선택을 지우고 다시 시도하세요.",
+  "auth.login.featureDenied": "이 기능({feature})에 접근할 수 없습니다. 관리자에게 문의하세요.",
+  "auth.login.forgotPassword": "비밀번호를 잊으셨나요?",
+  "auth.login.loading": "불러오는 중...",
+  "auth.login.logoAlt": "Open Mercato 로고",
+  "auth.login.rememberMe": "로그인 상태 유지",
+  "auth.login.requireRoleMessage": "접근하려면 역할이 필요합니다: {roles}",
+  "auth.login.requireRolesMessage": "접근하려면 다음 역할 중 하나가 필요합니다: {roles}",
+  "auth.login.subtitle": "워크스페이스에 접속하세요",
+  "auth.login.tenantBanner": "{tenant} 테넌트에 로그인하고 있습니다.",
+  "auth.login.tenantClear": "지우기",
+  "auth.login.tenantLoading": "테넌트 세부 정보를 불러오는 중...",
+  "auth.manageAuthSettings": "인증 설정을 관리합니다.",
+  "auth.nav.group": "인증",
+  "auth.nav.roles": "역할",
+  "auth.nav.roles.create": "역할 생성",
+  "auth.nav.users": "사용자",
+  "auth.nav.users.create": "사용자 생성",
+  "auth.notifications.account.locked.body": "보안상의 이유로 계정이 잠겼습니다. 지원팀에 문의하세요.",
+  "auth.notifications.account.locked.title": "계정 잠김",
+  "auth.notifications.login.newDevice.body": "회원님의 계정에서 인식되지 않은 기기로부터 새 로그인이 감지되었습니다",
+  "auth.notifications.login.newDevice.title": "새 기기 로그인 감지됨",
+  "auth.notifications.passwordReset.completed.body": "비밀번호가 성공적으로 업데이트되었습니다",
+  "auth.notifications.passwordReset.completed.title": "비밀번호가 성공적으로 변경되었습니다",
+  "auth.notifications.passwordReset.requested.body": "이메일로 비밀번호 재설정 링크가 전송되었습니다",
+  "auth.notifications.passwordReset.requested.title": "비밀번호 재설정 요청됨",
+  "auth.notifications.role.assigned.body": "추가 권한이 있는 새 역할이 부여되었습니다",
+  "auth.notifications.role.assigned.title": "새 역할 부여됨",
+  "auth.notifications.role.revoked.body": "계정에서 역할이 제거되었습니다",
+  "auth.notifications.role.revoked.title": "역할 제거됨",
+  "auth.password": "비밀번호",
+  "auth.password.requirements.digit": "숫자 1개",
+  "auth.password.requirements.help": "비밀번호 요구 사항: {requirements}",
+  "auth.password.requirements.minLength": "최소 {min}자",
+  "auth.password.requirements.separator": ", ",
+  "auth.password.requirements.special": "특수 문자 1개",
+  "auth.password.requirements.uppercase": "대문자 1개",
+  "auth.profile.form.confirmPassword": "새 비밀번호 확인",
+  "auth.profile.form.currentPassword": "현재 비밀번호",
+  "auth.profile.form.email": "이메일",
+  "auth.profile.form.errors.confirmPasswordRequired": "새 비밀번호를 확인해 주세요.",
+  "auth.profile.form.errors.currentPasswordInvalid": "현재 비밀번호가 올바르지 않습니다.",
+  "auth.profile.form.errors.currentPasswordRequired": "현재 비밀번호는 필수입니다.",
+  "auth.profile.form.errors.emailOrPasswordRequired": "이메일이나 비밀번호를 입력하세요.",
+  "auth.profile.form.errors.emailRequired": "이메일은 필수입니다.",
+  "auth.profile.form.errors.invalid": "잘못된 프로필 업데이트입니다.",
+  "auth.profile.form.errors.load": "프로필을 불러오지 못했습니다.",
+  "auth.profile.form.errors.newPasswordRequired": "새 비밀번호는 필수입니다.",
+  "auth.profile.form.errors.noChanges": "저장할 변경 사항이 없습니다.",
+  "auth.profile.form.errors.passwordMismatch": "비밀번호가 일치하지 않습니다.",
+  "auth.profile.form.errors.passwordRequirements": "비밀번호가 요구 사항을 충족해야 합니다.",
+  "auth.profile.form.errors.save": "프로필 업데이트에 실패했습니다.",
+  "auth.profile.form.loading": "프로필을 불러오는 중...",
+  "auth.profile.form.password": "새 비밀번호",
+  "auth.profile.form.save": "변경 사항 저장",
+  "auth.profile.form.success": "프로필이 업데이트되었습니다.",
+  "auth.profile.subtitle": "비밀번호 변경",
+  "auth.profile.title": "프로필",
+  "auth.reset.backToLogin": "로그인으로 돌아가기",
+  "auth.reset.description": "재설정 링크를 받으려면 이메일을 입력하세요",
+  "auth.reset.error": "문제가 발생했습니다",
+  "auth.reset.errors.emailInvalid": "유효한 이메일 주소를 입력하세요.",
+  "auth.reset.errors.failed": "비밀번호를 재설정할 수 없습니다",
+  "auth.reset.form.loading": "...",
+  "auth.reset.form.password": "새 비밀번호",
+  "auth.reset.form.submit": "비밀번호 업데이트",
+  "auth.reset.sent": "해당 이메일로 계정이 존재하면 재설정 링크를 보내드렸습니다. 받은편지함을 확인해 주세요.",
