@tinyweb_dev/oe-meeting-react 0.1.0

package/dist/index.js.map

@@ -0,0 +1 @@
+{"version":3,"sources":["../src/OeMeeting.tsx","../src/embed-protocol.ts","../src/buildEmbedUrl.ts","../src/useOeMeeting.ts","../src/parseEmbedEvent.ts"],"sourcesContent":["'use client';\n\nimport {\n  forwardRef,\n  useId,\n  useMemo,\n  type CSSProperties,\n} from 'react';\nimport { buildEmbedUrl } from './buildEmbedUrl';\nimport { DEFAULT_EMBED_ORIGIN } from './embed-protocol';\nimport type { OeMeetingHandle, OeMeetingProps } from './types';\nimport { useOeMeeting } from './useOeMeeting';\n\nexport const DEFAULT_IFRAME_ALLOW =\n  'camera; microphone; fullscreen; autoplay; display-capture; clipboard-write; encrypted-media';\n\nfunction toCssSize(value: number | string | undefined): string | undefined {\n  if (value === undefined) return undefined;\n  return typeof value === 'number' ? `${value}px` : value;\n}\n\nfunction getOrigin(value: string): string {\n  return new URL(value).origin;\n}\n\nexport const OeMeeting = forwardRef<OeMeetingHandle, OeMeetingProps>(\n  function OeMeeting(props, ref) {\n    const {\n      roomSlug,\n      joinToken,\n      userName,\n      externalUserId,\n      origin = DEFAULT_EMBED_ORIGIN,\n      lang,\n      autoJoin = true,\n      hideLeave,\n      title = 'OE Meeting room',\n      width = '100%',\n      height = 640,\n      className,\n      style,\n      iframeClassName,\n      iframeStyle,\n      allow = DEFAULT_IFRAME_ALLOW,\n      targetOrigin,\n      onReady,\n      onJoined,\n      onLeft,\n      onParticipantJoined,\n      onParticipantLeft,\n      onEnded,\n      onError,\n      onEvent,\n    } = props;\n    const reactId = useId();\n    const instanceId = useMemo(\n      () => `oem-${reactId.replace(/:/g, '')}`,\n      [reactId],\n    );\n    const embedOrigin = useMemo(() => getOrigin(origin), [origin]);\n    const resolvedTargetOrigin = targetOrigin ?? embedOrigin;\n    const hostOrigin =\n      typeof window === 'undefined' ? undefined : window.location.origin;\n    const src = useMemo(\n      () =>\n        buildEmbedUrl({\n          roomSlug,\n          joinToken,\n          userName,\n          externalUserId,\n          origin,\n          lang,\n          autoJoin,\n          hideLeave,\n          instanceId,\n          hostOrigin,\n        }),\n      [\n        autoJoin,\n        externalUserId,\n        hideLeave,\n        hostOrigin,\n        instanceId,\n        joinToken,\n        lang,\n        origin,\n        roomSlug,\n        userName,\n      ],\n    );\n    const { iframeRef } = useOeMeeting({\n      instanceId,\n      targetOrigin: resolvedTargetOrigin,\n      handleRef: ref,\n      onReady,\n      onJoined,\n      onLeft,\n      onParticipantJoined,\n      onParticipantLeft,\n      onEnded,\n      onError,\n      onEvent,\n    });\n    const wrapperStyle: CSSProperties = {\n      width: toCssSize(width),\n      height: toCssSize(height),\n      ...style,\n    };\n    const frameStyle: CSSProperties = {\n      width: '100%',\n      height: '100%',\n      border: 0,\n      display: 'block',\n      ...iframeStyle,\n    };\n\n    return (\n      <div\n        className={className}\n        style={wrapperStyle}\n        data-oe-meeting-instance={instanceId}\n      >\n        <iframe\n          ref={iframeRef}\n          className={iframeClassName}\n          style={frameStyle}\n          src={src}\n          title={title}\n          allow={allow}\n          allowFullScreen\n          referrerPolicy=\"strict-origin-when-cross-origin\"\n        />\n      </div>\n    );\n  },\n);\n\nOeMeeting.displayName = 'OeMeeting';\n","export const EMBED_PROTOCOL_VERSION = 1 as const;\nexport const EMBED_MESSAGE_SOURCE = 'oemeeting' as const;\nexport const DEFAULT_EMBED_ORIGIN = 'https://meet.oceanedu.org';\n\nexport enum EmbedEventType {\n  READY = 'oemeeting:ready',\n  JOINED = 'oemeeting:joined',\n  LEFT = 'oemeeting:left',\n  PARTICIPANT_JOINED = 'oemeeting:participant-joined',\n  PARTICIPANT_LEFT = 'oemeeting:participant-left',\n  ENDED = 'oemeeting:ended',\n  ERROR = 'oemeeting:error',\n}\n\nexport enum EmbedCommandType {\n  COMMAND = 'oemeeting:command',\n}\n\nexport enum EmbedCommandAction {\n  LEAVE = 'leave',\n  TOGGLE_MIC = 'toggleMic',\n  TOGGLE_CAMERA = 'toggleCamera',\n}\n\nexport