consultoria-as/SKEEN-Proyecto
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

permisos de agenda: selector de acciones por usuario (ver, agendar, editar, eliminar, visitas)

Browse Source 
- roles.py: AGENDA_PERMS, AGENDA_PERM_KEYS, WRITE_RANK_MIN, agenda_defaults_for,
  resolve_agenda_perms, AGENDA_STATUS_PERM, AGENDA_STATE_PERM, _agenda_status_perm
- frontend_user.py: campo agenda_perms, _agenda_perms_list(), to_public_dict()
  expone agenda_perms y agenda_perms_custom
- auth.py: require_agenda(perm) decorador + agenda_perm_error()
- frontend.py: @require_agenda aplicado a 22 endpoints + branch en
  update_appointment_status por accion
- auth_users_update: whitelist acepta agenda_perms
- Odoo upgrade: columna skeen_frontend_user.agenda_perms
- Frontend: types AgendaPerm, AGENDA_PERM_ITEMS, canAgenda() en auth.tsx
- UsuariosPanel: checkboxes de permisos de agenda en modal de permisos
- Agenda.tsx: gates por permiso en crear/editar/eliminar/visitas/dragdrop/bloqueos
- EstadoChecklist/BloqueosModal/ListaEspera: hide actions without permission

Verificacion API: 18/18 tests OK (admin hereda, recorte=403, lect=403, restore=null)
This commit is contained in:
Consultoría Alcaraz Salazar
2026-09-30 09:46:51 +00:00
parent 85a281add1
commit 169864958d
11 changed files with 401 additions and 39 deletions
Download Patch File Download Diff File Expand all files Collapse all files

65
frontend/src/components/UsuariosPanel.tsx
View File

@@ -12,7 +12,7 @@ import {
MobileCard,
toast,
} from './ui';
import { odooApi, type FrontendUser, type FrontendRole } from '../services/odoo';
import { odooApi, type FrontendUser, type FrontendRole, type AgendaPerm, AGENDA_PERM_ITEMS } from '../services/odoo';
import { ROLE_LABELS, useAuth } from '../lib/auth';
import { MENU_ITEMS } from '../lib/menu-items';
@@ -44,6 +44,9 @@ const UsuariosPanel: FC = () => {
const [permUser, setPermUser] = useState<FrontendUser | null>(null);
const [permCustom, setPermCustom] = useState(false);
const [permSelected, setPermSelected] = useState<string[]>([]);
// Permisos de Agenda (independientes de los de menú): lista propia o herencia.
const [agendaCustom, setAgendaCustom] = useState(false);
const [agendaSelected, setAgendaSelected] = useState<AgendaPerm[]>([]);
const [permSaving, setPermSaving] = useState(false);
const load = useCallback(async () => {
@@ -149,17 +152,30 @@ const UsuariosPanel: FC = () => {
setPermUser(u);
setPermCustom(custom);
setPermSelected(custom && u.allowed_menus ? u.allowed_menus : MENU_ITEMS.map((m) => m.href));
// 'ver' siempre viene en la lista resuelta del backend; aquí solo se
// manejan las 4 acciones configurables.
const agenda = Array.isArray(u.agenda_perms_custom) ? u.agenda_perms_custom : null;
setAgendaCustom(agenda !== null);
setAgendaSelected(agenda ? agenda.filter((p) => p !== 'ver') : ['agendar', 'editar', 'eliminar', 'visitas']);
};
const togglePerm = (href: string) => {
setPermSelected((prev) => (prev.includes(href) ? prev.filter((h) => h !== href) : [...prev, href]));
};
const toggleAgendaPerm = (perm: AgendaPerm) => {
setAgendaSelected((prev) => (prev.includes(perm) ? prev.filter((p) => p !== perm) : [...prev, perm]));
};
const savePermisos = async () => {
if (!permUser) return;
try {
setPermSaving(true);
await odooApi.updateFrontendUser(permUser.id, { allowed_menus: permCustom ? permSelected : [] });
await odooApi.updateFrontendUser(permUser.id, {
allowed_menus: permCustom ? permSelected : [],
// null = hereda del rol; la lista siempre lleva 'ver' aunque se desmarque todo
agenda_perms: agendaCustom ? ['ver', ...agendaSelected] : null,
});
toast.success('Permisos actualizados (se aplican en el próximo inicio de sesión del usuario)');
setPermUser(null);
await load();
@@ -372,6 +388,51 @@ const UsuariosPanel: FC = () => {
</div>
</>
)}
{/* Permisos de acción dentro de la Agenda */}
<div className="pt-4 border-t border-theme-border space-y-3">
<div className="flex items-center justify-between">
<h4 className="text-sm font-semibold text-theme-heading">Agenda</h4>
<span className="text-xs text-theme-muted">
{agendaCustom ? 'Permisos propios' : 'Hereda del rol'}
</span>
</div>
<label className="flex items-center gap-2 text-sm text-theme-heading cursor-pointer">
<input
type="checkbox"
checked={!agendaCustom}
onChange={(e) => setAgendaCustom(!e.target.checked)}
className="rounded border-theme-border-strong"
/>
Permitir todo lo que deja el rol (default)
</label>
{agendaCustom && (
<div className="space-y-1.5">
{AGENDA_PERM_ITEMS.map((item) => {
const fijo = item.key === 'ver';
const activo = fijo || agendaSelected.includes(item.key);
return (
<label
key={item.key}
className={`flex items-start gap-2 p-2.5 border border-theme-border rounded-lg text-sm ${fijo ? 'opacity-60 cursor-not-allowed' : 'cursor-pointer hover:bg-theme-bg'} text-theme-heading`}
>
<input
type="checkbox"
checked={activo}
disabled={fijo}
onChange={() => !fijo && toggleAgendaPerm(item.key)}
className="mt-0.5 rounded border-theme-border-strong"
/>
<span>
<span className="font-medium">{item.label}</span>
<span className="block text-xs text-theme-muted">{item.nota}</span>
</span>
</label>
);
})}
</div>
)}
</div>
</div>
</Modal>
</>

