RBAC & RLS trong Firebase

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {

    // Utility functions
    function isAuthed()  { return request.auth != null; }
    function userRole()  { return request.auth.token.role; }
    function isAdmin()   { return isAuthed() && userRole() == 'admin'; }
    function isManager() { return isAuthed() && userRole() in ['manager', 'admin']; }

    // Rules for each collection
    match /projects/{projectId}/tasks/{taskId} {
      // RBAC: any authenticated user can read
      allow read: if isAuthed();

      // RBAC + RLS: member can create only their own task
      allow create: if isAuthed() && request.resource.data.assignee == request.auth.uid;

      // RBAC + RLS: only owner or manager can update
      allow update: if isAuthed() && (resource.data.assignee == request.auth.uid || isManager());

      // RBAC: only admin can delete
      allow delete: if isAdmin();
    }
  }
}

Tôi cần thiết lập hệ thống role cho ProjectOS với 5 vai trò:
viewer, member, manager, finance, admin.

Yêu cầu:
1. Lưu role dưới dạng Firebase Custom Claims (set qua Cloud Function).
2. Đồng thời mirror role sang field `role` trong document `users/{uid}`
   để FE đọc nhanh mà không cần refresh token.
3. Viết hook `useUserRole()` trả về role hiện tại + helper isAdmin(),
   isManager(), canEdit() — đặt trong src/hooks/useUserRole.ts.
4. Cập nhật AuthContext để load role ngay sau login.

Làm theo feature-playbook.md, dùng TypeScript, không dùng `any`.

Đọc file .claude/docs/firebase.md và bảng phân quyền sau:

[PASTE BẢNG MA TRẬN QUYỀN TỪ MỤC 7]

Hãy viết file firestore.rules HOÀN CHỈNH cho ProjectOS với:
- Helper functions ở đầu: isAuthed(), userRole(), isAdmin(), isManager(),
  isFinance(), hasMinRole(role).
- Match từng collection theo schema thực tế trong .claude/docs/firebase.md.
- Áp dụng cả RBAC và RLS như bảng yêu cầu.
- Cấm tuyệt đối client tự sửa field `role` trong users/{uid}.
- Cấm tuyệt đối FE ghi vào activity logs (chỉ Cloud Function ghi).
- Comment tiếng Việt giải thích từng rule cho người non-IT đọc lại.

Sau khi viết xong, list ra các index Firestore cần thêm.

Viết Cloud Function v2 (TypeScript, onCall) tên `setUserRole`:

- Chỉ gọi được bởi user có custom claim role == 'admin'.
- Input: { targetUserId: string, newRole: 'viewer'|'member'|'manager'|'finance'|'admin' }.
- Validate input bằng Zod.
- Set custom claim cho targetUserId.
- Update users/{targetUserId}.role và updatedAt.
- Ghi log vào collection `auditLogs/` với { actorId, targetUserId, oldRole, newRole, timestamp }.
- Trả về { success: true, newRole }.

Lưu vào functions/src/admin/setUserRole.ts. Export trong functions/src/index.ts.

Viết bộ test cho firestore.rules dùng @firebase/rules-unit-testing.

Test các kịch bản:
1. viewer cố đọc /projects/default/budget → DENY
2. member tạo task với assignee = chính mình → ALLOW
3. member tạo task với assignee = người khác → DENY
4. member sửa task của người khác → DENY
5. manager xoá task → ALLOW
6. member cố update users/{me}.role thành 'admin' → DENY
7. finance đọc budget → ALLOW
8. user chưa đăng nhập → DENY mọi thứ

Đặt file ở firestore-tests/rules.test.ts. Hướng dẫn tôi cách chạy:
  npm install --save-dev @firebase/rules-unit-testing
  firebase emulators:exec --only firestore "npm test"

Trong src/hooks/useUserRole.ts đã có sẵn useUserRole(), isAdmin(), isManager().

Hãy refactor các component sau để ẩn/disable nút theo role:
- src/modules/budget/components/BudgetTable.tsx → ẩn nút "Add Expense"
  nếu role không phải finance/admin.
- src/modules/tasks/components/TaskCard.tsx → ẩn icon thùng rác xoá task
  nếu user không phải owner và không phải manager+.
- src/modules/team/components/MemberRow.tsx → ẩn dropdown "Change Role"
  nếu user không phải admin.

Dùng pattern: const { isAdmin, isManager } = useUserRole();
Dùng `<Show when={...}>` nếu đã có, không thì conditional render thường.
KHÔNG hardcode role string trong UI — chỉ dùng helpers từ hook.

Quét toàn bộ src/modules/ và src/app/(dashboard)/ để tìm:

1. Các nút/link cho phép sửa/xoá nhưng KHÔNG kiểm tra role trước.
2. Các hook gọi mutation (create/update/delete) mà UI không có guard.
3. Các page hiển thị data nhạy cảm (budget, salary, role) mà không
   có check role ở component cha.

