@sdcorejs/angular 21.1.6 → 21.2.1

package/fesm2022/sdcorejs-angular-modules-permission.mjs

@@ -1,7 +1,7 @@
 import * as i0 from '@angular/core';
-import { InjectionToken, inject, Injectable, TemplateRef, ViewContainerRef, input, effect, Directive } from '@angular/core';
+import { InjectionToken, inject, isDevMode, Injectable, TemplateRef, ViewContainerRef, input, effect, Directive } from '@angular/core';
 import { SdCacheService } from '@sdcorejs/angular/services/cache';
-import { ArrayUtilities } from '@sdcorejs/angular/utilities/extensions';
+import { ArrayUtilities } from '@sdcorejs/utils/fns';
 import { resolveMaybeAsync } from '@sdcorejs/utils/models';
 
 /**
@@ -19,14 +19,31 @@ import { resolveMaybeAsync } from '@sdcorejs/utils/models';
  */
 const SD_PERMISSION_CONFIGURATION = new InjectionToken('sd-permission.configuration');
 
+/**
+ * Opt-out TƯỜNG MINH: "chỗ này cố ý không yêu cầu quyền nào".
+ *
+ * Dùng cho `route.data.permission`, `[sdPermission]` hoặc `hasPermission(...)` khi một route/phần tử
+ * thật sự công khai. Mọi giá trị rỗng khác (`undefined`, `null`, `''`, `[]`) đều bị coi là CẤU HÌNH
+ * THIẾU và bị từ chối — xem `SdPermissionService.hasPermission`.
+ */
+const SD_PERMISSION_PUBLIC = '__SD_PERMISSION_PUBLIC__';
+/**
+ * why: khoá cache cũ là một UUID cố định (`212a51fa-…`) dùng chung cho MỌI key, nên một entry
+ * sessionStorage duy nhất chứa quyền của tất cả profile. Đổi sang prefix có namespace + tách theo key
+ * để `invalidate(key)` xoá đúng phần của nó và không đụng key khác.
+ */
+const PERSISTED_CACHE_PREFIX = 'sd-permission.codes.';
 class SdPermissionService {
     #permissionMapByKey = {};
+    // why: danh sách quyền đã resolve giờ CHỈ sống trong bộ nhớ. Trước đây nó luôn được mirror xuống
+    // sessionStorage, tức mọi script trên cùng origin đọc/ghi được — chỉ cần chạy được một dòng JS là
+    // tự cấp cho mình quyền trên UI. Tệ hơn: `#loadedKeys` vốn nằm trong bộ nhớ nên sau reload service
+    // vẫn gọi lại `loadPermissions()`, entry sessionStorage kia gần như không mang lại lợi ích gì mà
+    // chỉ là bề mặt tấn công. Ai thật sự cần cache qua reload thì bật `persistCache` cho từng key.
+    #permissionsByKey = {};
     #configuration = inject(SD_PERMISSION_CONFIGURATION);
     #cacheService = inject(SdCacheService);
-    #permissionsByKey = this.#cacheService.create('212a51fa-38d5-43b2-bd46-922d85950ba3', {
-        type: 'session',
-        default: {},
-    });
+    #persistedCaches = new Map();
     #loadedKeys = new Set();
     constructor() {
         this.#validateDuplicateConfigKeys();
@@ -65,43 +82,68 @@ class SdPermissionService {
         }
         return key;
     };
-    #setPermissionsForKey = (normalizedKey, permissions) => {
-        const distinctPermissions = ArrayUtilities.distinct(permissions || []);
-        const current = this.#permissionsByKey.get() || {};
-        this.#permissionsByKey.set({
-            ...current,
-            [normalizedKey]: distinctPermissions,
+    /**
+     * Chỉ tạo handle cache khi key đó bật `persistCache`. Handle được memo hoá để `reset()` /
+     * `invalidate()` gọi được `remove()` lên đúng entry đã ghi.
+     */
+    #getPersistedCache = (normalizedKey) => {
+        const existing = this.#persistedCaches.get(normalizedKey);
+        if (existing) {
+            return existing;
+        }
+        const handle = this.#cacheService.create(`${PERSISTED_CACHE_PREFIX}${normalizedKey}`, {
+            type: 'session',
+            default: [],
         });
+        this.#persistedCaches.set(normalizedKey, handle);
+        return handle;
+    };
+    #setPermissionsForKey = (normalizedKey, permissions, persist) => {
+        const distinctPermissions = ArrayUtilities.distinct(permissions || []);
+        this.#permissionsByKey[normalizedKey] = distinctPermissions;
         const permissionMap = {};
         distinctPermissions.forEach(permission => {
             permissionMap[permission] = true;
         });
         this.#permissionMapByKey[normalizedKey] = permissionMap;
+        if (persist) {
+            this.#getPersistedCache(normalizedKey).set(distinctPermissions);
+        }
     };
     loadPermissions = async (key) => {
         const effectiveKey = this.#getEffectivePermissionKey(key);
         const normalizedKey = this.#normalizeKey(effectiveKey);
         if (this.#loadedKeys.has(normalizedKey)) {
-            return this.#permissionsByKey.get()?.[normalizedKey] || [];
+            return this.#permissionsByKey[normalizedKey] ?? [];
         }
         const configuration = this.#getConfigurationByKey(effectiveKey);
         if (!configuration) {
-            this.#setPermissionsForKey(normalizedKey, []);
+            this.#setPermissionsForKey(normalizedKey, [], false);
             this.#loadedKeys.add(normalizedKey);
             return [];
         }
+        const persist = configuration.persistCache === true;
+        if (persist) {
+            // why: chỉ khi consumer bật `persistCache` mới đọc lại bản mirror — mặc định không chạm storage.
+            const cached = this.#getPersistedCache(normalizedKey).get();
+            if (cached?.length) {
+                this.#setPermissionsForKey(normalizedKey, cached, false);
+                this.#loadedKeys.add(normalizedKey);
+                return this.#permissionsByKey[normalizedKey] ?? [];
+            }
+        }
         try {
             const permissions = await resolveMaybeAsync(configuration.loadPermissions());
-            this.#setPermissionsForKey(normalizedKey, permissions || []);
+            this.#setPermissionsForKey(normalizedKey, permissions || [], persist);
         }
         catch (err) {
             console.error(err);
-            this.#setPermissionsForKey(normalizedKey, []);
+            this.#setPermissionsForKey(normalizedKey, [], false);
         }
         finally {
             this.#loadedKeys.add(normalizedKey);
         }
-        return this.#permissionsByKey.get()?.[normalizedKey] || [];
+        return this.#permissionsByKey[normalizedKey] ?? [];
     };
     loadAllPermissions = async () => {
         const configurations = this.#getConfigurations();
@@ -111,19 +153,78 @@ class SdPermissionService {
         }
         await Promise.all(configurations.map(config => this.loadPermissions(config.key)));
     };
-    hasPermission = (permission, key) => {
-        if (!permission?.toString()) {
-            return true;
+    /**
+     * Xoá TOÀN BỘ quyền đã nạp (mọi key) — cả map trong bộ nhớ, cờ "đã nạp" lẫn bản mirror
+     * `sessionStorage` của các key bật `persistCache`.
+     *
+     * ⚠️ BẮT BUỘC gọi khi signout. Service là singleton `providedIn: 'root'`, nên trong một SPA
+     * signout → signin (không reload trang) mà không reset thì `loadPermissions()` sẽ short-circuit
+     * theo key đã cache và user MỚI thừa hưởng nguyên bộ quyền của user CŨ.
+     *
+     * ```ts
+     * auth.signout$?.subscribe(() => permissionService.reset());
+     * ```
+     */
+    reset = () => {
+        // why: sau reload, service chưa tạo handle cho key nào cả nhưng entry sessionStorage của phiên
+        // trước vẫn còn. Tạo handle cho mọi key có `persistCache` trước khi remove để reset thật sự sạch.
+        this.#getConfigurations()
+            .filter(config => config.persistCache === true)
+            .forEach(config => this.#getPersistedCache(this.#normalizeKey(config.key)));
+        this.#persistedCaches.forEach(cache => cache.remove());
+        this.#persistedCaches.clear();
+        this.#loadedKeys.clear();
+        this.#permissionMapByKey = {};
+        this.#permissionsByKey = {};
+    };
+    /**
+     * Xoá quyền đã nạp của MỘT key (mặc định là key portal `undefined`), buộc lần
+     * `loadPermissions(key)` kế tiếp gọi lại loader. Dùng khi chỉ một profile/tenant đổi quyền;
+     * signout thì dùng {@link reset}.
+     */
+    invalidate = (key) => {
+        const effectiveKey = this.#getEffectivePermissionKey(key);
+        const normalizedKey = this.#normalizeKey(effectiveKey);
+        this.#loadedKeys.delete(normalizedKey);
+        delete this.#permissionMapByKey[normalizedKey];
+        delete this.#permissionsByKey[normalizedKey];
+        // why: tạo handle nếu chưa có, để xoá được cả entry còn sót lại từ phiên trước khi reload.
+        if (this.#getConfigurationByKey(effectiveKey)?.persistCache === true) {
+            this.#getPersistedCache(normalizedKey).remove();
         }
+        this.#persistedCaches.delete(normalizedKey);
+    };
+    /**
+     * Kiểm tra quyền (OR cho mảng).
+     *
+     * ⚠️ BREAKING: đầu vào rỗng (`undefined` / `null` / `''` / `[]`) giờ trả `false`.
+     * Muốn "không yêu cầu quyền" thì phải nói ra bằng {@link SD_PERMISSION_PUBLIC}.
+     */
+    hasPermission = (permission, key) => {
         const effectiveKey = this.#getEffectivePermissionKey(key);
         const configuration = this.#getConfigurationByKey(effectiveKey);
         if (configuration?.disabled) {
             return true;
         }
+        const requested = (Array.isArray(permission) ? permission : [permission]).filter((value) => typeof value === 'string' && value.trim() !== '');
+        // why: opt-out phải TƯỜNG MINH. Chỉ sentinel này mới nghĩa là "cố ý công khai".
+        if (requested.includes(SD_PERMISSION_PUBLIC)) {
+            return true;
+        }
+        if (!requested.length) {
+            // why: code cũ trả `true` cho mọi đầu vào rỗng, nên một route gõ sai key `data` (`permision`),
+            // một `[sdPermission]` bind nhầm sang biến undefined, hay một mã quyền rỗng do API trả về đều
+            // được cấp quyền âm thầm — không phân biệt được "cố ý không giới hạn" với "cấu hình hỏng".
+            // Giờ mặc định là TỪ CHỐI; ca công khai thật sự phải dùng `SD_PERMISSION_PUBLIC`.
+            if (isDevMode()) {
+                console.error('[Permission] Access denied: an empty permission was checked. ' +
+                    'Pass a real permission code, or SD_PERMISSION_PUBLIC if this route/element is intentionally public.', { permission, key });
+            }
+            return false;
+        }
         const normalizedKey = this.#normalizeKey(effectiveKey);
         const permissionMap = this.#permissionMapByKey[normalizedKey] || {};
-        const permissions = Array.isArray(permission) ? permission : [permission];
-        return permissions.some(val => permissionMap[val]);
+        return requested.some(value => permissionMap[value] === true);
     };
     getToken = async (key) => {
         const effectiveKey = this.#getEffectivePermissionKey(key);
@@ -137,7 +238,17 @@ class SdPermissionService {
         }
         return token;
     };
-    decodeToken = async (key) => {
+    /**
+     * Giải mã phần payload của JWT hiện tại và trả về claim **CHƯA ĐƯỢC XÁC THỰC**.
+     *
+     * ⚠️ KHÔNG kiểm chữ ký, KHÔNG kiểm `exp`/`nbf`/`aud`/`iss`. Đây thuần tuý là base64url-decode: bất
+     * kỳ ai cũng tự tạo được một token có claim tuỳ ý và hàm này sẽ vui vẻ trả về. Vì vậy kết quả CHỈ
+     * dùng cho mục đích hiển thị (tên, avatar, tenant đang chọn…) và TUYỆT ĐỐI không được dùng để ra
+     * quyết định phân quyền — quyền phải do backend xác thực chữ ký rồi trả về.
+     *
+     * Trả `null` khi không có token hoặc payload hỏng.
+     */
+    readUnverifiedTokenClaims = async (key) => {
         const token = await this.getToken(key);
         if (!token) {
             return null;
@@ -156,6 +267,14 @@ class SdPermissionService {
             return null;
         }
     };
+    /**
+     * @deprecated Tên `decodeToken` gợi ý một thao tác đã được kiểm chứng, trong khi thực tế payload
+     * hoàn toàn KHÔNG được xác thực. Dùng {@link readUnverifiedTokenClaims} — alias này chỉ còn để
+     * consumer cũ không vỡ và sẽ bị gỡ ở release sau.
