@rsmlamongan/user-menu 0.0.0-stage → 0.1.0

package/dist/plugin.d.ts

@@ -0,0 +1,4 @@
+import { type Plugin } from "vue";
+import type { UserMenuOptions } from "./types.js";
+export declare function createUserMenu(options: UserMenuOptions): Plugin;
+export declare function injectMenuOptions(): UserMenuOptions;

package/dist/state.d.ts

@@ -0,0 +1,56 @@
+import type { Favorite, UserMenuCreateHandler, UserMenuOptions, UserMenuSaveHandler } from "./types.js";
+export declare function createMenuState(options: UserMenuOptions, onVisibilityChange?: (open: boolean, sessionReset?: boolean) => void, source?: {
+    getItems: () => readonly Favorite[] | undefined;
+    onItemsChange: (items: Favorite[]) => void;
+    getCreate?: () => UserMenuCreateHandler | undefined;
+    getSave?: () => UserMenuSaveHandler | undefined;
+}): {
+    state: {
+        open: boolean;
+        loading: boolean;
+        loaded: boolean;
+        busy: boolean;
+        favorites: {
+            id: string;
+            title: string;
+            url: string;
+            appId: string;
+        }[];
+        error: string;
+        notice: string;
+        editing: boolean;
+        draft: {
+            id: string;
+            title: string;
+            url: string;
+            appId: string;
+        }[];
+        adding: boolean;
+        addTitle: string;
+        addUrl: string;
+        addError: string;
+        confirmDiscard: boolean;
+    };
+    session: import("vue").ComputedRef<import("./types.js").UserMenuSession | null>;
+    dirty: import("vue").ComputedRef<boolean>;
+    canLoad: import("vue").ComputedRef<boolean>;
+    canCreate: import("vue").ComputedRef<boolean>;
+    canSave: import("vue").ComputedRef<boolean>;
+    options: UserMenuOptions;
+    requestVisibility: (open: boolean) => boolean;
+    load: () => Promise<void>;
+    startEdit: () => void;
+    cancelEdit: () => void;
+    move: (id: string, target: number) => void;
+    remove: (id: string) => void;
+    save: () => Promise<void>;
+    startAdd: () => void;
+    add: () => Promise<void>;
+    cancelAdd: () => void;
+    requestCloseAdd: () => void;
+    discard: () => void;
+    openSettings: () => Promise<void>;
+    restoreFocus: () => void;
+    dispose: () => void;
+};
+export type MenuState = ReturnType<typeof createMenuState>;

package/dist/style.css

@@ -0,0 +1,2 @@
+.rsml-user-menu{max-width:100vw;font-family:inherit}.rsml-user-menu h2{font-size:1.125rem;font-weight:600;line-height:1.5}.rsml-user-menu__panel{flex-direction:column;min-height:100%;display:flex}.rsml-user-menu__body,.rsml-user-menu__slot-header,.rsml-user-menu__slot-footer{padding:16px}.rsml-user-menu__slot-footer{border-color:rgba(var(--v-border-color), var(--v-border-opacity));border-style:solid;border-width:1px 0 0}.rsml-user-menu__heading-row,.rsml-user-menu__heading-actions,.rsml-user-menu__edit-title,.rsml-user-menu__item-actions,.rsml-user-menu__actions{align-items:center;gap:8px;display:flex}.rsml-user-menu__heading-row{justify-content:space-between}.rsml-user-menu__heading-actions{flex-shrink:0}.rsml-user-menu__text{overflow-wrap:anywhere;min-width:0}.rsml-user-menu__muted,.rsml-user-menu__meta,.rsml-user-menu__hint{color:rgba(var(--v-theme-on-surface), var(--v-medium-emphasis-opacity));font-size:.875rem}.rsml-user-menu__hint{margin:8px 0 20px}.rsml-user-menu__meta{margin-top:4px;display:block}.rsml-user-menu__list{margin:12px 0;padding:0;list-style:none}.rsml-user-menu__list li+li{margin-top:8px}.rsml-user-menu__link,.rsml-user-menu__edit-item{border:1px solid rgba(var(--v-border-color), var(--v-border-opacity));overflow-wrap:anywhere;border-radius:8px;padding:12px;display:block}.rsml-user-menu__link{color:inherit;text-decoration:none}.rsml-user-menu__link:hover,.rsml-user-menu__control:hover:not(:disabled){background:rgba(var(--v-theme-on-surface), var(--v-hover-opacity))}.rsml-user-menu__control{cursor:pointer;min-width:44px;min-height:44px;color:inherit;font:inherit;background:0 0;border:0;border-radius:6px;flex-shrink:0;justify-content:center;align-items:center;font-size:1.25rem;display:inline-flex}.rsml-user-menu__control:disabled{cursor:default;opacity:var(--v-disabled-opacity)}.rsml-user-menu__drag{cursor:grab}.rsml-user-menu__item-actions{justify-content:flex-end;margin-top:4px}.rsml-user-menu__actions{justify-content:flex-end}.rsml-user-menu__link:focus-visible,.rsml-user-menu__control:focus-visible{outline:2px solid rgb(var(--v-theme-primary));outline-offset:2px}.rsml-user-menu__empty{text-align:center;padding:24px 4px}.rsml-user-menu__empty p+p{margin-top:8px}.rsml-user-menu__alert{margin:12px 0}.rsml-user-menu__status{margin:12px 0;font-size:.875rem}.rsml-user-menu__status:empty{margin:0}.rsml-user-menu__url{overflow-wrap:anywhere;margin-top:4px}.rsml-user-menu__dialog .v-card-actions{flex-wrap:wrap}
+/*$vite$:1*/