18
frontend/src/components/agenda/BloqueosModal.tsx
View File

@@ -53,12 +53,14 @@ interface Props {
ownDoctorId?: number | null;
/** Precarga del cierre rápido desde la cabecera de una columna */
initial?: BloqueoQuickClose | null;
/** Sin permiso de 'Agendar cita': el modal queda en solo consulta */
puedeGestionar?: boolean;
/** Avisa a la agenda para recargar sus bloqueos */
onChanged: () => void;
}
const BloqueosModal: FC<Props> = ({
isOpen, onClose, date, doctors, isMedico, ownDoctorId, initial, onChanged,
isOpen, onClose, date, doctors, isMedico, ownDoctorId, initial, puedeGestionar = true, onChanged,
}) => {
const [doctorIds, setDoctorIds] = useState<number[]>([]);
const [dateFrom, setDateFrom] = useState(date);
@@ -271,7 +273,13 @@ const BloqueosModal: FC<Props> = ({
>
<div className="space-y-5">
{/* Alta / edición */}
<div className="p-3 bg-theme-bg rounded-xl space-y-3">
{!puedeGestionar && (
<p className="text-xs text-theme-muted bg-theme-bg rounded-lg p-2.5">
Solo consulta: tu perfil no tiene permiso de <span className="font-medium">Agendar cita</span>,
que es el que habilita cerrar y reabrir agendas.
</p>
)}
<div className={`p-3 bg-theme-bg rounded-xl space-y-3 ${puedeGestionar ? '' : 'hidden'}`}>
<div className="flex items-center justify-between">
<p className="text-xs font-medium text-theme-muted uppercase">
{editing ? `Editando bloqueo #${editing.id}` : 'Nuevo bloqueo'}
@@ -472,7 +480,7 @@ const BloqueosModal: FC<Props> = ({
{b.motivo && <span className="text-theme-muted"> {b.motivo}</span>}
</span>
<span className="flex items-center gap-1 shrink-0">
{b.grupo && (
{puedeGestionar && b.grupo && (
<button
type="button"
onClick={() => void remove(b, true)}
@@ -482,12 +490,16 @@ const BloqueosModal: FC<Props> = ({
serie
</button>
)}
{puedeGestionar && (
<>
<Button variant="ghost" size="sm" onClick={() => startEdit(b)} title="Editar">
<Pencil size={14} className="text-theme-heading" />
</Button>
<Button variant="ghost" size="sm" onClick={() => void remove(b)} title="Eliminar">
<Trash2 size={14} className="text-rose-500" />
</Button>
</>
)}
</span>
</li>
))}