+     */
+    decodeToken = async (key) => {
+        return this.readUnverifiedTokenClaims(key);
+    };
     static ɵfac = i0.ɵɵngDeclareFactory({ minVersion: "12.0.0", version: "21.2.17", ngImport: i0, type: SdPermissionService, deps: [], target: i0.ɵɵFactoryTarget.Injectable });
     static ɵprov = i0.ɵɵngDeclareInjectable({ minVersion: "12.0.0", version: "21.2.17", ngImport: i0, type: SdPermissionService, providedIn: 'root' });
 }
@@ -176,12 +295,10 @@ class SdPermissionDirective {
             const permission = this.sdPermission();
             const permissionKey = this.sdPermissionKey();
             this.#viewContainerRef.clear();
-            // Nếu không gắn permission thì render
-            if (!permission?.toString()) {
-                this.#viewContainerRef.createEmbeddedView(this.#templateRef);
-                return;
-            }
-            // Kiểm tra permission theo key (nếu có)
+            // why: code cũ render vô điều kiện khi `permission` rỗng, nên `*sdPermission="perm"` với `perm`
+            // undefined (typo tên biến, dữ liệu chưa về, mã quyền rỗng từ API) hiện nút cho tất cả mọi
+            // người. Giờ mọi quyết định đều đi qua `hasPermission` — nó fail closed và chỉ chấp nhận
+            // `SD_PERMISSION_PUBLIC` như opt-out tường minh, nên không còn nhánh render ngầm nào nữa.
             if (this.#permissionService.hasPermission(permission, permissionKey)) {
                 this.#viewContainerRef.createEmbeddedView(this.#templateRef);
             }
@@ -207,24 +324,44 @@ class SdPermissionGuard {
         }
         return Array.isArray(config) ? config : [config];
     };
+    /** Gọi `onForbiden` của config khớp key (hoặc config portal) rồi chặn điều hướng. */
+    #deny = (permissionKey) => {
+        const configurations = this.#getConfigurations();
+        const onForbiden = configurations
+            .filter(config => config.key === permissionKey || (permissionKey !== undefined && config.key === undefined))
+            .map(config => config.onForbiden)
+            .find(val => !!val);
+        onForbiden?.();
+        return false;
+    };
     canActivate = async (next, state) => {
         // Guard ở layer portal: preload toàn bộ permission theo tất cả key đã cấu hình
         await this.permissionService.loadAllPermissions().catch(console.error);
         return true;
     };
     canActivateChild = async (activatedRoute, state) => {
-        const permission = activatedRoute.data['permission'];
-        const permissionKey = activatedRoute.data?.['permissionKey'];
-        if (this.permissionService.hasPermission(permission, permissionKey)) {
+        const data = activatedRoute.data ?? {};
+        const permissionKey = data['permissionKey'];
+        // why: `canActivateChild` chạy cho MỌI route con, nên một route quên khai báo `data.permission`
+        // hoặc gõ sai key (`permision`, `permissions`) trước đây rơi thẳng vào nhánh "rỗng ⇒ cho qua" của
+        // `hasPermission` và được cấp quyền âm thầm. Không khai báo giờ = TỪ CHỐI; route thật sự công khai
+        // phải nói ra bằng `data: { permission: SD_PERMISSION_PUBLIC }`.
+        if (!Object.prototype.hasOwnProperty.call(data, 'permission')) {
+            if (isDevMode()) {
+                console.error(`[Permission] Access denied for "${state?.url ?? ''}": route data has no "permission" entry. ` +
+                    'Declare data.permission with a permission code, or SD_PERMISSION_PUBLIC if the route is intentionally public. ' +
+                    'Check for a typo in the data key.');
+            }
+            // why: KHÔNG gọi `onForbiden()` ở nhánh này. `onForbiden` thường điều hướng sang trang forbidden;
+            // nếu chính trang đó lại quên khai báo `data.permission` thì nó cũng bị từ chối và gọi tiếp
+            // `onForbiden` → vòng lặp redirect vô tận, treo app. Thiếu khai báo là LỖI CẤU HÌNH, không phải
+            // "hết quyền": chặn im lặng + log dev là đủ, và một cấu hình sai không bao giờ tự đệ quy được.
+            return false;
+        }
+        if (this.permissionService.hasPermission(data['permission'], permissionKey)) {
             return true;
         }
-        const configurations = this.#getConfigurations();
-        const onForbiden = configurations
-            .filter(config => config.key === permissionKey || (permissionKey !== undefined && config.key === undefined))
-            .map(config => config.onForbiden)
-            .find(val => !!val);
-        onForbiden?.();
-        return false;
+        return this.#deny(permissionKey);
     };
     static ɵfac = i0.ɵɵngDeclareFactory({ minVersion: "12.0.0", version: "21.2.17", ngImport: i0, type: SdPermissionGuard, deps: [], target: i0.ɵɵFactoryTarget.Injectable });
     static ɵprov = i0.ɵɵngDeclareInjectable({ minVersion: "12.0.0", version: "21.2.17", ngImport: i0, type: SdPermissionGuard, providedIn: 'root' });
@@ -238,5 +375,5 @@ i0.ɵɵngDeclareClassMetadata({ minVersion: "12.0.0", version: "21.2.17", ngImpo
  * Generated bundle index. Do not edit.
  */
 
-export { SD_PERMISSION_CONFIGURATION, SdPermissionDirective, SdPermissionGuard, SdPermissionService };
+export { SD_PERMISSION_CONFIGURATION, SD_PERMISSION_PUBLIC, SdPermissionDirective, SdPermissionGuard, SdPermissionService };
 //# sourceMappingURL=sdcorejs-angular-modules-permission.mjs.map

package/fesm2022/sdcorejs-angular-modules-permission.mjs.map

@@ -1 +1 @@
-{"version":3,"file":"sdcorejs-angular-modules-permission.mjs","sources":["../../../projects/sdcorejs-angular/modules/permission/src/configurations/permission.configuration.ts","../../../projects/sdcorejs-angular/modules/permission/src/services/permission.service.ts","../../../projects/sdcorejs-angular/modules/permission/src/directives/permission.directive.ts","../../../projects/sdcorejs-angular/modules/permission/src/guards/permission.guard.ts","../../../projects/sdcorejs-angular/modules/permission/sdcorejs-angular-modules-permission.ts"],"sourcesContent":["import { InjectionToken } from '@angular/core';\nimport { MaybeAsync } from '@sdcorejs/utils/models';\n\n/**\n * Cấu hình trung tâm cho module permission.\n *\n * Luồng hoạt động chính:\n * 1. `loadPermissions(key?)` ở service được gọi để lấy danh sách mã quyền theo từng `key` cấu hình.\n * 2. Guard/service đối chiếu mã quyền theo route metadata.\n * 3. Khi không đủ quyền, callback `onForbiden()` sẽ được gọi (nếu có).\n *\n * Lưu ý:\n * - `SD_PERMISSION_CONFIGURATION` hỗ trợ cả cấu hình đơn và mảng cấu hình (`multi: true`).\n * - Nếu cần tạm bỏ qua kiểm tra quyền (POC/UAT cục bộ), đặt `disabled = true`.\n */\nexport interface ISdPermissionConfiguration {\n  /**\n   * Khóa định danh cấu hình.\n   * Dùng để phân biệt khi hệ thống mở rộng theo nhiều profile permission.\n   *\n   * Lưu ý: `undefined` cũng được xem là một key hợp lệ (cấu hình mặc định).\n   */\n  key?: string;\n\n  /**\n   * Bật/tắt kiểm tra permission toàn cục.\n   * - `true`: bỏ qua kiểm tra quyền.\n   * - `false | undefined`: kiểm tra quyền theo cấu hình route.\n   */\n  disabled?: boolean;\n\n  /**\n   * Trả về danh sách mã quyền của user hiện tại.\n   * Có thể đồng bộ hoặc bất đồng bộ.\n   *\n   * Ví dụ giá trị trả về:\n   * - `['PRODUCT_C_EMPLOYEE_VIEW', 'PRODUCT_C_EMPLOYEE_UPDATE']`\n   */\n  loadPermissions: () => MaybeAsync<string[]>;\n\n  /**\n   * Callback xử lý khi user không có quyền truy cập URL hiện tại.\n   * Thường dùng để điều hướng sang trang forbidden hoặc hiển thị thông báo.\n   *\n   * Giữ nguyên tên `onForbiden` để tương thích API hiện tại.\n   */\n  onForbiden?: () => void;\n\n  /**\n   * Cung cấp access token hiện tại cho các tác vụ liên quan permission.\n   * Hỗ trợ trả về đồng bộ, Promise hoặc Observable.\n   */\n  getToken?: () => MaybeAsync<string | undefined | null>;\n}\n\n/**\n * InjectionToken cho cấu hình permission.\n *\n * Ví dụ provider:\n * {\n *   provide: SD_PERMISSION_CONFIGURATION,\n *   useValue: {\n *     disabled: false,\n *     loadPermissions: () => ['SAMPLE_C_EMPLOYEE_VIEW'],\n *     onForbiden: () => router.navigateByUrl('/layout/forbidden')\n *   }\n * }\n */\nexport const SD_PERMISSION_CONFIGURATION = new InjectionToken<ISdPermissionConfiguration | ISdPermissionConfiguration[]>(\n  'sd-permission.configuration'\n);\n","import { inject, Injectable } from '@angular/core';\nimport { SdCache, SdCacheService } from '@sdcorejs/angular/services/cache';\nimport { ArrayUtilities } from '@sdcorejs/angular/utilities/extensions';\nimport { ISdPermissionConfiguration, SD_PERMISSION_CONFIGURATION } from '../configurations';\nimport { MaybeAsync, resolveMaybeAsync } from '@sdcorejs/utils/models';\n\n@Injectable({ providedIn: 'root' })\nexport class SdPermissionService {\n  #permissionMapByKey: Record<string, Record<string, boolean>> = {};\n  readonly #configuration = inject<ISdPermissionConfiguration | ISdPermissionConfiguration[]>(SD_PERMISSION_CONFIGURATION);\n  readonly #cacheService = inject(SdCacheService);\n  #permissionsByKey: SdCache<Record<string, string[]>> = this.