Ruxsat store — can()/scope_for() UI tomoni

team-lead-ep-09 bog'liqlik qo'shdi

→ EP-09-T07-S02

team-lead-ep-09 yangiladi

Yangilandi: estimate_hours

finalize-ep-09 yangiladi

Yangilandi: pr_url

qa-ep-09-t07-s03-recheck izoh qoldirdi

Qayta tekshiruv (2-aylanish): AC809 testi qayta yozilgan (commit 2047d46, faqat can.directive.spec.ts o'zgargan). Mutatsiya tekshiruvi: can.directive.ts vaqtincha no-op qilindi -> AC809 testi (va 3 boshqa test) qizil chiqdi (159-qator: display toBe('none') fail, actual ''), demak test endi haqiqatan v-can mantig'iga bog'liq, tautologik emas. Fayl git checkout bilan tiklandi, git status toza. To'liq suite: 14 fayl / 89 test, hammasi yashil. git show --stat 2047d46 - faqat kutilgan fayl o'zgargan. AC808/810/811 avvalgi aylanishda tasdiqlangan, o'zgarmagan. Status: done.

qa-ep-09-t07-s03-recheck statusni o'zgartirdi Review → Bajarildi

qa-ep-09-t07-s03-recheck qabul mezonini belgiladi

✓ UI'da yashirilgan amal to'g'ridan-to'g'ri chaqirilsa backend baribir `403` beradi (integratsiya testi)

coder-ep-09-t07-s03 yangiladi

Yangilandi: commit_sha

coder-ep-09-t07-s03 statusni o'zgartirdi Ishlanyapti → Review

coder-ep-09-t07-s03 izoh qoldirdi

QA topilmasi (activity 1237) tuzatildi: AC809 testi can.directive.spec.ts:101-169 da qayta yozildi. Eski test faqat apiClient 403-mapping'ini tekshirardi (errors.spec.ts bilan takror) va v-can'ga umuman bog'liq emas edi. Yangi test: (1) permissions store'da rule yo'q holatda v-can tugmani display:none qilib yashirganini tasdiqlaydi (mutatsiyaga bardosh — direktiva o'chirilsa shu yerda qiziladi), (2) yashirilgan tugmani dasturiy trigger(click) bilan chetlab o'tib bosadi, handler apiClient.post chaqiradi, mock 403 FORBIDDEN qaytaradi va ApiError zanjiri orqali to'g'ri oqishini tekshiradi. Mutatsiya tekshiruvi qo'lda o'tkazildi: vCan mounted/updated/beforeUnmount ni no-op qilib qo'yganda AC808 (3 ta) va AC809 testlari qizil chiqdi, fayl tiklangach 89/89 yashil. npm run build va npm run lint toza.

coder-ep-09-t07-s03 qabul mezonini belgiladi

✓ UI'da yashirilgan amal to'g'ridan-to'g'ri chaqirilsa backend baribir `403` beradi (integratsiya testi)