+  "auth.reset.subtitle": "계정에 사용할 강력한 비밀번호를 선택하세요.",
+  "auth.reset.title": "새 비밀번호 설정",
+  "auth.resetPassword": "비밀번호 재설정",
+  "auth.roles.admin": "관리자",
+  "auth.roles.employee": "직원",
+  "auth.roles.flash.created": "역할이 생성되었습니다",
+  "auth.roles.flash.deleted": "역할이 삭제되었습니다",
+  "auth.roles.flash.updated": "역할이 저장되었습니다",
+  "auth.roles.form.action.create": "생성",
+  "auth.roles.form.errors.aclUpdate": "역할 접근 제어 업데이트에 실패했습니다",
+  "auth.roles.form.errors.delete": "역할 삭제에 실패했습니다",
+  "auth.roles.form.errors.load": "역할을 불러오지 못했습니다",
+  "auth.roles.form.errors.tenantRequired": "테넌트는 필수입니다",
+  "auth.roles.form.field.name": "이름",
+  "auth.roles.form.field.tenant": "테넌트",
+  "auth.roles.form.group.access": "접근 권한",
+  "auth.roles.form.group.details": "상세 정보",
+  "auth.roles.form.group.widgets": "대시보드 위젯",
+  "auth.roles.form.loading": "데이터를 불러오는 중...",
+  "auth.roles.form.tenantReassignWarning": "이 역할은 다른 테넌트에게 재할당됩니다. 여기에서 선택한 권한은 제출 시 새 테넌트 아래에 저장됩니다.",
+  "auth.roles.form.title.create": "역할 생성",
+  "auth.roles.form.title.edit": "역할 편집",
+  "auth.roles.list.actions.create": "생성",
+  "auth.roles.list.actions.showUsers": "사용자 표시",
+  "auth.roles.list.columns.role": "역할",
+  "auth.roles.list.columns.tenant": "테넌트",
+  "auth.roles.list.columns.users": "사용자",
+  "auth.roles.list.confirmDelete": "역할 \"{{name}}\"을(를) 삭제하시겠습니까?",
+  "auth.roles.list.error.delete": "역할 삭제에 실패했습니다",
+  "auth.roles.list.error.load": "역할을 불러오지 못했습니다",
+  "auth.roles.list.success.delete": "역할이 삭제되었습니다",
+  "auth.roles.list.title": "역할",
+  "auth.roles.operator": "창고 운영자",
+  "auth.roles.superadmin": "슈퍼 관리자",
+  "auth.roles.supervisor": "창고 감독관",
+  "auth.sendResetLink": "재설정 링크 보내기",
+  "auth.session.refresh.errors.invalidPayload": "갱신 토큰이 없거나 잘못되었습니다",
+  "auth.session.refresh.errors.invalidToken": "잘못되었거나 만료된 갱신 토큰입니다",
+  "auth.signIn": "로그인",
+  "auth.users.consents.empty": "동의 기록을 찾을 수 없습니다.",
+  "auth.users.consents.field.createdAt": "생성됨",
+  "auth.users.consents.field.grantedAt": "동의 시각",
+  "auth.users.consents.field.integrity": "무결성",
+  "auth.users.consents.field.ipAddress": "IP 주소",
+  "auth.users.consents.field.source": "소스",
+  "auth.users.consents.field.withdrawnAt": "철회 시각",
+  "auth.users.consents.granted": "동의함",
+  "auth.users.consents.integrityInvalid": "변조되었거나 누락됨",
+  "auth.users.consents.integrityValid": "유효함",
+  "auth.users.consents.loadError": "동의 정보를 불러오지 못했습니다",
+  "auth.users.consents.loading": "동의 정보를 불러오는 중...",
+  "auth.users.consents.withdrawn": "철회함",
+  "auth.users.errors.emailExists": "이미 사용 중인 이메일입니다",
+  "auth.users.flash.created": "사용자가 생성되었습니다",
+  "auth.users.flash.createdEmailFailed": "사용자가 생성되었지만 초대 이메일을 보낼 수 없었습니다. 사용자 페이지에서 다시 보낼 수 있습니다.",
+  "auth.users.flash.createdWithInvite": "사용자가 생성되고 초대가 전송되었습니다",
+  "auth.users.flash.deleted": "사용자가 삭제되었습니다",
+  "auth.users.flash.inviteEmailFailed": "초대 토큰이 생성되었지만 이메일을 보낼 수 없었습니다. 이메일 제공업체 구성을 확인하세요.",
+  "auth.users.flash.inviteSent": "초대 이메일이 전송되었습니다",
+  "auth.users.flash.updated": "사용자가 저장되었습니다",
+  "auth.users.form.aclHint": "ACL은 사용자 생성 후 편집할 수 있습니다.",
+  "auth.users.form.action.create": "생성",
+  "auth.users.form.action.resendInvite": "초대 다시 보내기",
+  "auth.users.form.action.resendingInvite": "전송 중...",
+  "auth.users.form.action.save": "저장",
+  "auth.users.form.actions.backToList": "사용자 목록으로 돌아가기",
+  "auth.users.form.errors.aclUpdate": "사용자 접근 제어 업데이트에 실패했습니다",
+  "auth.users.form.errors.delete": "사용자 삭제에 실패했습니다",
+  "auth.users.form.errors.inviteResend": "초대 이메일 전송에 실패했습니다",
+  "auth.users.form.errors.load": "사용자 데이터를 불러오지 못했습니다",
+  "auth.users.form.errors.noId": "제공된 사용자 ID가 없습니다",
+  "auth.users.form.errors.notFound": "사용자를 찾을 수 없습니다",
