w-web-perm 1.1.4 → 1.1.6

package/src/components/VePemiBlngGrups.vue

@@ -986,27 +986,24 @@ export default {
 
         clickSave: function(msg) {
             //console.log('methods clickSave', msg)
-
+            //WDialog 內建儲存鈕之 promiseUnlock 鎖交由 doSave 之 runSubmit 於請求結束時釋放, 不於此解鎖: 請求期間儲存鈕之滑鼠與鍵盤 Enter 皆擋 (ADR-025;
+            //原第一行即 msg.pm.resolve(), 鎖立即解除, 焦點留在儲存鈕時連按 Enter 可送出 2 次)
             let vo = this
-
-            //save按鈕第一行立刻釋放視覺鎖
-            msg.pm.resolve()
-
-            //fire-and-forget, 不 await
-            vo.doSave()
-
+            vo.doSave({ pm: msg.pm })
         },
 
-        doSave: function() {
+        doSave: function(opt = {}) {
 
             let vo = this
 
-            async function core() {
+            async function core(unlockBtn) {
 
-                //1) 事先檢測 (所有同步檢查在開 loading 之前, 空清單不應先閃 loading)
+                //1) 事先檢測 (所有同步檢查在開 loading 之前, 空清單不應先閃 loading); 訊息框前以 unlockBtn() 釋放儲存鈕之 promiseUnlock 鎖:
+                //按鈕鎖只涵蓋請求期間, 結果訊息框出現時按鈕已恢復(與打 API 之路徑一致) (ADR-025)
                 let rows = get(vo, 'opt.rows', [])
                 // console.log('rows', rows)
                 if (size(rows) === 0) {
+                    unlockBtn()
                     await vo.$dg.showCheckYes(`${vo.$t('grupSaveGrupsEmpty')}`)
                     return
                 }
@@ -1075,32 +1072,35 @@ export default {
 
             }
 
-            //core
-            core()
-                .then((rows) => {
+            //runSubmit: 對話框儲存流程(至結果訊息框關閉, 成功時含關閉對話框)進行中再觸發即略過; opt.pm 為對話框儲存鈕之 promiseUnlock 鎖,
+            //於請求結束(updateLoading(false))時釋放. 對話框之 promise(vo.pm)與開關(bShow)不變: 成功才 resolve 並關閉, 失敗保持開啟可重按儲存 (ADR-025)
+            return vo.$ui.runSubmit('savePemiBlngGrups', (unlockBtn) => {
+                return core(unlockBtn)
+                    .then((rows) => {
 
-                    //存檔失敗: 不 resolve、不關窗(規格「若寫入失敗…對話框不關閉，可修正後重按儲存」; 舊版於此無條件關窗, 2026-09-17 審計查出)
-                    if (rows === false) {
-                        return
-                    }
+                        //存檔失敗: 不 resolve、不關窗(規格「若寫入失敗…對話框不關閉，可修正後重按儲存」; 舊版於此無條件關窗, 2026-09-17 審計查出)
+                        if (rows === false) {
+                            return
+                        }
 
-                    //resolve
-                    vo.pm.resolve(rows)
+                        //resolve
+                        vo.pm.resolve(rows)
 
-                    //hide
-                    vo.bShow = false
+                        //hide
+                        vo.bShow = false
 
-                })
-                .catch((err) => {
-                    console.log('doSave', err)
-                    vo.$alert(vo.$t('anUnexpectedErrorOccurred'), { type: 'error' }) //§5.1: 非預期例外須告知, 不靜默吞 (失敗時 .then 不執行→視窗不關)
-                })
-                .finally(() => {
+                    })
+                    .catch((err) => {
+                        console.log('doSave', err)
+                        vo.$alert(vo.$t('anUnexpectedErrorOccurred'), { type: 'error' }) //§5.1: 非預期例外須告知, 不靜默吞 (失敗時 .then 不執行→視窗不關)
+                    })
+                    .finally(() => {
 
-                    //hide loading
-                    vo.$ui.updateLoading(false)
+                        //hide loading
+                        vo.$ui.updateLoading(false)
 
-                })
+                    })
+            }, opt)
 