9
frontend/src/components/agenda/EstadoChecklist.tsx
View File

@@ -24,6 +24,9 @@ interface Props {
onChange: (action: string, state?: string) => void;
/** Oculta la bitácora (vista compacta) */
compact?: boolean;
/** Permisos de Agenda: Cancelar exige 'Eliminar citas', No se presentó 'Editar citas' */
puedeCancelar?: boolean;
puedeNoShow?: boolean;
}
/**
@@ -33,7 +36,7 @@ interface Props {
* checklist y piden confirmación. La confirmación telefónica y la llegada
* siguen sincronizadas con phone_confirmed / arrived_at desde el backend.
*/
export const EstadoChecklist: FC<Props> = ({ apt, updating, history, onChange, compact }) => {
export const EstadoChecklist: FC<Props> = ({ apt, updating, history, onChange, compact, puedeCancelar = true, puedeNoShow = true }) => {
const [confirmarSalida, setConfirmarSalida] = useState<'cancel' | 'no_show' | null>(null);
const idx = stepIndex(apt.state);
const fueraDelFlujo = idx < 0;
@@ -117,6 +120,7 @@ export const EstadoChecklist: FC<Props> = ({ apt, updating, history, onChange, c
<ChevronRight size={14} />
</button>
<span className="ml-auto flex items-center gap-2">
{puedeNoShow && (
<button
type="button"
onClick={() => setConfirmarSalida('no_show')}
@@ -127,6 +131,8 @@ export const EstadoChecklist: FC<Props> = ({ apt, updating, history, onChange, c
<UserX size={13} />
No se presentó
</button>
)}
{puedeCancelar && (
<button
type="button"
onClick={() => setConfirmarSalida('cancel')}
@@ -137,6 +143,7 @@ export const EstadoChecklist: FC<Props> = ({ apt, updating, history, onChange, c
<XCircle size={13} />
Cancelar
</button>
)}
</span>
</div>

9
frontend/src/components/agenda/ListaEspera.tsx
View File

@@ -29,6 +29,8 @@ interface PanelProps {
onQuitar: (entry: ListaEspera) => void;
onAdd: () => void;
onRefresh: () => void;
/** Permiso 'Agendar cita': sin él el panel es solo consulta */
puedeGestionar?: boolean;
}
/**
@@ -36,7 +38,7 @@ interface PanelProps {
* prioridad y antigüedad, con acciones de agendar / avisar / quitar.
*/
export const ListaEsperaPanel: FC<PanelProps> = ({
entries, loading, loadingAgendaId, onAgendar, onQuitar, onAdd, onRefresh,
entries, loading, loadingAgendaId, onAgendar, onQuitar, onAdd, onRefresh, puedeGestionar = true,
}) => {
const [abierto, setAbierto] = useState(true);
return (
@@ -59,7 +61,7 @@ export const ListaEsperaPanel: FC<PanelProps> = ({
<Button size="sm" variant="ghost" onClick={onRefresh} title="Recargar la lista de espera">
Actualizar
</Button>
<Button size="sm" variant="outline" onClick={onAdd}>
<Button size="sm" variant="outline" onClick={onAdd} disabled={!puedeGestionar}>
<Plus size={14} className="mr-1" />
Agregar paciente
</Button>
@@ -106,6 +108,7 @@ export const ListaEsperaPanel: FC<PanelProps> = ({
size="sm"
onClick={() => onAgendar(e)}
loading={loadingAgendaId === e.id}
disabled={!puedeGestionar}
title="Agendar con el paciente precargado"
>
<CalendarPlus size={14} className="mr-1" />
@@ -125,6 +128,7 @@ export const ListaEsperaPanel: FC<PanelProps> = ({
) : (
<span className="text-[11px] text-theme-muted">Sin teléfono</span>
)}
{puedeGestionar && (
<button
type="button"
onClick={() => onQuitar(e)}
@@ -134,6 +138,7 @@ export const ListaEsperaPanel: FC<PanelProps> = ({
<Trash2 size={13} />
Quitar
</button>
)}
</div>
</div>
);

