Feat/selection title reports access (#21)

Co-authored-by: gorbenko.pavel <gorbenko.pavel@tansu.kz>
Reviewed-on: http://git.tnsu.kz/timur.gorodetskiy/request-portal/pulls/21

src/webparts/requestPortal/shared/reports/reportsAccess.ts

@@ -1,34 +1,64 @@
 import { WebPartContext } from '@microsoft/sp-webpart-base';
-import { effectiveUserEmail } from '../impersonation';
+import '@pnp/sp/webs';
+import '@pnp/sp/site-users/web';
+import '@pnp/sp/site-groups/web';
+import { getSP } from '../pnp/pnpjs';
+import { effectiveUserEmail, getImpersonatedEmail } from '../impersonation';
 
 /**
- * Кто видит раздел «Отчёты» в боковом меню. Пока это фиксированный список
- * почт — группы HR в SharePoint ещё нет (её заведут отдельно); появится —
- * список ниже заменится на реальную проверку членства (см. TODO).
+ * SharePoint-группа «Отчеты по заявкам» на сайте данных (/sites/requests) —
+ * её участники видят раздел «Отчёты». Id, а не Title: Title можно
+ * переименовать в SharePoint без последствий для кода.
+ */
+const REPORTS_GROUP_ID = 199;
+
+/**
+ * Администраторы портала — видят раздел независимо от состава группы.
  *
  * Email — из справочника сотрудников (api.tnsu.kz/Employee/All), а не из
  * Title сайта: у части учёток встречаются устаревшие site user записи со
  * старым email (пример — Тришина: m.trishina@tnsu.kz как устаревший алиас
  * рядом с текущим trishina.mariya@tnsu.kz).
  */
-const ALLOWED_EMAILS: ReadonlySet<string> = new Set([
+const ALWAYS_ALLOWED_EMAILS: ReadonlySet<string> = new Set([
   'trishina.mariya@tnsu.kz', // Мария Тришина
   'gorodetskiy.timur@tnsu.kz', // Тимур Городецкий
   'gorbenko.pavel@tnsu.kz', // Павел Горбенко
   'sarniyazova.assilya@tnsu.kz', // Асилья Сарниязова
 ]);
 
-// TODO: заменить точечный список на членство в SharePoint-группе HR, когда
-// её заведут — тогда список выше станет фолбэком для тех троих, кто должен
-// видеть раздел независимо от состава группы (администраторы портала).
+const cache = new Map<string, Promise<boolean>>();
+
+async function fetchIsGroupMember(email: string): Promise<boolean> {
+  // Под подменой личности спрашиваем состав группы, а не currentUser: иначе
+  // проверялся бы реальный пользователь. Состав группы виден только её
+  // участникам и владельцам сайта — остальным запрос вернёт ошибку.
+  if (getImpersonatedEmail()) {
+    const users = await getSP().web.siteGroups.getById(REPORTS_GROUP_ID).users.select('Email')();
+    return users.some((u) => (u.Email || '').trim().toLowerCase() === email);
+  }
+  const groups = await getSP().web.currentUser.groups.select('Id')();
+  return groups.some((g) => g.Id === REPORTS_GROUP_ID);
+}
 
 /**
  * Есть ли у текущего пользователя доступ к разделу «Отчёты». Использует
  * effectiveUserEmail — то есть учитывает отладочную подмену личности (см.
- * impersonation.ts): под подменённым пользователем раздел виден/не виден
- * так же, как было бы у него самого.
+ * impersonation.ts). Ответ кешируется на сеанс по email; ошибка запроса = нет
+ * доступа и не кешируется, чтобы временный сбой не «залип».
  */
-export function hasReportsAccess(context: WebPartContext): boolean {
+export function hasReportsAccess(context: WebPartContext): Promise<boolean> {
   const email = effectiveUserEmail(context).trim().toLowerCase();
-  return email.length > 0 && ALLOWED_EMAILS.has(email);
+  if (!email) return Promise.resolve(false);
+  if (ALWAYS_ALLOWED_EMAILS.has(email)) return Promise.resolve(true);
+
+  let pending = cache.get(email);
+  if (!pending) {
+    pending = fetchIsGroupMember(email).catch(() => {
+      cache.delete(email);
+      return false;
+    });
+    cache.set(email, pending);
+  }
+  return pending;
 }