davideandClaude Sonnet 5
15885f32c7
Introduce PocketBase come sostituto di Supabase solo per l'ambiente di sviluppo locale (docs/PORTABILITA.md): docker-compose.pocketbase.yml, schema iniziale in pocketbase/pb_migrations/ (collection equivalenti alle tabelle Supabase, con le stesse API rule dove esprimibili) e la logica procedurale che in Postgres viveva in trigger/funzioni riscritta come hook JS in pocketbase/pb_hooks/ (claim slot giocatore, blocco autovoto, convocati/pagelle chiuse, immutabilità di risposto_il). Il superuser e il provider Google OAuth2 si ricreano da soli a ogni avvio da variabili d'ambiente (script scripts/pocketbase-reset.sh), così un reset non richiede passaggi manuali da dashboard. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
50 lines
1.8 KiB
JavaScript
50 lines
1.8 KiB
JavaScript
/// <reference path="../pb_data/types.d.ts" />
|
|
//
|
|
// Equivalente del trigger enforce_giocatori_squadra_update (M1/M5/M8, DD-016/DD-018):
|
|
// un non-admin può aggiornare uno slot di giocatori_squadra solo per reclamarlo (slot
|
|
// libero, email dell'account uguale a quella registrata sulla riga), senza cambiare nessun
|
|
// altro campo. La updateRule della collection apre la porta solo quando auth_user_id è
|
|
// vuoto o l'utente è admin; qui si valida il resto.
|
|
|
|
onRecordUpdateRequest((e) => {
|
|
// Superuser (pbAdmin lato server, dashboard, script di migrazione dati) e admin
|
|
// applicativi (role="admin" sulla collection users) bypassano il vincolo di claim.
|
|
const isAdmin = e.hasSuperuserAuth() || (e.auth && e.auth.get("role") === "admin");
|
|
if (isAdmin) {
|
|
e.next();
|
|
return;
|
|
}
|
|
|
|
const originale = e.app.findRecordById("giocatori_squadra", e.record.id);
|
|
|
|
const campiBloccati = [
|
|
"nome",
|
|
"cognome",
|
|
"numero",
|
|
"ruolo",
|
|
"attivo",
|
|
"email",
|
|
"numero_tessera",
|
|
"data_tessera",
|
|
];
|
|
for (const campo of campiBloccati) {
|
|
if (String(e.record.get(campo)) !== String(originale.get(campo))) {
|
|
throw new BadRequestError("Aggiornamento non autorizzato su giocatori_squadra");
|
|
}
|
|
}
|
|
|
|
const utenteId = e.auth ? e.auth.id : "";
|
|
const emailAccount = (e.auth ? e.auth.get("email") || "" : "").toLowerCase();
|
|
const emailSlot = (originale.get("email") || "").toLowerCase();
|
|
|
|
const slotLibero = !originale.get("auth_user_id");
|
|
const claimSuAccountCorrente = e.record.get("auth_user_id") === utenteId;
|
|
const emailCombacia = emailSlot !== "" && emailSlot === emailAccount;
|
|
|
|
if (!slotLibero || !claimSuAccountCorrente || !emailCombacia) {
|
|
throw new BadRequestError("Aggiornamento non autorizzato su giocatori_squadra");
|
|
}
|
|
|
|
e.next();
|
|
}, "giocatori_squadra");
|