         },
 
@@ -1122,6 +1122,12 @@ export default {
 
             let vo = this
 
+            //單例: 對話框開啟中再次開啟(如焦點留在開啟鈕時按 Enter)時, 舊階段之等待者視同關閉(reject('close window'), 同 clickClose;
+            //對已結束者無作用), 否則其 promise 永久懸置 (ADR-025; 同 CheckYes / CheckYesNo)
+            if (vo.pm) {
+                vo.pm.reject('close window')
+            }
+
             //pm
             vo.pm = genPm()
 

package/src/fetchJson.mjs

@@ -1,3 +1,28 @@
+import get from 'lodash-es/get.js'
+import isestr from 'wsemi/src/isestr.mjs'
+
+
+let reName = /^[A-Za-z]{1,40}$/
+let reCode = /^[A-Z][A-Z0-9_]{1,40}$/
+
+
+//errDesc: 例外只取名稱(與代碼形狀之 cause.code / code), 不取 message(spec/設計要點與取捨.md ADR-023)
+//why: fetch 例外之 message 可能含完整網址('Failed to parse URL from <url>'、'Request cannot be constructed from a URL that includes credentials: <url>'),
+//而網址常帶權杖(?token=); JSON 解析錯誤之 message 夾帶回應本體片段. reject 物件會經 perm.conn / provideTabs 交給呼叫端與其 log
+function errDesc(err) {
+    let name = get(err, 'name')
+    let s = (isestr(name) && reName.test(name)) ? name : 'Error'
+    let code = get(err, 'cause.code')
+    if (!(isestr(code) && reCode.test(code))) {
+        code = get(err, 'code')
+    }
+    if (isestr(code) && reCode.test(code)) {
+        s += ` ${code}`
+    }
+    return s
+}
+
+
 /**
  * 以瀏覽器與 node(18+) 內建之 fetch 取得 JSON 回應, 取代 axios(2026-09-07 起本套件不再依賴 axios)
  *
@@ -5,6 +30,7 @@
  *   - 網路錯誤或非 2xx: axios 會 reject, fetch 只在網路錯誤 reject, 故此處對 !res.ok 亦 reject, 統一為 { kind: 'request', status, message }
  *   - 回應非 JSON: axios 回原字串(呼叫端判 state 失敗), 此處 res.json() 失敗 reject { kind: 'parse', status, message }
  *   - 成功: resolve 解析後之 JSON(對應 axios 之 res.data)
+ * reject 之 message 只含例外名稱與代碼(如 'TypeError ECONNREFUSED'、'SyntaxError')或 'HTTP <status>', 不含網址與回應本體(網址常帶權杖)
  * 注意: node 端 fetch(undici) 不讀 HTTP_PROXY / HTTPS_PROXY 環境變數(axios 會), 需走 proxy 之部署須自行以 opt.dispatcher 注入 undici Agent
  *
  * @param {String} url 輸入請求網址字串
@@ -19,7 +45,7 @@ async function fetchJson(url, opt = {}) {
         res = await fetch(url, opt)
     }
     catch (err) {
-        return Promise.reject({ kind: 'request', status: 0, message: String((err && err.message) || err) })
+        return Promise.reject({ kind: 'request', status: 0, message: errDesc(err) })
     }
 
     //check status
@@ -32,7 +58,7 @@ async function fetchJson(url, opt = {}) {
         return await res.json()
     }
     catch (err) {
-        return Promise.reject({ kind: 'parse', status: res.status, message: String((err && err.message) || err) })
+        return Promise.reject({ kind: 'parse', status: res.status, message: errDesc(err) })
     }
 
 }

package/src/getPerm.mjs

@@ -2,7 +2,6 @@ import get from 'lodash-es/get.js'
 import isestr from 'wsemi/src/isestr.mjs'
 import iseobj from 'wsemi/src/iseobj.mjs'
 import isfun from 'wsemi/src/isfun.mjs'
-import ispm from 'wsemi/src/ispm.mjs'
 import fetchJson from './fetchJson.mjs'
 
 
@@ -25,7 +24,9 @@ async function getPerm(url, tokenTar, opt = {}) {
     if (url.indexOf('token={token}') < 0) {
         return Promise.reject('noTokenInUrl')
     }
-    url = url.replaceAll('{token}', tokenTar)
+    //代入: 值經 encodeURIComponent 並以 split / join 取代(ADR-023); 不用 replaceAll——其取代字串會解讀 $` $& $' 等樣式(可把佔位符前之網址前綴複製進查詢值),
+    //不編碼時 + 被伺服端解成空白、& 與 = 形成額外參數. 對 UUID、英數與 -_.~ 為恆等轉換
+    url = url.split('{token}').join(encodeURIComponent(tokenTar))
     // console.log('getPerm: url', url)
 
     //get, 內建 fetch(不依賴 axios); 網路錯誤或非 2xx → cannotGetUserByUrl, 回應非 JSON → cannotGetUserDataByUrl(對齊 axios 時期語意)
@@ -65,10 +66,12 @@ async function getPerm(url, tokenTar, opt = {}) {
     //check
     if (isfun(funConvertPerm)) {
 