+  "auth.users.form.errors.widgetsAssign": "새 사용자에게 대시보드 위젯을 할당하지 못했습니다",
+  "auth.users.form.field.email": "이메일",
+  "auth.users.form.field.name": "표시 이름",
+  "auth.users.form.field.newPassword": "새 비밀번호",
+  "auth.users.form.field.organization": "조직",
+  "auth.users.form.field.password": "비밀번호",
+  "auth.users.form.field.passwordChangeHint": "현재 비밀번호를 유지하려면 비워두세요",
+  "auth.users.form.field.passwordInviteHint": "선택적으로 이 사용자의 비밀번호를 설정할 수 있습니다 (이메일로 초대됨)",
+  "auth.users.form.field.roles": "역할",
+  "auth.users.form.field.sendInviteEmail": "이메일로 비밀번호 설정 링크 보내기",
+  "auth.users.form.field.sendInviteEmailHint": "보안 이메일 링크를 통해 사용자가 직접 비밀번호를 설정하도록 초대합니다",
+  "auth.users.form.field.setPassword": "비밀번호 설정",
+  "auth.users.form.field.tenant": "테넌트",
+  "auth.users.form.group.access": "접근 권한",
+  "auth.users.form.group.consents": "동의",
+  "auth.users.form.group.customFields": "커스텀 데이터",
+  "auth.users.form.group.details": "상세 정보",
+  "auth.users.form.group.widgets": "대시보드 위젯",
+  "auth.users.form.loading": "사용자 데이터를 불러오는 중...",
+  "auth.users.form.title.create": "사용자 생성",
+  "auth.users.form.title.edit": "사용자 편집",
+  "auth.users.list.columns.name": "표시 이름",
+  "auth.users.list.error.delete": "사용자 삭제에 실패했습니다",
+  "auth.users.list.error.load": "사용자를 불러오지 못했습니다",
+  "auth.users.list.filters.name": "표시 이름",
+  "auth.users.list.filters.namePlaceholder": "표시 이름으로 필터링",
+  "auth.users.widgets.errors.load": "대시보드 위젯을 불러올 수 없습니다. 나중에 사용자 페이지에서 구성할 수 있습니다.",
+  "auth.users.widgets.loading": "위젯을 불러오는 중…",
+  "auth.users.widgets.mode.hint": "새 사용자는 할당된 역할에서 위젯을 상속받습니다. 커스텀 세트를 선택하려면 재정의하세요.",
+  "auth.users.widgets.mode.inherit": "역할에서 상속",
+  "auth.users.widgets.mode.override": "이 사용자에 대해 재정의",
+  "auth.usersRoles": "사용자 및 역할",
+  "backend.nav.externalSystems": "외부 시스템",
+  "backend.nav.settings": "설정",
+  "backend.nav.settingsAdmin": "관리",
+  "profile.page.description": "계정 설정을 관리합니다",
+  "profile.page.selectItem": "메뉴에서 항목을 선택하여 계정을 관리하세요.",
+  "profile.page.title": "프로필",
+  "profile.sections.account": "계정",
+  "settings.cards.cache.description": "애플리케이션 캐시 설정을 관리하고 캐시된 데이터를 지웁니다",
+  "settings.cards.encryption.description": "데이터 암호화 설정을 구성합니다",
+  "settings.cards.queryIndexes.description": "최적화된 데이터 조회를 위한 쿼리 인덱스를 관리합니다",
+  "settings.cards.systemEntities.description": "시스템 엔터티 정의를 보고 관리합니다",
+  "settings.cards.systemStatus.description": "시스템 상태 및 정보를 확인합니다",
+  "settings.cards.userEntities.description": "커스텀 엔터티를 생성하고 관리합니다",
+  "settings.cards.workflowDefinitions.description": "워크플로 정의를 생성하고 관리합니다",
+  "settings.cards.workflowEvents.description": "워크플로 이벤트 기록을 확인합니다",
+  "settings.cards.workflowInstances.description": "실행 중인 워크플로 인스턴스를 보고 관리합니다",
+  "settings.cards.workflowTasks.description": "워크플로 작업 및 할당을 관리합니다",
+  "settings.page.description": "시스템 구성 및 관리",
+  "settings.page.selectItem": "메뉴에서 항목을 선택하여 시스템 설정을 구성하세요.",
+  "settings.page.title": "설정",
+  "settings.profile.notifications": "알림 환경설정",
+  "settings.profile.preferences": "환경설정",
+  "settings.profile.title": "내 프로필",
+  "settings.sections.auth": "인증",
+  "settings.sections.businessRules": "비즈니스 규칙",
+  "settings.sections.dataDesigner": "데이터 디자이너",
+  "settings.sections.directory": "디렉터리",
+  "settings.sections.featureToggles": "기능 토글",
+  "settings.sections.moduleConfigs": "모듈 구성",
+  "settings.sections.system": "시스템",
+  "settings.sections.workflows": "워크플로",
+  "ui.profileMenu.changePassword": "비밀번호 변경",
+  "ui.profileMenu.language": "언어",
+  "ui.profileMenu.notifications": "알림 환경설정",
+  "ui.profileMenu.profile": "내 프로필",
+  "ui.profileMenu.settings": "설정",
+  "ui.profileMenu.theme": "테마",
+  "ui.profileMenu.theme.dark": "다크",
+  "ui.profileMenu.theme.light": "라이트"
+}

