تحليل مخصّص — صلاحيات المعمل (LIS) · يصحّح التحليل العام

تصحيح للتحليل العام

في التحليل العام وصفت شاشات أدوار المعمل بإنها «تكرار/مربكة» وحطّيت المعمل مع باقي الموديولات. ده كان تسطيح. بعد قراءة الـKB الكنسي وفحص كود moonui2 فعليًا: المعمل عنده منظومة صلاحيات متقدّمة مقصودة ومكتملة — محرّر أدوار محصور بالمعمل + كتالوج شاشات + اعتماديات تلقائية + حدود رقمية (Authority Limits) + إخفاء منيو لكل دور. المعمل حالة مختلفة عن باقي الـERP، ومحتاج تحليل خاص — وده هو.

١. ما هي منظومة المعمل فعلًا (كلها موجودة على moonui2 ✅)

الفحص أثبت إن كل قدرة بيوثّقها الـKB موجودة فعلًا في كود moonui2 (مش على moonui بس):

القدرة	الحالة	الدليل
Authority Limits (حدود رقمية per-role/user — مثل أقصى خصم%)	موجودة	`AuthorityLimitService.php` · `UserResource.php:63`
LisScreenCatalog (٤٦ شاشة/٨ مجموعات، كل شاشة بصلاحياتها + اعتمادها الخفي)	موجودة	`Support/LisScreenCatalog.php` · endpoint `LabRoleController:194`
محرّر «حسب الشاشة» (الوضع الافتراضي في محرّر أدوار المعمل)	موجود + افتراضي	`lis-roles.component.ts:63` (`permMode='screen'`)
LisPermissionDependencies (اعتماديات تلقائية + «الحركة تجرّ العرض»)	موجودة	`Support/LisPermissionDependencies.php`
إخفاء منيو لكل دور عبر بروفايل `/auth/me` (تقاطع الأدوار)	موجود	`UserResource.php:82` · `lis-layout…ts:135`
٨ presets بقوائم إخفاء افتراضية	موجودة	`LisPermissionDependencies.php:176` · `lis-roles…ts:452`
فصل التكلفة/التسعير + صلاحيات المعامل الخارجية الدقيقة (بحجب الحقول في الـAPI مش الواجهة بس)	موجود	`RolePermissionSeeder:754,864` · `LabInvestigationController:34`

نموذج المعمل باختصار

محرّر أدوار المعمل منفصل (LabRoleController, محكوم lis.settings مش core.roles): بيعرض الأدوار المحصورة بالمعمل بس، بيزامن صلاحيات lis.* فقط (بيحافظ على منح الدور غير-المعمل)، ويوسّع الاعتماديات تلقائيًا عند الحفظ.
مستخدمو المعمل منفصلين (LabUserController) — تعيين دور + فرع داخل المعمل.
المنيو مصدر واحد (lis-nav.config.ts) والسايدبار مقيّد بالصلاحية — بيعرض بالظبط اللي الدور بيسمح بيه (مع بوابات حركة دقيقة: التجميع=samples.collect، الاستقبال=samples.receive…).

٢. تشخيص شكوى «الكاشير يرى أكثر مما مُنح» (مُصحّح)

الباك آمن ١٠٠٪: كل endpoint مقيّد بيرجّع 403 للي مالوش صلاحية، وحقول التكلفة/السعر محجوبة في الـAPI Resource نفسه (مش الواجهة بس). مفيش تسريب بيانات.

«بيشوف كتير» = الدور نفسه واسع، مش خلل فلترة. السايدبار بيعرض بالظبط ما يمنحه الدور. فلو الدور فيه ٤٦ صلاحية → بيشوف ٤٦ حاجة.

الأخطر: الدور المُفرَط فيه = بيانات مُعدّلة يدويًا، مش كود. الفحص أثبت إن لا الـseeder ولا أي preset بيمنح صلاحيات مدمّرة للاستقبال/الكاشير:

مفيش دور reception مزروع أصلًا؛ ودور cashier المزروع صفر lis.*.
preset الاستقبال = requests.create/cancel · visits.create · patients.update · dashboard.view — مفيش delete/void.
preset الكاشير = payments.create/void · requests.view · dashboard.view — مفيش حذف فواتير/مرضى/أطباء.

يعني الدور اللي فيه invoices.delete/cancel · requests.delete · patients.delete · payments.void اتعدّل بإيد في قاعدة بيانات moonui2 — العلاج تظبيط الدور من محرّر أدوار المعمل (البيانات)، مش تعديل كود.

٣. الفجوات الحقيقية على moonui2

#	الفجوة	النوع	الأثر	مرجع
1	دور معمل مُفرَط فيه (صلاحيات مدمّرة ممنوحة)	بيانات	الكاشير يقدر يلغي/يحذف فعليًا (الباك ينفّذ لأنها ممنوحة)	دور DB يدوي
2	راوتس *المعمل المدمجة `/core/lis/`** (~٣٥ راوت) بلا `data.permissions` على مستوى الراوت	شكلي	يوزر باك-أوفيس بأي صلاحية `lis.` يفتح هيكل أي شاشة (الداتا 403). شجرة `/lab/` المستقلة مقفولة 62/65 ✅**	`app.routes.ts:205-239`
3	٥ كونترولرات LIS بلا أي صلاحية (auth فقط) — أخطرها `LabNewTypesController` (كتابة نتائج هيستوباثولوجي + مضادات)	أمني حقيقي	أي مستخدم مسجّل (حتى بصفر صلاحيات معمل) يكتب نتائج سريرية/بيانات رئيسية	`LIS/routes/api.php:489,605,785–812,863`

القائمة الكاملة للـ٥ كونترولرات: LabNewTypesController (antibiotics + histopath results/finalize) · LabHistopathTemplateController · LabDeviceModelController · LabPackagePartnerController · LabExternalLabPackageController. (بوابات المرضى/المعامل الخارجية على حارس منفصل صحيح — مش فجوة.)