-        //funConvertPerm
-        ur = funConvertPerm(ur)
-        if (ispm(ur)) {
-            ur = await ur
+        //funConvertPerm, 同步拋錯或 reject 一律 reject 'noUserDataAfterConvert'(部署方之錯誤原文不上拋, ADR-023)
+        try {
+            ur = await funConvertPerm(ur) //await 於 try 內: 同步拋錯、reject 與 thenable 之 reject 皆攔截; 非 Promise 之回傳原樣取得
+        }
+        catch (err) {
+            return Promise.reject('noUserDataAfterConvert')
         }
         // console.log('getPerm ur(funConvertPerm)', ur)
 

package/src/getPermUserInfor.mjs

@@ -2,7 +2,6 @@ import get from 'lodash-es/get.js'
 import isestr from 'wsemi/src/isestr.mjs'
 import iseobj from 'wsemi/src/iseobj.mjs'
 import isfun from 'wsemi/src/isfun.mjs'
-import ispm from 'wsemi/src/ispm.mjs'
 import fetchJson from './fetchJson.mjs'
 
 
@@ -24,12 +23,14 @@ async function getPermUserInfor(url, tokenSelf, userIdTar, opt = {}) {
     //funConvertPerm
     let funConvertPerm = get(opt, 'funConvertPerm')
 
-    //url
-    if (url.indexOf('token={sysToken}') < 0 && url.indexOf('userId={userId}') < 0) {
+    //url, 兩個佔位符缺一即拒(原為 &&: 只有兩者皆缺才拒, 缺一時仍送出請求; 對齊 w-web-sso ADR-056 修正紀錄)
+    if (url.indexOf('token={sysToken}') < 0 || url.indexOf('userId={userId}') < 0) {
         return Promise.reject('noTokenUserIdInUrl')
     }
-    url = url.replaceAll('{sysToken}', tokenSelf) //系統介接用permToken
-    url = url.replaceAll('{userId}', userIdTar)
+    //代入: 值經 encodeURIComponent 並以 split / join 取代(ADR-023); 不用 replaceAll——其取代字串會解讀 $` $& $' 等樣式(userIdTar 含 $` 時會把已代入之介接權杖複製進 userId),
+    //不編碼時 + 被伺服端解成空白、& 與 = 形成額外參數, 值內之 {userId} 字樣亦會被二次代入. 對 UUID、英數與 -_.~ 為恆等轉換
+    url = url.split('{sysToken}').join(encodeURIComponent(tokenSelf)) //系統介接用permToken
+    url = url.split('{userId}').join(encodeURIComponent(userIdTar))
     // console.log('getPermUserInfor: url', url)
 
     //get, 內建 fetch(不依賴 axios); 網路錯誤或非 2xx → cannotGetUserByUrl, 回應非 JSON → cannotGetUserDataByUrl(對齊 axios 時期語意)
@@ -69,10 +70,12 @@ async function getPermUserInfor(url, tokenSelf, userIdTar, opt = {}) {
     //check
     if (isfun(funConvertPerm)) {
 
-        //funConvertPerm
-        ur = funConvertPerm(ur)
-        if (ispm(ur)) {
-            ur = await ur
+        //funConvertPerm, 同步拋錯或 reject 一律 reject 'noUserDataAfterConvert'(部署方之錯誤原文不上拋, ADR-023)
+        try {
+            ur = await funConvertPerm(ur) //await 於 try 內: 同步拋錯、reject 與 thenable 之 reject 皆攔截; 非 Promise 之回傳原樣取得
+        }
+        catch (err) {
+            return Promise.reject('noUserDataAfterConvert')
         }
         // console.log('getPermUserInfor ur(funConvertPerm)', ur)
 