package/src/modules/auth/i18n/pl.json

@@ -128,6 +128,7 @@
   "auth.roles.form.group.details": "Szczegóły",
   "auth.roles.form.group.widgets": "Widżety pulpitu",
   "auth.roles.form.loading": "Ładowanie danych...",
+  "auth.roles.form.tenantReassignWarning": "Ta rola jest przypisywana do innego najemcy. Wybrane tutaj uprawnienia zostaną zapisane pod nowym najemcą po zatwierdzeniu.",
   "auth.roles.form.title.create": "Utwórz rolę",
   "auth.roles.form.title.edit": "Edytuj rolę",
   "auth.roles.list.actions.create": "Utwórz",

package/src/modules/auth/lib/backendChrome.tsx

@@ -21,7 +21,7 @@ import {
 import { resolveRegisteredLucideIconNode } from '@open-mercato/ui/backend/icons/lucideRegistry'
 import { profilePathPrefixes, profileSections } from './profile-sections'
 import { createRequestContainer } from '@open-mercato/shared/lib/di/container'
-import { filterGrantsByEnabledModules } from '@open-mercato/shared/security/enabledModulesRegistry'
+import { getNavGroupOrderOverride } from '@open-mercato/shared/modules/overrides'
 import {
   getSelectedOrganizationFromRequest,
   resolveFeatureCheckContext,
@@ -89,15 +89,21 @@ type ResolveBackendChromePayloadArgs = {
   selectedTenantId?: string | null
 }
 