coder-ep-09-t07-s03 fayllarni qayd etdi

1 ta fayl qayd etildi

qa-ep-09-t07-s03 izoh qoldirdi

QA natijasi — EP-09-T07-S03. Kontrakt (auth.yaml MeResponse/EffectivePermissions, ~qator 1586-1625) va Prism mock (:4010) mos — tekshirildi. AC808/810/811 — kod va test mutatsiya bilan tasdiqlandi (v-can'ni no-op qilib sinaganda AC808 testlari to'g'ri yiqildi; guards.spec.ts + auth.store.spec.ts session/permissions ajratilishini real assert bilan tekshiradi; OrganizationScopeSelect.spec.ts scope='ALL' vs number[] farqini haqiqiy ma'lumot bilan sinaydi). Trigger qarori (router.afterEach → fetchMe) — spec §6.4/AC53 aniq mexanizm belgilamagan, perm_version JWT'da yo'q va ADR-001 push kanali yo'q degan asos to'g'ri, qaror oqilona va hujjatlashtirilgan (auth.store.ts:130-139, guards.ts:44-50) — bu band bo'yicha e'tiroz yo'q. ❌ AC809 YIQILDI — test tautologik (mock'ning o'z javobini tekshiradi, hech narsa isbotlamaydi): Fayl: src/shared/directives/__tests__/can.directive.spec.ts:111-129 (`describe('AC809 — ...')`). Test v-can direktivasi, can()/usePermissions bilan HECH QANDAY bog'liqlik o'rnatmaydi — shunchaki installMockAdapter orqali /users so'roviga qattiq 403 javob sozlaydi va apiClient.post(...) natijasini tekshiradi. Bu aslida errors.spec.ts:43-52'dagi normalizeError 403-mapping testining deyarli aynan takrori (allaqachon boshqa joyda tekshirilgan), permissions/v-can mexanizmiga hech qanday aloqasi yo'q. Mutatsiya isboti: can.directive.ts ichini butunlay no-op qilib (mounted/updated/beforeUnmount bo'sh) qayta yurgizdim — AC808'ning 4 testi kutilganidek YIQILDI, lekin AC809 testi baribir O'TDI (2 passed: 'rule bor foydalanuvchida...' va aynan shu AC809 testi). Ya'ni v-can butunlay o'chirilsa ham bu test buni sezmaydi — demak u hech narsani isbotlamayapti. Keyin faylni asl holiga qaytardim (git diff bo'sh). Kerakli tuzatish: test v-can/can() mexanizmi orqali OQIB o'tishi kerak — masalan: (1) v-can bilan yashirilgan tugmani mount qil, (2) unga bog'langan handler'ni DOM orqali emas, dasturiy chaqir (chunki jsdom'da display:none element ham .trigger('click') bo'ladi — buni ham hisobga ol yoki handler funksiyasini to'g'ridan-to'g'ri chaqir), (3) shu chaqiruv natijasida yuborilgan so'rov mock orqali 403 qaytarishini va bu xato yutilmasdan chaqiruvchiga chiqishini tekshir. Maqsad — v-can yo'qolsa yoki noto'g'ri ishlasa ham bu testning HECH bo'lmasa AC808 orqali ushlanishi emas, balki bu aniq testning o'zi ham UI-yashirish + backend-403 zanjirini haqiqatan qamrab olishi. Test yurgizildi: npm test (89/89 yashil, host node v22, Docker emas), npm run lint (toza), npm run build (vue-tsc + vite, xatosiz).

qa-ep-09-t07-s03 statusni o'zgartirdi Review → Ishlanyapti

qa-ep-09-t07-s03 qabul mezonini belgiladi

✗ UI'da yashirilgan amal to'g'ridan-to'g'ri chaqirilsa backend baribir `403` beradi (integratsiya testi)

qa-ep-09-t07-s03 qabul mezonini belgiladi

✓ Filial tanlagich `GET /organizations` dan to'ladi

qa-ep-09-t07-s03 qabul mezonini belgiladi

✓ Huquq o'zgargach store yangilanadi va foydalanuvchi tizimda qoladi

qa-ep-09-t07-s03 qabul mezonini belgiladi

✓ Rule'i yo'q foydalanuvchida tegishli tugma/menyu ko'rinmaydi

coder-ep-09-t07-s03 yangiladi

Yangilandi: branch, commit_sha

coder-ep-09-t07-s03 statusni o'zgartirdi Ishlanyapti → Review

coder-ep-09-t07-s03 statusni o'zgartirdi Tayyor → Ishlanyapti

coder-ep-09-t07-s03 izoh qoldirdi

Yangilanish trigger qarori (spec aniq mexanizm belgilamagan): perm_version JWT ichida yo'q (09_auth §2.4.3) va ADR-001 bo'yicha push/broker kanali yo'q — real-time signal berish imkonsiz. Tanlangan variant: router.afterEach da har himoyalangan navigatsiyada fon rejimida GET /auth/me qayta so'raladi (refreshPermissionsOnNavigate, src/router/guards.ts), sessiya (token) tegilmaydi (R27). Backend user/perm keshi TTL <=60s bilan mos. mustChangePassword gate ostida chaqirilmaydi. Xato yutiladi (fon yangilanish). AC809 uchun jonli backend yo'qligi sababli apiClient mock/stub bilan 403 FORBIDDEN simulyatsiya qilindi (can.directive.spec.ts). npm test: 89/89 yashil; npm run build (vue-tsc + vite): xatosiz; npm run lint: toza. Docker node:20 muhitida vitest+jsdom o'rtasida (jsdom 30 / undici webidl) preexisting nomuvofiqlik bor edi (mening o'zgarishlarimga aloqasi yo'q) — host node v22 bilan tasdiqlandi, tekshirib chiqing agar CI shu image'ni ishlatsa.

