memi-board 0.37.2 → 0.38.0

package/dist/runtime/components/CategorySettings.vue

@@ -36,7 +36,7 @@ const writeRoleOptions: Array<{ label: string, value: BoardWriteRole }> = [
 ]
 const visibilityOptions: Array<{ label: string, value: BoardVisibility, description?: string }> = [
   { label: '보임', value: 'public', description: '전체 목록·필터에 표시' },
-  { label: '숨김', value: 'hidden', description: '일기장·비공개. 주소로 와도 안내만' },
+  { label: '숨김', value: 'hidden', description: '일기장·비공개. 댓글은 담당 스태프만' },
 ]
 
 const { isAdmin, rolePending } = useMemiBoardAuth()
@@ -168,8 +168,26 @@ async function save() {
       <MemiBoardOptionCards v-model="draft.writeRole" :options="writeRoleOptions" @update:model-value="saved = false" />
     </div>
     <div class="flex flex-col gap-2">
-      <div><p class="text-sm font-medium">댓글쓰기 권한</p><p class="text-xs text-muted">댓글을 쓸 수 있는 최소 역할</p></div>
-      <MemiBoardOptionCards v-model="draft.commentWriteRole" :options="writeRoleOptions" @update:model-value="saved = false" />
+      <div>
+        <p class="text-sm font-medium">댓글쓰기 권한</p>
+        <p class="text-xs text-muted">
+          {{ draft.visibility === 'hidden'
+            ? '숨김 게시판은 댓글이 공개 피드에 안 나오고, 담당 스태프만 작성할 수 있습니다'
+            : '댓글을 쓸 수 있는 최소 역할' }}
+        </p>
+      </div>
+      <MemiBoardOptionCards
+        v-if="draft.visibility !== 'hidden'"
+        v-model="draft.commentWriteRole"
+        :options="writeRoleOptions"
+        @update:model-value="saved = false"
+      />
+      <p
+        v-else
+        class="rounded-lg border border-default px-3 py-2.5 text-sm text-muted"
+      >
+        담당 스태프만 (숨김 보드 고정)
+      </p>
     </div>
     <div v-if="needsStaffPicker" class="grid gap-2 sm:grid-cols-[9rem_1fr] sm:items-center">
       <div><p class="text-sm font-medium">담당 스태프</p><p class="text-xs text-muted">지정한 스태프만 이 보드를 설정·관리합니다. 비우면 관리자만</p></div>
@@ -201,7 +219,7 @@ async function save() {
     <div v-if="canManageStaffAssignment" class="flex flex-col gap-2">
       <div>
         <p class="text-sm font-medium">공개 범위</p>
-        <p class="text-xs text-muted">숨김이면 전체 필터에 안 나오고, 글은 관리자·스태프·작성자만 읽을 수 있습니다</p>
+        <p class="text-xs text-muted">숨김이면 전체 필터에 안 나오고, 글은 관리자·담당 스태프·작성자만 읽을 수 있습니다. 댓글은 담당 스태프만 쓸 수 있습니다</p>
       </div>
       <MemiBoardOptionCards v-model="draft.visibility" :options="visibilityOptions" @update:model-value="saved = false" />
     </div>

package/dist/runtime/components/CommentForm.vue

@@ -1,6 +1,6 @@
 <script setup lang="ts">
 import { computed, ref } from 'vue'
-import { useMemiBoardAuth } from 'memi-board/runtime'
+import { canWriteCommentByRole, useMemiBoardAuth } from 'memi-board/runtime'
 import { COMMENT_BODY_MAX_LENGTH, useMemiBoardComments } from 'memi-board/runtime'
 import { useMemiBoardModeration } from 'memi-board/runtime'
 import { useMemiBoardSettings } from 'memi-board/runtime'
@@ -9,7 +9,7 @@ import type { CommentModel } from 'memi-board/runtime'
 const props = defineProps<{ boardId: string, postId: string, parent?: CommentModel | null }>()
 const emit = defineEmits<{ saved: [], cancel: [] }>()
 