16
frontend/src/lib/auth.tsx
View File

@@ -1,6 +1,6 @@
import { createContext, useContext, useEffect, useState, useCallback } from 'react';
import type { FC, ReactNode } from 'react';
import { odooApi, type FrontendUser, type FrontendRole } from '../services/odoo';
import { odooApi, type FrontendUser, type FrontendRole, type AgendaPerm } from '../services/odoo';
const TOKEN_KEY = 'skeen_token';
const USER_KEY = 'skeen_user';
@@ -75,6 +75,7 @@ interface AuthContextValue {
logout: () => Promise<void>;
hasRole: (min: FrontendRole) => boolean;
canSee: (href: string) => boolean;
canAgenda: (perm: AgendaPerm) => boolean;
}
const AuthContext = createContext<AuthContextValue | undefined>(undefined);
@@ -219,8 +220,19 @@ export const AuthProvider: FC<{ children: ReactNode }> = ({ children }) => {
return true;
};
// Acciones dentro de la Agenda. El backend resuelve la herencia del rol y
// manda la lista efectiva en user.agenda_perms; el fallback por rango cubre
// la sesión cacheada anterior al despliegue.
const canAgenda = (perm: AgendaPerm): boolean => {
if (!user) return false;
const todas: AgendaPerm[] = ['ver', 'agendar', 'editar', 'eliminar', 'visitas'];
const perms = user.agenda_perms
?? (ROLE_RANK[user.role] >= ROLE_RANK.recepcion ? todas : ['ver']);
return perms.includes(perm);
};
return (
<AuthContext.Provider value={{ user, token, loading, bootError, retryBoot, login, logout, hasRole, canSee }}>
<AuthContext.Provider value={{ user, token, loading, bootError, retryBoot, login, logout, hasRole, canSee, canAgenda }}>
{children}
</AuthContext.Provider>
);