enum EmbedErrorCode {\n  TOKEN_INVALID = 'TOKEN_INVALID',\n  TOKEN_EXPIRED = 'TOKEN_EXPIRED',\n  ROOM_NOT_FOUND = 'ROOM_NOT_FOUND',\n  ROOM_ACCESS_DENIED = 'ROOM_ACCESS_DENIED',\n  CONNECTION_FAILED = 'CONNECTION_FAILED',\n  PROTOCOL_MISMATCH = 'PROTOCOL_MISMATCH',\n  UNKNOWN = 'UNKNOWN',\n}\n\nexport enum EmbedQueryParam {\n  INSTANCE_ID = 'instanceId',\n  HOST_ORIGIN = 'hostOrigin',\n  JOIN_TOKEN = 'joinToken',\n  USER_NAME = 'userName',\n  EXTERNAL_USER_ID = 'externalUserId',\n  LANG = 'lang',\n  AUTO_JOIN = 'autoJoin',\n  HIDE_LEAVE = 'hideLeave',\n}\n","import {\n  DEFAULT_EMBED_ORIGIN,\n  EmbedQueryParam,\n} from './embed-protocol';\nimport type { BuildEmbedUrlOptions } from './types';\n\nconst QUERY_FLAG_ENABLED = '1';\nconst QUERY_FLAG_DISABLED = '0';\n\nfunction toFlag(value: boolean | undefined): string | undefined {\n  if (value === undefined) return undefined;\n  return value ? QUERY_FLAG_ENABLED : QUERY_FLAG_DISABLED;\n}\n\nfunction normalizeOrigin(origin: string): string {\n  return origin.replace(/\\/+$/, '');\n}\n\nexport function buildEmbedUrl(options: BuildEmbedUrlOptions): string {\n  const roomSlug = options.roomSlug.trim();\n  const joinToken = options.joinToken.trim();\n  if (!roomSlug) {\n    throw new Error('OE Meeting embed requires a non-empty roomSlug.');\n  }\n  if (!joinToken) {\n    throw new Error('OE Meeting embed requires a non-empty joinToken.');\n  }\n\n  const origin = normalizeOrigin(options.origin ?? DEFAULT_EMBED_ORIGIN);\n  const url = new URL(`${origin}/embed/${encodeURIComponent(roomSlug)}`);\n  const entries: Array<[EmbedQueryParam, string | undefined]> = [\n    [EmbedQueryParam.INSTANCE_ID, options.instanceId],\n    [EmbedQueryParam.HOST_ORIGIN, options.hostOrigin],\n    [EmbedQueryParam.JOIN_TOKEN, joinToken],\n    [EmbedQueryParam.USER_NAME, options.userName],\n    [EmbedQueryParam.EXTERNAL_USER_ID, options.externalUserId],\n    [EmbedQueryParam.LANG, options.lang],\n    [EmbedQueryParam.AUTO_JOIN, toFlag(options.autoJoin)],\n    [EmbedQueryParam.HIDE_LEAVE, toFlag(options.hideLeave)],\n  ];\n\n  for (const [key, value] of entries) {\n    if (value !== undefined && value !== '') {\n      url.searchParams.set(key, value);\n    }\n  }\n  return url.toString();\n}\n","import {\n  useCallback,\n  useEffect,\n  useImperativeHandle,\n  useMemo,\n  useRef,\n  type Ref,\n} from 'react';\nimport {\n  EMBED_MESSAGE_SOURCE,\n  EMBED_PROTOCOL_VERSION,\n  EmbedCommandAction,\n  EmbedCommandType,\n  EmbedEventType,\n} from './embed-protocol';\nimport { parseEmbedEvent } from './parseEmbedEvent';\nimport type {\n  EmbedCommandMessage,\n  OeMeetingHandle,\n  OeMeetingProps,\n} from './types';\n\ntype UseOeMeetingOptions = Pick<\n  OeMeetingProps,\n  | 'onReady'\n  | 'onJoined'\n  | 'onLeft'\n  | 'onParticipantJoined'\n  | 'onParticipantLeft'\n  | 'onEnded'\n  | 'onError'\n  | 'onEvent'\n> & {\n  instanceId: string;\n  targetOrigin: string;\n  handleRef?: Ref<OeMeetingHandle>;\n};\n\ninterface PostCommandOptions {\n  iframe: HTMLIFrameElement | null;\n  instanceId: string;\n  action: EmbedCommandAction;\n  targetOrigin: string;\n}\n\nfunction postCommand(options: PostCommandOptions): void {\n  const frameWindow = options.iframe?.contentWindow;\n  if (!frameWindow) return;\n  const message: EmbedCommandMessage = {\n    source: EMBED_MESSAGE_SOURCE,\n    version: EMBED_PROTOCOL_VERSION,\n    instanceId: options.instanceId,\n    type: EmbedCommandType.COMMAND,\n    action: options.action,\n  };\n  frameWindow.postMessage(message, options.targetOrigin);\n}\n\nexport function useOeMeeting(options: UseOeMeetingOptions) {\n  const iframeRef = useRef<HTMLIFrameElement | null>(null);\n  const callbacksRef = useRef(options);\n\n  useEffect(() => {\n    callbacksRef.current = options;\n  }, [options]);\n\n  useEffect(() => {\n    const onMessage = (event: MessageEvent<unknown>) => {\n      const frameWindow = iframeRef.current?.contentWindow;\n      if (\n        !frameWindow ||\n        event.source !== frameWindow ||\n        event.origin !== options.targetOrigin\n      ) {\n        return;\n      }\n      const embedEvent = parseEmbedEvent(event.data);\n      if (!embedEvent || embedEvent.instanceId !== options.instanceId) return;\n\n      const callbacks = callbacksRef.current;\n      callbacks.onEvent?.