-const { user, isSignedIn, isAdmin, canManageBoard, isWriteRestricted, restrictedMessage } = useMemiBoardAuth()
+const { user, isSignedIn, isAdmin, isStaff, isWriteRestricted, restrictedMessage } = useMemiBoardAuth()
 // 목록 컴포넌트만 실시간 구독한다. 작성 폼은 mutation API만 사용한다.
 const { addComment, addReply } = useMemiBoardComments(
   props.boardId,
@@ -19,13 +19,15 @@ const { addComment, addReply } = useMemiBoardComments(
 const { checkText } = useMemiBoardModeration()
 const { getBoard } = useMemiBoardSettings()
 
-// 보드별 댓글쓰기 권한
+const board = computed(() => getBoard(props.boardId))
+const isHiddenBoard = computed(() => board.value?.visibility === 'hidden')
 const canComment = computed(() => {
-  if (!isSignedIn.value) return false
-  const required = getBoard(props.boardId)?.commentWriteRole ?? 'user'
-  if (required === 'admin') return isAdmin.value
-  if (required === 'staff') return isAdmin.value || canManageBoard(props.boardId)
-  return true
+  if (!isSignedIn.value || !user.value?.uid) return false
+  return canWriteCommentByRole(user.value.uid, isAdmin.value, isStaff.value, board.value)
+})
+const deniedMessage = computed(() => {
+  if (isHiddenBoard.value) return '숨김 게시판에는 담당 스태프만 댓글을 남길 수 있습니다.'
+  return '이 게시판에는 댓글쓰기 권한이 없습니다.'
 })
 
 const body = ref('')
@@ -40,7 +42,7 @@ async function handleSubmit() {
     return
   }
   if (!canComment.value) {
-    error.value = '댓글쓰기 권한이 없습니다.'
+    error.value = deniedMessage.value
     return
   }
   if (isWriteRestricted.value) {
@@ -131,6 +133,6 @@ async function handleSubmit() {
     v-else
     class="text-sm text-muted"
   >
-    이 게시판에는 댓글쓰기 권한이 없습니다.
+    {{ deniedMessage }}
   </p>
 </template>

package/dist/runtime/components/Settings.vue

@@ -40,7 +40,7 @@ const writeRoleOptions: Array<{ label: string, value: BoardWriteRole }> = [
 ]
 const visibilityOptions: Array<{ label: string, value: BoardVisibility, description?: string }> = [
   { label: '보임', value: 'public', description: '전체 목록·필터에 표시' },
-  { label: '숨김', value: 'hidden', description: '일기장·비공개' },
+  { label: '숨김', value: 'hidden', description: '일기장·비공개. 댓글은 담당 스태프만' },
 ]
 
 const { isAdmin, rolePending } = useMemiBoardAuth()
@@ -238,12 +238,26 @@ async function runDeleteAll() {
           />
         </div>
         <div class="flex flex-col gap-2">
-          <div><p class="text-sm font-medium">댓글쓰기 권한</p><p class="text-xs text-muted">이 카테고리에 댓글을 쓸 수 있는 최소 역할</p></div>
+          <div>
+            <p class="text-sm font-medium">댓글쓰기 권한</p>
+            <p class="text-xs text-muted">
+              {{ category.visibility === 'hidden'
+                ? '숨김 게시판은 댓글이 공개 피드에 안 나오고, 담당 스태프만 작성할 수 있습니다'
+                : '이 카테고리에 댓글을 쓸 수 있는 최소 역할' }}
+            </p>
+          </div>
           <MemiBoardOptionCards
+            v-if="category.visibility !== 'hidden'"
             v-model="category.commentWriteRole"
             :options="writeRoleOptions"
             @update:model-value="savedId = null"
           />
+          <p
+            v-else
+            class="rounded-lg border border-default px-3 py-2.5 text-sm text-muted"
+          >
+            담당 스태프만 (숨김 보드 고정)
+          </p>
         </div>
         <div v-if="needsStaffPicker(category)" class="grid gap-2 sm:grid-cols-[9rem_1fr] sm:items-center">
           <div><p class="text-sm font-medium">담당 스태프</p><p class="text-xs text-muted">지정한 스태프만 이 보드를 설정·관리합니다. 비우면 관리자만</p></div>
@@ -275,7 +289,7 @@ async function runDeleteAll() {
         <div v-if="canManageStaffAssignment" class="flex flex-col gap-2">
           <div>
             <p class="text-sm font-medium">공개 범위</p>
-            <p class="text-xs text-muted">숨김이면 전체 필터에 안 나오고 rules 로 글 읽기가 제한됩니다</p>
+            <p class="text-xs text-muted">숨김이면 전체 필터에 안 나오고, 글은 관리자·담당 스태프·작성자만 읽을 수 있습니다. 댓글은 담당 스태프만 쓸 수 있습니다</p>
           </div>
           <MemiBoardOptionCards
             v-model="category.visibility"