#cacheService.create<Record<string, string[]>>(\n    '212a51fa-38d5-43b2-bd46-922d85950ba3',\n    {\n      type: 'session',\n      default: {},\n    }\n  );\n  readonly #loadedKeys = new Set<string>();\n\n  constructor() {\n    this.#validateDuplicateConfigKeys();\n  }\n\n  #getConfigurations = (): ISdPermissionConfiguration[] => {\n    const config = this.#configuration;\n    if (!config) {\n      return [];\n    }\n    return Array.isArray(config) ? config : [config];\n  };\n\n  #normalizeKey = (key?: string): string => {\n    return key === undefined ? '__undefined__' : key;\n  };\n\n  #validateDuplicateConfigKeys = (): void => {\n    const seen = new Set<string>();\n    for (const config of this.#getConfigurations()) {\n      const normalizedKey = this.#normalizeKey(config.key);\n      if (seen.has(normalizedKey)) {\n        const keyLabel = config.key === undefined ? 'undefined' : config.key;\n        throw new Error(`[Permission] Duplicate permission configuration key: ${keyLabel}`);\n      }\n      seen.add(normalizedKey);\n    }\n  };\n\n  #getConfigurationByKey = (key?: string): ISdPermissionConfiguration | undefined => {\n    return this.#getConfigurations().find(config => config.key === key);\n  };\n\n  #getEffectivePermissionKey = (key?: string): string | undefined => {\n    if (this.#getConfigurationByKey(key)) {\n      return key;\n    }\n\n    // Portal-level config uses key = undefined and acts as default fallback\n    if (key !== undefined && this.#getConfigurationByKey(undefined)) {\n      return undefined;\n    }\n\n    return key;\n  };\n\n  #setPermissionsForKey = (normalizedKey: string, permissions: string[]): void => {\n    const distinctPermissions = ArrayUtilities.distinct(permissions || []);\n    const current = this.#permissionsByKey.get() || {};\n    this.#permissionsByKey.set({\n      ...current,\n      [normalizedKey]: distinctPermissions,\n    });\n\n    const permissionMap: Record<string, boolean> = {};\n    distinctPermissions.forEach(permission => {\n      permissionMap[permission] = true;\n    });\n    this.#permissionMapByKey[normalizedKey] = permissionMap;\n  };\n\n  loadPermissions = async (key?: string): Promise<string[]> => {\n    const effectiveKey = this.#getEffectivePermissionKey(key);\n    const normalizedKey = this.#normalizeKey(effectiveKey);\n    if (this.#loadedKeys.has(normalizedKey)) {\n      return this.#permissionsByKey.get()?.[normalizedKey] || [];\n    }\n\n    const configuration = this.#getConfigurationByKey(effectiveKey);\n    if (!configuration) {\n      this.#setPermissionsForKey(normalizedKey, []);\n      this.#loadedKeys.add(normalizedKey);\n      return [];\n    }\n\n    try {\n      const permissions: string[] = await resolveMaybeAsync(configuration.loadPermissions());\n      this.#setPermissionsForKey(normalizedKey, permissions || []);\n    } catch (err) {\n      console.error(err);\n      this.#setPermissionsForKey(normalizedKey, []);\n    } finally {\n      this.#loadedKeys.add(normalizedKey);\n    }\n\n    return this.#permissionsByKey.get()?.[normalizedKey] || [];\n  };\n\n  loadAllPermissions = async (): Promise<void> => {\n    const configurations = this.#getConfigurations();\n    if (!configurations.length) {\n      await this.loadPermissions(undefined);\n      return;\n    }\n\n    await Promise.all(configurations.map(config => this.loadPermissions(config.key)));\n  };\n\n  hasPermission = (permission: string | string[], key?: string) => {\n    if (!permission?.toString()) {\n      return true;\n    }\n\n    const effectiveKey = this.#getEffectivePermissionKey(key);\n    const configuration = this.#getConfigurationByKey(effectiveKey);\n    if (configuration?.disabled) {\n      return true;\n    }\n\n    const normalizedKey = this.#normalizeKey(effectiveKey);\n    const permissionMap = this.#permissionMapByKey[normalizedKey] || {};\n    const permissions = Array.isArray(permission) ? permission : [permission];\n    return permissions.some(val => permissionMap[val]);\n  };\n\n  getToken = async (key?: string) => {\n    const effectiveKey = this.#getEffectivePermissionKey(key);\n    const getToken = this.#getConfigurationByKey(effectiveKey)?.getToken as (() => MaybeAsync<string | undefined | null>) | undefined;\n    if (!getToken) {\n      throw new Error('[Permission] Method getToken');\n    }\n\n    const token = await resolveMaybeAsync(getToken());\n    if (token === '') {\n      return undefined;\n    }\n    return token;\n  };\n\n  decodeToken = async <T>(key?: string): Promise<T | null> => {\n    const token = await this.getToken(key);\n    if (!token) {\n      return null;\n    }\n    try {\n      const payload = token.split('.')[1];\n      const base64 = payload.replace(/-/g, '+').replace(/_/g, '/');\n      const jsonPayload = decodeURIComponent(\n        atob(base64)\n          .split('')\n          .map(c => '%' + ('00' + c.charCodeAt(0).toString(16)).slice(-2))\n          .join('')\n      );\n      return JSON.parse(jsonPayload);\n    } catch (error) {\n      console.error('Invalid token', error);\n      return null;\n    }\n  };\n}\n","import { Directive, effect, inject, input, TemplateRef, ViewContainerRef } from '@angular/core';\nimport { SdPermissionService } from '../services';\n\n@Directive({\n  selector: '[sdPermission]',\n})\nexport class SdPermissionDirective {\n  readonly #templateRef: TemplateRef<Record<string, never>> = inject(TemplateRef);\n  readonly #viewContainerRef = inject(ViewContainerRef);\n  readonly #permissionService = inject(SdPermissionService);\n\n  // Nếu là mảng thì chỉ cần có 1 permission trong mảng đó xem như có quyền\n  readonly sdPermission = input<string | string[] | undefined | null>(undefined);\n  readonly sdPermissionKey = input<string | undefined>(undefined);\n\n  constructor() {\n    effect(() => {\n      const permission = this.sdPermission();\n      const permissionKey = this.sdPermissionKey();\n\n      this.#viewContainerRef.clear();\n\n      // Nếu không gắn permission thì render\n      if (!permission?.toString()) {\n        this.#viewContainerRef.createEmbeddedView(this.#templateRef);\n        return;\n      }\n\n      // Kiểm tra permission theo key (nếu có)\n      if (this.#permissionService.hasPermission(permission, permissionKey)) {\n        this.#viewContainerRef.createEmbeddedView(this.#templateRef);\n      }\n    });\n  }\n}\n","import { inject, Injectable } from '@angular/core';\nimport { ActivatedRouteSnapshot, CanActivate, CanActivateChild, RouterStateSnapshot } from '@angular/router';\nimport { ISdPermissionConfiguration, SD_PERMISSION_CONFIGURATION } from '../configurations';\nimport { SdPermissionService } from '../services';\n\n@Injectable({ providedIn: 'root' })\nexport class SdPermissionGuard implements CanActivate, CanActivateChild {\n  private readonly configuration: ISdPermissionConfiguration | ISdPermissionConfiguration[] = inject(SD_PERMISSION_CONFIGURATION);\n  private readonly permissionService = inject(SdPermissionService);\n\n  #getConfigurations = (): ISdPermissionConfiguration[] => {\n    const config = this.configuration;\n    if (!config) {\n      return [];\n    }\n    return Array.isArray(config) ? config : [config];\n  };\n\n  canActivate = async (next: ActivatedRouteSnapshot, state: RouterStateSnapshot) => {\n    // Guard ở layer portal: preload toàn bộ permission theo tất cả key đã cấu hình\n    await this.permissionService.loadAllPermissions().catch(console.error);\n    return true;\n  };\n\n  canActivateChild = async (activatedRoute: ActivatedRouteSnapshot, state: RouterStateSnapshot) => {\n    const permission = activatedRoute.data['permission'];\n    const permissionKey = activatedRoute.data?.['permissionKey'] as string | undefined;\n    if (this.permissionService.hasPermission(permission, permissionKey)) {\n      return true;\n    }\n\n    const configurations = this.#getConfigurations();\n    const onForbiden = configurations\n      .filter(config => config.key === permissionKey || (permissionKey !== undefined && config.key === undefined))\n      .map(config => config.onForbiden)\n      .find(val => !!val);\n    onForbiden?.();\n    return false;\n  };\n}\n","/**\n * Generated bundle index. Do not edit.