(embedEvent);\n      switch (embedEvent.type) {\n        case EmbedEventType.READY:\n          callbacks.onReady?.(embedEvent);\n          break;\n        case EmbedEventType.JOINED:\n          callbacks.onJoined?.(embedEvent);\n          break;\n        case EmbedEventType.LEFT:\n          callbacks.onLeft?.(embedEvent);\n          break;\n        case EmbedEventType.PARTICIPANT_JOINED:\n          callbacks.onParticipantJoined?.(embedEvent);\n          break;\n        case EmbedEventType.PARTICIPANT_LEFT:\n          callbacks.onParticipantLeft?.(embedEvent);\n          break;\n        case EmbedEventType.ENDED:\n          callbacks.onEnded?.(embedEvent);\n          break;\n        case EmbedEventType.ERROR:\n          callbacks.onError?.(embedEvent);\n          break;\n      }\n    };\n\n    window.addEventListener('message', onMessage);\n    return () => window.removeEventListener('message', onMessage);\n  }, [options.instanceId, options.targetOrigin]);\n\n  const send = useCallback(\n    (action: EmbedCommandAction) =>\n      postCommand({\n        iframe: iframeRef.current,\n        instanceId: options.instanceId,\n        action,\n        targetOrigin: options.targetOrigin,\n      }),\n    [options.instanceId, options.targetOrigin],\n  );\n  const leave = useCallback(() => send(EmbedCommandAction.LEAVE), [send]);\n  const toggleMic = useCallback(\n    () => send(EmbedCommandAction.TOGGLE_MIC),\n    [send],\n  );\n  const toggleCamera = useCallback(\n    () => send(EmbedCommandAction.TOGGLE_CAMERA),\n    [send],\n  );\n  const getIframe = useCallback(() => iframeRef.current, []);\n  const handle = useMemo<OeMeetingHandle>(\n    () => ({ leave, toggleMic, toggleCamera, getIframe }),\n    [getIframe, leave, toggleCamera, toggleMic],\n  );\n\n  useImperativeHandle(options.handleRef, () => handle, [handle]);\n  return { iframeRef, handle };\n}\n","import {\n  EMBED_MESSAGE_SOURCE,\n  EMBED_PROTOCOL_VERSION,\n  EmbedEventType,\n} from './embed-protocol';\nimport type { EmbedEvent } from './types';\n\nconst EVENT_TYPES = new Set<string>(Object.values(EmbedEventType));\n\nfunction isRecord(value: unknown): value is Record<string, unknown> {\n  return typeof value === 'object' && value !== null;\n}\n\nfunction isOptionalString(value: unknown): boolean {\n  return value === undefined || typeof value === 'string';\n}\n\nfunction hasValidPayload(\n  type: EmbedEventType,\n  payload: Record<string, unknown>,\n): boolean {\n  switch (type) {\n    case EmbedEventType.READY:\n      return typeof payload.roomSlug === 'string';\n    case EmbedEventType.JOINED:\n      return (\n        typeof payload.roomSlug === 'string' &&\n        typeof payload.identity === 'string' &&\n        isOptionalString(payload.name) &&\n        typeof payload.joinedAt === 'string'\n      );\n    case EmbedEventType.LEFT:\n      return (\n        typeof payload.roomSlug === 'string' &&\n        typeof payload.identity === 'string' &&\n        typeof payload.leftAt === 'string' &&\n        (payload.durationMs === undefined ||\n          typeof payload.durationMs === 'number')\n      );\n    case EmbedEventType.PARTICIPANT_JOINED:\n      return (\n        typeof payload.identity === 'string' &&\n        isOptionalString(payload.name) &&\n        typeof payload.participantCount === 'number'\n      );\n    case EmbedEventType.PARTICIPANT_LEFT:\n      return (\n        typeof payload.identity === 'string' &&\n        typeof payload.participantCount === 'number'\n      );\n    case EmbedEventType.ENDED:\n      return (\n        typeof payload.roomSlug === 'string' &&\n        typeof payload.endedAt === 'string'\n      );\n    case EmbedEventType.ERROR:\n      return (\n        typeof payload.code === 'string' &&\n        typeof payload.message === 'string'\n      );\n  }\n}\n\nexport function parseEmbedEvent(data: unknown): EmbedEvent | null {\n  if (!isRecord(data)) return null;\n  if (\n    data.source !== EMBED_MESSAGE_SOURCE ||\n    data.version !== EMBED_PROTOCOL_VERSION ||\n    typeof data.instanceId !== 'string' ||\n    data.instanceId.length === 0 ||\n    typeof data.type !