Output dạng bảng Markdown:
| File | Dòng | Vấn đề | Đề xuất fix |

Không tự sửa code — chỉ liệt kê để tôi review trước.

Tôi cần audit log cho ProjectOS. Mỗi khi có hành động quan trọng,
ghi log vào collection `auditLogs/`.

Yêu cầu:
1. Cloud Function trigger `onDocumentWritten` cho:
   - users/{uid} (đổi role)
   - projects/{id}/budget/{expenseId} (mọi thay đổi)
   - projects/{id}/team/{memberId} (thêm/xoá thành viên)

2. Log entry: { actorId, action, collection, docId, before, after, timestamp }
3. Rules: ai cũng KHÔNG đọc được auditLogs từ client, chỉ admin qua
   Cloud Function `getAuditLogs(filters)`.

Đặt vào functions/src/audit/. Update firestore.rules để chặn read/write
auditLogs từ client.

Hiện tại tất cả user trong users/{uid} đều có role = 'member' (mặc định).
Tôi cần migrate:

1. User có email kết thúc bằng @softech.vn/finance.* → role 'finance'.
2. User trong document config/admins.uids → role 'admin'.
3. Còn lại giữ nguyên 'member'.

Viết script một lần (one-off) chạy bằng Node.js với firebase-admin SDK,
đặt ở scripts/migrate-roles.ts. Script phải:
- Dry-run trước (in ra ai sẽ đổi role gì) — không ghi DB.
- Hỏi xác nhận y/n trước khi chạy thật.
- Set cả custom claim VÀ field users/{uid}.role.
- In kết quả tổng kết cuối cùng.

Hướng dẫn tôi cách lấy service account key và chạy script.

Trong collection projects/{projectId}/team/{memberId} có field `salary`.

Hãy sửa firestore.rules để:
- Mọi user authed đọc được các field cơ bản (name, email, role, avatar).
- Field `salary` chỉ trả về nếu: member.uid == request.auth.uid
  HOẶC userRole() in ['manager', 'finance', 'admin'].

Vì Firestore rules không hỗ trợ field-level read, hãy:
1. Tách salary ra subcollection projects/{pid}/team/{mid}/private/compensation
2. Áp rule cho subcollection đó.
3. Update useTeam() hook để fetch compensation conditionally dựa trên role.

Hiện tại role lưu ở custom claims (1 role cho cả app).
Cần refactor để mỗi user có role KHÁC NHAU theo từng project.

Đề xuất schema mới:
- projects/{projectId}/members/{userId} = { role: '...', joinedAt: ... }
- Custom claim chỉ giữ `globalRole` (cho super-admin app-wide).

Yêu cầu Claude:
1. Đề xuất 2-3 phương án (kèm tradeoff về read latency, security, complexity).
2. Cho tôi chọn rồi mới implement.
3. Sau khi chọn, viết:
   - Schema mới
   - firestore.rules sử dụng `get(/databases/.../projects/{pid}/members/{uid})`
   - Hook useProjectRole(projectId)
   - Migration script từ schema cũ sang mới.

Tôi cần một public dashboard không cần đăng nhập.

Yêu cầu:
1. Tạo document riêng config/public/{projectId} chứa snapshot
   các số liệu công khai (totalTasks, completedRatio, sprintProgress).
2. Cloud Function chạy mỗi 1h để tổng hợp từ data thực và ghi vào doc public.
3. firestore.rules: cho phép `read` document config/public/* mà không cần auth.
4. Mọi collection khác vẫn bắt buộc auth + role như cũ.
5. Tạo route src/app/public/[projectId]/page.tsx hiển thị data này.

KHÔNG được expose bất kỳ data cá nhân hay tài chính nào ra public.

Sửa rule delete cho projects/{pid}/tasks/{taskId}:

allow delete: if isAuthed() && (
  // Case 1: Người tạo, trong 5 phút đầu
  (resource.data.createdBy == request.auth.uid
    && request.time < resource.data.createdAt + duration.value(5, 'm'))
  ||
  // Case 2: Manager+ luôn được xoá
  isManager()
);

Đồng thời:
- Trong TaskCard, nếu user là creator và còn trong 5 phút → hiện nút "Undo" countdown.
- Hết 5 phút thì ẩn nút đi.
- Dùng dayjs để tính countdown realtime.
- Manager+ luôn thấy nút thùng rác.

Thêm field `disabled: boolean` và `disabledReason?: string` vào users/{uid}.

1. Cloud Function `setUserDisabled({ uid, disabled, reason })`:
   - Chỉ admin gọi được.
   - Set Firebase Auth: admin.auth().updateUser(uid, { disabled }).
   - Update users/{uid}.disabled + audit log.

2. firestore.rules: thêm hàm isActive() = get(users/$(uid)).data.disabled != true.
   Áp dụng isActive() vào MỌI rule write (không cho user bị khoá ghi gì cả).

3. AuthContext: nếu phát hiện disabled == true, force logout + show toast.

4. Admin UI: thêm nút "Disable" + textarea reason trong team page.