coder-ep-09-t07-s03 qabul mezonini belgiladi

✓ Filial tanlagich `GET /organizations` dan to'ladi

coder-ep-09-t07-s03 qabul mezonini belgiladi

✓ Huquq o'zgargach store yangilanadi va foydalanuvchi tizimda qoladi

coder-ep-09-t07-s03 qabul mezonini belgiladi

✓ UI'da yashirilgan amal to'g'ridan-to'g'ri chaqirilsa backend baribir `403` beradi (integratsiya testi)

coder-ep-09-t07-s03 qabul mezonini belgiladi

✓ Rule'i yo'q foydalanuvchida tegishli tugma/menyu ko'rinmaydi

coder-ep-09-t07-s03 fayllarni qayd etdi

18 ta fayl qayd etildi

team-lead-pm izoh qoldirdi

Kontrakt tuzatildi (Q57 = A, 09_auth.md §6.4/AC53): GET /auth/me endi MeResponse.permissions.rules[]/permissions.scope qaytaradi (rule talab qilinmaydi, self). openapi/v1/auth.yaml + Prism mock yangilandi va tekshirildi. Ruxsat store shu maydondan o'qisin.

team-lead-pm statusni o'zgartirdi Bloklangan → Tayyor

coder-ep-09-t07-s03 statusni o'zgartirdi Ishlanyapti → Bloklangan

Kontrakt bo'shlig'i: GET /api/v1/auth/me (MeResponse, auth.yaml + Prism mock bilan tekshirildi) da rules[]/scope[rule] yoki boshqa har qanday permission maydoni yo'q; JWT ham faqat sub/sid/aud/iat/exp. /users/{id}/permissions faqat to'g'ridan-to'g'ri (guruhsiz) rule qaytaradi, #6.1 effektiv union emas, va self uchun mos emas. can()/scope_for() UI store'ini shu ma'lumotsiz yozib bo'lmaydi — kontraktga effektiv ruxsat ro'yxati (rules[]/scope) qo'shilishi kerak (backend T00 kontrakt agenti). Batafsil: comment.

coder-ep-09-t07-s03 izoh qoldirdi

Kontrakt tekshirildi: erpbom-backend/openapi/v1/auth.yaml — GET /api/v1/auth/me -> MeResponse = UserResponse (id, username, user_type, full_name, phone, status, last_login_at, created_by_user_id, created_at, updated_at) + must_change_password. `rules[]`/`scope[rule]` yoki har qanday permission/effektiv-ruxsat maydoni YO'Q — schema'da ham, Prism mock (http://127.0.0.1:4010/api/v1/auth/me) haqiqiy javobida ham tasdiqlandi (bir xil natija). JWT access token claim'lari ham faqat sub/sid/aud/iat/exp (09_auth.md #2.4.3) — perm_version ATAYLAB token ichida emas. /api/v1/users/{id}/permissions bor, lekin u faqat TO'G'RIDAN-TO'G'RI berilgan (guruhsiz) rule'larni qaytaradi — #6.1 formula (guruh+alohida UNION, scope kengayishi) emas — va user_permission.view huquqi talab qiladi, ya'ni o'ziga (self, hali hech qanday rule'i bo'lmagan yangi userga) ishlatib bo'lmaydi. Xulosa: #6.1 dagi can()/scope_for() hozircha FAQAT backend-ichki kontrakt (server-side @RequirePermission + WHERE qatlami uchun); frontendga uzatiladigan hech qanday endpoint/maydon yo'q. Kerak: /auth/me javobiga (yoki alohida endpoint) effektiv ruxsat ro'yxati qo'shilishi — mas. `rules: string[]` + har rule uchun `scope: "ALL" | number[]` (#6.1 raqamli misolga mos). Bu backend kontrakt o'zgarishi (T00 muzlatilgan) — men openapi faylini o'zgartira olmayman, backend/PM tomonidan kontrakt-o'zgarish tartibi bilan qo'shilishi kerak.

coder-ep-09-t07-s03 statusni o'zgartirdi Backlog → Ishlanyapti

Agent ishni boshladi

coder-ep-09-t07-s03 ishga oldi

pm-agent bog'liqlik qo'shdi

→ EP-09-T07-S02

pm-agent yaratdi

Ruxsat store — can()/scope_for() UI tomoni