82
frontend/src/pages/Agenda.tsx
View File

@@ -26,7 +26,7 @@ import {
badgeForAppointmentState,
} from '../components/ui';
import { useSearchParams, useNavigate } from 'react-router-dom';
import { odooApi, type Appointment, type AppointmentStateLog, type Patient, type Service, type Doctor, type Bloqueo, type ListaEspera, type PatientWallet, type ReceiptData } from '../services/odoo';
import { odooApi, type Appointment, type AppointmentStateLog, type Patient, type Service, type Doctor, type Bloqueo, type ListaEspera, type PatientWallet, type ReceiptData, type AgendaPerm, AGENDA_PERM_ITEMS } from '../services/odoo';
import { useAuth } from '../lib/auth';
import { todayLocal } from '../lib/utils';
import { useAutoRefresh, AutoRefreshBadge } from '../lib/autoRefresh';
@@ -139,7 +139,7 @@ const QUARTER_TIME_OPTIONS = (() => {
const Agenda: FC = () => {
const [searchParams, setSearchParams] = useSearchParams();
const navigate = useNavigate();
const { user } = useAuth();
const { user, canAgenda } = useAuth();
const { openPatient } = usePatientDrawer();
// Rol médico: agenda restringida a su propio hr.employee (filtro también en servidor).
// Cosmetología ve la agenda completa (es personal clínico, sin la privacidad
@@ -149,6 +149,21 @@ const Agenda: FC = () => {
const isCosmetologa = user?.role === 'cosmetologia';
const medicoEmployeeId = isMedico && user?.employee_id ? user.employee_id : null;
const propiaColumnaId = isCosmetologa && user?.employee_id ? user.employee_id : null;
// Permisos de acción dentro de la Agenda (selector por usuario, resueltos
// en el backend). El guard real está en la API; aquí solo se oculta lo que
// no se puede usar, para no ofrecer botones que devuelven 403.
const puedeAgendar = canAgenda('agendar');
const puedeEditar = canAgenda('editar');
const puedeEliminar = canAgenda('eliminar');
const puedeVisitas = canAgenda('visitas');
// Aviso uniforme cuando una acción está recortada (el backend responde 403
// de todas formas; esto evita el round-trip y explica por qué).
const exigePermiso = (perm: AgendaPerm): boolean => {
if (canAgenda(perm)) return false;
const etiqueta = AGENDA_PERM_ITEMS.find((p) => p.key === perm)?.label ?? perm;
toast.error(`Sin permiso: ${etiqueta}`);
return true;
};
const [appointments, setAppointments] = useState<Appointment[]>([]);
const [services, setServices] = useState<Service[]>([]);
const [doctors, setDoctors] = useState<Doctor[]>([]);
@@ -503,6 +518,8 @@ const Agenda: FC = () => {
const DRAGGABLE_STATES = ['pending', 'confirmed'];
const handleDrop = async (doctorId: number | null, slot: number) => {
if (!dragApt) return;
if (exigePermiso('editar')) { setDragApt(null); return; }
if (exigePermiso('editar')) { setDragApt(null); return; }
const apt = dragApt;
setDragApt(null);
setDropTarget(null);
@@ -544,7 +561,7 @@ const Agenda: FC = () => {
};
const chipDragProps = (apt: Appointment) =>
DRAGGABLE_STATES.includes(apt.state)
DRAGGABLE_STATES.includes(apt.state) && puedeEditar
? {
draggable: true,
onDragStart: (e: React.DragEvent) => { e.stopPropagation(); setTooltip(null); setDragApt(apt); },
@@ -939,6 +956,7 @@ const Agenda: FC = () => {
* la cita; si se cancela el modal, simplemente no se toca nada.
*/
const agendarDesdeLista = (entry: ListaEspera) => {
if (exigePermiso('agendar')) return;
setPickedPatient({ id: String(entry.patient_id), name: entry.patient });
setForm((f) => ({
...f,
@@ -1100,7 +1118,34 @@ const Agenda: FC = () => {
fetchSlots(form.service_id, form.date, form.doctor_id, form.duration);
}, [form.service_id, form.date, form.doctor_id, form.duration, fetchSlots]);
// Permiso de Agenda que exige cada acción de estado. Espejo de
// AGENDA_STATUS_PERM / AGENDA_STATE_PERM en el backend: si aquí no cuadra,
// la API devuelve 403 igual, así que solo evita el click inútil.
const permisoParaAccion = (action: string, apt: Appointment | null, destino?: string): AgendaPerm => {
if (action === 'arrive') return 'visitas';
if (action === 'cancel') return 'eliminar';
if (action === 'waitlist') return 'agendar';
if (action === 'next' && apt) {
const actual = stepIndex(apt.state);
const siguiente = actual >= 0 && actual < CHECKLIST_STEPS.length - 1 ? CHECKLIST_STEPS[actual + 1].state : null;
// 'next' solo recorre CHECKLIST_STEPS: el único destino especial es la llegada.
if (siguiente === 'arrived') return 'visitas';
}
if (action === 'set_state') {
if (destino === 'arrived') return 'visitas';
if (destino === 'cancelled') return 'eliminar';
}
return 'editar';
};
const handleStatus = async (id: number, action: string, state?: string) => {
const aptParaPermiso = appointments.find((a) => a.id === id) || (detailApt?.id === id ? detailApt : null);
const permiso = permisoParaAccion(action, aptParaPermiso, state);
if (!canAgenda(permiso)) {
const etiqueta = AGENDA_PERM_ITEMS.find((p) => p.key === permiso)?.label ?? permiso;
toast.error(`Sin permiso: ${etiqueta}`);
return;
}
try {
setUpdating(id);
// Datos del hueco que se libera (para avisar a la lista de espera)