package/dist/types.d.ts

@@ -82,6 +82,11 @@ export interface CommentModel {
     postId: string;
     /** 부모 글의 boardId — 생성 시 클라이언트가 채우고, rules 가 부모 글과 일치하는지 검증한다. */
     boardId: string;
+    /**
+     * 공개 피드·작성자 댓글 목록 노출 여부. 보드 visibility 가 hidden 이면 false.
+     * 글의 listed 와 같은 복제 필드. 미지정 레거시는 true 취급.
+     */
+    listed?: boolean;
     body: string;
     authorUid: string;
     authorName: string | null;
@@ -141,7 +146,7 @@ export interface AuthorMemoModel {
 }
 export type BoardListView = 'default' | 'dense' | 'image' | 'video';
 export type BoardWriteRole = 'user' | 'staff' | 'admin';
-/** 게시판 공개 범위. hidden 이면 일반 목록·전체 필터에서 제외되고 글 listed=false. */
+/** 게시판 공개 범위. hidden 이면 일반 목록·전체 필터에서 제외되고 글·댓글 listed=false. 댓글 쓰기는 담당 스태프만. */
 export type BoardVisibility = 'public' | 'hidden';
 /**
  * 보드 1개 메타 (= 예전 BoardCategory).
@@ -154,7 +159,7 @@ export interface BoardModel {
     description?: string;
     /**
      * 보임/숨김. hidden = 일기장·비공개.
-     * 보드 목록·칩에서 제외, 글 listed=false. 미지정은 public.
+     * 보드 목록·칩에서 제외, 글·댓글 listed=false, 댓글 쓰기는 담당 스태프만. 미지정은 public.
      */
     visibility?: BoardVisibility;
     listView?: BoardListView;

package/dist/utils/boardAccess.d.ts

@@ -1,3 +1,4 @@
+import { BoardVisibility, BoardWriteRole } from '../types';
 /** 스태프가 이 보드 담당인지. 목록에 있는 uid만. 비어 있으면 담당 없음(관리자만). */
 export declare function isAssignedStaff(uid: string | undefined, board: {
     allowedStaffUids?: string[];
@@ -5,3 +6,12 @@ export declare function isAssignedStaff(uid: string | undefined, board: {
 export declare function canManageBoardByRole(uid: string | undefined, isAdmin: boolean, isStaff: boolean, board: {
     allowedStaffUids?: string[];
 } | null | undefined): boolean;
+/**
+ * 댓글 작성 권한. 숨김 보드는 commentWriteRole 과 무관하게 관리자·담당 스태프만.
+ * board 가 아직 없으면 공개 보드(일반 이상)와 같이 취급한다.
+ */
+export declare function canWriteCommentByRole(uid: string | undefined, isAdmin: boolean, isStaff: boolean, board: {
+    visibility?: BoardVisibility;
+    commentWriteRole?: BoardWriteRole;
+    allowedStaffUids?: string[];
+} | null | undefined): boolean;

