تحليل — أزرار التحويل/الإنشاء عبر المستندات والصلاحيات

١. المشكلة

المالك عايز يمنع مستخدم (حازم) من تحويل عرض السعر لأمر بيع عن طريق سحب صلاحية «إنشاء أمر بيع». لكن زر «التحويل» (السهم الأزرق) بيفضل ظاهر رغم سحب الصلاحية. السؤال: هل الزر مربوط بصلاحية؟ وهل فيه صلاحية «إنشاء أمر بيع» أصلًا؟ ونفس الشيء لباقي أزرار التحويل/الإنشاء.

٢. الوضع الحالي — خبر مطمئن

الباك محمي بالكامل ✅ — والصلاحية موجودة فعلًا. كل زر تحويل/إنشاء الـendpoint بتاعه بيفرض صلاحية إنشاء المستند الهدف. تحويل-لأمر تحديدًا بيتطلب sales.orders.create بالظبط (SalesOrderController.php:33). فلو المستخدم مالوش الصلاحية → الـAPI بيرجّع 403. الثغرة الوحيدة: زر الفرونت مش بيختفي (مفيش *appCan)، فبيدوسه ويجيله رسالة خطأ بدل ما الزر يكون مخفي.

الباك (BE) — كل تحويل/إنشاء بيفرض صلاحية المستند الهدف

العملية	الـendpoint / الميثود	الصلاحية المفروضة
عرض سعر → أمر بيع	`SalesOrderController::convertFromQuotation :33`	`sales.orders.create` ✓
أمر بيع → فاتورة	`SalesInvoiceController::createFromOrder :41`	`sales.invoices.create` ✓
أمر بيع → إذن تسليم	`SalesDeliveryNoteController::createFromOrder :28`	`sales.delivery_notes.create` ✓
أمر شراء → إذن استلام (GRN)	`PurchaseGrnController::store :46`	`purchases.grns.create` ✓
أمر شراء → فاتورة شراء	`PurchaseBillController::createFromOrder :43`	`purchases.bills.create` ✓
GRN → فاتورة شراء	`PurchaseBillController::createFromGrn :43`	`purchases.bills.create` ✓
طلب شراء → أمر شراء	`PurchaseOrderController::convertFromRequest :57`	`purchases.requests.convert` (صلاحية تحويل مخصّصة — مش `orders.create`)

الفرونت (FE) — الأزرار مش مربوطة بصلاحية

الزر	المكان	مربوط بـ`*appCan`؟
عرض سعر → أمر بيع (السهم الأزرق) — حالتك	`quotations.component.html:141`	❌ مكشوف (المفروض `sales.orders.create`)
أمر بيع → إذن تسليم	`sales/orders…html:138`	❌ مكشوف
أمر بيع → فاتورة	`sales/orders…html:148`	❌ مكشوف
أمر شراء → GRN	`purchases/orders…html:145`	❌ مكشوف
أمر شراء → فاتورة	`purchases/orders…html:158`	❌ مكشوف
GRN → فاتورة	`grns.component.html:82`	❌ مكشوف
طلب شراء → أمر شراء	`requests…html:103`	✓ مربوط (`purchases.requests.convert`)

٣. الفجوة (الإجابة الدقيقة على حالتك)

لو شِلت sales.orders.create من حازم:

الباك: ✅ بيرفض التحويل (403) — البضاعة محمية فعلًا، مفيش أمر بيع هيتعمل.
الفرونت: ❌ الزر مش بيختفي — فحازم بيشوفه، بيدوسه، وييجيله رسالة خطأ (مزعج، بس مفيش خرق أمني).

يعني: المنع بيشتغل فعليًّا (الباك)، بس تجربة المستخدم وحشة (الزر ظاهر لحد ما يتضغط). الإصلاح فرونت بحت.

تصحيح لملاحظة سابقة في الـKB: كنا سجّلنا إن الـendpoints دي «مكشوفة» — الفحص أثبت العكس: كلها بتفرض صلاحية المستند الهدف (لأن كل ميثود تحويل موجودة في كونترولر المستند الهدف). الثغرة الوحيدة أزرار الفرونت.

٤. الملفات المتأثرة

فرونت فقط — إضافة *appCan="'<target>.create'" على ٦ أزرار: quotations.html:141 → sales.orders.create · sales/orders.html:138 → sales.delivery_notes.create · sales/orders.html:148 → sales.invoices.create · purchases/orders.html:145 → purchases.grns.create · purchases/orders.html:158 → purchases.bills.create · grns.html:82 → purchases.bills.create.
الباك: لا تغيير — كل الصلاحيات مفروضة أصلًا.

ملاحظة: الأزرار markup لكل شاشة (مفيش مكوّن تحويل مشترك)، فالإصلاح per-button — بس الآلية المشتركة هي توجيه *appCan نفسه.

٥. الحالات الحدّية

سوبر-أدمن/أونر: يشوفوا كل الأزرار (بالتصميم) — الاختبار بدور محدود.
طلب شراء → أمر شراء: مربوط بـpurchases.requests.convert (مش orders.create) — متّسق فرونت+باك. قرار المالك: نسيبها كده ولا نربطها بـorders.create كمان؟
ملاحظات جانبية (خارج النطاق): (أ) SalesOrderService.createDelivery بيبعت لـcreate-delivery بينما الراوت create-delivery-note — تباين اسم يستاهل فحص منفصل. (ب) PurchaseOrderService.createGrn بيبعت لـendpoint مالوش راوت (كود ميت؛ الإنشاء الفعلي عبر POST /purchases/grns).

٦. خطة التنفيذ

إخفاء أزرار التحويل/الإنشاء الـ٦ حسب صلاحية المستند الهدف — إضافة *appCan="'<target>.create'" على كل زر (فرونت فقط). صغير ومباشر، بناء أخضر، اختبار يدوي بدور بدون sales.orders.create.

(اختياري — قرار مالك) إعادة ربط تحويل طلب الشراء لأمر شراء بـpurchases.orders.create بدل/إضافةً لـpurchases.requests.convert.

(اختياري — خارج النطاق) فحص تباين اسم create-delivery + الكود الميت createGrn — إصلاحات نظافة منفصلة.

٧. قرارات تحتاج المالك

القرار	الخيارات	التوصية
نطاق الإصلاح	(أ) الـ٦ أزرار [موصى] · (ب) بس تحويل-لأمر (حالتك)	(أ) — نفس الفجوة في الستة، نقفلها كلها مرة واحدة.
تحويل طلب الشراء	(أ) سيبها `requests.convert` · (ب) اربطها بـ`orders.create` كمان	(أ) — متّسقة أصلًا؛ (ب) لو عايز نفس صلاحية إنشاء الأمر تتحكّم.

٨. معاينة (WP1 — يمسّ الـUI)

مثال — صف عرض سعر «مقبول» لمستخدم مالوش sales.orders.create:

قبل — الزر ظاهر (ويدّي 403 عند الضغط) ❌

QT-2026-00006 · مقبول

↦ تحويل لأمرعرض

بعد — زر التحويل مخفي ✅

QT-2026-00006 · مقبول

↦ تحويل لأمرعرض

التطبيق: *appCan="'sales.orders.create'" على زر التحويل. لمّا تسحب الصلاحية من دور حازم → الزر يختفي (والباك أصلًا بيرفض). نفس النمط للـ٦ أزرار.

تحليل قراءة-فقط · فحص Opus لـ BE+FE بمراجع دقيقة · لم يُعدَّل أي كود. بانتظار موافقة المالك قبل أي تنفيذ.