@@ -1168,6 +1213,7 @@ const Agenda: FC = () => {
const saveAptEdit = async () => {
if (!detailApt) return;
if (exigePermiso('editar')) return;
if (!editForm.date || !editForm.time) {
toast.error('Fecha y hora son obligatorias');
return;
@@ -1268,6 +1314,7 @@ const Agenda: FC = () => {
};
const handlePackageFinished = async (id: number, finished: boolean) => {
if (exigePermiso('editar')) return;
try {
setPkgUpdating(id);
await odooApi.packageFinished(id, finished);
@@ -1379,6 +1426,7 @@ const Agenda: FC = () => {
// Editar una cita existente: abre el modal de creación precargado y guarda con PUT.
const openEditCita = (apt: Appointment) => {
if (exigePermiso('editar')) return;
setQuickMode(false);
setDetailApt(null);
setEditMode(false);
@@ -1428,6 +1476,7 @@ const Agenda: FC = () => {
};
const openCreate = () => {
if (exigePermiso('agendar')) return;
setQuickMode(false);
setEditingId(null);
setPickedPatient(null);
@@ -1449,6 +1498,7 @@ const Agenda: FC = () => {
// justDroppedRef: tras un drop real el click posterior se ignora).
const justDroppedRef = useRef(false);
const openCreateAt = (opts?: { date?: string; time?: string; doctorId?: number | null }) => {
if (exigePermiso('agendar')) return;
setQuickMode(false);
setEditingId(null);
setPickedPatient(null);
@@ -1586,7 +1636,7 @@ const Agenda: FC = () => {
const ActionButtons = ({ apt }: { apt: Appointment }) => (
<div className="flex items-center gap-1">
{apt.state !== 'confirmed' && apt.state !== 'done' && apt.state !== 'cancelled' && (
{puedeEditar && apt.state !== 'confirmed' && apt.state !== 'done' && apt.state !== 'cancelled' && (
<Button
variant="ghost"
size="sm"
@@ -1597,18 +1647,18 @@ const Agenda: FC = () => {
<CheckCircle size={16} className="text-theme-heading" />
</Button>
)}
{apt.state === 'confirmed' && (
{puedeVisitas && apt.state === 'confirmed' && (
<Button
variant="ghost"
size="sm"
onClick={() => handleStatus(apt.id, 'arrive')}
disabled={updating === apt.id}
title="Llegada"
title="Llegada (genera la visita del día)"
>
<UserCheck size={16} className="text-blue-600" />
</Button>
)}
{apt.state === 'arrived' && (
{puedeEditar && apt.state === 'arrived' && (
<Button
variant="ghost"
size="sm"
@@ -1619,7 +1669,7 @@ const Agenda: FC = () => {
<Play size={16} className="text-violet-600" />
</Button>
)}
{apt.state !== 'done' && apt.state !== 'cancelled' && (
{puedeEditar && apt.state !== 'done' && apt.state !== 'cancelled' && (
<Button
variant="ghost"
size="sm"
@@ -1630,7 +1680,7 @@ const Agenda: FC = () => {
<CheckCheck size={16} className="text-blue-600" />
</Button>
)}
{(apt.state === 'confirmed' || apt.state === 'arrived') && (
{puedeEditar && (apt.state === 'confirmed' || apt.state === 'arrived') && (
<Button
variant="ghost"
size="sm"
@@ -1641,7 +1691,7 @@ const Agenda: FC = () => {
<UserX size={16} className="text-rose-500" />
</Button>
)}
{apt.service_category === 'paquete' && apt.state !== 'cancelled' && (
{puedeEditar && apt.service_category === 'paquete' && apt.state !== 'cancelled' && (
apt.package_finished ? (
<Button
variant="ghost"
@@ -1664,7 +1714,7 @@ const Agenda: FC = () => {
</Button>
)
)}
{apt.state !== 'cancelled' && (
{puedeEliminar && apt.state !== 'cancelled' && (
<Button
variant="ghost"
size="sm"
@@ -1699,10 +1749,12 @@ const Agenda: FC = () => {
<Sparkles size={16} className="mr-2" />
Valoración express
</Button>
{puedeAgendar && (
<Button onClick={openCreate}>
<Plus size={16} className="mr-2" />
Nueva cita
</Button>
)}
</PageHeader>
<Card>
@@ -1979,6 +2031,7 @@ const Agenda: FC = () => {
entries={listaEspera.filter((e) => e.state === 'esperando')}
loading={loading}
loadingAgendaId={listaAgendando}
puedeGestionar={puedeAgendar}
onAgendar={agendarDesdeLista}
onQuitar={(e) => void quitarDeListaEspera(e)}
onAdd={() => { setListaPrefill({ doctorId: doctorFilter || undefined }); setListaModalOpen(true); }}
@@ -2599,6 +2652,7 @@ const Agenda: FC = () => {
isMedico={isMedico}
ownDoctorId={medicoEmployeeId}
initial={bloqueoQuick}
puedeGestionar={puedeAgendar}
onChanged={() => { void load({ silent: true }); }}
/>
@@ -2983,6 +3037,8 @@ const Agenda: FC = () => {
apt={detailApt}
updating={updating === detailApt.id}
history={stateHistory}
puedeCancelar={puedeEliminar}
puedeNoShow={puedeEditar}
onChange={(action, state) => handleStatus(detailApt.id, action, state)}
/>
<div className="p-3 bg-theme-bg rounded-xl">
@@ -3009,12 +3065,16 @@ const Agenda: FC = () => {
</div>
</div>
<div className="flex flex-wrap gap-2 pt-2 border-t border-theme-border">
{puedeEditar && (
<Button size="sm" variant="outline" onClick={() => setEditMode(true)}>
<CalendarClock size={16} className="mr-1.5" /> Reagendar
</Button>
)}
{puedeEditar && (
<Button size="sm" variant="outline" onClick={() => openEditCita(detailApt)}>
<Pencil size={16} className="mr-1.5" /> Editar
</Button>
)}
{/* Cobrar a la cita: abre el POS con paciente/servicio/médico precargados.
Solo en estados cobrables (oculto en cancelada/no show). */}
{!['cancelled', 'no_show'].includes(detailApt.state) && (