package/docs/firestore.indexes.json.example

@@ -122,6 +122,25 @@
         { "fieldPath": "__name__", "order": "DESCENDING" }
       ]
     },
+    {
+      "collectionGroup": "memiBoardComments",
+      "queryScope": "COLLECTION",
+      "fields": [
+        { "fieldPath": "authorUid", "order": "ASCENDING" },
+        { "fieldPath": "listed", "order": "ASCENDING" },
+        { "fieldPath": "createdAt", "order": "DESCENDING" },
+        { "fieldPath": "__name__", "order": "DESCENDING" }
+      ]
+    },
+    {
+      "collectionGroup": "memiBoardComments",
+      "queryScope": "COLLECTION",
+      "fields": [
+        { "fieldPath": "listed", "order": "ASCENDING" },
+        { "fieldPath": "createdAt", "order": "DESCENDING" },
+        { "fieldPath": "__name__", "order": "DESCENDING" }
+      ]
+    },
     {
       "collectionGroup": "memiBoardComments",
       "queryScope": "COLLECTION",
@@ -131,6 +150,38 @@
         { "fieldPath": "__name__", "order": "DESCENDING" }
       ]
     },
+    {
+      "collectionGroup": "memiBoardComments",
+      "queryScope": "COLLECTION",
+      "fields": [
+        { "fieldPath": "listed", "order": "ASCENDING" },
+        { "fieldPath": "likeCount", "order": "DESCENDING" },
+        { "fieldPath": "createdAt", "order": "DESCENDING" },
+        { "fieldPath": "__name__", "order": "DESCENDING" }
+      ]
+    },
+    {
+      "collectionGroup": "memiBoardComments",
+      "queryScope": "COLLECTION",
+      "fields": [
+        { "fieldPath": "postId", "order": "ASCENDING" },
+        { "fieldPath": "rootId", "order": "ASCENDING" },
+        { "fieldPath": "isReply", "order": "ASCENDING" },
+        { "fieldPath": "createdAt", "order": "DESCENDING" },
+        { "fieldPath": "__name__", "order": "DESCENDING" }
+      ]
+    },
+    {
+      "collectionGroup": "memiBoardComments",
+      "queryScope": "COLLECTION",
+      "fields": [
+        { "fieldPath": "postId", "order": "ASCENDING" },
+        { "fieldPath": "rootId", "order": "ASCENDING" },
+        { "fieldPath": "isReply", "order": "ASCENDING" },
+        { "fieldPath": "createdAt", "order": "ASCENDING" },
+        { "fieldPath": "__name__", "order": "ASCENDING" }
+      ]
+    },
     {
       "collectionGroup": "memiBoardLikes",
       "queryScope": "COLLECTION",

package/docs/firestore.rules.example

@@ -77,11 +77,14 @@ service cloud.firestore {
           || (requiredRole == 'admin' && isBoardAdmin()));
     }
     function canWriteBoardComment(boardId) {
+      let hidden = get(boardSettingsPath(boardId)).data.get('visibility', 'public') == 'hidden';
       let requiredRole = get(boardSettingsPath(boardId)).data.get('commentWriteRole', 'user');
       return exists(boardSettingsPath(boardId))
-        && (requiredRole == 'user'
-          || (requiredRole == 'staff' && isBoardStaff() && isAllowedStaffForBoard(boardId))
-          || (requiredRole == 'admin' && isBoardAdmin()));
+        && (hidden
+          ? isBoardManager(boardId)
+          : (requiredRole == 'user'
+            || (requiredRole == 'staff' && isBoardManager(boardId))
+            || (requiredRole == 'admin' && isBoardAdmin())));
     }
     function isOwner(resource) {
       return isSignedIn() && request.auth.uid == resource.data.authorUid;
@@ -139,6 +142,18 @@ service cloud.firestore {
         || isBoardAdmin()
         || isBoardManager(data.boardId);
     }
+    // 공개 피드·작성자 댓글 목록은 listed==true 동등 필터로 숨김 보드 댓글을 뺀다.
+    // 글 상세(postId == 상수)에서는 부모 글을 읽을 수 있으면 숨김 댓글도 볼 수 있다
+    // (작성자가 담당 스태프 메모를 읽는 경우).
+    function canReadComment(data) {
+      return data.get('listed', true) == true
+        || (isSignedIn() && request.auth.uid == data.authorUid)
+        || isBoardAdmin()
+        || isBoardManager(data.boardId)
+        || (data.postId is string
+          && exists(postPath(data.postId))
+          && canReadPost(get(postPath(data.postId)).data));
+    }
     function expectedListed(boardId) {
       return get(boardSettingsPath(boardId)).data.get('visibility', 'public') != 'hidden';
     }
@@ -240,15 +255,9 @@ service cloud.firestore {
     }
 
