lcbp3.np-dms.work/backend

DMS Backend (ESM)

• Node 20+, ESM
• No .env — ใช้ environment: จาก docker-compose / Container Station
• พอร์ตภายใน: 3001 (สอดคล้องกับ Nginx upstream: backend:3001)

Endpoints

• GET /health — DB ping
• POST /api/v1/auth/login — {username, password} → {access_token, refresh_token}
• POST /api/v1/auth/refresh — {refresh_token}
• GET /api/v1/users — (Admin) List
• GET /api/v1/users/:id — (Admin) Read
• POST /api/v1/users — (Admin) Create
• PATCH /api/v1/users/:id — (Admin) Update (+ password)
• DELETE /api/v1/users/:id — (Admin) Delete

ENV example (ตั้งใน compose)

• BACKEND_PORT=3001
• DB_HOST=mariadb
• DB_PORT=3306
• DB_USER=center
• DB_PASSWORD=Center2025
• DB_NAME=dms_db
• JWT_SECRET=CHANGE
• JWT_REFRESH_SECRET=CHANGE
• CORS_ALLOWLIST=https://dcs.mycloudnas.com,https://localhost,https://127.0.0.1

RFA & Correspondence Endpoints

• GET /api/v1/rfas (filters: q, project_id, status, page, page_size)
• GET /api/v1/rfas/:id
• POST /api/v1/rfas (Admin/Editor)
• PATCH /api/v1/rfas/:id (Admin/Editor)
• DELETE /api/v1/rfas/:id (Admin)
• GET /api/v1/rfas/:id/revisions
• POST /api/v1/rfas/:id/revisions (Admin/Editor)
• GET /api/v1/correspondences (filters: q, project_id, status, page, page_size)
• GET /api/v1/correspondences/:id
• POST /api/v1/correspondences (Admin/Editor)
• PATCH /api/v1/correspondences/:id (Admin/Editor)
• DELETE /api/v1/correspondences/:id (Admin)
• GET /api/v1/correspondences/:id/versions
• POST /api/v1/correspondences/:id/versions (Admin/Editor)

Drawings / Documents / Transmittals

• GET/POST/PATCH/DELETE /api/v1/drawings[/:id] + /drawings/:id/revisions
• GET/POST/PATCH/DELETE /api/v1/documents[/:id]
• GET/POST/PATCH/DELETE /api/v1/transmittals[/:id] + items under /transmittals/:id/items
• Mapping: GET/POST/DELETE /api/v1/maps/rfa/:rfa_id/drawings/:drawing_id and /maps/correspondence/:corr_id/documents/:doc_id

Specialized Tables & File Uploads

• Volumes: /api/v1/volumes
• Sub Categories: /api/v1/sub_categories
• Organizations: /api/v1/organizations
• Upload file: POST /api/v1/uploads/:module/:refId field file (Admin/Editor)
  • Allowed modules: rfa, correspondence, drawing, document, transmittal
  • Default size limit 100MB; set MAX_UPLOAD_BYTES if needed
• Download file: GET /api/v1/files/:file_id?token=... (Admin bypass token)
• Mount host path /share/dms-data into the container at the same path

Views (read-only)

• GET /api/v1/views/rfas (q, project_id, status, page, page_size)
• GET /api/v1/views/correspondences (q, project_id, status, page, page_size)
• GET /api/v1/views/drawings/latest (q, project_id, discipline, status, page, page_size)
• GET /api/v1/views/transmittals (q, project_id, status, page, page_size)
• GET /api/v1/views/files (module, ref_id, page, page_size)

หมายเหตุ: ชื่อตาราง view ต้องตรงกับ SQL ใน 04_*_views.sql. หากต่าง ให้แก้ชื่อในไฟล์ models/vw_*.js ให้ตรงสคีมา

MVP Endpoints Added

• Auth: GET /api/v1/auth/me
• Users: PATCH /api/v1/users/:id/password
• Projects: CRUD /api/v1/projects + membership endpoints
• Files alias: GET /api/v1/{rfas|correspondences|drawings|documents|transmittals}/:id/files
• Lookups: statuses, disciplines, categories, organizations
• Ops: GET /ready, /live, /version (from package.json v0.5.0)

MVP Endpoints Added

• Auth: GET /api/v1/auth/me, POST /api/v1/auth/logout
• Users: PATCH /api/v1/users/:id/password, GET /api/v1/users/search?q=
• User projects: GET /api/v1/users/me/projects
• Projects: GET/POST/PATCH/DELETE /api/v1/projects, members GET/POST/DELETE /api/v1/projects/:id/members/:user_id
• Files: HEAD /api/v1/files/:file_id, DELETE /api/v1/files/:file_id, POST /api/v1/files/:file_id/rename, POST /api/v1/files/:file_id/refresh-url
• Module file aliases: GET /api/v1/{rfas|correspondences|drawings|documents|transmittals}/:id/files
• Lookups: GET /api/v1/lookups/statuses|disciplines|categories|organizations
• Ops: GET /ready, GET /live, GET /version

RBAC / Permission Granularity

• GET /api/v1/rbac/effective — roles + permissions ของผู้ใช้ปัจจุบัน
• GET/POST/DELETE /api/v1/rbac/roles
• GET/POST/DELETE /api/v1/rbac/permissions
• bind/unbind: POST/DELETE /api/v1/rbac/roles/:role_id/permissions/:permission_id
• assign/unassign: POST/DELETE /api/v1/rbac/users/:user_id/roles/:role_id
• Helper middleware: requirePerm('rfa:create') (ไฟล์ middleware/permGuard.js)

ABAC (Project-scoped) on Views

• ทุก endpoint ใน /api/v1/views/* ถูกครอบด้วย requirePerm('<module>:view') และ projectScopedView('<module>') แล้ว
• ถ้าไม่ส่ง project_id และผู้ใช้ไม่ใช่ Admin:
  • ถ้ามี permission <module>:view → เห็นทุกโปรเจ็กต์
  • ถ้าไม่มี → ระบบจะจำกัดผลลัพธ์ให้เฉพาะโปรเจ็กต์ที่ผู้ใช้เป็นสมาชิก (user_project_roles)
• ถ้าส่ง project_id → ต้องเป็นสมาชิกของโปรเจ็กต์นั้นหรือมี <module>:view

ABAC for Mutations (Create/Update/Delete)

• ทุกโมดูลที่มี project_id ถูกตรวจสอบ การเป็นสมาชิกโปรเจ็กต์ แล้ว
  • Create → ต้องส่ง project_id ใน body และต้องเป็นสมาชิก
  • Update/Delete → ระบบจะดึงเรคคอร์ดเดิมเพื่อหาระบุ project_id แล้วตรวจสมาชิก
• Uploads/Files/Mapping ก็ตรวจ project membership ตามเอนทิตีอ้างอิง

Views: Require project_id (ยกเว้น Admin)

• /api/v1/views/* ต้องส่ง ?project_id= เสมอ (ถ้าไม่ใช่ Admin)
• ใช้ร่วมกับ requirePerm('<module>:view') และ projectScopedView('<module>')

Seeds เพิ่มเติม

• seed/09_user_project_roles_seed.sql — ตัวอย่างการผูกผู้ใช้เข้ากับโปรเจ็กต์