== 'string' ||\n    !EVENT_TYPES.has(data.type) ||\n    !isRecord(data.payload)\n  ) {\n    return null;\n  }\n\n  const type = data.type as EmbedEventType;\n  if (!hasValidPayload(type, data.payload)) return null;\n  return data as unknown as EmbedEvent;\n}\n"],"mappings":";AAEA;AAAA,EACE;AAAA,EACA;AAAA,EACA,WAAAA;AAAA,OAEK;;;ACPA,IAAM,yBAAyB;AAC/B,IAAM,uBAAuB;AAC7B,IAAM,uBAAuB;AAE7B,IAAK,iBAAL,kBAAKC,oBAAL;AACL,EAAAA,gBAAA,WAAQ;AACR,EAAAA,gBAAA,YAAS;AACT,EAAAA,gBAAA,UAAO;AACP,EAAAA,gBAAA,wBAAqB;AACrB,EAAAA,gBAAA,sBAAmB;AACnB,EAAAA,gBAAA,WAAQ;AACR,EAAAA,gBAAA,WAAQ;AAPE,SAAAA;AAAA,GAAA;AAUL,IAAK,mBAAL,kBAAKC,sBAAL;AACL,EAAAA,kBAAA,aAAU;AADA,SAAAA;AAAA,GAAA;AAIL,IAAK,qBAAL,kBAAKC,wBAAL;AACL,EAAAA,oBAAA,WAAQ;AACR,EAAAA,oBAAA,gBAAa;AACb,EAAAA,oBAAA,mBAAgB;AAHN,SAAAA;AAAA,GAAA;AAML,IAAK,iBAAL,kBAAKC,oBAAL;AACL,EAAAA,gBAAA,mBAAgB;AAChB,EAAAA,gBAAA,mBAAgB;AAChB,EAAAA,gBAAA,oBAAiB;AACjB,EAAAA,gBAAA,wBAAqB;AACrB,EAAAA,gBAAA,uBAAoB;AACpB,EAAAA,gBAAA,uBAAoB;AACpB,EAAAA,gBAAA,aAAU;AAPA,SAAAA;AAAA,GAAA;AAUL,IAAK,kBAAL,kBAAKC,qBAAL;AACL,EAAAA,iBAAA,iBAAc;AACd,EAAAA,iBAAA,iBAAc;AACd,EAAAA,iBAAA,gBAAa;AACb,EAAAA,iBAAA,eAAY;AACZ,EAAAA,iBAAA,sBAAmB;AACnB,EAAAA,iBAAA,UAAO;AACP,EAAAA,iBAAA,eAAY;AACZ,EAAAA,iBAAA,gBAAa;AARH,SAAAA;AAAA,GAAA;;;AC5BZ,IAAM,qBAAqB;AAC3B,IAAM,sBAAsB;AAE5B,SAAS,OAAO,OAAgD;AAC9D,MAAI,UAAU,OAAW,QAAO;AAChC,SAAO,QAAQ,qBAAqB;AACtC;AAEA,SAAS,gBAAgB,QAAwB;AAC/C,SAAO,OAAO,QAAQ,QAAQ,EAAE;AAClC;AAEO,SAAS,cAAc,SAAuC;AACnE,QAAM,WAAW,QAAQ,SAAS,KAAK;AACvC,QAAM,YAAY,QAAQ,UAAU,KAAK;AACzC,MAAI,CAAC,UAAU;AACb,UAAM,IAAI,MAAM,iDAAiD;AAAA,EACnE;AACA,MAAI,CAAC,WAAW;AACd,UAAM,IAAI,MAAM,kDAAkD;AAAA,EACpE;AAEA,QAAM,SAAS,gBAAgB,QAAQ,UAAU,oBAAoB;AACrE,QAAM,MAAM,IAAI,IAAI,GAAG,MAAM,UAAU,mBAAmB,QAAQ,CAAC,EAAE;AACrE,QAAM,UAAwD;AAAA,IAC5D,iCAA8B,QAAQ,UAAU;AAAA,IAChD,iCAA8B,QAAQ,UAAU;AAAA,IAChD,+BAA6B,SAAS;AAAA,IACtC,6BAA4B,QAAQ,QAAQ;AAAA,IAC5C,0CAAmC,QAAQ,cAAc;AAAA,IACzD,oBAAuB,QAAQ,IAAI;AAAA,IACnC,6BAA4B,OAAO,QAAQ,QAAQ,CAAC;AAAA,IACpD,+BAA6B,OAAO,QAAQ,SAAS,CAAC;AAAA,EACxD;AAEA,aAAW,CAAC,KAAK,KAAK,KAAK,SAAS;AAClC,QAAI,UAAU,UAAa,UAAU,IAAI;AACvC,UAAI,aAAa,IAAI,KAAK,KAAK;AAAA,IACjC;AAAA,EACF;AACA,SAAO,IAAI,SAAS;AACtB;;;AC/CA;AAAA,EACE;AAAA,EACA;AAAA,EACA;AAAA,EACA;AAAA,EACA;AAAA,OAEK;;;ACAP,IAAM,cAAc,IAAI,IAAY,OAAO,OAAO,cAAc,CAAC;AAEjE,SAAS,SAAS,OAAkD;AAClE,SAAO,OAAO,UAAU,YAAY,UAAU;AAChD;AAEA,SAAS,iBAAiB,OAAyB;AACjD,SAAO,UAAU,UAAa,OAAO,UAAU;AACjD;AAEA,SAAS,gBACP,MACA,SACS;AACT,UAAQ,MAAM;AAAA,IACZ;AACE,aAAO,OAAO,QAAQ,aAAa;AAAA,IACrC;AACE,aACE,OAAO,QAAQ,aAAa,YAC5B,OAAO,QAAQ,aAAa,YAC5B,iBAAiB,QAAQ,IAAI,KAC7B,OAAO,QAAQ,aAAa;AAAA,IAEhC;AACE,aACE,OAAO,QAAQ,aAAa,YAC5B,OAAO,QAAQ,aAAa,YAC5B,OAAO,QAAQ,WAAW,aACzB,QAAQ,eAAe,UACtB,OAAO,QAAQ,eAAe;AAAA,IAEpC;AACE,aACE,OAAO,QAAQ,aAAa,YAC5B,iBAAiB,QAAQ,IAAI,KAC7B,OAAO,QAAQ,qBAAqB;AAAA,IAExC;AACE,aACE,OAAO,QAAQ,aAAa,YAC5B,OAAO,QAAQ,qBAAqB;AAAA,IAExC;AACE,aACE,OAAO,QAAQ,aAAa,YAC5B,OAAO,QAAQ,YAAY;AAAA,IAE/B;AACE,aACE,OAAO,QAAQ,SAAS,YACxB,OAAO,QAAQ,YAAY;AAAA,EAEjC;AACF;AAEO,SAAS,gBAAgB,MAAkC;AAChE,MAAI,CAAC,SAAS,IAAI,EAAG,QAAO;AAC5B,MACE,KAAK,WAAW,wBAChB,KAAK,YAAY,0BACjB,OAAO,KAAK,eAAe,YAC3B,KAAK,WAAW,WAAW,KAC3B,OAAO,KAAK,SAAS,YACrB,CAAC,YAAY,IAAI,KAAK,IAAI,KAC1B,CAAC,SAAS,KAAK,OAAO,GACtB;AACA,WAAO;AAAA,EACT;AAEA,QAAM,OAAO,KAAK;AAClB,MAAI,CAAC,gBAAgB,MAAM,KAAK,OAAO,EAAG,QAAO;AACjD,SAAO;AACT;;;ADnCA,SAAS,YAAY,SAAmC;AACtD,QAAM,cAAc,QAAQ,QAAQ;AACpC,MAAI,CAAC,YAAa;AAClB,QAAM,UAA+B;AAAA,IACnC,QAAQ;AAAA,IACR,SAAS;AAAA,IACT,YAAY,QAAQ;AAAA,IACpB;AAAA,IACA,QAAQ,QAAQ;AAAA,EAClB;AACA,cAAY,YAAY,SAAS,QAAQ,YAAY;AACvD;AAEO,SAAS,aAAa,SAA8B;AACzD,QAAM,YAAY,OAAiC,IAAI;AACvD,QAAM,eAAe,OAAO,OAAO;AAEnC,YAAU,MAAM;AACd,iBAAa,UAAU;AAAA,EACzB,GAAG,CAAC,OAAO,CAAC;AAEZ,YAAU,MAAM;AACd,UAAM,YAAY,CAAC,UAAiC;AAClD,YAAM,cAAc,UAAU,SAAS;AACvC,UACE,CAAC,eACD,MAAM,WAAW,eACjB,MAAM,WAAW,QAAQ,cACzB;AACA;AAAA,MACF;AACA,YAAM,aAAa,gBAAgB,MAAM,IAAI;AAC7C,UAAI,CAAC,cAAc,WAAW,eAAe,QAAQ,WAAY;AAEjE,YAAM,YAAY,aAAa;AAC/B,gBAAU,UAAU,UAAU;AAC9B,cAAQ,WAAW,MAAM;AAAA,QACvB;AACE,oBAAU,UAAU,UAAU;AAC9B;AAAA,QACF;AACE,oBAAU,WAAW,UAAU;AAC/B;AAAA,QACF;AACE,oBAAU,SAAS,UAAU;AAC7B;AAAA,QACF;AACE,oBAAU,sBAAsB,UAAU;AAC1C;AAAA,QACF;AACE,oBAAU,oBAAoB,UAAU;AACxC;AAAA,QACF;AACE,oBAAU,UAAU,UAAU;AAC9B;AAAA,QACF;AACE,oBAAU,UAAU,UAAU;AAC9B;AAAA,MACJ;AAAA,IACF;AAEA,WAAO,iBAAiB,WAAW,SAAS;AAC5C,WAAO,MAAM,OAAO,oBAAoB,WAAW,SAAS;AAAA,EAC9D,GAAG,CAAC,QAAQ,YAAY,QAAQ,YAAY,CAAC;AAE7C,QAAM,OAAO;AAAA,IACX,CAAC,WACC,YAAY;AAAA,MACV,QAAQ,UAAU;AAAA,MAClB,YAAY,QAAQ;AAAA,MACpB;AAAA,MACA,cAAc,QAAQ;AAAA,IACxB,CAAC;AAAA,IACH,CAAC,QAAQ,YAAY,QAAQ,YAAY;AAAA,EAC3C;AACA,QAAM,QAAQ,YAAY,MAAM,wBAA6B,GAAG,CAAC,IAAI,CAAC;AACtE,QAAM,YAAY;AAAA,IAChB,MAAM,iCAAkC;AAAA,IACxC,CAAC,IAAI;AAAA,EACP;AACA,QAAM,eAAe;AAAA,IACnB,MAAM,uCAAqC;AAAA,IAC3C,CAAC,IAAI;AAAA,EACP;AACA,QAAM,YAAY,YAAY,MAAM,UAAU,SAAS,CAAC,CAAC;AACzD,QAAM,SAAS;AAAA,IACb,OAAO,EAAE,OAAO,WAAW,cAAc,UAAU;AAAA,IACnD,CAAC,WAAW,OAAO,cAAc,SAAS;AAAA,EAC5C;AAEA,sBAAoB,QAAQ,WAAW,MAAM,QAAQ,CAAC,MAAM,CAAC;AAC7D,SAAO,EAAE,WAAW,OAAO;AAC7B;;;AHfQ;AA7GD,IAAM,uBACX;AAEF,SAAS,UAAU,OAAwD;AACzE,MAAI,UAAU,OAAW,QAAO;AAChC,SAAO,OAAO,UAAU,WAAW,GAAG,KAAK,OAAO;AACpD;AAEA,SAAS,UAAU,OAAuB;AACxC,SAAO,IAAI,IAAI,KAAK,EAAE;AACxB;AAEO,IAAM,YAAY;AAAA,EACvB,SAASC,WAAU,OAAO,KAAK;AAC7B,UAAM;AAAA,MACJ;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA,SAAS;AAAA,MACT;AAAA,MACA,WAAW;AAAA,MACX;AAAA,MACA,QAAQ;AAAA,MACR,QAAQ;AAAA,MACR,SAAS;AAAA,MACT;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA,QAAQ;AAAA,MACR;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,IACF,IAAI;AACJ,UAAM,UAAU,MAAM;AACtB,UAAM,aAAaC;AAAA,MACjB,MAAM,OAAO,QAAQ,QAAQ,MAAM,EAAE,CAAC;AAAA,MACtC,CAAC,OAAO;AAAA,IACV;AACA,UAAM,cAAcA,SAAQ,MAAM,UAAU,MAAM,GAAG,CAAC,MAAM,CAAC;AAC7D,UAAM,uBAAuB,gBAAgB;AAC7C,UAAM,aACJ,OAAO,WAAW,cAAc,SAAY,OAAO,SAAS;AAC9D,UAAM,MAAMA;AAAA,MACV,MACE,cAAc;AAAA,QACZ;AAAA,QACA;AAAA,QACA;AAAA,QACA;AAAA,QACA;AAAA,QACA;AAAA,QACA;AAAA,QACA;AAAA,QACA;AAAA,QACA;AAAA,MACF,CAAC;AAAA,MACH;AAAA,QACE;AAAA,QACA;AAAA,QACA;AAAA,QACA;AAAA,QACA;AAAA,QACA;AAAA,QACA;AAAA,QACA;AAAA,QACA;AAAA,QACA;AAAA,MACF;AAAA,IACF;AACA,UAAM,EAAE,UAAU,IAAI,aAAa;AAAA,MACjC;AAAA,MACA,cAAc;AAAA,MACd,WAAW;AAAA,MACX;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,MACA;AAAA,IACF,CAAC;AACD,UAAM,eAA8B;AAAA,MAClC,OAAO,UAAU,KAAK;AAAA,MACtB,QAAQ,UAAU,MAAM;AAAA,MACxB,GAAG;AAAA,IACL;AACA,UAAM,aAA4B;AAAA,MAChC,OAAO;AAAA,MACP,QAAQ;AAAA,MACR,QAAQ;AAAA,MACR,SAAS;AAAA,MACT,GAAG;AAAA,IACL;AAEA,WACE;AAAA,MAAC;AAAA;AAAA,QACC;AAAA,QACA,OAAO;AAAA,QACP,4BAA0B;AAAA,QAE1B;AAAA,UAAC;AAAA;AAAA,YACC,KAAK;AAAA,YACL,WAAW;AAAA,YACX,OAAO;AAAA,YACP;AAAA,YACA;AAAA,YACA;AAAA,YACA,iBAAe;AAAA,YACf,gBAAe;AAAA;AAAA,QACjB;AAAA;AAAA,IACF;AAAA,EAEJ;AACF;AAEA,UAAU,cAAc;","names":["useMemo","EmbedEventType","EmbedCommandType","EmbedCommandAction","EmbedErrorCode","EmbedQueryParam","OeMeeting","useMemo"]}

package/docs/BACKEND-INTEGRATION.md

@@ -0,0 +1,287 @@
+# Tích hợp backend OE.School với OE Meeting
+
+## 1. Chuẩn bị credentials
+
+OE Meeting cần cấp cho OE.School một application credential gồm:
+
+- `clientId`.
+- `clientSecret`.
+- Scope `rooms:create` để tạo phòng.
+- Scope `rooms:retrieve` để đọc phòng và cấp join token.
+- Tùy nhu cầu quản trị: `rooms:update`, `rooms:delete`.
+
+Cấu hình ở backend OE.School, ví dụ:
+
+```dotenv
+OE_MEETING_API_URL=https://meet.oceanedu.org
+OE_MEETING_CLIENT_ID=oe-school
+OE_MEETING_CLIENT_SECRET=<secret-from-secret-manager>
+```
+
+Không dùng biến public như `NEXT_PUBLIC_*` hoặc `VITE_*` cho client secret.
+Production nên lấy secret từ secret manager hoặc Kubernetes Secret, không commit
+vào repository.
+
+## 2. External API
+
+Base URL production:
+
+```text
+https://meet.oceanedu.org/external-api/v1.0
+```
+
+Mọi request server-to-server phải gửi:
+
+```http
+X-Client-Id: <client-id>
+X-Client-Secret: <client-secret>
+Content-Type: application/json
+```
+
+### 2.1. Tạo phòng cho buổi học
+
+```http
+POST /external-api/v1.0/rooms
+```
+
+Request:
+
+```json
+{
+  "name": "Lesson 98765 - 2026-08-17",
+  "slug": "oe-school-lesson-98765",
+  "access_level": "restricted",
+  "configuration": {}
+}
+```
+
+| Field | Bắt buộc | Mô tả |
+|---|---:|---|
+| `name` | Có | Tên hiển thị, tối đa 500 ký tự. |
+| `slug` | Không | Khóa ổn định của phòng, tối đa 100 ký tự. Nếu bỏ trống, server sinh từ `name`. |
+| `access_level` | Không | Nên luôn dùng `restricted`; external API mặc định là `restricted`. |
+| `configuration` | Không | Cấu hình mở rộng của phòng. |
+
+Response mẫu:
+
+```json
+{
+  "id": "c4ac4f15-8417-4e19-a3dd-39de5697c19f",
+  "name": "Lesson 98765 - 2026-08-17",
+  "slug": "oe-school-lesson-98765",
+  "accessLevel": "restricted",
+  "configuration": {},
+  "pinCode": null
+}
+```
+
+API idempotent theo `slug`: gọi lại cùng slug trả về phòng đã tồn tại. OE.School
+nên lưu `room.id` và `room.slug` vào bản ghi buổi học sau lần tạo đầu tiên.