package/src/js/legendFit.mjs

@@ -0,0 +1,153 @@
+//圖例排版: 供事件發生頻率圖(LayoutContentStaInfor)使用. 一般式(plain, 可換行)圖例放得下時維持現狀, 放不下(會壓到最上方刻度與繪圖區)時改捲動式(scroll, 單列+翻頁)
+//判定以「離屏量測實例」計算一般式圖例於指定寬度之實際排版, 為寬度與名稱集合之純函數:
+//  不讀可見圖之顯示列表(echarts resize 不 flush zrender, resize 後讀到的是上一個寬度之圖例, echarts.js:964-1012);
+//  不在可見圖上試排(類型改變即重建圖例模型, 捲動式頁次會歸零, 帶回頁次則每次滑動 800ms)
+//本檔無外部相依, 日後可原樣移入 w-echarts-vue(src/js/)
+
+
+//GRID_TOP: 繪圖區頂(px), 同 echarts 6.1.0 預設(GridModel.js:84 top:65), 於 option 明寫以防預設變動
+let GRID_TOP = 65
+
+//LEGEND_MAX_BOTTOM: 一般式圖例底緣上限(px). 最上方 y 軸刻度文字以繪圖區頂為中線(字高 12 → 半高 6), 再留白 2 → 65-6-2=57
+//  實測(echarts 6.1.0, 列距 21): 1 列底 18、2 列底 39(安全)、3 列底 60(擦到刻度)、4 列底 81(壓進繪圖區)
+let LEGEND_MAX_BOTTOM = GRID_TOP - 6 - 2
+
+
+/**
+ * 產生圖例設定(單一來源), genOpt 與執行期切換類型共用
+ *
+ * 切換類型(plain↔scroll)時 echarts 以新傳入之選項重建圖例模型(Global.js:322-344), 未帶之設定一律回到預設, 故每次都須帶齊
+ *
+ * @param {String} [type='plain'] 輸入圖例類型字串, 'plain'或'scroll', 預設'plain'
+ * @returns {Object} 回傳echarts之legend設定物件
+ */
+function genLegend(type = 'plain') {
+    let legend = {
+        show: true,
+        top: 0, //須明給: echarts 6 起 legend 預設由 top:0 改為 bottom, 不給會落到底部壓住 x 軸時間標籤; 切換類型時亦須帶(類型改變即重建圖例模型)
+        type,
+    }
+    if (type === 'scroll') {
+        legend.tooltip = { show: true } //捲動式僅出現於窄版, 單一項目可能寬於可視窗而被裁, 滑過顯示全名(靜止畫面不變)
+    }
+    return legend
+}
+
+
+/**
+ * 依量測結果決定圖例類型
+ *
+ * @param {Object|null} m 輸入量測結果物件{rows,bottom}, 量測失敗為null
+ * @returns {String} 回傳'plain'或'scroll', 量測失敗回'scroll'(單列, 不會重疊)
+ */
+function decideLegendType(m) {
+    if (!m || typeof m.bottom !== 'number') {
+        return 'scroll'
+    }
+    return m.bottom <= LEGEND_MAX_BOTTOM ? 'plain' : 'scroll'
+}
+
+
+/**
+ * 建立離屏量測器: 以未掛入DOM之echarts實例, 計算一般式圖例於指定寬度之排版
+ *
+ * 量測實例僅含圖例、隱藏之座標軸與同名空系列, 故顯示列表中「文字等於系列名」之元素即圖例項目(不會與軸刻度文字撞名)
+ *
+ * @param {Object} echarts 輸入echarts命名空間物件, 須與圖表同一份(例如w-echarts-vue之iniEcharts()), 字型與版面規則方能一致
+ * @returns {Object} 回傳物件, 含measure(names,width,height)與dispose(); measure回傳{rows,bottom}(bottom為圖例底緣距圖表頂之px), 量不到回null
+ */
+function createLegendMeasurer(echarts) {
+    let el = null
+    let chart = null
+
+    let measure = (names, width, height = 300) => {
+
+        //check
+        if (!Array.isArray(names) || names.length === 0) {
+            return null
+        }
+        if (!(width > 0) || !(height > 0)) {
+            return null
+        }
+
+        //uniq
+        let uniq = []
+        for (let name of names) {
+            if (uniq.indexOf(name) < 0) {
+                uniq.push(name)
+            }
+        }
+
+        try {
+
+            //chart, 首次建立後重用
+            if (!chart) {
+                el = document.createElement('div')
+                chart = echarts.init(el, null, { width, height })
+            }
+            else {
+                chart.resize({ width, height })
+            }
+
+            //setOption, 同步排版(notMerge整體置換)
+            chart.setOption({
+                animation: false,
+                legend: genLegend('plain'),
+                xAxis: { type: 'category', show: false, data: [] },
+                yAxis: { type: 'value', show: false },
+                series: uniq.map((name) => {
+                    return { name, type: 'line', data: [] }
+                }),
+            }, { notMerge: true })
+
+            //圖例項目: 顯示列表中文字等於系列名者, 以其頂緣去重計列數、取最大底緣
+            let tops = []
+            let bottom = 0
+            let n = 0
+            for (let e of chart.getZr().storage.getDisplayList(true)) {
+                let t = e.style && e.style.text
+                if (!t || uniq.indexOf(t) < 0 || typeof e.transformCoordToGlobal !== 'function') {
+                    continue
+                }
+                let r = e.getBoundingRect()
+                let top = e.transformCoordToGlobal(r.x, r.y)[1]
+                let btm = e.transformCoordToGlobal(r.x, r.y + r.height)[1]
+                let tr = Math.round(top)
+                if (tops.indexOf(tr) < 0) {
+                    tops.push(tr)
+                }
+                bottom = Math.max(bottom, btm)
+                n++
+            }
+
+            //check, 找到之圖例文字數須等於系列名數, 否則視為量測失敗
+            if (n !== uniq.length) {
+                return null
+            }
+
+            return { rows: tops.length, bottom }
+        }
+        catch (err) {
+            return null
+        }
+    }
+
+    let dispose = () => {
+        if (chart) {
+            chart.dispose()
+        }
+        chart = null
+        el = null
+    }
+
+    return { measure, dispose }
+}
+
+
+export {
+    GRID_TOP,
+    LEGEND_MAX_BOTTOM,
+    genLegend,
+    decideLegendType,
+    createLegendMeasurer
+}

