alla-tms/plans/role-permission.md

ช่วยตรวจสอบระบบ Role & Permission ของโปรเจค Training Management System โดย “ยังไม่ต้องแก้ไขโค้ด”

เป้าหมาย: ตรวจสอบว่าแต่ละ Role ในระบบมีสิทธิ์และเมนูตรงตาม Requirement หรือไม่ และจัดทำเอกสารผลการ Review เป็นไฟล์ Markdown

Role ที่ต้องตรวจสอบ:

1. Employee
2. HRD Admin
3. IT Admin

Requirement สิทธิ์ที่ต้องตรวจสอบ:

Employee:

• เห็นเฉพาะข้อมูลของตนเอง
• เห็นเมนู Dashboard, ประวัติการอบรม, การแจ้งเตือน, โปรไฟล์
• สามารถเพิ่มประวัติการอบรมของตนเองได้
• ไม่สามารถแก้ไขข้อมูลหลังส่งแล้ว
• ไม่สามารถอนุมัติรายการอบรม
• ไม่สามารถกำหนดหมวด K/S/A
• ไม่สามารถเข้าถึงเมนูพนักงาน, หลักสูตร, รายงาน, นโยบาย, ผู้ใช้งาน, ตั้งค่าระบบ, Audit Log

HRD Admin:

• เห็นข้อมูลการอบรมของพนักงานทั้งหมด
• เห็นเมนู Dashboard, ประวัติการอบรม, หลักสูตร, Import หลักสูตร, รายงาน, นโยบาย, การแจ้งเตือน, โปรไฟล์
• สามารถตรวจสอบ/อนุมัติ/ไม่อนุมัติรายการอบรม
• สามารถกำหนดหมวด K/S/A
• สามารถแก้ไขข้อมูลการอบรมได้
• สามารถจัดการหลักสูตรและ Import หลักสูตรได้
• สามารถ Export รายงานได้
• ห้ามเห็นเมนูพนักงาน
• ห้ามเห็นเมนูผู้ใช้งาน
• ห้ามเห็นเมนูตั้งค่าระบบ
• ห้ามเห็นเมนู Audit Log

IT Admin:

• เห็นและจัดการข้อมูลได้ทั้งระบบ
• เห็นเมนู Dashboard, ผู้ใช้งาน, พนักงาน, ประวัติการอบรม, หลักสูตร, Import หลักสูตร, รายงาน, นโยบาย, ตั้งค่าระบบ, Audit Log, การแจ้งเตือน, โปรไฟล์
• สามารถจัดการผู้ใช้งานและ Role ได้
• สามารถจัดการข้อมูลพนักงานได้
• สามารถดู Audit Log ได้
• สามารถตั้งค่าระบบได้

สิ่งที่ต้องตรวจสอบในโค้ด:

1. ตรวจสอบ Sidebar/Menu config ว่าแสดงเมนูตาม Role ถูกต้องหรือไม่
2. ตรวจสอบ Route Protection ว่าแต่ละ Role เข้า URL โดยตรงได้หรือไม่
3. ตรวจสอบ Page-Level Permission ว่าหน้าแต่ละหน้าตรวจสิทธิ์ถูกต้องหรือไม่
4. ตรวจสอบ API/Server Actions/Route Handlers ว่ามีการเช็กสิทธิ์ก่อนทำงานหรือไม่
5. ตรวจสอบ Query/Data Scope ว่า Employee เห็นเฉพาะข้อมูลตัวเอง และ HRD/IT เห็นข้อมูลที่เหมาะสม
6. ตรวจสอบ Action Permission เช่น Create, Update, Delete, Approve, Export, Import
7. ตรวจสอบว่า HRD ไม่สามารถเข้าถึงเมนู/หน้า “พนักงาน” และ “ผู้ใช้งาน”
8. ตรวจสอบว่า Import พนักงานถูกนำออกแล้ว และยังเหลือเฉพาะ Import หลักสูตรหรือไม่
9. ตรวจสอบว่าไม่มีการ hardcode role แบบกระจัดกระจายโดยไม่ผ่าน helper/middleware/permission config
10. ตรวจสอบ Audit Log เฉพาะ IT Admin

ข้อจำกัดสำคัญ:

• ห้ามแก้ไขโค้ด
• ห้าม refactor
• ห้ามลบไฟล์
• ห้ามเพิ่มฟีเจอร์
• ทำเฉพาะการตรวจสอบและสรุปผลเท่านั้น

ให้สร้างไฟล์เอกสารผลการตรวจสอบที่: docs/role-permission-review.md

โครงสร้างเอกสารที่ต้องการ:

Role & Permission Review

1. Scope การตรวจสอบ

อธิบายว่าตรวจสอบส่วนใดบ้าง

2. Requirement Summary

สรุปสิทธิ์ของแต่ละ Role แบบตาราง

3. Menu Visibility Review

ตรวจสอบเมนูที่แต่ละ Role เห็นได้ ให้ทำตาราง:

• Menu
• Employee
• HRD Admin
• IT Admin
• Current Implementation
• Result: Pass / Fail / Need Review
• Note

4. Route Protection Review

ตรวจสอบแต่ละ route/page ว่า role ไหนเข้าได้ ให้ระบุไฟล์ที่เกี่ยวข้อง

5. API / Server Action Permission Review

ตรวจสอบ action หรือ API ที่เกี่ยวข้องกับ:

• training records
• approvals
• courses
• imports
• reports
• employees
• users
• settings
• audit logs

6. Data Scope Review

ตรวจสอบว่า:

• Employee เห็นเฉพาะข้อมูลตนเอง
• HRD เห็นข้อมูลที่ต้องใช้ในการตรวจสอบอบรม
• IT เห็นข้อมูลทั้งระบบ

7. Findings

ให้สรุปเป็นรายการ:

• รหัส Finding เช่น ROLE-001
• ระดับความเสี่ยง: High / Medium / Low
• รายละเอียดปัญหา
• ไฟล์ที่พบ
• ผลกระทบ
• แนวทางแก้ไขที่แนะนำ

8. Summary

สรุปภาพรวมว่า Role Permission ปัจจุบันถูกต้องกี่ส่วน และมีจุดไหนที่ควรแก้ไข

รูปแบบการทำงาน:

1. อ่านเอกสารโปรเจคก่อน เช่น AGENTS.md, docs/AI_DEVELOPMENT_GUIDE.md, docs/PROJECT_ARCHITECTURE.md หากมี
2. ตรวจสอบ implementation จริงในโค้ด
3. ห้ามแก้ไขไฟล์โค้ด
4. สร้างหรืออัปเดตเฉพาะไฟล์ docs/role-permission-review.md
5. หลังทำเสร็จ ให้สรุปผลสั้น ๆ ในแชท พร้อมบอก path ของไฟล์เอกสารที่สร้าง

หากพบจุดที่ควรแก้ไข ให้เขียนเป็น Recommendation เท่านั้น ห้ามแก้ไขโค้ดในรอบนี้