@stapel/workspaces-react 0.6.0 → 0.8.0

package/CHANGELOG.md

@@ -1,5 +1,61 @@
 # @stapel/workspaces-react
 
+## 0.8.0
+
+### Minor Changes
+
+- f9c04aa: Ручки вчерашних релизов бэкенда стали вызываемыми с фронта.
+
+  `@stapel/workspaces-react` (контракт stapel-workspaces `>=0.14 <0.15`):
+
+  - `useInvitations` / `useInfiniteInvitations` — админская таблица приглашений
+    (`GET /{ws}/invitations`) с фильтрами `status` (`pending` / `never_accepted`
+    / `all`) и `search`. Пагинация **якорная**, как у `useMembers`: страница
+    адресуется непрозрачным `next_anchor` предыдущей, номера страницы нет —
+    оффсет поехал бы ровно в тот момент, когда приглашение отзывают у админа
+    под руками.
+  - `useRevokeInvitation` / `useResendInvitation` — отзыв и повторная отправка;
+    обе возвращают обновлённый DTO. Ресенд ротирует токен и перезапускает TTL,
+    поэтому таблица инвалидируется: старый `expires_at` на экране врал бы про
+    живую креденцию.
+  - `useResetMemberPassword` — админский сброс пароля участнику.
+    `generated_password` приходит ровно один раз и **не попадает в кэш
+    запросов** (ничего не пишется через `setQueryData`, `gcTime: 0`): рантайм
+    ядра персистит весь пользовательский query-кэш в localStorage, так что
+    запись туда означала бы живой пароль на диске и в девтулзах.
+  - `useCapabilityGate` + порт `BUILTIN_CAPABILITY_LEVELS` — уровень `high` и
+    скоуп `sensitive` известны **до** кнопки, а не после 403.
+    `readVerificationEnrollment` отличает конверт «заведи фактор» (его ядро не
+    перехватывает — перехватывать нечего) от обычного челленджа.
+  - `useUpdateSecuritySettings` — `provisioned_user_policies` теперь список
+    независимых требований (#90), пустой список отправляется явно. Мердж
+    делается на клиенте: бэкенд присваивает `settings` целиком, и голый
+    `{security: …}` стёр бы остальные ключи.
+
+  `@stapel/profiles-react` (контракт stapel-profiles `>=0.9 <0.10`):
+
+  - `useProfilesBatch` — `POST /profiles/api/v1/batch`, один запрос вместо N.
+    `profileBatchEntry` отвечает четырьмя состояниями (`found` / `missing` /
+    `not_requested` / `unknown`): «профиля нет» — нормальное состояние и
+    плейсхолдер, «не спрашивали» — другое дело, и схлопывать их в `undefined`
+    значило бы вернуть тот самый дефект, ради которого батч и делался.
+    Найденные профили засеваются в кэш `useProfile`; для `missing` не
+    выдумывается ничего.
+
+## 0.7.0
+
+### Minor Changes
+
+- 2f27177: Org-program wave (spec §A2/§B4/§E): mandate model surface + invite flow.
+
+  - **model**: `useCapabilities(wsId)` (reads `my_capabilities` off the workspace detail; wildcard-aware `can()`), `useRoles()` (GET /roles — the effective registry), `useInvitationPreview(token)` (AllowAny — deliberately NOT session-gated), `useClaimInvitation`, `useDeclineInvitation`. Backend-ported, semantics-synced utils: `capabilityMatches`/`hasCapability` (`*` and `prefix.*`) and `maskEmail`/`emailMatchesMask` (the preview's mask algorithm — drives §B4 session/email routing client-side without exposing the invitee's address).
+  - **headless**: `Can` (static-children gate + render-prop verdict; deny-by-default — UI convenience, backend re-checks), `RoleSelect` (registry-driven roles; labels via `workspaces.role.<key>` with client-bundle merge and RAW-name fallback), `InviteAcceptFlow` — the §B4 flow machine (preview → accept-prompt / wrong-account / login slot / claim → grant → basic-data slot → accept/decline, terminal `unavailable` for dead invites).
+  - **THE GRANT SEAM**: pairs don't depend on each other — `claim` hands the minted `grant_token` OUT via `onLoginGrant(grantToken)`; the HOST exchanges it at auth (`@stapel/auth-react`'s `exchangeLoginGrant`) and calls `grantExchanged()`. `InviteAcceptPage` automates the advance when the host callback's promise resolves.
+  - **default**: `InviteAcceptPage` (the `/invite/{token}` route component — every flow state, with `renderLoginPanel`/`renderInitialSetup` host slots for auth-react and profiles-react); `MembersManager` now takes its role options from the registry via `RoleSelect` instead of the hardcoded builtin four.
+  - **types**: `InvitationPreview`, `InvitationClaim`, `RoleInfo`, `RoleList`; `MemberRoleChange.role` widened to `string` (registry-extensible roles). Generated types regenerated against stapel-workspaces v0.8.0 — the 0.8 provision/suspension/security contract shapes are already carried; their model/headless/skins land in the next wave.
+  - **i18n**: `workspaces.role.*` (builtin four), `workspaces.invite.*` (all flow states), en + ru.
+  - Contract pin: stapel-workspaces → v0.8.0 (`df58135`), regen'd together.
+
 ## 0.6.0
 
 ### Minor Changes