package/dist/types.d.ts

@@ -0,0 +1,52 @@
+export interface Favorite {
+    id: string;
+    title: string;
+    url: string;
+    appId: string;
+}
+export interface CreateFavoriteInput {
+    title: string;
+    url: string;
+    appId: string;
+}
+export interface SaveFavoriteChangesInput {
+    orderedIds: string[];
+    deletedIds: string[];
+}
+export interface UserMenuApi {
+    listFavorites(): Promise<Favorite[]>;
+    createFavorite(input: CreateFavoriteInput): Promise<Favorite>;
+    saveFavoriteChanges(input: SaveFavoriteChangesInput): Promise<Favorite[]>;
+}
+export type UserMenuCreateHandler = (input: CreateFavoriteInput) => Promise<Favorite>;
+export type UserMenuSaveHandler = (input: SaveFavoriteChangesInput) => Promise<Favorite[]>;
+export interface UserMenuUser {
+    id: string;
+    name: string;
+    avatarUrl?: string;
+}
+export interface UserMenuSession {
+    /** Identitas siklus login, bukan token autentikasi. */
+    key: string;
+    user: UserMenuUser;
+}
+export interface CurrentPage {
+    title: string;
+    url: string;
+}
+export type UserMenuSettings = {
+    label: string;
+    url: string;
+    onClick?: never;
+} | {
+    label: string;
+    onClick: () => void | Promise<void>;
+    url?: never;
+};
+export interface UserMenuOptions {
+    appId: string;
+    getSession: () => UserMenuSession | null;
+    getCurrentPage: () => CurrentPage;
+    api?: UserMenuApi;
+    settings?: UserMenuSettings;
+}

package/dist/validation-ZwudKvW7.js

@@ -0,0 +1,49 @@
+//#region src/errors.ts
+var e = class extends Error {
+	code;
+	constructor(e) {
+		super(e), this.code = e, this.name = "UserMenuError";
+	}
+};
+function t(t, n) {
+	if (!(t instanceof e)) return n;
+	switch (t.code) {
+		case "unauthenticated": return "Sesi tidak valid. Masuk kembali melalui aplikasi utama.";
+		case "invalid-input": return "Periksa judul dan URL halaman. Gunakan URL HTTP atau HTTPS yang lengkap.";
+		case "duplicate": return "Halaman ini sudah ada di favorit.";
+		case "conflict": return "Daftar favorit telah berubah. Batalkan edit dan muat ulang daftar sebelum mencoba lagi.";
+		default: return n;
+	}
+}
+//#endregion
+//#region src/validation.ts
+function n(t) {
+	if (typeof t != "string" || !t.trim()) throw new e("invalid-input");
+	return t.trim();
+}
+function r(t) {
+	try {
+		let r = new URL(n(t));
+		if (!["http:", "https:"].includes(r.protocol) || r.username || r.password) throw new e("invalid-input");
+		return r.href;
+	} catch {
+		throw new e("invalid-input");
+	}
+}
+function i(t) {
+	if (!t || typeof t != "object") throw new e("invalid-input");
+	return {
+		id: n(t.id),
+		title: n(t.title),
+		url: r(t.url),
+		appId: n(t.appId)
+	};
+}
+function a(t) {
+	if (!Array.isArray(t)) throw new e("invalid-input");
+	let n = t.map(i);
+	if (new Set(n.map((e) => e.id)).size !== n.length || new Set(n.map((e) => e.url)).size !== n.length) throw new e("invalid-input");
+	return n;
+}
+//#endregion
+export { e as a, r as i, a as n, t as o, n as r, i as t };