-const settingsSectionOrder: Record<string, number> = {
-  system: 1,
-  auth: 2,
-  'customer-portal': 3,
-  'data-designer': 4,
-  'module-configs': 5,
-  currencies: 6,
-  directory: 7,
-  'feature-toggles': 8,
+/**
+ * Settings section weights, keyed by the untranslated group id each page declares as `pageGroupKey`.
+ *
+ * Mirrors `defaultGroupOrder` above: an id, never a rendered label, so the panel keeps its intended
+ * order in every locale and an app-side module can place its own section deterministically (#4843).
+ */
+export const settingsSectionOrder: Record<string, number> = {
+  'settings.sections.system': 1,
+  'settings.sections.auth': 2,
+  'customer_accounts.settings.section': 3,
+  'settings.sections.dataDesigner': 4,
+  'settings.sections.moduleConfigs': 5,
+  'currencies.nav.group': 6,
+  'settings.sections.directory': 7,
+  'settings.sections.featureToggles': 8,
 }
 
 type NavGroupWithWeight = Omit<BackendChromeNavGroup, 'id' | 'defaultName' | 'items'> & {
@@ -147,19 +153,35 @@ async function serializeNavItem(item: AdminNavItem): Promise<ResolvedNavItem> {
   }
 }
 
+const defaultGroupOrder = [
+  'customers.nav.group',
+  'catalog.nav.group',
+  'customers~sales.nav.group',
+  'wms.nav.group',
+  'resources.nav.group',
+  'staff.nav.group',
+  'entities.nav.group',
+  'directory.nav.group',
+  'attachments.nav.group',
+]
+
+/**
+ * Group ids ranked ahead of everything else, most significant first.
+ *
+ * An app may prepend its own ids via `overrides.nav.groupOrder` in `modules.ts`; ids it does not name
+ * keep the ordering they have today. With no override configured this returns `defaultGroupOrder`
+ * itself, so ordering is unchanged for every existing install.
+ */
+function resolveGroupOrder(): string[] {
+  const override = getNavGroupOrderOverride()
+  if (!override || override.length === 0) return defaultGroupOrder
+  const overridden = new Set(override)
+  return [...override, ...defaultGroupOrder.filter((id) => !overridden.has(id))]
+}
+
 function normalizeGroupWeights(groups: NavGroupWithWeight[]): NavGroupWithWeight[] {
-  const defaultGroupOrder = [
-    'customers.nav.group',
-    'catalog.nav.group',
-    'customers~sales.nav.group',
-    'wms.nav.group',
-    'resources.nav.group',
-    'staff.nav.group',
-    'entities.nav.group',
-    'directory.nav.group',
-    'attachments.nav.group',
-  ]
-  const groupOrderIndex = new Map(defaultGroupOrder.map((id, index) => [id, index]))
+  const groupOrder = resolveGroupOrder()
+  const groupOrderIndex = new Map(groupOrder.map((id, index) => [id, index]))
   groups.sort((a, b) => {
     const aIndex = groupOrderIndex.get(a.id)
     const bIndex = groupOrderIndex.get(b.id)
@@ -171,7 +193,7 @@ function normalizeGroupWeights(groups: NavGroupWithWeight[]): NavGroupWithWeight
     if (a.weight !== b.weight) return a.weight - b.weight
     return a.name.localeCompare(b.name)
   })
-  const defaultGroupCount = defaultGroupOrder.length
+  const defaultGroupCount = groupOrder.length
   groups.forEach((group, index) => {
     const rank = groupOrderIndex.get(group.id)
     const fallbackWeight = typeof group.weight === 'number' ? group.weight : 10_000
@@ -266,15 +288,17 @@ export async function resolveBackendChromePayload({
   const container = await loadScopedContainer()
   const em = container.resolve('em') as EntityManager
   const rbac = container.resolve('rbacService') as {
-    loadAcl: (userId: string, scope: { tenantId: string | null; organizationId: string | null }) => Promise<{
-      isSuperAdmin: boolean
-      features: string[]
-    }>
+    getEffectiveFeatures: (userId: string, scope: { tenantId: string | null; organizationId: string | null }) => Promise<string[]>
     userHasAllFeatures: (userId: string, required: string[], scope: { tenantId: string | null; organizationId: string | null }) => Promise<boolean>
   }
 