package/src/plugins/mUI.mjs

@@ -7,11 +7,16 @@ import isestr from 'wsemi/src/isestr.mjs'
 import isfun from 'wsemi/src/isfun.mjs'
 import waitFun from 'wsemi/src/waitFun.mjs'
 // import WUiDwload from 'w-ui-dwload/src/WUiDwload.mjs'
+import submitGuard from './submitGuard.mjs'
 
 
 let vo = Vue.prototype
 
 
+//sg, 送出類操作之前端雙擊防護 (見 submitGuard.mjs, ADR-025)
+let sg = submitGuard()
+
+
 //連線建立前的 fallback 專用, 僅含連線狀態字串, 其餘語系皆由後端提供
 let kpFallback = {
     csIng: {
@@ -49,6 +54,20 @@ function updateConnState(connState) {
 
 function updateLoading(loading) {
     vo.$store.commit(vo.$store.types.UpdateLoading, loading)
+
+    //全頁 loading 關閉(請求結束)時釋放送出中按鈕之 promiseUnlock 鎖, 結果訊息框出現時按鈕已恢復; 流程狀態仍在, 訊息框開啟期間之重入仍擋 (ADR-025)
+    if (!loading) {
+        sg.releaseBtnLocks()
+    }
+
+}
+
+
+//runSubmit: 有副作用之送出流程一律經此執行, 同 key 進行中再觸發即略過(按鈕之滑鼠與鍵盤 Enter 同一狀態);
+//opt.pm 傳入按鈕之 promiseUnlock 鎖(msg.pm), 由本機制於請求結束時釋放, handler 不自行 resolve;
+//fn 收到 unlock(未打 API 即開訊息框之早退路徑於開框前呼叫, 只釋放本次按鈕鎖)與 opt.hold 見 submitGuard.mjs (ADR-025)
+function runSubmit(key, fn, opt = {}) {
+    return sg.run(key, fn, opt)
 }
 
 
@@ -263,6 +282,7 @@ let mUI = {
 
     updateConnState,
     updateLoading,
+    runSubmit,
     // updateViewState,
     updateUserToken,
     updateUserSelf,

package/src/plugins/reuseDeletedIds.mjs

@@ -0,0 +1,64 @@
+import get from 'lodash-es/get.js'
+import map from 'lodash-es/map.js'
+import each from 'lodash-es/each.js'
+
+
+/**
+ * 新增列沿用資料庫既有 id 時之正規化 (標的清單專用, 其 id 為可就地改寫之標的路徑; ADR-025)
+ *
+ * 同一次儲存中刪除(或把 id 改掉)某既有列, 又新增一列並把 id 改成該既有列之 id, 淨效果為「修改該列」:
+ * 該新增列改為一般列送出(_isNew 設 false), 建立者 / 建立時間沿用資料庫之值(修改者 / 修改時間由後端寫入).
+ * 否則後端之「新增列已存在即拒絕」(saveNewRowExists, 擋同一包重送) 會把它當重送擋下, 且重新整理後重做仍被擋;
+ * 亦避免以前端佔位字({待自動給予})覆寫建立者 / 建立時間.
+ * 只處理 id 於 rows 內唯一者; 重複 id 不處理, 由後端 ckKey 回 saveRowFieldDuplicate.
+ * 使用者 / 群組 / 權限清單之 id 為系統產生且不可編輯, 新增列不會與既有列同 id, 不需此處理.
+ *
+ * @param {Array} rows 輸入欲送出之列陣列(清單之 opt.rows), 不修改
+ * @param {Array} rowsDb 輸入資料庫之列陣列(前端 store 之同表資料)
+ * @returns {Array} 回傳正規化後之新陣列
+ */
+function reuseDeletedIds(rows, rowsDb) {
+
+    //kpDb, kpCount: 以 Map 存放, 不以 lodash get 取值(標的 id 為路徑, 可能含「.」而被當成巢狀路徑)
+    let kpDb = new Map()
+    each(rowsDb, (r) => {
+        kpDb.set(get(r, 'id', ''), r)
+    })
+    let kpCount = new Map()
+    each(rows, (r) => {
+        let id = get(r, 'id', '')
+        kpCount.set(id, (kpCount.get(id) || 0) + 1)
+    })
+
+    let rs = map(rows, (r) => {
+        let id = get(r, 'id', '')
+
+        //非新增列
+        if (get(r, '_isNew') !== true) {
+            return r
+        }
+
+        //資料庫無此 id: 真正之新增
+        if (!kpDb.has(id)) {
+            return r
+        }
+        let rDb = kpDb.get(id)
+
+        //rows 內重複 id: 不處理
+        if (kpCount.get(id) !== 1) {
+            return r
+        }
+
+        return {
+            ...r,
+            _isNew: false,
+            userId: get(rDb, 'userId', ''),
+            timeCreate: get(rDb, 'timeCreate', ''),
+        }
+    })
+
+    return rs
+}
+
+
+export default reuseDeletedIds

