feat(access): keep a single owner per organization

The person who registered stays the only owner. Full day-to-day access is granted through the manager role instead of a second owner.

Co-authored-by: Cursor <cursoragent@cursor.com>

apps/api/src/memberships/memberships.service.ts

@@ -1,4 +1,5 @@
 import {
+  BadRequestException,
   ForbiddenException,
   Injectable,
   NotFoundException,
@@ -70,6 +71,16 @@ export class MembershipsService {
     }));
   }
 
+  /** هر محیط یک مالک فعال دارد: همان کسی که محیط را ثبت کرده. */
+  async assertSoleOwner(organizationId: string, userId: string) {
+    const others = await this.countActiveOwners(organizationId, userId);
+    if (others > 0) {
+      throw new BadRequestException(
+        'هر محیط فقط یک مالک دارد و مالک همان کسی است که ثبت‌نام کرده. برای دسترسی کامل نقش مدیر را انتخاب کنید.',
+      );
+    }
+  }
+
   async createMembership(data: {
     userId: string;
     organizationId: string;
@@ -78,6 +89,9 @@ export class MembershipsService {
     commissionPercent?: number;
     isActive?: boolean;
   }) {
+    if (data.role === 'owner' && data.isActive !== false) {
+      await this.assertSoleOwner(data.organizationId, data.userId);
+    }
     return this.prisma.membership.create({
       data: {
         userId: data.userId,

apps/api/src/platform/platform.service.ts

@@ -543,6 +543,9 @@ export class PlatformService {
     });
     if (!row) throw new NotFoundException('عضویت پیدا نشد');
     if (isActive && !row.isActive) {
+      if (row.role === 'owner') {
+        await this.memberships.assertSoleOwner(row.organizationId, row.userId);
+      }
       await this.billing.assertSeatAvailable(row.organizationId, row.userId);
     }
     if (!isActive && row.role === 'owner') {
@@ -573,6 +576,9 @@ export class PlatformService {
     });
     if (!row) throw new NotFoundException('عضویت پیدا نشد');
 
+    if (role === 'owner' && row.role !== 'owner') {
+      await this.memberships.assertSoleOwner(row.organizationId, row.userId);
+    }
     if (row.role === 'owner' && role !== 'owner') {
       const owners = await this.memberships.countActiveOwners(
         row.organizationId,
@@ -580,7 +586,7 @@ export class PlatformService {
       );
       if (owners < 1) {
         throw new BadRequestException(
-          'حداقل یک مالک برای سازمان لازم است؛ ابتدا مالک دیگری تعیین کنید',
+          'مالک محیط همان کسی است که ثبت‌نام کرده و نمی‌توان نقش او را عوض کرد',
         );
       }
     }

apps/api/src/users/users.service.ts

@@ -104,8 +104,10 @@ export class UsersService {
       orgRoleId: dto.orgRoleId,
       role: dto.role,
     });
-    if (resolved.role === 'owner' && actorRole !== 'owner') {
-      throw new ForbiddenException('فقط مالک می‌تواند نقش مدیر سیستم را واگذار کند');
+    if (resolved.role === 'owner') {
+      throw new BadRequestException(
+        'هر محیط فقط یک مالک دارد و مالک همان کسی است که ثبت‌نام کرده. برای دسترسی کامل نقش مدیر را انتخاب کنید.',
+      );
     }
 
     const existingUser = await this.prisma.user.findFirst({ where: { mobile } });
@@ -449,6 +451,10 @@ export class UsersService {
       }
     }
 
+    if (nextRole === 'owner' && target.role !== 'owner') {
+      await this.memberships.assertSoleOwner(organizationId, target.userId);
+    }
+
     if (target.role === 'owner' && nextRole !== 'owner') {
       const owners = await this.memberships.countActiveOwners(
         organizationId,
@@ -456,7 +462,7 @@ export class UsersService {
       );
       if (owners < 1) {
         throw new BadRequestException(
-          'حداقل یک مالک برای سازمان لازم است؛ ابتدا مالک دیگری تعیین کنید',
+          'مالک محیط همان کسی است که ثبت‌نام کرده و نمی‌توان نقش او را عوض کرد',
         );
       }
     }
@@ -528,6 +534,9 @@ export class UsersService {
       }
     }
     if (isActive && !target.isActive) {
+      if (target.role === 'owner') {
+        await this.memberships.assertSoleOwner(organizationId, targetId);
+      }
       await this.billing.assertSeatAvailable(organizationId, targetId);
     }
     await this.prisma.membership.update({
@@ -558,6 +567,9 @@ export class UsersService {
     resolved: { role: UserRole; orgRoleId: string },
   ): Promise<OrgUserDto> {
     await this.billing.assertSeatAvailable(organizationId, userId);
+    if (resolved.role === 'owner') {
+      await this.memberships.assertSoleOwner(organizationId, userId);
+    }
     const existing = await this.prisma.membership.findFirst({
       where: { userId, organizationId },
     });