   let scopedOrganizationId: string | null = auth.orgId ?? null
   let scopedTenantId: string | null = auth.tenantId ?? null
+  // The organization the caller actually *selected*, as distinct from the one the scope resolver fell
+  // back to. `resolveFeatureCheckContext` resolves `organizationId` to `auth.orgId` when no concrete
+  // organization is selected — which is precisely what an all-organizations view produces — so the
+  // resolved id cannot answer "which organization am I viewing".
+  let concretelySelectedOrganizationId: string | null = null
   let allowNavigation = true
 
   try {
@@ -287,23 +311,22 @@ export async function resolveBackendChromePayload({
     })
     scopedOrganizationId = organizationId
     scopedTenantId = scope.tenantId ?? auth.tenantId ?? null
+    concretelySelectedOrganizationId = scope.selectedId ?? null
     if (Array.isArray(allowedOrganizationIds) && allowedOrganizationIds.length === 0) {
       allowNavigation = false
     }
   } catch {
     scopedOrganizationId = auth.orgId ?? null
     scopedTenantId = auth.tenantId ?? null
+    concretelySelectedOrganizationId = null
   }
 
-  const acl = allowNavigation
-    ? await rbac.loadAcl(auth.sub, {
+  const grantedFeatures = allowNavigation
+    ? await rbac.getEffectiveFeatures(auth.sub, {
         tenantId: scopedTenantId,
         organizationId: scopedOrganizationId,
       })
-    : { isSuperAdmin: false, features: [] }
-
-  const rawGrantedFeatures = acl.isSuperAdmin ? ['*'] : acl.features
-  const grantedFeatures = filterGrantsByEnabledModules(rawGrantedFeatures)
+    : []
   const featureChecker = async (features: string[]): Promise<string[]> => {
     if (!allowNavigation || !features.length) return []
     const context = {
@@ -411,6 +434,11 @@ export async function resolveBackendChromePayload({
     ?? (fallbackOrganizationId && !isAllOrganizationsSelection(fallbackOrganizationId) ? fallbackOrganizationId : null)
 
   let brand: BackendChromePayload['brand'] = null
+  // Resolved here rather than left to callers. `brand` only populates when the organization has a
+  // logo, so it is a branding channel, not a dependable "which organization am I viewing" source.
+  // Without this field every downstream app has to fetch `/api/directory/organization-switcher` and
+  // walk its tree for the selected id. The row is already loaded below, so the name costs nothing.
+  let currentOrganization: BackendChromePayload['currentOrganization'] = null
   if (brandOrganizationId && scopedTenantId) {
     try {
       const organization = await findOneWithDecryption(
@@ -420,17 +448,26 @@ export async function resolveBackendChromePayload({
         undefined,
         { tenantId: scopedTenantId, organizationId: brandOrganizationId },
       )
+      // Only when a concrete organization was selected. Under an all-organizations view
+      // `brandOrganizationId` still resolves (to the caller's own organization, which is what keeps
+      // branding working), so gating on the loaded row alone would misreport the scope.
+      if (organization && concretelySelectedOrganizationId === brandOrganizationId) {
+        currentOrganization = { id: String(organization.id), name: organization.name }
+      }
       if (organization?.logoUrl) {
         brand = {
           name: organization.name,
           logo: {
             src: organization.logoUrl,
             alt: `${organization.name} logo`,
+            preserveAspectRatio: !!organization.logoPreserveAspectRatio,
           },
         }
       }
     } catch {
+      // Fail soft, as before: a failed organization lookup must not take down the nav payload.
       brand = null
+      currentOrganization = null
     }
   }
 
@@ -443,5 +480,6 @@ export async function resolveBackendChromePayload({
     grantedFeatures,
     roles: Array.isArray(auth.roles) ? auth.roles : [],
     brand,
+    currentOrganization,
   }
 }