package/src/plugins/submitGuard.mjs

@@ -0,0 +1,91 @@
+import get from 'lodash-es/get.js'
+import each from 'lodash-es/each.js'
+import isfun from 'wsemi/src/isfun.mjs'
+import haskey from 'wsemi/src/haskey.mjs'
+
+
+/**
+ * 送出類操作之前端雙擊防護核心 (與 Vue / store 無關, 供單元測試; 由 mUI 之 runSubmit 與 updateLoading 使用, ADR-025)
+ *
+ * - run(key, fn, opt): 同 key 之送出流程進行中(自觸發起至流程結束, 含結果訊息框開啟期間)再觸發即略過.
+ *   按鈕之滑鼠與鍵盤 Enter、輸入框之 Enter 等入口共用同一狀態.
+ *   opt.pm 為 WButtonChip / WButtonCircle 之 promiseUnlock 鎖(click 事件之 msg.pm), 於 releaseBtnLocks()(全頁 loading 關閉, 即請求結束)
+ *   或流程結束時釋放; 被略過之觸發亦立即釋放其 pm, 否則該按鈕永久鎖住.
+ *   fn 收到 unlock 函數: 流程需先開確認框者於開框前呼叫, 按鈕鎖只涵蓋請求期間(確認框背後之按鈕不顯示載入圖示), 重入仍由流程狀態擋.
+ *   opt.hold 為函數, 輸入流程結果, 回傳 true 時保持占位與按鈕鎖(如登入成功轉址, 頁面即將離開).
+ * - releaseBtnLocks(): 釋放進行中流程所登記之按鈕鎖, 流程狀態不變(結果訊息框開啟期間之重入仍擋).
+ * - isRunning(key): 查詢 key 是否進行中.
+ *
+ * 為何需要: 全頁 loading(WDialog)不搶焦點, 只擋滑鼠, 鍵盤事件仍送達背後之按鈕與輸入框;
+ * 按鈕鎖若於 handler 第一行即解除, 鍵盤連按照樣送出(2026-09-29 實測).
+ *
+ * @returns {Object} 回傳 { run, releaseBtnLocks, isRunning }
+ */
+function submitGuard() {
+
+    //kpRunning, 進行中流程: key → { unlock }
+    let kpRunning = {}
+
+    let run = (key, fn, opt = {}) => {
+
+        //unlock, 釋放本次觸發之按鈕鎖; pm.resolve 重複呼叫無作用
+        let pm = get(opt, 'pm', null)
+        let unlock = () => {
+            if (pm && isfun(pm.resolve)) {
+                pm.resolve()
+            }
+        }
+
+        //同 key 進行中: 略過, 並立即釋放本次觸發之按鈕鎖
+        if (haskey(kpRunning, key)) {
+            unlock()
+            return Promise.resolve(null)
+        }
+
+        //占位
+        kpRunning[key] = { unlock }
+
+        //hold
+        let hold = get(opt, 'hold', null)
+
+        //end
+        let end = () => {
+            unlock()
+            delete kpRunning[key]
+        }
+
+        return Promise.resolve()
+            .then(() => {
+                return fn(unlock)
+            })
+            .then((r) => {
+                if (isfun(hold) && hold(r) === true) {
+                    return r //保持占位與按鈕鎖
+                }
+                end()
+                return r
+            }, (err) => {
+                end()
+                return Promise.reject(err)
+            })
+    }
+
+    let releaseBtnLocks = () => {
+        each(kpRunning, (v) => {
+            v.unlock()
+        })
+    }
+
+    let isRunning = (key) => {
+        return haskey(kpRunning, key)
+    }
+
+    return {
+        run,
+        releaseBtnLocks,
+        isRunning,
+    }
+}
+
+
+export default submitGuard

