Phân quyền: Đừng để User thường vào trang Admin

// User Table
{
  "id": "u1",
  "email": "boss@company.com",
  "role": "ADMIN" // Trường quan trọng nhất
}

// middleware.ts
import { NextResponse } from 'next/server';
import { auth } from '@/auth';

export default auth((req) => {
  const role = req.auth?.user?.role; // Lấy role từ session
  const isAdminPath = req.nextUrl.pathname.startsWith('/admin');

  if (isAdminPath && role !== 'ADMIN') {
    // User thường cố vào admin -> Đá về trang chủ
    return NextResponse.redirect(new URL('/', req.nextUrl));
  }
});

// app/admin/users/page.tsx
export default async function UsersPage() {
  const session = await auth();
  
  // Double check (đề phòng middleware bị bypass)
  if (session?.user?.role !== 'ADMIN') {
    return <div>Access Denied</div>;
  }

  const users = await db.user.findMany(); // Chỉ Admin mới được query
  return <UserList users={users} />;
}

// components/DeleteButton.tsx
'use client';
import { useSession } from 'next-auth/react';

export function DeleteButton() {
  const { data: session } = useSession();

  // Chỉ render nếu là Admin
  if (session?.user?.role !== 'ADMIN') return null;

  return <button>Delete User</button>;
}

// lib/permissions.ts
export const ROLES = {
  ADMIN: "admin",
  EDITOR: "editor",
  USER: "user",
} as const;

export const PERMISSIONS = {
  // Post permissions
  "post:read": [ROLES.ADMIN, ROLES.EDITOR, ROLES.USER],
  "post:create": [ROLES.ADMIN, ROLES.EDITOR],
  "post:delete": [ROLES.ADMIN], // Chỉ Admin được xóa
  
  // User permissions
  "user:view_list": [ROLES.ADMIN],
  "user:ban": [ROLES.ADMIN],
} as const;

export type Permission = keyof typeof PERMISSIONS;

// hooks/use-permission.ts
import { useSession } from "next-auth/react";
import { PERMISSIONS, Permission } from "@/lib/permissions";

export function usePermission() {
  const { data: session } = useSession();
  const userRole = session?.user?.role;

  const can = (permission: Permission) => {
    if (!userRole) return false;
    
    // Lấy danh sách role được phép làm hành động này
    const allowedRoles = PERMISSIONS[permission];
    return allowedRoles.includes(userRole);
  };

  return { can, role: userRole };
}

// components/auth/Guard.tsx
import { usePermission } from "@/hooks/use-permission";
import { Permission } from "@/lib/permissions";

interface GuardProps {
  permission: Permission;
  children: React.ReactNode;
  fallback?: React.ReactNode; // Hiển thị gì nếu không có quyền? (vd: Icon khóa)
}

export function Guard({ permission, children, fallback = null }: GuardProps) {
  const { can } = usePermission();

  if (!can(permission)) {
    return <>{fallback}</>;
  }

  return <>{children}</>;
}

export function PostCard({ post }) {
  return (
    <div className="card">
      <h1>{post.title}</h1>
      
      {/* Chỉ hiện nút Edit cho Editor/Admin */}
      <Guard permission="post:create">
        <button>Edit Post</button>
      </Guard>

      {/* Chỉ hiện nút Delete cho Admin */}
      <Guard 
        permission="post:delete" 
        fallback={<span className="text-gray-400">Bạn không thể xóa</span>}
      >
        <button className="bg-red-500">Delete Post</button>
      </Guard>
    </div>
  );
}

// ❌ SAI LẦM CHẾT NGƯỜI
export async function deleteComment(id) {
  const session = await auth();
  if (!session) throw new Error("Chưa login");
  
  // Cứ thế xóa luôn???
  await db.comment.delete({ where: { id } });
}

export async function deleteComment(id) {
  const session = await auth();
  // KHÔNG ĐƯỢC QUÊN BƯỚC NÀY
  const comment = await db.comment.findUnique({ where: { id } });
  
  // Nếu không phải Admin VÀ không phải chủ nhân comment
  if (session.user.role !== 'ADMIN' && comment.authorId !== session.user.id) {
    throw new Error("Không có quyền xóa comment của người khác");
  }
  
  await db.comment.delete({ where: { id } });
}

// Client Component
const handleDelete = async () => {
  try {
    await deleteUser(id);
    toast.success("Đã xóa!");
  } catch (error) {
    // Nếu lỗi là "Unauthorized"
    if (error.message.includes("Unauthorized")) {
      toast.error("Bạn không đủ quyền để xóa user này!");
    } else {
      toast.error("Lỗi hệ thống");
    }
  }
}