الأداة الجيدة موجودة أصلًا: كتالوج الشاشات + محرّر «حسب الشاشة» + الـ٨ presets + Authority Limits كلها متوفّرة وموصّلة — فالأدمن مش ناقصه أداة يظبط بيها نطاق الأدوار.

٤. الملفات المتأثرة

باك

Modules/LIS/routes/api.php + الـ٥ كونترولرات — إضافة permission: middleware
(احتمال) RolePermissionSeeder.php — لو صلاحية جديدة لازمة (مثل lis.results.enter للهيستوباث)

فرونت

app.routes.ts (راوتس /core/lis/* المدمجة) — إضافة data.permissions لكل طفل (نسخ نمط lis-standalone.routes.ts المقفول)
لا تعديل على محرّر الأدوار — شغّال وكامل

الفجوة #1 (الدور المُفرَط) مالهاش ملف — تظبيط بيانات من محرّر أدوار المعمل مباشرةً.

٥. الحالات الحدّية

سوبر-أدمن/أونر: بيتجاوزوا كل شيء بالتصميم — الاختبار لازم بدور معمل مقيّد.
المستخدم المحصور بالمعمل (lab_confined) مبيقدرش يوصل /core/lis/* أصلًا (confinementGuard بيرجّعه لـ/lab) — فالفجوة #2 بتخصّ باك-أوفيس غير-محصور فقط.
تعدد أدوار Spatie: الإخفاء = «الظهور يكسب» (يتخفي لو مخفي في كل الأدوار)؛ والحدود = الأوسع.
تقييد المحرّر: محرّر المعمل بيزامن lis.* فقط ويحافظ على المنح غير-المعمل — أي تعديل لازم يحافظ على ده.
وصول الصلاحية الجديدة للعملاء: أي صلاحية جديدة (للهيستوباث مثلًا) لازم تدخل RolePermissionSeeder عشان تتزرع عند التحديث وتظهر في الكتالوج.

٦. خطة التنفيذ (WPs بالترتيب)

P0 تأمين الـ٥ كونترولرات المكشوفة — أولاً LabNewTypesController (كتابة نتائج هيستوباثولوجي بلا حارس = خطر سريري)، ثم القوالب/الأجهزة/الباقات/معامل خارجية. إضافة صلاحيات للكتالوج + permission: middleware. [أمني حقيقي].

P1 تظبيط الدور المُفرَط فيه (بيانات، مش كود) — من محرّر أدوار المعمل: شيل invoices.cancel/delete · requests.delete · patients.delete · doctors.delete من الاستقبال (وحسم payments.void للكاشير حسب رغبتك). ممكن أعمله معاك تفاعليًا أو أوثّق الخطوات.

P1 قفل الفجوة الشكلية للراوتس المدمجة /core/lis/* — إضافة data.permissions لكل طفل (نسخ نمط الشجرة المستقلة). (شجرة /lab/* مش محتاجة حاجة.)

P2 (اختياري) نظافة: توثيق أن الأداة (screen-catalog + presets) هي المدخل الصحيح لضبط النطاق، ومراجعة أي preset لو المالك حابّ يضيّقه أكتر.

٧. قرارات تحتاج المالك (مع توصية)

القرار	الخيارات	التوصية
صلاحيات الهيستوباث المكشوفة	(أ) صلاحية جديدة `lis.results.enter/correct` · (ب) ربطها بصلاحية نتائج موجودة	(أ) لو الحوكمة السريرية تفصل مدخِل النتائج؛ وإلا (ب).
`payments.void` للكاشير	(أ) يفضل (إلغاء دفعة بالغلط) · (ب) يتشال لدور مشرف	حسب سياستك — (أ) شائع مع سجل تدقيق.
الفجوة الشكلية `/core/lis/*`	(أ) أقفلها (توحيد مع `/lab/*`) · (ب) اتركها (الداتا آمنة 403)	(أ) — رخيصة وبتشيل المنظر المزعج.
تظبيط الدور المُفرَط	(أ) أعمله معاك دلوقتي · (ب) توثيق خطوات وتعمله إنت	حسب راحتك — ده بيانات، بدون ريليس.

٨. معاينة الواجهة

الأداة موجودة وكاملة — مفيش شاشة جديدة. المعاينة توضّح محرّر أدوار المعمل وتظبيط الدور المُفرَط (WP2):

محرّر أدوار المعمل (موجود) — وضع «حسب الشاشة» الافتراضي

دور: الاستقبال · تبويبات: [حسب الشاشة] [كل الصلاحيات] [القوائم] [الحدود]

شاشة «الطلبات» (مجموعة العمليات) — الصلاحيات تحتها:

عرض الطلبات (primary)إنشاء طلب (action)عرض الفواتير (required — لازمة)

تظبيط الدور المُفرَط (WP2) — شيل المدمّرة

دور: الاستقبال — صلاحيات مطلوب إزالتها

حذف الطلباتإلغاء الفواتيرحذف الفواتيرحذف المرضىحذف الأطباء

تفضل: إنشاء/إلغاء طلب · تحديث مريض · لوحة

الإزالة من نفس المحرّر (وضع «كل الصلاحيات» أو «حسب الشاشة»)، والحفظ عبر RoleSaveService بدون تغيير. الـP0 (تأمين الكونترولرات) هو الكود الوحيد الجوهري.

تحليل قراءة-فقط · فحص Opus لكود moonui2 مقابل KB المعمل الكنسي (overhaul + granularity + audit) · لم تُعدَّل أي بيانات أو كود. بانتظار موافقة المالك قبل أي تنفيذ.