+
+Khuyến nghị slug:
+
+```text
+oe-school-lesson-<lessonId>
+```
+
+Không dùng tên học sinh, email hoặc dữ liệu cá nhân trong slug vì slug xuất hiện
+trong URL.
+
+### 2.2. Cấp join token
+
+Chỉ gọi endpoint này **sau khi backend OE.School kiểm tra roster**.
+
+```http
+POST /external-api/v1.0/application/token
+```
+
+Request:
+
+```json
+{
+  "room": "oe-school-lesson-98765",
+  "identity": "oe-school:user:12345",
+  "name": "Nguyen Van A"
+}
+```
+
+| Field | Bắt buộc | Mô tả |
+|---|---:|---|
+| `room` | Có | Room slug đã tạo, tối đa 255 ký tự. |
+| `identity` | Có | Định danh ổn định và duy nhất của user, tối đa 255 ký tự. |
+| `name` | Không | Tên hiển thị trong phòng, tối đa 255 ký tự. |
+
+Response:
+
+```json
+{
+  "token": "<livekit-join-token>"
+}
+```
+
+Nên dùng identity có namespace, ví dụ `oe-school:user:<userId>`, để tránh trùng
+identity giữa các hệ thống tích hợp. Không dùng token phiên đăng nhập OE.School
+làm identity.
+
+### 2.3. Các endpoint quản trị khác
+
+| Method | Endpoint | Scope |
+|---|---|---|
+| `GET` | `/external-api/v1.0/rooms/:idOrSlug` | `rooms:retrieve` |
+| `PATCH` | `/external-api/v1.0/rooms/:idOrSlug` | `rooms:update` |
+| `DELETE` | `/external-api/v1.0/rooms/:idOrSlug` | `rooms:delete` |
+
+## 3. Service mẫu ở backend OE.School
+
+Ví dụ dưới đây dùng `fetch` tích hợp sẵn trong Node.js 18+.
+
+```typescript
+const RoomAccessLevel = {
+  RESTRICTED: 'restricted',
+} as const;
+
+interface OeMeetingRoom {
+  id: string;
+  name: string;
+  slug: string;
+  accessLevel: (typeof RoomAccessLevel)[keyof typeof RoomAccessLevel];
+}
+
+interface JoinTokenResponse {
+  token: string;
+}
+
+interface MeetingCredentials {
+  apiUrl: string;
+  clientId: string;
+  clientSecret: string;
+}
+
+export class OeMeetingApi {
+  constructor(private readonly credentials: MeetingCredentials) {}
+
+  private async request<T>(path: string, init: RequestInit): Promise<T> {
+    const response = await fetch(`${this.credentials.apiUrl}${path}`, {
+      ...init,
+      headers: {
+        'Content-Type': 'application/json',
+        'X-Client-Id': this.credentials.clientId,
+        'X-Client-Secret': this.credentials.clientSecret,
+        ...init.headers,
+      },
+    });
+
+    if (!response.ok) {
+      throw new Error(`OE Meeting API failed with status ${response.status}`);
+    }
+
+    return (await response.json()) as T;
+  }
+
+  createLessonRoom(input: {
+    lessonId: string;
+    lessonName: string;
+  }): Promise<OeMeetingRoom> {
+    return this.request('/external-api/v1.0/rooms', {
+      method: 'POST',
+      body: JSON.stringify({
+        name: input.lessonName,
+        slug: `oe-school-lesson-${input.lessonId}`,
+        access_level: RoomAccessLevel.RESTRICTED,
+      }),
+    });
+  }
+
+  createJoinToken(input: {
+    roomSlug: string;
+    userId: string;
+    displayName: string;
+  }): Promise<JoinTokenResponse> {
+    return this.request('/external-api/v1.0/application/token', {
+      method: 'POST',
+      body: JSON.stringify({
+        room: input.roomSlug,
+        identity: `oe-school:user:${input.userId}`,
+        name: input.displayName,
+      }),
+    });
+  }
+}
+```
+
+Trong code production, validate response bằng schema validator hiện có của
+OE.School thay vì chỉ type assertion như ví dụ rút gọn trên.
+
+## 4. Kiểm tra roster và cấp quyền
+
+Backend OE.School phải là nơi quyết định quyền truy cập. Luồng đề xuất:
+
+```typescript
+async function getLessonMeetingAccess(input: {
+  lessonId: string;
+  currentUserId: string;
+}) {
+  const lesson = await lessonRepository.findByIdOrFail(input.lessonId);
+  const attendance = await attendanceRepository.findByLessonAndUser(
+    input.lessonId,
+    input.currentUserId,
+  );
+
+  const canJoinAsTeacher = lesson.teacherId === input.currentUserId;
+  const canJoinAsStudent =
+    attendance?.isEnrolled === true && attendance.isAbsent !== true;
+
+  if (!canJoinAsTeacher && !canJoinAsStudent) {
+    throw new ForbiddenException('User cannot join this lesson');
+  }
+
+  const room = await getOrCreateMeetingRoom(lesson);
+  const { token } = await oeMeetingApi.createJoinToken({
+    roomSlug: room.slug,
+    userId: input.currentUserId,
+    displayName: attendance?.displayName ?? lesson.teacherName,
+  });
+
+  return { roomSlug: room.slug, joinToken: token };
+}
+```
+
+Các trạng thái roster phải dùng enum/constant của OE.School. Ví dụ trên dùng
+boolean chỉ để minh họa. Nếu học sinh bị đánh dấu nghỉ sau khi đã nhận token,
+backend phải ngừng cấp token mới; để thu hồi ngay một token đã cấp cần bổ sung
+cơ chế remove participant/token TTL ở phiên bản tiếp theo.
+
+## 5. API OE.School dành cho frontend
+
+Nên tạo một endpoint cùng origin với frontend OE.School:
+
+```http
+GET /api/lessons/:lessonId/meeting-access
+Authorization: Bearer <oe-school-session>
+```
+
+Response:
+
+```json
+{
+  "roomSlug": "oe-school-lesson-98765",
+  "joinToken": "<livekit-join-token>"
+}
+```
+
+Endpoint này phải:
+
+1. Xác thực session OE.School.
+2. Tìm lesson theo `lessonId`.
+3. Kiểm tra giáo viên/học sinh có quyền vào đúng buổi học.