\n */\n\nexport * from './index';\n"],"names":[],"mappings":";;;;;;AAuDA;;;;;;;;;;;;AAYG;MACU,2BAA2B,GAAG,IAAI,cAAc,CAC3D,6BAA6B;;MC9DlB,mBAAmB,CAAA;IAC9B,mBAAmB,GAA4C,EAAE;AACxD,IAAA,cAAc,GAAG,MAAM,CAA4D,2BAA2B,CAAC;AAC/G,IAAA,aAAa,GAAG,MAAM,CAAC,cAAc,CAAC;IAC/C,iBAAiB,GAAsC,IAAI,CAAC,aAAa,CAAC,MAAM,CAC9E,sCAAsC,EACtC;AACE,QAAA,IAAI,EAAE,SAAS;AACf,QAAA,OAAO,EAAE,EAAE;AACZ,KAAA,CACF;AACQ,IAAA,WAAW,GAAG,IAAI,GAAG,EAAU;AAExC,IAAA,WAAA,GAAA;QACE,IAAI,CAAC,4BAA4B,EAAE;IACrC;IAEA,kBAAkB,GAAG,MAAmC;AACtD,QAAA,MAAM,MAAM,GAAG,IAAI,CAAC,cAAc;QAClC,IAAI,CAAC,MAAM,EAAE;AACX,YAAA,OAAO,EAAE;QACX;AACA,QAAA,OAAO,KAAK,CAAC,OAAO,CAAC,MAAM,CAAC,GAAG,MAAM,GAAG,CAAC,MAAM,CAAC;AAClD,IAAA,CAAC;AAED,IAAA,aAAa,GAAG,CAAC,GAAY,KAAY;QACvC,OAAO,GAAG,KAAK,SAAS,GAAG,eAAe,GAAG,GAAG;AAClD,IAAA,CAAC;IAED,4BAA4B,GAAG,MAAW;AACxC,QAAA,MAAM,IAAI,GAAG,IAAI,GAAG,EAAU;QAC9B,KAAK,MAAM,MAAM,IAAI,IAAI,CAAC,kBAAkB,EAAE,EAAE;YAC9C,MAAM,aAAa,GAAG,IAAI,CAAC,aAAa,CAAC,MAAM,CAAC,GAAG,CAAC;AACpD,YAAA,IAAI,IAAI,CAAC,GAAG,CAAC,aAAa,CAAC,EAAE;AAC3B,gBAAA,MAAM,QAAQ,GAAG,MAAM,CAAC,GAAG,KAAK,SAAS,GAAG,WAAW,GAAG,MAAM,CAAC,GAAG;AACpE,gBAAA,MAAM,IAAI,KAAK,CAAC,wDAAwD,QAAQ,CAAA,CAAE,CAAC;YACrF;AACA,YAAA,IAAI,CAAC,GAAG,CAAC,aAAa,CAAC;QACzB;AACF,IAAA,CAAC;AAED,IAAA,sBAAsB,GAAG,CAAC,GAAY,KAA4C;AAChF,QAAA,OAAO,IAAI,CAAC,kBAAkB,EAAE,CAAC,IAAI,CAAC,MAAM,IAAI,MAAM,CAAC,GAAG,KAAK,GAAG,CAAC;AACrE,IAAA,CAAC;AAED,IAAA,0BAA0B,GAAG,CAAC,GAAY,KAAwB;AAChE,QAAA,IAAI,IAAI,CAAC,sBAAsB,CAAC,GAAG,CAAC,EAAE;AACpC,YAAA,OAAO,GAAG;QACZ;;QAGA,IAAI,GAAG,KAAK,SAAS,IAAI,IAAI,CAAC,sBAAsB,CAAC,SAAS,CAAC,EAAE;AAC/D,YAAA,OAAO,SAAS;QAClB;AAEA,QAAA,OAAO,GAAG;AACZ,IAAA,CAAC;AAED,IAAA,qBAAqB,GAAG,CAAC,aAAqB,EAAE,WAAqB,KAAU;QAC7E,MAAM,mBAAmB,GAAG,cAAc,CAAC,QAAQ,CAAC,WAAW,IAAI,EAAE,CAAC;QACtE,MAAM,OAAO,GAAG,IAAI,CAAC,iBAAiB,CAAC,GAAG,EAAE,IAAI,EAAE;AAClD,QAAA,IAAI,CAAC,iBAAiB,CAAC,GAAG,CAAC;AACzB,YAAA,GAAG,OAAO;YACV,CAAC,aAAa,GAAG,mBAAmB;AACrC,SAAA,CAAC;QAEF,MAAM,aAAa,GAA4B,EAAE;AACjD,QAAA,mBAAmB,CAAC,OAAO,CAAC,UAAU,IAAG;AACvC,YAAA,aAAa,CAAC,UAAU,CAAC,GAAG,IAAI;AAClC,QAAA,CAAC,CAAC;AACF,QAAA,IAAI,CAAC,mBAAmB,CAAC,aAAa,CAAC,GAAG,aAAa;AACzD,IAAA,CAAC;AAED,IAAA,eAAe,GAAG,OAAO,GAAY,KAAuB;QAC1D,MAAM,YAAY,GAAG,IAAI,CAAC,0BAA0B,CAAC,GAAG,CAAC;QACzD,MAAM,aAAa,GAAG,IAAI,CAAC,aAAa,CAAC,YAAY,CAAC;QACtD,IAAI,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,aAAa,CAAC,EAAE;AACvC,YAAA,OAAO,IAAI,CAAC,iBAAiB,CAAC,GAAG,EAAE,GAAG,aAAa,CAAC,IAAI,EAAE;QAC5D;QAEA,MAAM,aAAa,GAAG,IAAI,CAAC,sBAAsB,CAAC,YAAY,CAAC;QAC/D,IAAI,CAAC,aAAa,EAAE;AAClB,YAAA,IAAI,CAAC,qBAAqB,CAAC,aAAa,EAAE,EAAE,CAAC;AAC7C,YAAA,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,aAAa,CAAC;AACnC,YAAA,OAAO,EAAE;QACX;AAEA,QAAA,IAAI;YACF,MAAM,WAAW,GAAa,MAAM,iBAAiB,CAAC,aAAa,CAAC,eAAe,EAAE,CAAC;YACtF,IAAI,CAAC,qBAAqB,CAAC,aAAa,EAAE,WAAW,IAAI,EAAE,CAAC;QAC9D;QAAE,OAAO,GAAG,EAAE;AACZ,YAAA,OAAO,CAAC,KAAK,CAAC,GAAG,CAAC;AAClB,YAAA,IAAI,CAAC,qBAAqB,CAAC,aAAa,EAAE,EAAE,CAAC;QAC/C;gBAAU;AACR,YAAA,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,aAAa,CAAC;QACrC;AAEA,QAAA,OAAO,IAAI,CAAC,iBAAiB,CAAC,GAAG,EAAE,GAAG,aAAa,CAAC,IAAI,EAAE;AAC5D,IAAA,CAAC;IAED,kBAAkB,GAAG,YAA0B;AAC7C,QAAA,MAAM,cAAc,GAAG,IAAI,CAAC,kBAAkB,EAAE;AAChD,QAAA,IAAI,CAAC,cAAc,CAAC,MAAM,EAAE;AAC1B,YAAA,MAAM,IAAI,CAAC,eAAe,CAAC,SAAS,CAAC;YACrC;QACF;QAEA,MAAM,OAAO,CAAC,GAAG,CAAC,cAAc,CAAC,GAAG,CAAC,MAAM,IAAI,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC,CAAC;AACnF,IAAA,CAAC;AAED,IAAA,aAAa,GAAG,CAAC,UAA6B,EAAE,GAAY,KAAI;AAC9D,QAAA,IAAI,CAAC,UAAU,EAAE,QAAQ,EAAE,EAAE;AAC3B,YAAA,OAAO,IAAI;QACb;QAEA,MAAM,YAAY,GAAG,IAAI,CAAC,0BAA0B,CAAC,GAAG,CAAC;QACzD,MAAM,aAAa,GAAG,IAAI,CAAC,sBAAsB,CAAC,YAAY,CAAC;AAC/D,QAAA,IAAI,aAAa,EAAE,QAAQ,EAAE;AAC3B,YAAA,OAAO,IAAI;QACb;QAEA,MAAM,aAAa,GAAG,IAAI,CAAC,aAAa,CAAC,YAAY,CAAC;QACtD,MAAM,aAAa,GAAG,IAAI,CAAC,mBAAmB,CAAC,aAAa,CAAC,IAAI,EAAE;AACnE,QAAA,MAAM,WAAW,GAAG,KAAK,CAAC,OAAO,CAAC,UAAU,CAAC,GAAG,UAAU,GAAG,CAAC,UAAU,CAAC;AACzE,QAAA,OAAO,WAAW,CAAC,IAAI,CAAC,GAAG,IAAI,aAAa,CAAC,GAAG,CAAC,CAAC;AACpD,IAAA,CAAC;AAED,IAAA,QAAQ,GAAG,OAAO,GAAY,KAAI;QAChC,MAAM,YAAY,GAAG,IAAI,CAAC,0BAA0B,CAAC,GAAG,CAAC;QACzD,MAAM,QAAQ,GAAG,IAAI,CAAC,sBAAsB,CAAC,YAAY,CAAC,EAAE,QAAqE;QACjI,IAAI,CAAC,QAAQ,EAAE;AACb,YAAA,MAAM,IAAI,KAAK,CAAC,8BAA8B,CAAC;QACjD;QAEA,MAAM,KAAK,GAAG,MAAM,iBAAiB,CAAC,QAAQ,EAAE,CAAC;AACjD,QAAA,IAAI,KAAK,KAAK,EAAE,EAAE;AAChB,YAAA,OAAO,SAAS;QAClB;AACA,QAAA,OAAO,KAAK;AACd,IAAA,CAAC;AAED,IAAA,WAAW,GAAG,OAAU,GAAY,KAAuB;QACzD,MAAM,KAAK,GAAG,MAAM,IAAI,CAAC,QAAQ,CAAC,GAAG,CAAC;QACtC,IAAI,CAAC,KAAK,EAAE;AACV,YAAA,OAAO,IAAI;QACb;AACA,QAAA,IAAI;YACF,MAAM,OAAO,GAAG,KAAK,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC;AACnC,YAAA,MAAM,MAAM,GAAG,OAAO,CAAC,OAAO,CAAC,IAAI,EAAE,GAAG,CAAC,CAAC,OAAO,CAAC,IAAI,EAAE,GAAG,CAAC;AAC5D,YAAA,MAAM,WAAW,GAAG,kBAAkB,CACpC,IAAI,CAAC,MAAM;iBACR,KAAK,CAAC,EAAE;AACR,iBAAA,GAAG,CAAC,CAAC,IAAI,GAAG,GAAG,CAAC,IAAI,GAAG,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,QAAQ,CAAC,EAAE,CAAC,EAAE,KAAK,CAAC,CAAC,CAAC,CAAC;AAC9D,iBAAA,IAAI,CAAC,EAAE,CAAC,CACZ;AACD,YAAA,OAAO,IAAI,CAAC,KAAK,CAAC,WAAW,CAAC;QAChC;QAAE,OAAO,KAAK,EAAE;AACd,YAAA,OAAO,CAAC,KAAK,CAAC,eAAe,EAAE,KAAK,CAAC;AACrC,YAAA,OAAO,IAAI;QACb;AACF,IAAA,CAAC;wGAhKU,mBAAmB,EAAA,IAAA,EAAA,EAAA,EAAA,MAAA,EAAA,EAAA,CAAA,eAAA,CAAA,UAAA,EAAA,CAAA;AAAnB,IAAA,OAAA,KAAA,GAAA,EAAA,CAAA,qBAAA,CAAA,EAAA,UAAA,EAAA,QAAA,EAAA,OAAA,EAAA,SAAA,EAAA,QAAA,EAAA,EAAA,EAAA,IAAA,EAAA,mBAAmB,cADN,MAAM,EAAA,CAAA;;4FACnB,mBAAmB,EAAA,UAAA,EAAA,CAAA;kBAD/B,UAAU;mBAAC,EAAE,UAAU,EAAE,MAAM,EAAE;;;MCArB,qBAAqB,CAAA;AACvB,IAAA,YAAY,GAAuC,MAAM,CAAC,WAAW,CAAC;AACtE,IAAA,iBAAiB,GAAG,MAAM,CAAC,gBAAgB,CAAC;AAC5C,IAAA,kBAAkB,GAAG,MAAM,CAAC,mBAAmB,CAAC;;AAGhD,IAAA,YAAY,GAAG,KAAK,CAAuC,SAAS,mFAAC;AACrE,IAAA,eAAe,GAAG,KAAK,CAAqB,SAAS,sFAAC;AAE/D,IAAA,WAAA,GAAA;QACE,MAAM,CAAC,MAAK;AACV,YAAA,MAAM,UAAU,GAAG,IAAI,CAAC,YAAY,EAAE;AACtC,YAAA,MAAM,aAAa,GAAG,IAAI,CAAC,eAAe,EAAE;AAE5C,YAAA,IAAI,CAAC,iBAAiB,CAAC,KAAK,EAAE;;AAG9B,YAAA,IAAI,CAAC,UAAU,EAAE,QAAQ,EAAE,EAAE;gBAC3B,IAAI,CAAC,iBAAiB,CAAC,kBAAkB,CAAC,IAAI,CAAC,YAAY,CAAC;gBAC5D;YACF;;YAGA,IAAI,IAAI,CAAC,kBAAkB,CAAC,aAAa,CAAC,UAAU,EAAE,aAAa,CAAC,EAAE;gBACpE,IAAI,CAAC,iBAAiB,CAAC,kBAAkB,CAAC,IAAI,CAAC,YAAY,CAAC;YAC9D;AACF,QAAA,CAAC,CAAC;IACJ;wGA3BW,qBAAqB,EAAA,IAAA,EAAA,EAAA,EAAA,MAAA,EAAA,EAAA,CAAA,eAAA,CAAA,SAAA,EAAA,CAAA;4FAArB,qBAAqB,EAAA,YAAA,EAAA,IAAA,EAAA,QAAA,EAAA,gBAAA,EAAA,MAAA,EAAA,EAAA,YAAA,EAAA,EAAA,iBAAA,EAAA,cAAA,EAAA,UAAA,EAAA,cAAA,EAAA,QAAA,EAAA,IAAA,EAAA,UAAA,EAAA,KAAA,EAAA,iBAAA,EAAA,IAAA,EAAA,EAAA,eAAA,EAAA,EAAA,iBAAA,EAAA,iBAAA,EAAA,UAAA,EAAA,iBAAA,EAAA,QAAA,EAAA,IAAA,EAAA,UAAA,EAAA,KAAA,EAAA,iBAAA,EAAA,IAAA,EAAA,EAAA,EAAA,QAAA,EAAA,EAAA,EAAA,CAAA;;4FAArB,qBAAqB,EAAA,UAAA,EAAA,CAAA;kBAHjC,SAAS;AAAC,YAAA,IAAA,EAAA,CAAA;AACT,oBAAA,QAAQ,EAAE,gBAAgB;AAC3B,iBAAA;;;MCCY,iBAAiB,CAAA;AACX,IAAA,aAAa,GAA8D,MAAM,CAAC,2BAA2B,CAAC;AAC9G,IAAA,iBAAiB,GAAG,MAAM,CAAC,mBAAmB,CAAC;IAEhE,kBAAkB,GAAG,MAAmC;AACtD,QAAA,MAAM,MAAM,GAAG,IAAI,CAAC,aAAa;QACjC,IAAI,CAAC,MAAM,EAAE;AACX,YAAA,OAAO,EAAE;QACX;AACA,QAAA,OAAO,KAAK,CAAC,OAAO,CAAC,MAAM,CAAC,GAAG,MAAM,GAAG,CAAC,MAAM,CAAC;AAClD,IAAA,CAAC;AAED,IAAA,WAAW,GAAG,OAAO,IAA4B,EAAE,KAA0B,KAAI;;AAE/E,QAAA,MAAM,IAAI,CAAC,iBAAiB,CAAC,kBAAkB,EAAE,CAAC,KAAK,CAAC,OAAO,CAAC,KAAK,CAAC;AACtE,QAAA,OAAO,IAAI;AACb,IAAA,CAAC;AAED,IAAA,gBAAgB,GAAG,OAAO,cAAsC,EAAE,KAA0B,KAAI;QAC9F,MAAM,UAAU,GAAG,cAAc,CAAC,IAAI,CAAC,YAAY,CAAC;QACpD,MAAM,aAAa,GAAG,cAAc,CAAC,IAAI,GAAG,eAAe,CAAuB;QAClF,IAAI,IAAI,CAAC,iBAAiB,CAAC,aAAa,CAAC,UAAU,EAAE,aAAa,CAAC,EAAE;AACnE,YAAA,OAAO,IAAI;QACb;AAEA,QAAA,MAAM,cAAc,GAAG,IAAI,CAAC,kBAAkB,EAAE;QAChD,MAAM,UAAU,GAAG;aAChB,MAAM,CAAC,MAAM,IAAI,MAAM,CAAC,GAAG,KAAK,aAAa,KAAK,aAAa,KAAK,SAAS,IAAI,MAAM,CAAC,GAAG,KAAK,SAAS,CAAC;aAC1G,GAAG,CAAC,MAAM,IAAI,MAAM,CAAC,UAAU;aAC/B,IAAI,CAAC,GAAG,IAAI,CAAC,CAAC,GAAG,CAAC;QACrB,UAAU,IAAI;AACd,QAAA,OAAO,KAAK;AACd,IAAA,CAAC;wGAhCU,iBAAiB,EAAA,IAAA,EAAA,EAAA,EAAA,MAAA,EAAA,EAAA,CAAA,eAAA,CAAA,UAAA,EAAA,CAAA;AAAjB,IAAA,OAAA,KAAA,GAAA,EAAA,CAAA,qBAAA,CAAA,EAAA,UAAA,EAAA,QAAA,EAAA,OAAA,EAAA,SAAA,EAAA,QAAA,EAAA,EAAA,EAAA,IAAA,EAAA,iBAAiB,cADJ,MAAM,EAAA,CAAA;;4FACnB,iBAAiB,EAAA,UAAA,EAAA,CAAA;kBAD7B,UAAU;mBAAC,EAAE,UAAU,EAAE,MAAM,EAAE;;;ACLlC;;AAEG;;;;"}
+{"version":3,"file":"sdcorejs-angular-modules-permission.mjs","sources":["../../../projects/sdcorejs-angular/modules/permission/src/configurations/permission.configuration.ts","../../../projects/sdcorejs-angular/modules/permission/src/services/permission.service.ts","../../../projects/sdcorejs-angular/modules/permission/src/directives/permission.directive.ts","../../../projects/sdcorejs-angular/modules/permission/src/guards/permission.guard.ts","../../../projects/sdcorejs-angular/modules/permission/sdcorejs-angular-modules-permission.ts"],"sourcesContent":["import { InjectionToken } from '@angular/core';\nimport { MaybeAsync } from '@sdcorejs/utils/models';\n\n/**\n * Cấu hình trung tâm cho module permission.\n *\n * Luồng hoạt động chính:\n * 1. `loadPermissions(key?)` ở service được gọi để lấy danh sách mã quyền theo từng `key` cấu hình.\n * 2. Guard/service đối chiếu mã quyền theo route metadata.\n * 3. Khi không đủ quyền, callback `onForbiden()` sẽ được gọi (nếu có).\n *\n * Lưu ý:\n * - `SD_PERMISSION_CONFIGURATION` hỗ trợ cả cấu hình đơn và mảng cấu hình (`multi: true`).\n * - Nếu cần tạm bỏ qua kiểm tra quyền (POC/UAT cục bộ), đặt `disabled = true`.\n */\nexport interface ISdPermissionConfiguration {\n  /**\n   * Khóa định danh cấu hình.\n   * Dùng để phân biệt khi hệ thống mở rộng theo nhiều profile permission.\n   *\n   * Lưu ý: `undefined` cũng được xem là một key hợp lệ (cấu hình mặc định).\n   */\n  key?: string;\n\n  /**\n   * Bật/tắt kiểm tra permission toàn cục.\n   * - `true`: bỏ qua kiểm tra quyền.\n   * - `false | undefined`: kiểm tra quyền theo cấu hình route.\n   */\n  disabled?: boolean;\n\n  /**\n   * Trả về danh sách mã quyền của user hiện tại.