package/srv.mjs

@@ -55,7 +55,20 @@ let getUserByToken = async (token) => {
             isAdmin: 'n',
         }
     }
-    console.log('invalid token', token)
+    if (process.env.NODE_ENV !== 'production') { //測試用權杖(非 production 才有), 供 test/api-tokenSafety 驗證注入函數失敗時不外洩(W 契約, spec/設計要點與取捨.md ADR-023)
+        if (token === '{token-for-reject}') { //模擬部署方以舊版 w-web-sso helper(≤1.1.4)注入: 失敗時 reject 之字串含已代入系統介接權杖(合成秘密)與使用者權杖之完整網址
+            return Promise.reject(`can not get user data by url[http://127.0.0.1:11007/api/getSsoUserInfor?token=SYNTH-SYS-SECRET-FOR-TEST&key=token&value=${token}]`)
+        }
+        if (token === '{token-for-verify-throw}') { //回有效使用者, 但 verifyClientUser / verifyAppUser 對其拋錯(Error.message 為合成秘密), 模擬部署方驗證函數拋錯
+            return {
+                id: 'id-for-verify-throw',
+                name: 'verify-throw',
+                email: 'verify-throw@example.com',
+                isAdmin: 'y',
+            }
+        }
+    }
+    console.log('invalid token') //不印權杖值(ADR-023)
     return {}
 }
 
@@ -63,6 +76,9 @@ let verifyClientUser = (user, from) => {
     // console.log('verifyClientUser/user', user)
     // console.log('於生產環境時得加入限制瀏覽器使用者身份機制')
     // return false //測試無法登入
+    if (process.env.NODE_ENV !== 'production' && user.id === 'id-for-verify-throw') { //測試用: 見 getUserByToken 之 '{token-for-verify-throw}'
+        throw new Error('SYNTH-VERIFY-SECRET-FOR-TEST')
+    }
     return user.isAdmin === 'y' //測試僅系統管理者使用
 }
 
@@ -70,6 +86,9 @@ let verifyAppUser = (user, from) => {
     // console.log('verifyAppUser/user', user)
     // console.log('於生產環境時得加入限制應用程式使用者身份機制')
     // return false //測試無法登入
+    if (process.env.NODE_ENV !== 'production' && user.id === 'id-for-verify-throw') { //測試用: 見 getUserByToken 之 '{token-for-verify-throw}'
+        throw new Error('SYNTH-VERIFY-SECRET-FOR-TEST')
+    }
     return user.isAdmin === 'y' //測試僅系統管理者使用
 }
 

