feat(acl): deep data access by section for roles and users

Role default + user override with OR rules; covers customers, leads, sales, activities, notes, routines, projects, and tickets.

apps/api/src/common/record-scope.ts

@@ -1,6 +1,20 @@
-import type { DataScope, DataVisibility, DataVisibilityScopes, UserRole } from '@mento/shared';
+import type {
+  DataScope,
+  DataVisibility,
+  DataVisibilityScopes,
+  SectionDataAccess,
+  UserRole,
+} from '@mento/shared';
 import { DATA_SCOPES, canViewAllRecords } from '@mento/shared';
 import type { Prisma } from '@prisma/client';
+import {
+  activitiesDeepWhere,
+  dealsDeepWhere,
+  notesDeepWhere,
+  projectsDeepWhere,
+  routinesDeepWhere,
+  ticketsDeepWhere,
+} from './data-access';
 
 export type ScopeVisibility = {
   dataVisibility: DataVisibility;
@@ -20,6 +34,17 @@ export type Actor = {
   visibleUserIds?: string[] | null;
   /** سطح دید تفکیکی هر بخش (از Membership.dataVisibilityScopes) */
   scopes?: Partial<Record<DataScope, ScopeVisibility>>;
+  /** عمق دادهٔ بخش‌ها (resolve شده از نقش + override) */
+  customersAccess?: SectionDataAccess;
+  leadsAccess?: SectionDataAccess;
+  salesAccess?: SectionDataAccess;
+  activitiesAccess?: SectionDataAccess;
+  notesAccess?: SectionDataAccess;
+  routinesAccess?: SectionDataAccess;
+  projectsAccess?: SectionDataAccess;
+  ticketsAccess?: SectionDataAccess;
+  /** هم‌تیمی‌ها برای قوانین owners:team (شامل خود کاربر) */
+  teamPeerIds?: string[] | null;
   /** off = فیلتر خاموش؛ current = کار جاری؛ archive = بایگانی اطلاعات قبل */
   priorLens?: 'off' | 'current' | 'archive';
   /** لحظهٔ روشن شدن ماژول برای این محیط؛ فعالیت‌های ساخته‌شده قبل از آن می‌توانند قبلی باشند */
@@ -93,10 +118,13 @@ export function ownerWhere(
   return { ownerId: { in: ids } };
 }
 
-/** معامله: مالک اصلی یا یکی از مسئولان مشترک در محدوده دید */
+/** معامله: عمق دادهٔ sales (JWT) یا مدل قدیمی own/team/org */
 export function dealAccessWhere(
-  actor: ScopedActor,
+  actor: ScopedActor & Pick<Actor, 'salesAccess' | 'teamPeerIds'>,
 ): Prisma.DealWhereInput {
+  if (actor.salesAccess !== undefined) {
+    return dealsDeepWhere(actor as Actor);
+  }
   const ids = scopedOwnerIds(actor, 'deals');
   if (!ids) return {};
   return {
@@ -107,10 +135,13 @@ export function dealAccessWhere(
   };
 }
 
-/** کارت پروژه: مالک یا یکی از مسئولان در محدوده دید */
+/** کارت پروژه: عمق داده یا مدل قدیمی own/team/org */
 export function projectCardAccessWhere(
-  actor: ScopedActor,
+  actor: ScopedActor & Pick<Actor, 'projectsAccess' | 'teamPeerIds'>,
 ): Prisma.ProjectCardWhereInput {
+  if (actor.projectsAccess !== undefined) {
+    return projectsDeepWhere(actor as Actor);
+  }
   const ids = scopedOwnerIds(actor, 'projects');
   if (!ids) return {};
   return {
@@ -135,10 +166,13 @@ export function assigneeWhere(
   };
 }
 
-/** دسترسی به فعالیت: مسئولان یا شرکت‌کنندگان (فیلد شرکت‌کنندگان) در محدوده دید */
+/** دسترسی به فعالیت: عمق دادهٔ activities (JWT) یا مدل قدیمی */
 export function activityAccessWhere(
-  actor: ScopedActor,
+  actor: ScopedActor & Pick<Actor, 'activitiesAccess' | 'teamPeerIds'>,
 ): Prisma.ActivityWhereInput {
+  if (actor.activitiesAccess !== undefined) {
+    return activitiesDeepWhere(actor as Actor);
+  }
   const ids = scopedOwnerIds(actor, 'activities');
   if (!ids) return {};
   return {
@@ -150,10 +184,13 @@ export function activityAccessWhere(
   };
 }
 
-/** یادداشت: نویسنده یا پرونده‌های تحت مالکیت در محدوده دید + محرمانگی شخصی */
+/** یادداشت: عمق داده یا مدل قدیمی + محرمانگی شخصی */
 export function noteAccessWhere(
-  actor: ScopedActor,
+  actor: ScopedActor & Pick<Actor, 'notesAccess' | 'teamPeerIds'>,
 ): Prisma.NoteWhereInput {
+  if (actor.notesAccess !== undefined) {
+    return notesDeepWhere(actor as Actor);
+  }
   const ids = scopedOwnerIds(actor, 'notes');
   const personalGate: Prisma.NoteWhereInput = {
     OR: [
@@ -195,10 +232,13 @@ export function resolveOwnerId(
   return actor.userId;
 }
 
-/** تیکت: مسئول یا ثبت‌کننده در محدوده دید */
+/** تیکت: عمق داده یا مدل قدیمی */
 export function ticketAccessWhere(
-  actor: ScopedActor,
+  actor: ScopedActor & Pick<Actor, 'ticketsAccess' | 'teamPeerIds'>,
 ): Prisma.TicketWhereInput {
+  if (actor.ticketsAccess !== undefined) {
+    return ticketsDeepWhere(actor as Actor);
+  }
   const ids = scopedOwnerIds(actor, 'tickets');
   if (!ids) return {};
   return {
@@ -206,6 +246,14 @@ export function ticketAccessWhere(
   };
 }
 
+/** کار روتین: عمق داده (وقتی JWT ست کرده) */
+export function routineTaskAccessWhere(
+  actor: Pick<Actor, 'userId' | 'role' | 'routinesAccess' | 'teamPeerIds'>,
+): Prisma.RoutineTaskWhereInput {
+  if (actor.routinesAccess === undefined) return {};
+  return routinesDeepWhere(actor);
+}
+
 export function canReassignOwner(role: string | null | undefined): boolean {
   return elevated(role);
 }