package/dist/validation.d.ts

@@ -0,0 +1,5 @@
+import type { Favorite } from "./types.js";
+export declare function nonEmpty(value: unknown): string;
+export declare function normalizeUrl(value: unknown): string;
+export declare function copyFavorite(value: Favorite): Favorite;
+export declare function copyFavorites(values: readonly Favorite[]): Favorite[];

package/docs/API-CONTRACT.md

@@ -0,0 +1,221 @@
+# Kontrak API RSML User Menu
+
+Kontrak ini mendefinisikan data dan operasi asynchronous frontend, mock development, serta adapter HTTP untuk User Menu pada kepegawaian-api. Keduanya memenuhi interface yang sama tanpa mengubah drawer.
+
+**Status: implementasi backend dan adapter HTTP tersedia di source.** Pemasangan schema, deployment, penerimaan token produksi, dan integrasi aplikasi lintas origin perlu diverifikasi pada environment tujuan. Nama metode TypeScript dipetakan ke endpoint pada bagian adapter HTTP.
+
+Interface tersedia dari entry utama. Adapter development tersedia pada `@rsmlamongan/user-menu/mock`; adapter HTTP pada `@rsmlamongan/user-menu/http`.
+
+[Kembali ke README](../README.md) | [Panduan development](DEVELOPMENT.md)
+
+## Model data dan urutan
+
+```ts
+interface Favorite {
+  id: string;
+  title: string;
+  url: string;
+  appId: string;
+}
+
+interface CreateFavoriteInput {
+  title: string;
+  url: string;
+  appId: string;
+}
+
+interface SaveFavoriteChangesInput {
+  orderedIds: string[];
+  deletedIds: string[];
+}
+```
+
+| Field   | Makna                                                                                        |
+| ------- | -------------------------------------------------------------------------------------------- |
+| `id`    | Identitas stabil favorit dari penyimpanan, bukan indeks tampilan.                            |
+| `title` | Judul yang ditampilkan kepada pengguna.                                                      |
+| `url`   | URL HTTP(S) absolut tujuan shortcut, termasuk base path/route yang dibutuhkan aplikasi asal. |
+| `appId` | Identitas aplikasi asal favorit; bukan pembatas kepemilikan daftar.                          |
+
+Pemilik data tidak diambil dari `userId` pada input frontend. Pada API asli, pemilik ditentukan oleh sesi login yang diverifikasi server. `appId` adalah metadata asal dan tidak memberikan hak akses.
+
+Daftar favorit berlaku lintas aplikasi untuk pengguna yang sama. `listFavorites()` mengembalikan seluruh favorit pengguna tersebut, bukan hanya favorit dengan `appId` aplikasi yang sedang dibuka.
+
+Aplikasi dapat menyediakan daftar lengkap yang sama melalui prop `items` pada `UserMenuHost`. Dalam mode itu host tidak memanggil `listFavorites()`. Tambah dan Simpan memakai callback `@create`/`@save` jika diberikan, atau adapter di bawah. Setelah mutasi berhasil, event `update:items` mengembalikan salinan daftar lengkap kepada parent. Props/callback bukan kontrak transport baru dan tidak mengubah tiga operasi adapter; lihat [sumber daftar eksternal](DEVELOPMENT.md#sumber-daftar-melalui-prop-items) dan [callback parent](DEVELOPMENT.md#callback-create-dan-save).
+
+Urutan array adalah urutan tampilan dan penyimpanan yang otoritatif pada batas adapter. Frontend tidak mengurutkan ulang berdasarkan judul atau aplikasi asal. Field `position` tidak diperlukan pada model minimal; backend bebas memilih representasi urutan internal selama hasil adapter konsisten.
+
+## Kontrak adapter asynchronous
+
+```ts
+interface UserMenuApi {
+  listFavorites(): Promise<Favorite[]>;
+
+  createFavorite(input: CreateFavoriteInput): Promise<Favorite>;
+
+  saveFavoriteChanges(input: SaveFavoriteChangesInput): Promise<Favorite[]>;
+}
+```
+
+Tipe ini diekspor dari entry utama dan dihasilkan saat build. Transport dan autentikasi bukan bagian drawer. Adapter HTTP memakai callback client aplikasi utama; aplikasi menangani token/refresh dan adapter membuka envelope menjadi hasil di atas.
+