package/dist/css/app.506ce4d8.css

@@ -1 +0,0 @@
-.bg-gray-100[data-v-b5db7122]{--tw-bg-opacity:1;background-color:rgb(243 244 246/var(--tw-bg-opacity,1))}.bg-gray-50[data-v-b5db7122]{--tw-bg-opacity:1;background-color:rgb(249 250 251/var(--tw-bg-opacity,1))}.bg-white[data-v-b5db7122]{--tw-bg-opacity:1;background-color:rgb(255 255 255/var(--tw-bg-opacity,1))}.border[data-v-b5db7122]{border-width:1px}.border-collapse[data-v-b5db7122]{border-collapse:collapse}.border-solid[data-v-b5db7122]{border-style:solid}.border-gray-200[data-v-b5db7122]{--tw-border-opacity:1;border-color:rgb(229 231 235/var(--tw-border-opacity,1))}.border-gray-300[data-v-b5db7122]{--tw-border-opacity:1;border-color:rgb(209 213 219/var(--tw-border-opacity,1))}.flex[data-v-b5db7122]{display:-webkit-box;display:-ms-flexbox;display:flex}.focus\:ring-blue-500[data-v-b5db7122]:focus{--tw-ring-opacity:1;--tw-ring-color:rgb(59 130 246/var(--tw-ring-opacity,1))}.font-medium[data-v-b5db7122]{font-weight:500}.font-semibold[data-v-b5db7122]{font-weight:600}.h-4[data-v-b5db7122]{height:1rem}.hover\:bg-gray-50[data-v-b5db7122]:hover{--tw-bg-opacity:1;background-color:rgb(249 250 251/var(--tw-bg-opacity,1))}.items-center[data-v-b5db7122]{-webkit-box-align:center;-ms-flex-align:center;align-items:center}.justify-end[data-v-b5db7122]{-webkit-box-pack:end;-ms-flex-pack:end;justify-content:flex-end}.mb-8[data-v-b5db7122]{margin-bottom:2rem}.ml-2[data-v-b5db7122]{margin-left:.5rem}.mr-2[data-v-b5db7122]{margin-right:.5rem}.mt-2[data-v-b5db7122]{margin-top:.5rem}.overflow-x-auto[data-v-b5db7122]{overflow-x:auto}.p-5[data-v-b5db7122]{padding:1.25rem}.pb-2[data-v-b5db7122]{padding-bottom:.5rem}.px-2[data-v-b5db7122]{padding-left:.5rem;padding-right:.5rem}.px-6[data-v-b5db7122]{padding-left:1.5rem;padding-right:1.5rem}.py-1[data-v-b5db7122]{padding-top:.25rem;padding-bottom:.25rem}.py-3[data-v-b5db7122]{padding-top:.75rem;padding-bottom:.75rem}.py-4[data-v-b5db7122]{padding-top:1rem;padding-bottom:1rem}.relative[data-v-b5db7122]{position:relative}.rounded[data-v-b5db7122]{border-radius:.25rem}.rounded-lg[data-v-b5db7122]{border-radius:.5rem}.shadow-md[data-v-b5db7122]{--tw-shadow:0 4px 6px -1px rgba(0,0,0,.1),0 2px 4px -2px rgba(0,0,0,.1);--tw-shadow-colored:0 4px 6px -1px var(--tw-shadow-color),0 2px 4px -2px var(--tw-shadow-color);-webkit-box-shadow:var(--tw-ring-offset-shadow,0 0 #0000),var(--tw-ring-shadow,0 0 #0000),var(--tw-shadow);box-shadow:var(--tw-ring-offset-shadow,0 0 #0000),var(--tw-ring-shadow,0 0 #0000),var(--tw-shadow)}.space-x-4[data-v-b5db7122]>:not([hidden])~:not([hidden]){--tw-space-x-reverse:0;margin-right:calc(1rem*var(--tw-space-x-reverse));margin-left:calc(1rem*(1 - var(--tw-space-x-reverse)))}.space-y-8[data-v-b5db7122]>:not([hidden])~:not([hidden]){--tw-space-y-reverse:0;margin-top:calc(2rem*(1 - var(--tw-space-y-reverse)));margin-bottom:calc(2rem*var(--tw-space-y-reverse))}.text-blue-600[data-v-b5db7122]{--tw-text-opacity:1;color:rgb(37 99 235/var(--tw-text-opacity,1))}.text-gray-500[data-v-b5db7122]{--tw-text-opacity:1;color:rgb(107 114 128/var(--tw-text-opacity,1))}.text-gray-700[data-v-b5db7122]{--tw-text-opacity:1;color:rgb(55 65 81/var(--tw-text-opacity,1))}.text-gray-900[data-v-b5db7122]{--tw-text-opacity:1;color:rgb(17 24 39/var(--tw-text-opacity,1))}.text-left[data-v-b5db7122]{text-align:left}.text-lg[data-v-b5db7122]{font-size:1.125rem;line-height:1.75rem}.text-purple-600[data-v-b5db7122]{--tw-text-opacity:1;color:rgb(147 51 234/var(--tw-text-opacity,1))}.text-sm[data-v-b5db7122]{font-size:.875rem;line-height:1.25rem}.text-xs[data-v-b5db7122]{font-size:.75rem;line-height:1rem}.transition-colors[data-v-b5db7122]{-webkit-transition-property:color,background-color,border-color,text-decoration-color,fill,stroke;transition-property:color,background-color,border-color,text-decoration-color,fill,stroke;-webkit-transition-timing-function:cubic-bezier(.4,0,.2,1);transition-timing-function:cubic-bezier(.4,0,.2,1);-webkit-transition-duration:.15s;transition-duration:.15s}.w-4[data-v-b5db7122]{width:1rem}.w-full[data-v-b5db7122]{width:100%}.staCtrl[data-v-b5db7122]{-webkit-box-pack:justify;-ms-flex-pack:justify;justify-content:space-between;-webkit-box-align:start;-ms-flex-align:start;align-items:flex-start;gap:12px;padding:8px 0}.staCtrlRight[data-v-b5db7122],.staCtrl[data-v-b5db7122]{display:-webkit-box;display:-ms-flexbox;display:flex;-ms-flex-wrap:wrap;flex-wrap:wrap}.staCtrlRight[data-v-b5db7122]{-webkit-box-align:center;-ms-flex-align:center;align-items:center;gap:16px}body,html{font-family:微軟正黑體,Microsoft JhengHei,MicrosoftJhengHeiRegular,Avenir,Helvetica,Arial,sans-serif;overflow-y:hidden}a,button,div,input,p,pre,span,textarea{font-family:inherit}.fade-enter-active{-webkit-animation:go 1s;animation:go 1s}.fade-leave-active{-webkit-animation:back 1s;animation:back 1s}@-webkit-keyframes go{0%{opacity:0}to{opacity:1}}@keyframes go{0%{opacity:0}to{opacity:1}}@-webkit-keyframes back{0%{opacity:1}to{opacity:0}}@keyframes back{0%{opacity:1}to{opacity:0}}