+4. Tạo phòng nếu chưa tồn tại.
+5. Cấp join token cho chính user đang đăng nhập.
+6. Không cache response token trong shared cache/CDN.
+
+Khuyến nghị response headers:
+
+```http
+Cache-Control: no-store
+Pragma: no-cache
+```
+

package/docs/REACT-INTEGRATION.md

@@ -0,0 +1,295 @@
+# Tích hợp React SDK vào OE.School
+
+## 1. Cài đặt
+
+Package yêu cầu React 17 trở lên. Trong giai đoạn package chưa publish lên
+registry, OE.School cài bằng local path hoặc workspace.
+
+### Package registry (sau khi publish)
+
+```bash
+npm install @tinyweb_dev/oe-meeting-react
+```
+
+### Local package
+
+Build package tại repository OE Meeting:
+
+```bash
+cd src/sdk/react
+npm install
+npm run build
+```
+
+Sau đó cài package local trong dự án OE.School:
+
+```bash
+npm install ../oe-meeting/src/sdk/react
+```
+
+Nếu hai dự án thuộc cùng monorepo, có thể khai báo
+`"@tinyweb_dev/oe-meeting-react": "workspace:*"`.
+
+## 2. Nhúng phòng bằng React
+
+```tsx
+'use client';
+
+import { useEffect, useState } from 'react';
+import {
+  EmbedErrorCode,
+  OeMeeting,
+  type OeMeetingProps,
+} from '@tinyweb_dev/oe-meeting-react';
+
+interface MeetingAccess {
+  roomSlug: string;
+  joinToken: string;
+}
+
+export function OnlineLesson({ lessonId }: { lessonId: string }) {
+  const [access, setAccess] = useState<MeetingAccess | null>(null);
+
+  useEffect(() => {
+    const controller = new AbortController();
+
+    void fetch(`/api/lessons/${lessonId}/meeting-access`, {
+      credentials: 'include',
+      cache: 'no-store',
+      signal: controller.signal,
+    })
+      .then(async (response) => {
+        if (!response.ok) {
+          throw new Error(`Cannot get meeting access: ${response.status}`);
+        }
+        return (await response.json()) as MeetingAccess;
+      })
+      .then(setAccess)
+      .catch((error: unknown) => {
+        if (error instanceof DOMException && error.name === 'AbortError') return;
+        console.error(error);
+      });
+
+    return () => controller.abort();
+  }, [lessonId]);
+
+  if (!access) return <div>Đang tải phòng học…</div>;
+
+  const onError: NonNullable<OeMeetingProps['onError']> = (event) => {
+    switch (event.payload.code) {
+      case EmbedErrorCode.TOKEN_EXPIRED:
+      case EmbedErrorCode.TOKEN_INVALID:
+        // Gọi lại meeting-access để lấy token mới.
+        break;
+      case EmbedErrorCode.ROOM_ACCESS_DENIED:
+        // Hiển thị thông báo không thuộc danh sách tham dự.
+        break;
+      default:
+        console.error(event.payload.message);
+    }
+  };
+
+  return (
+    <OeMeeting
+      roomSlug={access.roomSlug}
+      joinToken={access.joinToken}
+      origin="https://meet.oceanedu.org"
+      width="100%"
+      height="calc(100vh - 64px)"
+      hideLeave
+      onReady={(event) => console.info('Meeting ready', event.payload)}
+      onJoined={(event) => console.info('User joined', event.payload)}
+      onLeft={(event) => console.info('User left', event.payload)}
+      onError={onError}
+    />
+  );
+}
+```
+
+`origin` có giá trị mặc định là `https://meet.oceanedu.org`, nên có thể bỏ prop
+này ở production. Khi chạy local, truyền URL frontend OE Meeting local, ví dụ
+`http://localhost:5173`.
+
+## 3. Props của `OeMeeting`
+
+| Prop | Type | Mặc định | Mô tả |
+|---|---|---|---|
+| `roomSlug` | `string` | Bắt buộc | Slug phòng do backend trả về. |
+| `joinToken` | `string` | Bắt buộc | Token cấp riêng cho user hiện tại. |
+| `origin` | `string` | `https://meet.oceanedu.org` | Origin của OE Meeting. |
+| `autoJoin` | `boolean` | `true` | Phiên bản hiện tại chỉ hỗ trợ `true`. |
+| `hideLeave` | `boolean` | `false` | Ẩn nút rời phòng trong iframe. |
+| `userName` | `string` | — | Thông tin tùy chọn truyền vào embed URL. |
+| `externalUserId` | `string` | — | External identity tùy chọn. |
+| `lang` | `string` | — | Ngôn ngữ giao diện. |
+| `title` | `string` | `OE Meeting room` | Accessible title của iframe. |
+| `width` | `number \| string` | `100%` | Chiều rộng wrapper. Number được đổi sang px. |
+| `height` | `number \| string` | `640` | Chiều cao wrapper. Number được đổi sang px. |
+| `className` | `string` | — | Class của wrapper. |
+| `style` | `CSSProperties` | — | Style của wrapper. |
+| `iframeClassName` | `string` | — | Class của iframe. |
+| `iframeStyle` | `CSSProperties` | — | Style của iframe. |
+| `allow` | `string` | Camera/microphone/fullscreen… | Iframe Permissions Policy. |
+| `targetOrigin` | `string` | Origin suy ra từ `origin` | Chỉ override khi có proxy đặc biệt. |
+| `onReady` | callback | — | Embed bridge đã sẵn sàng. |
+| `onJoined` | callback | — | Local user đã vào phòng. |
+| `onLeft` | callback | — | Local user đã rời phòng. |
+| `onParticipantJoined` | callback | — | Một participant khác vào phòng. |
+| `onParticipantLeft` | callback | — | Một participant khác rời phòng. |
+| `onEnded` | callback | — | Phòng kết thúc. |
+| `onError` | callback | — | Lỗi typed từ embed. |
+| `onEvent` | callback | — | Nhận tất cả event protocol. |
+
+Không đặt `targetOrigin="*"`. SDK và iframe đều kiểm tra origin, source và
+`instanceId` trước khi xử lý message.