+| Operasi                      | Hasil sukses                                      | Dampak pada urutan                                         |
+| ---------------------------- | ------------------------------------------------- | ---------------------------------------------------------- |
+| `listFavorites()`            | Seluruh favorit pengguna sesuai urutan tersimpan. | Tidak mengubah data.                                       |
+| `createFavorite(input)`      | Favorit baru dengan `id` stabil.                  | Menambahkan favorit ke urutan terakhir.                    |
+| `saveFavoriteChanges(input)` | Seluruh favorit yang tersisa sesuai urutan akhir. | Menghapus dan menerapkan urutan dalam satu operasi atomik. |
+
+Mode edit MVP berfokus pada hapus serta pengurutan. Pengubahan judul favorit yang sudah tersimpan, pengubahan URL, dan formulir akun tidak tersedia dalam kontrak ini.
+
+Semua kegagalan disampaikan melalui Promise yang reject, bukan diubah menjadi `[]` atau hasil sukses palsu. Pemetaan error HTTP dan envelope dijelaskan pada bagian adapter HTTP.
+
+`UserMenuOptions.api` opsional. Dengan daftar `items` serta callback create/save, aplikasi tidak perlu menyediakan adapter pada plugin. Callback memakai input dan hasil yang sama dengan operasi adapter terkait, termasuk `Promise<Favorite>` untuk create dan `Promise<Favorite[]>` untuk save. Override berlaku per operasi; kegagalan callback tidak mencoba adapter sebagai fallback. Jika adapter tetap diberikan, kontrak tiga operasi `UserMenuApi` lengkap di atas tetap berlaku.
+
+### Error adapter
+
+Entry utama mengekspor `UserMenuError` dan tipe `UserMenuErrorCode`:
+
+```ts
+import { UserMenuError } from "@rsmlamongan/user-menu";
+
+throw new UserMenuError("conflict");
+```
+
+| Kode              | Makna                                                        |
+| ----------------- | ------------------------------------------------------------ |
+| `unauthenticated` | Sesi tidak tersedia atau ditolak.                            |
+| `invalid-input`   | Judul kosong atau bentuk input/URL tidak valid.              |
+| `duplicate`       | URL yang dinormalisasi sudah menjadi favorit.                |
+| `conflict`        | ID atau keseluruhan daftar tidak cocok dengan state terbaru. |
+| `unavailable`     | Layanan atau penyimpanan tidak tersedia.                     |
+
+UI menampilkan pesan tetap berdasarkan kode dan pesan umum untuk error biasa; detail error mentah tidak ditampilkan. Adapter HTTP memetakan status transport dan kode logis backend ke kode TypeScript ini.
+
+Judul dan appId dipangkas pada kedua ujungnya. URL harus absolut HTTP(S), tanpa username/password; parser `URL` menormalkan host/port/path dengan query dan hash tetap dipertahankan. Backend juga memvalidasi dan menormalkan input. Duplikasi dibandingkan secara ordinal setelah normalisasi, sehingga path/query/hash berbeda tetap berbeda.
+
+## Penyimpanan perubahan mode edit
+
+Misalnya daftar awal yang sudah dimuat berurutan sebagai berikut:
+
+```text
+favorite-1, favorite-2, favorite-3
+```
+
+Pengguna menghapus `favorite-2` dan memindahkan `favorite-3` ke urutan pertama. Permintaan adapter:
+
+```ts
+const favorites = await api.saveFavoriteChanges({
+  orderedIds: ["favorite-3", "favorite-1"],
+  deletedIds: ["favorite-2"],
+});
+```
+
+`favorites` berisi data lengkap dengan urutan `favorite-3`, lalu `favorite-1`.
+
+Aturan kontraknya:
+
+- `orderedIds` berisi seluruh ID yang dipertahankan, sesuai urutan akhirnya. `deletedIds` berisi ID yang dihapus dari daftar yang diedit.
+- Setiap ID hanya muncul sekali dan tidak boleh berada di kedua array.
+- Gabungan kedua array harus sama persis dengan seluruh ID terbaru milik pengguna. Item yang ditambahkan/dihapus sejak daftar dimuat menghasilkan `conflict`, bukan penghapusan diam-diam. Ini belum mendeteksi semua perubahan urutan/judul bersamaan tanpa protokol revisi.