\n   * Có thể đồng bộ hoặc bất đồng bộ.\n   *\n   * Ví dụ giá trị trả về:\n   * - `['PRODUCT_C_EMPLOYEE_VIEW', 'PRODUCT_C_EMPLOYEE_UPDATE']`\n   */\n  loadPermissions: () => MaybeAsync<string[]>;\n\n  /**\n   * Callback xử lý khi user không có quyền truy cập URL hiện tại.\n   * Thường dùng để điều hướng sang trang forbidden hoặc hiển thị thông báo.\n   *\n   * Giữ nguyên tên `onForbiden` để tương thích API hiện tại.\n   */\n  onForbiden?: () => void;\n\n  /**\n   * Cung cấp access token hiện tại cho các tác vụ liên quan permission.\n   * Hỗ trợ trả về đồng bộ, Promise hoặc Observable.\n   */\n  getToken?: () => MaybeAsync<string | undefined | null>;\n\n  /**\n   * Cho phép mirror danh sách mã quyền của key này xuống `sessionStorage` để sống qua reload.\n   *\n   * ⚠️ Mặc định `false` — danh sách quyền CHỈ nằm trong bộ nhớ.\n   *\n   * Bật cờ này nghĩa là chấp nhận: mọi script chạy trên cùng origin đều ĐỌC và GHI được danh sách đó.\n   * Cache KHÔNG phải một ranh giới phân quyền — nó chỉ tiết kiệm một lần gọi API khi reload; backend\n   * vẫn phải kiểm tra quyền cho từng request. Khi bật, nhớ gọi `SdPermissionService.reset()` lúc\n   * signout để xoá cả bản mirror.\n   */\n  persistCache?: boolean;\n}\n\n/**\n * InjectionToken cho cấu hình permission.\n *\n * Ví dụ provider:\n * {\n *   provide: SD_PERMISSION_CONFIGURATION,\n *   useValue: {\n *     disabled: false,\n *     loadPermissions: () => ['SAMPLE_C_EMPLOYEE_VIEW'],\n *     onForbiden: () => router.navigateByUrl('/layout/forbidden')\n *   }\n * }\n */\nexport const SD_PERMISSION_CONFIGURATION = new InjectionToken<ISdPermissionConfiguration | ISdPermissionConfiguration[]>(\n  'sd-permission.configuration'\n);\n","import { inject, Injectable, isDevMode } from '@angular/core';\nimport { SdCache, SdCacheService } from '@sdcorejs/angular/services/cache';\nimport { ArrayUtilities } from '@sdcorejs/utils/fns';\nimport { ISdPermissionConfiguration, SD_PERMISSION_CONFIGURATION } from '../configurations';\nimport { MaybeAsync, resolveMaybeAsync } from '@sdcorejs/utils/models';\n\n/**\n * Opt-out TƯỜNG MINH: \"chỗ này cố ý không yêu cầu quyền nào\".\n *\n * Dùng cho `route.data.permission`, `[sdPermission]` hoặc `hasPermission(...)` khi một route/phần tử\n * thật sự công khai. Mọi giá trị rỗng khác (`undefined`, `null`, `''`, `[]`) đều bị coi là CẤU HÌNH\n * THIẾU và bị từ chối — xem `SdPermissionService.hasPermission`.\n */\nexport const SD_PERMISSION_PUBLIC = '__SD_PERMISSION_PUBLIC__';\n\n/** Kiểu đầu vào cho `hasPermission` / `[sdPermission]`. */\nexport type SdPermissionInput = string | string[] | null | undefined;\n\n/**\n * why: khoá cache cũ là một UUID cố định (`212a51fa-…`) dùng chung cho MỌI key, nên một entry\n * sessionStorage duy nhất chứa quyền của tất cả profile. Đổi sang prefix có namespace + tách theo key\n * để `invalidate(key)` xoá đúng phần của nó và không đụng key khác.\n */\nconst PERSISTED_CACHE_PREFIX = 'sd-permission.codes.';\n\n@Injectable({ providedIn: 'root' })\nexport class SdPermissionService {\n  #permissionMapByKey: Record<string, Record<string, boolean>> = {};\n  // why: danh sách quyền đã resolve giờ CHỈ sống trong bộ nhớ. Trước đây nó luôn được mirror xuống\n  // sessionStorage, tức mọi script trên cùng origin đọc/ghi được — chỉ cần chạy được một dòng JS là\n  // tự cấp cho mình quyền trên UI. Tệ hơn: `#loadedKeys` vốn nằm trong bộ nhớ nên sau reload service\n  // vẫn gọi lại `loadPermissions()`, entry sessionStorage kia gần như không mang lại lợi ích gì mà\n  // chỉ là bề mặt tấn công. Ai thật sự cần cache qua reload thì bật `persistCache` cho từng key.\n  #permissionsByKey: Record<string, string[]> = {};\n  readonly #configuration = inject<ISdPermissionConfiguration | ISdPermissionConfiguration[]>(SD_PERMISSION_CONFIGURATION);\n  readonly #cacheService = inject(SdCacheService);\n  readonly #persistedCaches = new Map<string, SdCache<string[]>>();\n  readonly #loadedKeys = new Set<string>();\n\n  constructor() {\n    this.#validateDuplicateConfigKeys();\n  }\n\n  #getConfigurations = (): ISdPermissionConfiguration[] => {\n    const config = this.#configuration;\n    if (!config) {\n      return [];\n    }\n    return Array.isArray(config) ? config : [config];\n  };\n\n  #normalizeKey = (key?: string): string => {\n    return key === undefined ? '__undefined__' : key;\n  };\n\n  #validateDuplicateConfigKeys = (): void => {\n    const seen = new Set<string>();\n    for (const config of this.#getConfigurations()) {\n      const normalizedKey = this.#normalizeKey(config.key);\n      if (seen.has(normalizedKey)) {\n        const keyLabel = config.key === undefined ? 'undefined' : config.key;\n        throw new Error(`[Permission] Duplicate permission configuration key: ${keyLabel}`);\n      }\n      seen.add(normalizedKey);\n    }\n  };\n\n  #getConfigurationByKey = (key?: string): ISdPermissionConfiguration | undefined => {\n    return this.#getConfigurations().find(config => config.key === key);\n  };\n\n  #getEffectivePermissionKey = (key?: string): string | undefined => {\n    if (this.#getConfigurationByKey(key)) {\n      return key;\n    }\n\n    // Portal-level config uses key = undefined and acts as default fallback\n    if (key !== undefined && this.#getConfigurationByKey(undefined)) {\n      return undefined;\n    }\n\n    return key;\n  };\n\n  /**\n   * Chỉ tạo handle cache khi key đó bật `persistCache`. Handle được memo hoá để `reset()` /\n   * `invalidate()` gọi được `remove()` lên đúng entry đã ghi.\n   */\n  #getPersistedCache = (normalizedKey: string): SdCache<string[]> => {\n    const existing = this.#persistedCaches.get(normalizedKey);\n    if (existing) {\n      return existing;\n    }\n\n    const handle = this.#cacheService.create<string[]>(`${PERSISTED_CACHE_PREFIX}${normalizedKey}`, {\n      type: 'session',\n      default: [],\n    });\n    this.#persistedCaches.set(normalizedKey, handle);\n    return handle;\n  };\n\n  #setPermissionsForKey = (normalizedKey: string, permissions: string[], persist: boolean): void => {\n    const distinctPermissions = ArrayUtilities.distinct(permissions || []);\n    this.#permissionsByKey[normalizedKey] = distinctPermissions;\n\n    const permissionMap: Record<string, boolean> = {};\n    distinctPermissions.forEach(permission => {\n      permissionMap[permission] = true;\n    });\n    this.#permissionMapByKey[normalizedKey] = permissionMap;\n\n    if (persist) {\n      this.#getPersistedCache(normalizedKey).set(distinctPermissions);\n    }\n  };\n\n  loadPermissions = async (key?: string): Promise<string[]> => {\n    const effectiveKey = this.#getEffectivePermissionKey(key);\n    const normalizedKey = this.#normalizeKey(effectiveKey);\n    if (this.#loadedKeys.has(normalizedKey)) {\n      return this.#permissionsByKey[normalizedKey] ?? [];\n    }\n\n    const configuration = this.#getConfigurationByKey(effectiveKey);\n    if (!configuration) {\n      this.#setPermissionsForKey(normalizedKey, [], false);\n      this.#loadedKeys.add(normalizedKey);\n      return [];\n    }\n\n    const persist = configuration.persistCache === true;\n    if (persist) {\n      // why: chỉ khi consumer bật `persistCache` mới đọc lại bản mirror — mặc định không chạm storage.\n      const cached = this.#getPersistedCache(normalizedKey).get();\n      if (cached?.length) {\n        this.#setPermissionsForKey(normalizedKey, cached, false);\n        this.#loadedKeys.add(normalizedKey);\n        return this.#permissionsByKey[normalizedKey] ?? [];\n      }\n    }\n\n    try {\n      const permissions: string[] = await resolveMaybeAsync(configuration.loadPermissions());\n      this.#setPermissionsForKey(normalizedKey, permissions || [], persist);\n    } catch (err) {\n      console.error(err);\n      this.#setPermissionsForKey(normalizedKey, [], false);\n    } finally {\n      this.#loadedKeys.add(normalizedKey);\n    }\n\n    return this.#permissionsByKey[normalizedKey] ?? [];\n  };\n\n  loadAllPermissions = async (): Promise<void> => {\n    const configurations = this.#getConfigurations();\n    if (!configurations.length) {\n      await this.loadPermissions(undefined);\n      return;\n    }\n\n    await Promise.all(configurations.map(config => this.loadPermissions(config.key)));\n  };\n\n  /**\n   * Xoá TOÀN BỘ quyền đã nạp (mọi key) — cả map trong bộ nhớ, cờ \"đã nạp\" lẫn bản mirror\n   * `sessionStorage` của các key bật `persistCache`.\n   *\n   * ⚠️ BẮT BUỘC gọi khi signout. Service là singleton `providedIn: 'root'`, nên trong một SPA\n   * signout → signin (không reload trang) mà không reset thì `loadPermissions()` sẽ short-circuit\n   * theo key đã cache và user MỚI thừa hưởng nguyên bộ quyền của user CŨ.\n   *\n   * ```ts\n   * auth.signout$?.subscribe(() => permissionService.reset());\n   * ```\n   */\n  reset = (): void => {\n    // why: sau reload, service chưa tạo handle cho key nào cả nhưng entry sessionStorage của phiên\n    // trước vẫn còn. Tạo handle cho mọi key có `persistCache` trước khi remove để reset thật sự sạch.