     match /memiBoardComments/{commentId} {
-      // 누구나 읽을 수 있다 — "작성한 댓글 보기"(useMemiBoardUserComments)가
-      // authorUid 하나로 모든 보드를 가로질러 조회하는데, postId는 문서마다
-      // 달라 동등(==) 필터로 고정할 수 없다. 부모 글을 get()해서 판단하는 규칙은
-      // list 쿼리에서 get() 인자가 상수로 환원 가능해야 하는데(postId 고정 쿼리에서만
-      // 성립), authorUid로 고정된 쿼리는 이 조건을 못 만족해 통째로 거부된다.
-      // 부모 글이 비공개·블라인드·삭제 상태여도 댓글 본문 자체는 노출되고,
-      // 실제 글로 이동했을 때 그 글의 접근 상태(찾을 수 없음/권한 없음 등)로
-      // 대신 표현한다 — 댓글 하나가 아니라 글 단위로 이미 존재하는 처리다.
-      allow read: if true;
+      // 공개 피드·작성자 댓글 목록은 where('listed','==',true) 로 숨김 보드 댓글을 걸러낸다.
+      // 글 상세는 postId 동등 필터라 부모 글 권한(canReadPost)으로 숨김 댓글도 읽을 수 있다.
+      allow read: if canReadComment(resource.data);
 
       allow create: if isBoardWriter()
         && request.resource.data.postId is string
@@ -263,14 +272,25 @@ service cloud.firestore {
         && request.resource.data.body is string
         && request.resource.data.body.size() > 0
         && request.resource.data.body.size() <= 1000
-        && request.resource.data.moderationStatus == 'approved';
+        && request.resource.data.moderationStatus == 'approved'
+        && request.resource.data.listed is bool
+        && request.resource.data.listed == expectedListed(request.resource.data.boardId);
 
       allow delete: if isOwner(resource)
         || isOwner(get(postPath(resource.data.postId)))
         || isBoardManager(resource.data.boardId);
-      allow update: if isOwner(resource) || isBoardManager(resource.data.boardId)
-        || isReplyCountUpdate() || isReplyTargetProfileUpdate()
-        || isLikeCountUpdate();
+      allow update: if isReplyCountUpdate() || isReplyTargetProfileUpdate()
+        || isLikeCountUpdate()
+        || (
+          (isOwner(resource) || isBoardManager(resource.data.boardId))
+          && request.resource.data.postId == resource.data.postId
+          && request.resource.data.boardId == resource.data.boardId
+          && request.resource.data.authorUid == resource.data.authorUid
+          && (
+            request.resource.data.get('listed', true) == resource.data.get('listed', true)
+            || isBoardManager(resource.data.boardId)
+          )
+        );
     }
 
     // 좋아요 토글 전용 flat 컬렉션. 문서ID 관례 = `${targetId}_{uid}`.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "memi-board",
-  "version": "0.37.2",
+  "version": "0.38.0",
   "type": "module",
   "description": "Nuxt 4 + Nuxt UI + VueFire/Firebase 전용 게시판 모듈",
   "license": "MIT",