+- Semua ID harus menjadi milik pengguna yang terautentikasi. ID yang tidak dapat dimodifikasi harus menyebabkan operasi gagal tanpa perubahan parsial.
+- Backend memvalidasi keseluruhan perubahan sebelum menyimpan. Favorit lain yang tidak dicakup input tidak boleh dihapus diam-diam; ketidaksesuaian daftar perlu menghasilkan kegagalan yang dapat ditangani frontend.
+- Hapus dan pengurutan diterapkan dalam satu transaksi. Jika validasi atau penyimpanan gagal, tidak ada sebagian penghapusan atau urutan baru yang terlanjur diterapkan.
+- `orderedIds: []` diperbolehkan saat seluruh favorit pada daftar diedit dimasukkan ke `deletedIds`; hasilnya daftar kosong.
+
+Library mengirim satu operasi Simpan setelah pengguna selesai mengedit. Tombol **Batal** tidak memanggil metode mutasi mana pun. Hasil sukses menjadi state tersimpan terbaru; kegagalan mempertahankan draft.
+
+Kontrak tidak memakai protokol revisi atau idempotency key. Perubahan anggota daftar menghasilkan konflik; dua perubahan urutan dengan anggota sama memakai penyimpanan terakhir. Adapter tidak melakukan retry mutasi otomatis. Setelah timeout muat ulang daftar: timeout tidak membuktikan transaksi belum terjadi.
+
+## Autentikasi dan kepemilikan
+
+Pada API asli, semua operasi wajib:
+
+1. Memverifikasi sesi yang dibawa aplikasi utama dan menentukan ID pengguna dari identitas tervalidasi.
+2. Membaca dan memodifikasi hanya favorit pengguna tersebut.
+3. Memeriksa kepemilikan setiap ID, termasuk seluruh item pada permintaan batch.
+4. Memvalidasi data dan tujuan URL di server; pengecekan duplikasi/validitas frontend bukan pengganti pemeriksaan server.
+
+Pengguna yang mengunduh package publik tidak memperoleh sesi atau favorit RSML. Pengguna yang sudah login pun tidak boleh membaca atau mengubah favorit orang lain dengan mengganti ID dalam request. Akses ke URL aplikasi tujuan tetap mengikuti pemeriksaan hak akses aplikasi tujuan itu sendiri.
+
+Identitas key sesi pada [kontrak integrasi](DEVELOPMENT.md#sesi-pengguna) hanya membantu lifecycle frontend. Backend tidak memperlakukannya sebagai token autentikasi. Token tidak dimasukkan ke URL favorit atau dibundel dalam artifact package.
+
+## Adapter mock
+
+Ekspor development yang tersedia (nama development lokal, belum terbit di npm):
+
+```ts
+import { createMockUserMenuApi } from "@rsmlamongan/user-menu/mock";
+
+const api = createMockUserMenuApi({ getSession });
+```
+
+`getSession` mengikuti `UserMenuOptions.getSession` pada panduan development. Factory mengembalikan `UserMenuApi` dan hanya dipakai secara eksplisit di playground atau pengembangan aplikasi pemakai.
+
+Opsi factory:
+
+```ts
+type MockOperation = keyof UserMenuApi;
+interface MockUserMenuApiOptions {
+  getSession: UserMenuOptions["getSession"];
+  storage?: Pick<Storage, "getItem" | "setItem">;
+  storageKey?: string;
+  initialFavorites?: Record<string, readonly Favorite[]>;
+  latencyMs?: number | (() => number);
+  shouldFail?: (operation: MockOperation) => boolean;
+}
+```
+
+`storage` default adalah `localStorage`, dibaca ketika operasi berjalan. `storageKey` adalah prefix default `rsml-user-menu:mock:v1`; key final berbentuk `${storageKey}:${encodeURIComponent(userId)}`. `initialFavorites` dipetakan berdasarkan ID pengguna dan hanya digunakan ketika key belum tersedia; daftar kosong yang sudah tersimpan tidak diisi ulang. Jangan memasukkan data nyata atau token ke seed.
+
+`latencyMs` dan `shouldFail` dievaluasi saat pemanggilan operasi. Kegagalan simulasi terjadi setelah delay, sebelum baca/tulis hasil. Playground menghapus pilihan kegagalan setelah satu operasi, sedangkan factory sendiri mengikuti hasil callback pada setiap pemanggilan. Storage dapat diinjeksi untuk tes atau demonstrasi terisolasi.
+
+Perilaku implementasi:
+
+- Data contoh terpisah berdasarkan ID pengguna dan tetap utuh saat drawer ditutup atau halaman demo di-reload melalui persistensi lokal.