\n    this.#getConfigurations()\n      .filter(config => config.persistCache === true)\n      .forEach(config => this.#getPersistedCache(this.#normalizeKey(config.key)));\n\n    this.#persistedCaches.forEach(cache => cache.remove());\n    this.#persistedCaches.clear();\n    this.#loadedKeys.clear();\n    this.#permissionMapByKey = {};\n    this.#permissionsByKey = {};\n  };\n\n  /**\n   * Xoá quyền đã nạp của MỘT key (mặc định là key portal `undefined`), buộc lần\n   * `loadPermissions(key)` kế tiếp gọi lại loader. Dùng khi chỉ một profile/tenant đổi quyền;\n   * signout thì dùng {@link reset}.\n   */\n  invalidate = (key?: string): void => {\n    const effectiveKey = this.#getEffectivePermissionKey(key);\n    const normalizedKey = this.#normalizeKey(effectiveKey);\n\n    this.#loadedKeys.delete(normalizedKey);\n    delete this.#permissionMapByKey[normalizedKey];\n    delete this.#permissionsByKey[normalizedKey];\n\n    // why: tạo handle nếu chưa có, để xoá được cả entry còn sót lại từ phiên trước khi reload.\n    if (this.#getConfigurationByKey(effectiveKey)?.persistCache === true) {\n      this.#getPersistedCache(normalizedKey).remove();\n    }\n    this.#persistedCaches.delete(normalizedKey);\n  };\n\n  /**\n   * Kiểm tra quyền (OR cho mảng).\n   *\n   * ⚠️ BREAKING: đầu vào rỗng (`undefined` / `null` / `''` / `[]`) giờ trả `false`.\n   * Muốn \"không yêu cầu quyền\" thì phải nói ra bằng {@link SD_PERMISSION_PUBLIC}.\n   */\n  hasPermission = (permission: SdPermissionInput, key?: string): boolean => {\n    const effectiveKey = this.#getEffectivePermissionKey(key);\n    const configuration = this.#getConfigurationByKey(effectiveKey);\n    if (configuration?.disabled) {\n      return true;\n    }\n\n    const requested = (Array.isArray(permission) ? permission : [permission]).filter(\n      (value): value is string => typeof value === 'string' && value.trim() !== ''\n    );\n\n    // why: opt-out phải TƯỜNG MINH. Chỉ sentinel này mới nghĩa là \"cố ý công khai\".\n    if (requested.includes(SD_PERMISSION_PUBLIC)) {\n      return true;\n    }\n\n    if (!requested.length) {\n      // why: code cũ trả `true` cho mọi đầu vào rỗng, nên một route gõ sai key `data` (`permision`),\n      // một `[sdPermission]` bind nhầm sang biến undefined, hay một mã quyền rỗng do API trả về đều\n      // được cấp quyền âm thầm — không phân biệt được \"cố ý không giới hạn\" với \"cấu hình hỏng\".\n      // Giờ mặc định là TỪ CHỐI; ca công khai thật sự phải dùng `SD_PERMISSION_PUBLIC`.\n      if (isDevMode()) {\n        console.error(\n          '[Permission] Access denied: an empty permission was checked. ' +\n            'Pass a real permission code, or SD_PERMISSION_PUBLIC if this route/element is intentionally public.',\n          { permission, key }\n        );\n      }\n      return false;\n    }\n\n    const normalizedKey = this.#normalizeKey(effectiveKey);\n    const permissionMap = this.#permissionMapByKey[normalizedKey] || {};\n    return requested.some(value => permissionMap[value] === true);\n  };\n\n  getToken = async (key?: string) => {\n    const effectiveKey = this.#getEffectivePermissionKey(key);\n    const getToken = this.#getConfigurationByKey(effectiveKey)?.getToken as (() => MaybeAsync<string | undefined | null>) | undefined;\n    if (!getToken) {\n      throw new Error('[Permission] Method getToken');\n    }\n\n    const token = await resolveMaybeAsync(getToken());\n    if (token === '') {\n      return undefined;\n    }\n    return token;\n  };\n\n  /**\n   * Giải mã phần payload của JWT hiện tại và trả về claim **CHƯA ĐƯỢC XÁC THỰC**.\n   *\n   * ⚠️ KHÔNG kiểm chữ ký, KHÔNG kiểm `exp`/`nbf`/`aud`/`iss`. Đây thuần tuý là base64url-decode: bất\n   * kỳ ai cũng tự tạo được một token có claim tuỳ ý và hàm này sẽ vui vẻ trả về. Vì vậy kết quả CHỈ\n   * dùng cho mục đích hiển thị (tên, avatar, tenant đang chọn…) và TUYỆT ĐỐI không được dùng để ra\n   * quyết định phân quyền — quyền phải do backend xác thực chữ ký rồi trả về.\n   *\n   * Trả `null` khi không có token hoặc payload hỏng.\n   */\n  readUnverifiedTokenClaims = async <T>(key?: string): Promise<T | null> => {\n    const token = await this.getToken(key);\n    if (!token) {\n      return null;\n    }\n    try {\n      const payload = token.split('.')[1];\n      const base64 = payload.replace(/-/g, '+').replace(/_/g, '/');\n      const jsonPayload = decodeURIComponent(\n        atob(base64)\n          .split('')\n          .map(c => '%' + ('00' + c.charCodeAt(0).toString(16)).slice(-2))\n          .join('')\n      );\n      return JSON.parse(jsonPayload);\n    } catch (error) {\n      console.error('Invalid token', error);\n      return null;\n    }\n  };\n\n  /**\n   * @deprecated Tên `decodeToken` gợi ý một thao tác đã được kiểm chứng, trong khi thực tế payload\n   * hoàn toàn KHÔNG được xác thực. Dùng {@link readUnverifiedTokenClaims} — alias này chỉ còn để\n   * consumer cũ không vỡ và sẽ bị gỡ ở release sau.\n   */\n  decodeToken = async <T>(key?: string): Promise<T | null> => {\n    return this.readUnverifiedTokenClaims<T>(key);\n  };\n}\n","import { Directive, effect, inject, input, TemplateRef, ViewContainerRef } from '@angular/core';\nimport { SdPermissionInput, SdPermissionService } from '../services';\n\n@Directive({\n  selector: '[sdPermission]',\n})\nexport class SdPermissionDirective {\n  readonly #templateRef: TemplateRef<Record<string, never>> = inject(TemplateRef);\n  readonly #viewContainerRef = inject(ViewContainerRef);\n  readonly #permissionService = inject(SdPermissionService);\n\n  // Nếu là mảng thì chỉ cần có 1 permission trong mảng đó xem như có quyền\n  readonly sdPermission = input<SdPermissionInput>(undefined);\n  readonly sdPermissionKey = input<string | undefined>(undefined);\n\n  constructor() {\n    effect(() => {\n      const permission = this.sdPermission();\n      const permissionKey = this.sdPermissionKey();\n\n      this.#viewContainerRef.clear();\n\n      // why: code cũ render vô điều kiện khi `permission` rỗng, nên `*sdPermission=\"perm\"` với `perm`\n      // undefined (typo tên biến, dữ liệu chưa về, mã quyền rỗng từ API) hiện nút cho tất cả mọi\n      // người. Giờ mọi quyết định đều đi qua `hasPermission` — nó fail closed và chỉ chấp nhận\n      // `SD_PERMISSION_PUBLIC` như opt-out tường minh, nên không còn nhánh render ngầm nào nữa.\n      if (this.#permissionService.hasPermission(permission, permissionKey)) {\n        this.#viewContainerRef.createEmbeddedView(this.#templateRef);\n      }\n    });\n  }\n}\n","import { inject, Injectable, isDevMode } from '@angular/core';\nimport { ActivatedRouteSnapshot, CanActivate, CanActivateChild, RouterStateSnapshot } from '@angular/router';\nimport { ISdPermissionConfiguration, SD_PERMISSION_CONFIGURATION } from '../configurations';\nimport { SdPermissionService } from '../services';\n\n@Injectable({ providedIn: 'root' })\nexport class SdPermissionGuard implements CanActivate, CanActivateChild {\n  private readonly configuration: ISdPermissionConfiguration | ISdPermissionConfiguration[] = inject(SD_PERMISSION_CONFIGURATION);\n  private readonly permissionService = inject(SdPermissionService);\n\n  #getConfigurations = (): ISdPermissionConfiguration[] => {\n    const config = this.configuration;\n    if (!config) {\n      return [];\n    }\n    return Array.isArray(config) ? config : [config];\n  };\n\n  /** Gọi `onForbiden` của config khớp key (hoặc config portal) rồi chặn điều hướng. */\n  #deny = (permissionKey?: string): false => {\n    const configurations = this.#getConfigurations();\n    const onForbiden = configurations\n      .filter(config => config.key === permissionKey || (permissionKey !== undefined && config.key === undefined))\n      .map(config => config.onForbiden)\n      .find(val => !!val);\n    onForbiden?.();\n    return false;\n  };\n\n  canActivate = async (next: ActivatedRouteSnapshot, state: RouterStateSnapshot) => {\n    // Guard ở layer portal: preload toàn bộ permission theo tất cả key đã cấu hình\n    await this.permissionService.loadAllPermissions().catch(console.error);\n    return true;\n  };\n\n  canActivateChild = async (activatedRoute: ActivatedRouteSnapshot, state: RouterStateSnapshot) => {\n    const data = activatedRoute.data ?? {};\n    const permissionKey = data['permissionKey'] as string | undefined;\n\n    // why: `canActivateChild` chạy cho MỌI route con, nên một route quên khai báo `data.permission`\n    // hoặc gõ sai key (`permision`, `permissions`) trước đây rơi thẳng vào nhánh \"rỗng ⇒ cho qua\" của\n    // `hasPermission` và được cấp quyền âm thầm. Không khai báo giờ = TỪ CHỐI; route thật sự công khai\n    // phải nói ra bằng `data: { permission: SD_PERMISSION_PUBLIC }`.\n    if (!Object.prototype.hasOwnProperty.call(data, 'permission')) {\n      if (isDevMode()) {\n        console.error(\n          `[Permission] Access denied for \"${state?.url ?? ''}\": route data has no \"permission\" entry. ` +\n            'Declare data.permission with a permission code, or SD_PERMISSION_PUBLIC if the route is intentionally public. ' +\n            'Check for a typo in the data key.'