+
+## 4. Events
+
+Mọi callback nhận object có envelope:
+
+```typescript
+interface EmbedEventEnvelope<TPayload> {
+  source: 'oemeeting';
+  version: 1;
+  instanceId: string;
+  type: string;
+  payload: TPayload;
+}
+```
+
+| Event | Payload chính | Trạng thái v1 |
+|---|---|---|
+| `READY` | `roomSlug` | Đã emit |
+| `JOINED` | `roomSlug`, `identity`, `name?`, `joinedAt` | Đã emit |
+| `LEFT` | `roomSlug`, `identity`, `leftAt`, `durationMs?` | Đã emit |
+| `PARTICIPANT_JOINED` | `identity`, `name?`, `participantCount` | Đã emit |
+| `PARTICIPANT_LEFT` | `identity`, `participantCount` | Đã emit |
+| `ERROR` | `code`, `message` | Đã emit |
+| `ENDED` | `roomSlug`, `endedAt` | Đã khai báo, chưa có nguồn emit |
+
+Có thể dùng `onEvent` để gửi analytics tập trung, nhưng không log join token,
+iframe URL đầy đủ hoặc dữ liệu nhạy cảm.
+
+## 5. Điều khiển phòng từ trang cha
+
+```tsx
+import { useRef } from 'react';
+import {
+  OeMeeting,
+  type OeMeetingHandle,
+} from '@tinyweb_dev/oe-meeting-react';
+
+export function MeetingWithControls(props: {
+  roomSlug: string;
+  joinToken: string;
+}) {
+  const meetingRef = useRef<OeMeetingHandle>(null);
+
+  return (
+    <>
+      <button onClick={() => meetingRef.current?.toggleMic()}>
+        Bật/tắt micro
+      </button>
+      <button onClick={() => meetingRef.current?.toggleCamera()}>
+        Bật/tắt camera
+      </button>
+      <button onClick={() => meetingRef.current?.leave()}>
+        Rời phòng
+      </button>
+
+      <OeMeeting
+        ref={meetingRef}
+        roomSlug={props.roomSlug}
+        joinToken={props.joinToken}
+        hideLeave
+      />
+    </>
+  );
+}
+```
+
+`OeMeetingHandle` cung cấp:
+
+- `leave()`.
+- `toggleMic()`.
+- `toggleCamera()`.
+- `getIframe()`.
+
+## 6. Error codes
+
+| Code | Ý nghĩa | Xử lý đề xuất | Trạng thái v1 |
+|---|---|---|---|
+| `CONNECTION_FAILED` | Không kết nối được LiveKit/config/token. | Lấy token mới một lần; nếu vẫn lỗi thì cho retry với backoff. | Đã emit |
+| `UNKNOWN` | Command từ trang cha thất bại. | Ghi telemetry đã loại dữ liệu nhạy cảm. | Đã emit |
+| `TOKEN_INVALID` | Token không hợp lệ. | Xóa token hiện tại, gọi lại API meeting-access. | Đã khai báo, chưa phân loại riêng |
+| `TOKEN_EXPIRED` | Token hết hạn. | Xin token mới sau khi kiểm tra roster lại. | Đã khai báo, chưa phân loại riêng |
+| `ROOM_NOT_FOUND` | Phòng không tồn tại. | Tạo/đồng bộ lại phòng của lesson. | Đã khai báo, chưa phân loại riêng |
+| `ROOM_ACCESS_DENIED` | User không có quyền. | Không retry tự động; hiển thị thông báo phù hợp. | Đã khai báo, chưa phân loại riêng |
+| `PROTOCOL_MISMATCH` | SDK và embed khác version. | Đồng bộ phiên bản SDK/OE Meeting. | Đã khai báo, chưa emit |
+
+## 7. Local development
+
+Giả sử OE Meeting frontend chạy tại `http://localhost:5173`:
+
+```tsx
+<OeMeeting
+  origin="http://localhost:5173"
+  roomSlug={roomSlug}
+  joinToken={joinToken}
+/>
+```
+
+External API local phải trỏ vào backend OE Meeting local. Credentials local và
+production phải tách biệt. Theo quy ước dự án:
+
+- `.env`: local.
+- `.env.dev`: dev.
+- `.env.prod`: production.
+
+Khi test iframe, hai ứng dụng có thể chạy trên hai port khác nhau; SDK tự truyền
+`window.location.origin` của OE.School làm `hostOrigin` và bridge chỉ gửi message
+về đúng origin đó.
+
+## 8. Checklist trước khi release
+
+### Backend OE.School
+
+- [ ] Client secret chỉ tồn tại ở server/secret manager.
+- [ ] Application có đủ `rooms:create` và `rooms:retrieve`.
+- [ ] Room slug ổn định theo lesson và không chứa PII.
+- [ ] Phòng được tạo với access level `restricted`.
+- [ ] Mỗi lần cấp token đều kiểm tra session và roster.
+- [ ] Học sinh nghỉ/không thuộc buổi học nhận HTTP 403.
+- [ ] API meeting-access dùng `Cache-Control: no-store`.
+- [ ] Không log token hoặc URL iframe có token.
+
+### Frontend OE.School
+
+- [ ] Chỉ render `OeMeeting` sau khi nhận `roomSlug` và `joinToken`.
+- [ ] Production dùng origin `https://meet.oceanedu.org`.
+- [ ] Có trạng thái loading, forbidden, token expired và connection failed.
+- [ ] Không dùng `targetOrigin="*"`.
+- [ ] Camera/microphone hoạt động trong iframe.
+- [ ] Event join/leave được gửi analytics nếu nghiệp vụ yêu cầu.
+
+### Kiểm thử nghiệp vụ
+
+- [ ] Giáo viên tạo/mở phòng từ trang buổi học.
+- [ ] Học sinh có trong roster vào được phòng.
+- [ ] Học sinh nghỉ hoặc không thuộc roster không nhận được token.
+- [ ] Người có link nhưng không có token không vào được phòng.
+- [ ] Reload trang cấp token mới và kết nối lại thành công.
+- [ ] Nhiều lần tạo cùng lesson không sinh phòng trùng.
+- [ ] Nút rời phòng, micro và camera từ trang cha hoạt động.
+
+## 9. Giới hạn phiên bản hiện tại
+
+- Join token đang được truyền trong iframe query string. Không log URL đầy đủ và
+  không đưa URL này vào analytics. Iframe dùng referrer policy hạn chế rò rỉ URL.
+- OE Meeting chưa đồng bộ roster vào database; OE.School chịu trách nhiệm duyệt
+  quyền trước mỗi lần cấp token.
+- Chưa có API thu hồi token đã cấp hoặc kick participant theo lesson attendance.
+- Protocol v1 chưa có recording events và token handshake qua `postMessage`.
+- `autoJoin={false}` chưa có prejoin flow; phiên bản hiện tại yêu cầu auto join.
+- Các lỗi token/access chưa được phân loại riêng; frontend có thể nhận
+  `CONNECTION_FAILED` cho các lỗi kết nối liên quan token.