+- Dua aplikasi contoh milik pengguna yang sama memakai daftar bersama jika berjalan pada origin dan penyimpanan mock yang sama; jangan membuat daftar terpisah per `appId`.
+- Setiap operasi menangkap pemilik sesi saat dipanggil. Sesi kosong menyebabkan penolakan; pergantian sesi saat simulasi delay tidak memindahkan operasi ke pengguna baru.
+- Hasil dikembalikan sebagai salinan data, sehingga draft UI tidak mengubah penyimpanan tanpa operasi adapter.
+- Pengambilan, penambahan, dan Simpan menggunakan kontrak hasil/urutan yang sama dengan adapter asli.
+- Simulasi delay serta kegagalan baca/tulis tersedia dari playground. Kegagalan yang disimulasikan sebelum commit tidak mengubah penyimpanan.
+- Simpan memvalidasi perubahan dan menyimpan satu hasil akhir. Kegagalan validasi atau penulisan lokal membuat operasi reject.
+
+Penyimpanan mock tidak menyimpan token, identitas produksi, atau favorit pengguna sebenarnya. `localStorage` adalah penyimpanan browser per origin, bukan layanan bersama atau pembatas akses yang aman. Hasil mock tidak membuktikan sinkronisasi lintas origin, otorisasi server, penerimaan token RSML, maupun transaksi database produksi.
+
+## Adapter HTTP
+
+```ts
+import { createHttpUserMenuApi } from "@rsmlamongan/user-menu/http";
+
+const api = createHttpUserMenuApi({
+  baseUrl: "/api/v1", // Sertakan prefix reverse proxy yang dipakai aplikasi.
+  request: async ({ method, url, body }) => {
+    // client adalah instance Axios aplikasi yang memasang token dan menangani refresh.
+    const result = await client.request({
+      method,
+      url,
+      data: body,
+      validateStatus: () => true,
+    });
+    return { status: result.status, body: result.data };
+  },
+});
+```
+
+`client` disediakan aplikasi, bukan dependency package. Callback menerima `UserMenuHttpRequest` (`method: "GET" | "POST" | "PUT"`, `url`, `body?`) dan mengembalikan `Promise<UserMenuHttpResponse>` (`status: number`, `body: unknown`). Resolve juga HTTP error, termasuk 401; reject untuk kegagalan transport. Aplikasi menangani JSON, token terkini, refresh, timeout, dan kebijakan client. `baseUrl` wajib root API v1 tanpa query/hash; trailing slash diabaikan. Adapter tidak menyimpan token atau daftar pengguna.
+
+| Operasi             | Method/path relatif terhadap baseUrl | Kode logis sukses |
+| ------------------- | ------------------------------------ | ----------------- |
+| listFavorites       | GET `/user-menu/favorites`           | 200               |
+| createFavorite      | POST `/user-menu/favorites`          | 201               |
+| saveFavoriteChanges | PUT `/user-menu/favorites`           | 200               |
+
+Body mengikuti input TypeScript di atas. Respons JSON memakai `{ metadata: { code, message, type, timestamp, errors? }, response? }`. Transport JSON backend adalah HTTP 200; adapter memeriksa `metadata.code`, bukan hanya status HTTP. Payload sukses divalidasi dan disalin. Respons rusak atau payload invalid menghasilkan `unavailable`.
+
+HTTP 401 boleh tanpa envelope dan dipetakan menjadi `unauthenticated`. Kode logis/HTTP 400 menjadi `invalid-input`; 409 dengan `duplicate` dalam `metadata.errors` menjadi `duplicate`, selain itu `conflict`; kegagalan jaringan/server menjadi `unavailable`. `UserMenuError` yang dilempar callback diteruskan. Tidak ada retry otomatis.
+
+Backend memakai JWT existing dan NID positif dari `IAuthUser.Id`, bukan identitas/key sesi di frontend. Tabel `dbo.UserMenuFavorite` pada database Pegawai harus dipasang melalui skrip backend sebelum deployment. Tidak ada migrasi localStorage. Sesuaikan origin yang diizinkan melalui konfigurasi CORS backend, lalu uji token dan satu pengguna dari dua origin aplikasi terhadap environment tujuan.
+
+## Referensi
+
+- [Otorisasi pada setiap request dan pemeriksaan kepemilikan](https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html)
+- [Batas penyimpanan localStorage](https://developer.mozilla.org/en-US/docs/Web/API/Window/localStorage)