\n        );\n      }\n      // why: KHÔNG gọi `onForbiden()` ở nhánh này. `onForbiden` thường điều hướng sang trang forbidden;\n      // nếu chính trang đó lại quên khai báo `data.permission` thì nó cũng bị từ chối và gọi tiếp\n      // `onForbiden` → vòng lặp redirect vô tận, treo app. Thiếu khai báo là LỖI CẤU HÌNH, không phải\n      // \"hết quyền\": chặn im lặng + log dev là đủ, và một cấu hình sai không bao giờ tự đệ quy được.\n      return false;\n    }\n\n    if (this.permissionService.hasPermission(data['permission'], permissionKey)) {\n      return true;\n    }\n\n    return this.#deny(permissionKey);\n  };\n}\n","/**\n * Generated bundle index. Do not edit.\n */\n\nexport * from './index';\n"],"names":[],"mappings":";;;;;;AAmEA;;;;;;;;;;;;AAYG;MACU,2BAA2B,GAAG,IAAI,cAAc,CAC3D,6BAA6B;;AC3E/B;;;;;;AAMG;AACI,MAAM,oBAAoB,GAAG;AAKpC;;;;AAIG;AACH,MAAM,sBAAsB,GAAG,sBAAsB;MAGxC,mBAAmB,CAAA;IAC9B,mBAAmB,GAA4C,EAAE;;;;;;IAMjE,iBAAiB,GAA6B,EAAE;AACvC,IAAA,cAAc,GAAG,MAAM,CAA4D,2BAA2B,CAAC;AAC/G,IAAA,aAAa,GAAG,MAAM,CAAC,cAAc,CAAC;AACtC,IAAA,gBAAgB,GAAG,IAAI,GAAG,EAA6B;AACvD,IAAA,WAAW,GAAG,IAAI,GAAG,EAAU;AAExC,IAAA,WAAA,GAAA;QACE,IAAI,CAAC,4BAA4B,EAAE;IACrC;IAEA,kBAAkB,GAAG,MAAmC;AACtD,QAAA,MAAM,MAAM,GAAG,IAAI,CAAC,cAAc;QAClC,IAAI,CAAC,MAAM,EAAE;AACX,YAAA,OAAO,EAAE;QACX;AACA,QAAA,OAAO,KAAK,CAAC,OAAO,CAAC,MAAM,CAAC,GAAG,MAAM,GAAG,CAAC,MAAM,CAAC;AAClD,IAAA,CAAC;AAED,IAAA,aAAa,GAAG,CAAC,GAAY,KAAY;QACvC,OAAO,GAAG,KAAK,SAAS,GAAG,eAAe,GAAG,GAAG;AAClD,IAAA,CAAC;IAED,4BAA4B,GAAG,MAAW;AACxC,QAAA,MAAM,IAAI,GAAG,IAAI,GAAG,EAAU;QAC9B,KAAK,MAAM,MAAM,IAAI,IAAI,CAAC,kBAAkB,EAAE,EAAE;YAC9C,MAAM,aAAa,GAAG,IAAI,CAAC,aAAa,CAAC,MAAM,CAAC,GAAG,CAAC;AACpD,YAAA,IAAI,IAAI,CAAC,GAAG,CAAC,aAAa,CAAC,EAAE;AAC3B,gBAAA,MAAM,QAAQ,GAAG,MAAM,CAAC,GAAG,KAAK,SAAS,GAAG,WAAW,GAAG,MAAM,CAAC,GAAG;AACpE,gBAAA,MAAM,IAAI,KAAK,CAAC,wDAAwD,QAAQ,CAAA,CAAE,CAAC;YACrF;AACA,YAAA,IAAI,CAAC,GAAG,CAAC,aAAa,CAAC;QACzB;AACF,IAAA,CAAC;AAED,IAAA,sBAAsB,GAAG,CAAC,GAAY,KAA4C;AAChF,QAAA,OAAO,IAAI,CAAC,kBAAkB,EAAE,CAAC,IAAI,CAAC,MAAM,IAAI,MAAM,CAAC,GAAG,KAAK,GAAG,CAAC;AACrE,IAAA,CAAC;AAED,IAAA,0BAA0B,GAAG,CAAC,GAAY,KAAwB;AAChE,QAAA,IAAI,IAAI,CAAC,sBAAsB,CAAC,GAAG,CAAC,EAAE;AACpC,YAAA,OAAO,GAAG;QACZ;;QAGA,IAAI,GAAG,KAAK,SAAS,IAAI,IAAI,CAAC,sBAAsB,CAAC,SAAS,CAAC,EAAE;AAC/D,YAAA,OAAO,SAAS;QAClB;AAEA,QAAA,OAAO,GAAG;AACZ,IAAA,CAAC;AAED;;;AAGG;AACH,IAAA,kBAAkB,GAAG,CAAC,aAAqB,KAAuB;QAChE,MAAM,QAAQ,GAAG,IAAI,CAAC,gBAAgB,CAAC,GAAG,CAAC,aAAa,CAAC;QACzD,IAAI,QAAQ,EAAE;AACZ,YAAA,OAAO,QAAQ;QACjB;AAEA,QAAA,MAAM,MAAM,GAAG,IAAI,CAAC,aAAa,CAAC,MAAM,CAAW,CAAA,EAAG,sBAAsB,CAAA,EAAG,aAAa,EAAE,EAAE;AAC9F,YAAA,IAAI,EAAE,SAAS;AACf,YAAA,OAAO,EAAE,EAAE;AACZ,SAAA,CAAC;QACF,IAAI,CAAC,gBAAgB,CAAC,GAAG,CAAC,aAAa,EAAE,MAAM,CAAC;AAChD,QAAA,OAAO,MAAM;AACf,IAAA,CAAC;IAED,qBAAqB,GAAG,CAAC,aAAqB,EAAE,WAAqB,EAAE,OAAgB,KAAU;QAC/F,MAAM,mBAAmB,GAAG,cAAc,CAAC,QAAQ,CAAC,WAAW,IAAI,EAAE,CAAC;AACtE,QAAA,IAAI,CAAC,iBAAiB,CAAC,aAAa,CAAC,GAAG,mBAAmB;QAE3D,MAAM,aAAa,GAA4B,EAAE;AACjD,QAAA,mBAAmB,CAAC,OAAO,CAAC,UAAU,IAAG;AACvC,YAAA,aAAa,CAAC,UAAU,CAAC,GAAG,IAAI;AAClC,QAAA,CAAC,CAAC;AACF,QAAA,IAAI,CAAC,mBAAmB,CAAC,aAAa,CAAC,GAAG,aAAa;QAEvD,IAAI,OAAO,EAAE;YACX,IAAI,CAAC,kBAAkB,CAAC,aAAa,CAAC,CAAC,GAAG,CAAC,mBAAmB,CAAC;QACjE;AACF,IAAA,CAAC;AAED,IAAA,eAAe,GAAG,OAAO,GAAY,KAAuB;QAC1D,MAAM,YAAY,GAAG,IAAI,CAAC,0BAA0B,CAAC,GAAG,CAAC;QACzD,MAAM,aAAa,GAAG,IAAI,CAAC,aAAa,CAAC,YAAY,CAAC;QACtD,IAAI,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,aAAa,CAAC,EAAE;YACvC,OAAO,IAAI,CAAC,iBAAiB,CAAC,aAAa,CAAC,IAAI,EAAE;QACpD;QAEA,MAAM,aAAa,GAAG,IAAI,CAAC,sBAAsB,CAAC,YAAY,CAAC;QAC/D,IAAI,CAAC,aAAa,EAAE;YAClB,IAAI,CAAC,qBAAqB,CAAC,aAAa,EAAE,EAAE,EAAE,KAAK,CAAC;AACpD,YAAA,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,aAAa,CAAC;AACnC,YAAA,OAAO,EAAE;QACX;AAEA,QAAA,MAAM,OAAO,GAAG,aAAa,CAAC,YAAY,KAAK,IAAI;QACnD,IAAI,OAAO,EAAE;;YAEX,MAAM,MAAM,GAAG,IAAI,CAAC,kBAAkB,CAAC,aAAa,CAAC,CAAC,GAAG,EAAE;AAC3D,YAAA,IAAI,MAAM,EAAE,MAAM,EAAE;gBAClB,IAAI,CAAC,qBAAqB,CAAC,aAAa,EAAE,MAAM,EAAE,KAAK,CAAC;AACxD,gBAAA,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,aAAa,CAAC;gBACnC,OAAO,IAAI,CAAC,iBAAiB,CAAC,aAAa,CAAC,IAAI,EAAE;YACpD;QACF;AAEA,QAAA,IAAI;YACF,MAAM,WAAW,GAAa,MAAM,iBAAiB,CAAC,aAAa,CAAC,eAAe,EAAE,CAAC;YACtF,IAAI,CAAC,qBAAqB,CAAC,aAAa,EAAE,WAAW,IAAI,EAAE,EAAE,OAAO,CAAC;QACvE;QAAE,OAAO,GAAG,EAAE;AACZ,YAAA,OAAO,CAAC,KAAK,CAAC,GAAG,CAAC;YAClB,IAAI,CAAC,qBAAqB,CAAC,aAAa,EAAE,EAAE,EAAE,KAAK,CAAC;QACtD;gBAAU;AACR,YAAA,IAAI,CAAC,WAAW,CAAC,GAAG,CAAC,aAAa,CAAC;QACrC;QAEA,OAAO,IAAI,CAAC,iBAAiB,CAAC,aAAa,CAAC,IAAI,EAAE;AACpD,IAAA,CAAC;IAED,kBAAkB,GAAG,YAA0B;AAC7C,QAAA,MAAM,cAAc,GAAG,IAAI,CAAC,kBAAkB,EAAE;AAChD,QAAA,IAAI,CAAC,cAAc,CAAC,MAAM,EAAE;AAC1B,YAAA,MAAM,IAAI,CAAC,eAAe,CAAC,SAAS,CAAC;YACrC;QACF;QAEA,MAAM,OAAO,CAAC,GAAG,CAAC,cAAc,CAAC,GAAG,CAAC,MAAM,IAAI,IAAI,CAAC,eAAe,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC,CAAC;AACnF,IAAA,CAAC;AAED;;;;;;;;;;;AAWG;IACH,KAAK,GAAG,MAAW;;;QAGjB,IAAI,CAAC,kBAAkB;aACpB,MAAM,CAAC,MAAM,IAAI,MAAM,CAAC,YAAY,KAAK,IAAI;AAC7C,aAAA,OAAO,CAAC,MAAM,IAAI,IAAI,CAAC,kBAAkB,CAAC,IAAI,CAAC,aAAa,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC,CAAC;AAE7E,QAAA,IAAI,CAAC,gBAAgB,CAAC,OAAO,CAAC,KAAK,IAAI,KAAK,CAAC,MAAM,EAAE,CAAC;AACtD,QAAA,IAAI,CAAC,gBAAgB,CAAC,KAAK,EAAE;AAC7B,QAAA,IAAI,CAAC,WAAW,CAAC,KAAK,EAAE;AACxB,QAAA,IAAI,CAAC,mBAAmB,GAAG,EAAE;AAC7B,QAAA,IAAI,CAAC,iBAAiB,GAAG,EAAE;AAC7B,IAAA,CAAC;AAED;;;;AAIG;AACH,IAAA,UAAU,GAAG,CAAC,GAAY,KAAU;QAClC,MAAM,YAAY,GAAG,IAAI,CAAC,0BAA0B,CAAC,GAAG,CAAC;QACzD,MAAM,aAAa,GAAG,IAAI,CAAC,aAAa,CAAC,YAAY,CAAC;AAEtD,QAAA,IAAI,CAAC,WAAW,CAAC,MAAM,CAAC,aAAa,CAAC;AACtC,QAAA,OAAO,IAAI,CAAC,mBAAmB,CAAC,aAAa,CAAC;AAC9C,QAAA,OAAO,IAAI,CAAC,iBAAiB,CAAC,aAAa,CAAC;;QAG5C,IAAI,IAAI,CAAC,sBAAsB,CAAC,YAAY,CAAC,EAAE,YAAY,KAAK,IAAI,EAAE;YACpE,IAAI,CAAC,kBAAkB,CAAC,aAAa,CAAC,CAAC,MAAM,EAAE;QACjD;AACA,QAAA,IAAI,CAAC,gBAAgB,CAAC,MAAM,CAAC,aAAa,CAAC;AAC7C,IAAA,CAAC;AAED;;;;;AAKG;AACH,IAAA,aAAa,GAAG,CAAC,UAA6B,EAAE,GAAY,KAAa;QACvE,MAAM,YAAY,GAAG,IAAI,CAAC,0BAA0B,CAAC,GAAG,CAAC;QACzD,MAAM,aAAa,GAAG,IAAI,CAAC,sBAAsB,CAAC,YAAY,CAAC;AAC/D,QAAA,IAAI,aAAa,EAAE,QAAQ,EAAE;AAC3B,YAAA,OAAO,IAAI;QACb;AAEA,QAAA,MAAM,SAAS,GAAG,CAAC,KAAK,CAAC,OAAO,CAAC,UAAU,CAAC,GAAG,UAAU,GAAG,CAAC,UAAU,CAAC,EAAE,MAAM,CAC9E,CAAC,KAAK,KAAsB,OAAO,KAAK,KAAK,QAAQ,IAAI,KAAK,CAAC,IAAI,EAAE,KAAK,EAAE,CAC7E;;AAGD,QAAA,IAAI,SAAS,CAAC,QAAQ,CAAC,oBAAoB,CAAC,EAAE;AAC5C,YAAA,OAAO,IAAI;QACb;AAEA,QAAA,IAAI,CAAC,SAAS,CAAC,MAAM,EAAE;;;;;YAKrB,IAAI,SAAS,EAAE,EAAE;gBACf,OAAO,CAAC,KAAK,CACX,+DAA+D;AAC7D,oBAAA,qGAAqG,EACvG,EAAE,UAAU,EAAE,GAAG,EAAE,CACpB;YACH;AACA,YAAA,OAAO,KAAK;QACd;QAEA,MAAM,aAAa,GAAG,IAAI,CAAC,aAAa,CAAC,YAAY,CAAC;QACtD,MAAM,aAAa,GAAG,IAAI,CAAC,mBAAmB,CAAC,aAAa,CAAC,IAAI,EAAE;AACnE,QAAA,OAAO,SAAS,CAAC,IAAI,CAAC,KAAK,IAAI,aAAa,CAAC,KAAK,CAAC,KAAK,IAAI,CAAC;AAC/D,IAAA,CAAC;AAED,IAAA,QAAQ,GAAG,OAAO,GAAY,KAAI;QAChC,MAAM,YAAY,GAAG,IAAI,CAAC,0BAA0B,CAAC,GAAG,CAAC;QACzD,MAAM,QAAQ,GAAG,IAAI,CAAC,sBAAsB,CAAC,YAAY,CAAC,EAAE,QAAqE;QACjI,IAAI,CAAC,QAAQ,EAAE;AACb,YAAA,MAAM,IAAI,KAAK,CAAC,8BAA8B,CAAC;QACjD;QAEA,MAAM,KAAK,GAAG,MAAM,iBAAiB,CAAC,QAAQ,EAAE,CAAC;AACjD,QAAA,IAAI,KAAK,KAAK,EAAE,EAAE;AAChB,YAAA,OAAO,SAAS;QAClB;AACA,QAAA,OAAO,KAAK;AACd,IAAA,CAAC;AAED;;;;;;;;;AASG;AACH,IAAA,yBAAyB,GAAG,OAAU,GAAY,KAAuB;QACvE,MAAM,KAAK,GAAG,MAAM,IAAI,CAAC,QAAQ,CAAC,GAAG,CAAC;QACtC,IAAI,CAAC,KAAK,EAAE;AACV,YAAA,OAAO,IAAI;QACb;AACA,QAAA,IAAI;YACF,MAAM,OAAO,GAAG,KAAK,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC;AACnC,YAAA,MAAM,MAAM,GAAG,OAAO,CAAC,OAAO,CAAC,IAAI,EAAE,GAAG,CAAC,CAAC,OAAO,CAAC,IAAI,EAAE,GAAG,CAAC;AAC5D,YAAA,MAAM,WAAW,GAAG,kBAAkB,CACpC,IAAI,CAAC,MAAM;iBACR,KAAK,CAAC,EAAE;AACR,iBAAA,GAAG,CAAC,CAAC,IAAI,GAAG,GAAG,CAAC,IAAI,GAAG,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,QAAQ,CAAC,EAAE,CAAC,EAAE,KAAK,CAAC,CAAC,CAAC,CAAC;AAC9D,iBAAA,IAAI,CAAC,EAAE,CAAC,CACZ;AACD,YAAA,OAAO,IAAI,CAAC,KAAK,CAAC,WAAW,CAAC;QAChC;QAAE,OAAO,KAAK,EAAE;AACd,YAAA,OAAO,CAAC,KAAK,CAAC,eAAe,EAAE,KAAK,CAAC;AACrC,YAAA,OAAO,IAAI;QACb;AACF,IAAA,CAAC;AAED;;;;AAIG;AACH,IAAA,WAAW,GAAG,OAAU,GAAY,KAAuB;AACzD,QAAA,OAAO,IAAI,CAAC,yBAAyB,CAAI,GAAG,CAAC;AAC/C,IAAA,CAAC;wGAvRU,mBAAmB,EAAA,IAAA,EAAA,EAAA,EAAA,MAAA,EAAA,EAAA,CAAA,eAAA,CAAA,UAAA,EAAA,CAAA;AAAnB,IAAA,OAAA,KAAA,GAAA,EAAA,CAAA,qBAAA,CAAA,EAAA,UAAA,EAAA,QAAA,EAAA,OAAA,EAAA,SAAA,EAAA,QAAA,EAAA,EAAA,EAAA,IAAA,EAAA,mBAAmB,cADN,MAAM,EAAA,CAAA;;4FACnB,mBAAmB,EAAA,UAAA,EAAA,CAAA;kBAD/B,UAAU;mBAAC,EAAE,UAAU,EAAE,MAAM,EAAE;;;MCnBrB,qBAAqB,CAAA;AACvB,IAAA,YAAY,GAAuC,MAAM,CAAC,WAAW,CAAC;AACtE,IAAA,iBAAiB,GAAG,MAAM,CAAC,gBAAgB,CAAC;AAC5C,IAAA,kBAAkB,GAAG,MAAM,CAAC,mBAAmB,CAAC;;AAGhD,IAAA,YAAY,GAAG,KAAK,CAAoB,SAAS,mFAAC;AAClD,IAAA,eAAe,GAAG,KAAK,CAAqB,SAAS,sFAAC;AAE/D,IAAA,WAAA,GAAA;QACE,MAAM,CAAC,MAAK;AACV,YAAA,MAAM,UAAU,GAAG,IAAI,CAAC,YAAY,EAAE;AACtC,YAAA,MAAM,aAAa,GAAG,IAAI,CAAC,eAAe,EAAE;AAE5C,YAAA,IAAI,CAAC,iBAAiB,CAAC,KAAK,EAAE;;;;;YAM9B,IAAI,IAAI,CAAC,kBAAkB,CAAC,aAAa,CAAC,UAAU,EAAE,aAAa,CAAC,EAAE;gBACpE,IAAI,CAAC,iBAAiB,CAAC,kBAAkB,CAAC,IAAI,CAAC,YAAY,CAAC;YAC9D;AACF,QAAA,CAAC,CAAC;IACJ;wGAxBW,qBAAqB,EAAA,IAAA,EAAA,EAAA,EAAA,MAAA,EAAA,EAAA,CAAA,eAAA,CAAA,SAAA,EAAA,CAAA;4FAArB,qBAAqB,EAAA,YAAA,EAAA,IAAA,EAAA,QAAA,EAAA,gBAAA,EAAA,MAAA,EAAA,EAAA,YAAA,EAAA,EAAA,iBAAA,EAAA,cAAA,EAAA,UAAA,EAAA,cAAA,EAAA,QAAA,EAAA,IAAA,EAAA,UAAA,EAAA,KAAA,EAAA,iBAAA,EAAA,IAAA,EAAA,EAAA,eAAA,EAAA,EAAA,iBAAA,EAAA,iBAAA,EAAA,UAAA,EAAA,iBAAA,EAAA,QAAA,EAAA,IAAA,EAAA,UAAA,EAAA,KAAA,EAAA,iBAAA,EAAA,IAAA,EAAA,EAAA,EAAA,QAAA,EAAA,EAAA,EAAA,CAAA;;4FAArB,qBAAqB,EAAA,UAAA,EAAA,CAAA;kBAHjC,SAAS;AAAC,YAAA,IAAA,EAAA,CAAA;AACT,oBAAA,QAAQ,EAAE,gBAAgB;AAC3B,iBAAA;;;MCCY,iBAAiB,CAAA;AACX,IAAA,aAAa,GAA8D,MAAM,CAAC,2BAA2B,CAAC;AAC9G,IAAA,iBAAiB,GAAG,MAAM,CAAC,mBAAmB,CAAC;IAEhE,kBAAkB,GAAG,MAAmC;AACtD,QAAA,MAAM,MAAM,GAAG,IAAI,CAAC,aAAa;QACjC,IAAI,CAAC,MAAM,EAAE;AACX,YAAA,OAAO,EAAE;QACX;AACA,QAAA,OAAO,KAAK,CAAC,OAAO,CAAC,MAAM,CAAC,GAAG,MAAM,GAAG,CAAC,MAAM,CAAC;AAClD,IAAA,CAAC;;AAGD,IAAA,KAAK,GAAG,CAAC,aAAsB,KAAW;AACxC,QAAA,MAAM,cAAc,GAAG,IAAI,CAAC,kBAAkB,EAAE;QAChD,MAAM,UAAU,GAAG;aAChB,MAAM,CAAC,MAAM,IAAI,MAAM,CAAC,GAAG,KAAK,aAAa,KAAK,aAAa,KAAK,SAAS,IAAI,MAAM,CAAC,GAAG,KAAK,SAAS,CAAC;aAC1G,GAAG,CAAC,MAAM,IAAI,MAAM,CAAC,UAAU;aAC/B,IAAI,CAAC,GAAG,IAAI,CAAC,CAAC,GAAG,CAAC;QACrB,UAAU,IAAI;AACd,QAAA,OAAO,KAAK;AACd,IAAA,CAAC;AAED,IAAA,WAAW,GAAG,OAAO,IAA4B,EAAE,KAA0B,KAAI;;AAE/E,QAAA,MAAM,IAAI,CAAC,iBAAiB,CAAC,kBAAkB,EAAE,CAAC,KAAK,CAAC,OAAO,CAAC,KAAK,CAAC;AACtE,QAAA,OAAO,IAAI;AACb,IAAA,CAAC;AAED,IAAA,gBAAgB,GAAG,OAAO,cAAsC,EAAE,KAA0B,KAAI;AAC9F,QAAA,MAAM,IAAI,GAAG,cAAc,CAAC,IAAI,IAAI,EAAE;AACtC,QAAA,MAAM,aAAa,GAAG,IAAI,CAAC,eAAe,CAAuB;;;;;AAMjE,QAAA,IAAI,CAAC,MAAM,CAAC,SAAS,CAAC,cAAc,CAAC,IAAI,CAAC,IAAI,EAAE,YAAY,CAAC,EAAE;YAC7D,IAAI,SAAS,EAAE,EAAE;gBACf,OAAO,CAAC,KAAK,CACX,CAAA,gCAAA,EAAmC,KAAK,EAAE,GAAG,IAAI,EAAE,CAAA,yCAAA,CAA2C;oBAC5F,gHAAgH;AAChH,oBAAA,mCAAmC,CACtC;YACH;;;;;AAKA,YAAA,OAAO,KAAK;QACd;AAEA,QAAA,IAAI,IAAI,CAAC,iBAAiB,CAAC,aAAa,CAAC,IAAI,CAAC,YAAY,CAAC,EAAE,aAAa,CAAC,EAAE;AAC3E,YAAA,OAAO,IAAI;QACb;AAEA,QAAA,OAAO,IAAI,CAAC,KAAK,CAAC,aAAa,CAAC;AAClC,IAAA,CAAC;wGAzDU,iBAAiB,EAAA,IAAA,EAAA,EAAA,EAAA,MAAA,EAAA,EAAA,CAAA,eAAA,CAAA,UAAA,EAAA,CAAA;AAAjB,IAAA,OAAA,KAAA,GAAA,EAAA,CAAA,qBAAA,CAAA,EAAA,UAAA,EAAA,QAAA,EAAA,OAAA,EAAA,SAAA,EAAA,QAAA,EAAA,EAAA,EAAA,IAAA,EAAA,iBAAiB,cADJ,MAAM,EAAA,CAAA;;4FACnB,iBAAiB,EAAA,UAAA,EAAA,CAAA;kBAD7B,UAAU;mBAAC,EAAE,UAAU,EAAE,MAAM,EAAE;;;ACLlC;;AAEG;;;;"}

package/fesm2022/sdcorejs-angular-pipes.mjs

@@ -1,10 +1,10 @@
 import * as i0 from '@angular/core';
-import { Pipe, Injectable, inject } from '@angular/core';
-import { DateUtilities, NumberUtilities } from '@sdcorejs/angular/utilities/extensions';
+import { Pipe, Injectable, inject, SecurityContext } from '@angular/core';
+import { DateUtilities, NumberUtilities } from '@sdcorejs/utils/fns';
 import { SD_CORE_CONFIGURATION } from '@sdcorejs/angular/configurations';
 import { DomSanitizer } from '@angular/platform-browser';
 import { of, interval } from 'rxjs';
-import { map } from 'rxjs/operators';
+import { map, takeWhile } from 'rxjs/operators';
 import { EMPTY_STR } from '@sdcorejs/utils/constants';
 
 class SdFormatDatePipe {
@@ -76,17 +76,45 @@ i0.ɵɵngDeclareClassMetadata({ minVersion: "12.0.0", version: "21.2.17", ngImpo
                 }]
         }] });
 
+/**
+ * Render an HTML string through `[innerHTML]`.
+ *
+ * why: this pipe used to call `bypassSecurityTrustHtml()` unconditionally, on every value, with no
+ * sanitize step. That turned every call site into a stored-XSS sink — and the library itself pipes
+ * server-supplied table cell data through it
+ * (`components/table/src/components/desktop-cell/view/view.component.html`), while
+ * `components/table/sd-table.md` already described the value as "sanitized via sdSafeHtml".
+ *
+ * Now it **sanitizes by default** and the bypass is an explicit, per-call-site opt-in:
+ *
+ * ```html
+ * <!-- untrusted / server-supplied: script, on* handlers and javascript: urls are stripped -->
+ * <div [innerHTML]="row.note | sdSafeHtml"></div>
+ *
+ * <!-- app-authored markup you control, e.g. an inline SVG sprite -->
+ * <span [innerHTML]="iconSvg | sdSafeHtml: true"></span>
+ * ```
+ *
+ * This mirrors the decision already taken for the toast in `services/notify`: text-safe by default,
+ * opt-in HTML. Auto-detecting "this looks like HTML" is deliberately NOT done — it would escalate
+ * untrusted text that merely contains `<` straight back into the unsanitized sink.
+ */
 class SdSafeHtmlPipe {
-    sanitizer = inject(DomSanitizer);
-    constructor() { }
-    transform(html) {
+    #sanitizer = inject(DomSanitizer);
+    transform(html, trusted = false) {
         if (typeof html === 'number') {
             return html;
         }
         if (!html) {
             return undefined;
         }
-        return this.sanitizer.bypassSecurityTrustHtml(html);
+        if (trusted) {
+            // Caller has explicitly declared this markup as app-authored.
+            return this.#sanitizer.bypassSecurityTrustHtml(html);
+        }
+        // `sanitize` returns `null` when the value is entirely stripped; normalise to `''` so the
+        // binding clears the element instead of rendering the string "null".
+        return this.#sanitizer.sanitize(SecurityContext.HTML, html) ?? '';
     }
     static ɵfac = i0.ɵɵngDeclareFactory({ minVersion: "12.0.0", version: "21.2.17", ngImport: i0, type: SdSafeHtmlPipe, deps: [], target: i0.ɵɵFactoryTarget.Pipe });
     static ɵpipe = i0.ɵɵngDeclarePipe({ minVersion: "14.0.0", version: "21.2.17", ngImport: i0, type: SdSafeHtmlPipe, isStandalone: true, name: "sdSafeHtml" });
@@ -103,7 +131,7 @@ i0.ɵɵngDeclareClassMetadata({ minVersion: "12.0.0", version: "21.2.17", ngImpo
             args: [{
                     providedIn: 'root',
                 }]
-        }], ctorParameters: () => [] });
+        }] });
 
 class SdTimeDifferentPipe {
     maxSecond = 60;
@@ -118,28 +146,34 @@ class SdTimeDifferentPipe {
         if (!different) {
             return of(DateUtilities.toFormat(value, format));
         }
-        if (Math.round((new Date().getTime() - new Date(value).getTime()) / 1000) < 0) {
+        const elapsedSeconds = () => Math.round((new Date().getTime() - new Date(value).getTime()) / 1000);
+        if (elapsedSeconds() < 0) {
             return of(DateUtilities.toFormat(value, format));
         }
-        return interval(1000).pipe(map(() => {
-            const timeDifferent = Math.round((new Date().getTime() - new Date(value).getTime()) / 1000);
-            if (different === 'month' && timeDifferent < this.maxMonth) {
-                return DateUtilities.timeDifference(value);
-            }
-            if (different === 'day' && timeDifferent < this.maxDay) {
-                return DateUtilities.timeDifference(value);
-            }
-            if (different === 'hour' && timeDifferent < this.maxHour) {
-                return DateUtilities.timeDifference(value);
-            }
-            if (different === 'minute' && timeDifferent < this.maxMinute) {
-                return DateUtilities.timeDifference(value);
-            }
-            if (different === 'second' && timeDifferent < this.maxSecond) {
-                return DateUtilities.timeDifference(value);
-            }
-            return DateUtilities.toFormat(value, format);
-        }));
+        const threshold = this.#threshold(different);
+        // why: quá ngưỡng thì output là một chuỗi ngày tĩnh, tick mỗi giây không đổi được gì nữa.
+        // Trả `of()` để không tạo timer nào cho các giá trị đã cũ (list N dòng = N timer thừa).
+        if (elapsedSeconds() >= threshold) {
+            return of(DateUtilities.toFormat(value, format));
+        }
+        // why: `interval(1000)` cũ KHÔNG BAO GIỜ complete — mỗi usage giữ một timer + một lượt
+        // change-detection của async pipe mỗi giây, vĩnh viễn, kể cả khi giá trị đã vượt ngưỡng
+        // tương đối. `takeWhile(..., true)` phát nốt lần cuối (dạng ngày tuyệt đối) rồi complete.
+        return interval(1000).pipe(map(() => elapsedSeconds()), takeWhile(elapsed => elapsed < threshold, true), map(elapsed => (elapsed < threshold ? DateUtilities.timeDifference(value) : DateUtilities.toFormat(value, format))));
+    }
+    #threshold(different) {
+        switch (different) {
+            case 'month':
+                return this.maxMonth;
+            case 'day':
+                return this.maxDay;
+            case 'hour':
+                return this.maxHour;
+            case 'minute':
+                return this.maxMinute;
+            default:
+                return this.maxSecond;
+        }
     }
     static ɵfac = i0.ɵɵngDeclareFactory({ minVersion: "12.0.0", version: "21.2.17", ngImport: i0, type: SdTimeDifferentPipe, deps: [], target: i0.ɵɵFactoryTarget.Pipe });
     static ɵpipe = i0.ɵɵngDeclarePipe({ minVersion: "14.0.0", version: "21.2.17", ngImport: i0, type: SdTimeDifferentPipe, isStandalone: true, name: "sdTimeDifferent" });