17
frontend/src/services/odoo.ts
View File

@@ -884,6 +884,17 @@ export interface WacrmLead {
export type FrontendRole = 'admin' | 'medico' | 'recepcion' | 'enfermeria' | 'cosmetologia' | 'psicologa' | 'farmacia' | 'gerencia' | 'marketing' | 'lectura';
// Acciones de la Agenda (espejo de AGENDA_PERMS en skeen_whatsapp/roles.py).
export type AgendaPerm = 'ver' | 'agendar' | 'editar' | 'eliminar' | 'visitas';
export const AGENDA_PERM_ITEMS: { key: AgendaPerm; label: string; nota: string }[] = [
{ key: 'ver', label: 'Consultar agenda', nota: 'Siempre activa: sin ella no hay pantalla que ver.' },
{ key: 'agendar', label: 'Agendar cita', nota: 'Cita normal, cita rápida, lista de espera y cierres de agenda.' },
{ key: 'editar', label: 'Editar citas', nota: 'Reprogramar, mover de horario y marcar confirmaciones.' },
{ key: 'eliminar', label: 'Eliminar citas', nota: 'Borrar una cita o cancelarla.' },
{ key: 'visitas', label: 'Generar visitas', nota: 'Check-in (En cabina) y todo el expediente del día.' },
];
export interface FrontendUser {
id: number;
login: string;
@@ -893,6 +904,10 @@ export interface FrontendUser {
last_login?: string | null;
active?: boolean;
allowed_menus?: string[] | null;
// Acciones de Agenda que el backend resolvió (lista efectiva del usuario).
agenda_perms?: AgendaPerm[] | null;
// Lista propia del usuario; null = hereda del rol. La usa solo el editor.
agenda_perms_custom?: AgendaPerm[] | null;
// Solo rol 'medico': hr.employee vinculado (null si no hay vínculo)
employee_id?: number | null;
employee_name?: string | null;
@@ -1305,7 +1320,7 @@ export const odooApi = {
return data;
},
async updateFrontendUser(id: number, payload: { name?: string; login?: string; role?: FrontendRole; active?: boolean; password?: string; must_change_password?: boolean; allowed_menus?: string[] | null }): Promise<{ status: string; user: FrontendUser; message?: string }> {
async updateFrontendUser(id: number, payload: { name?: string; login?: string; role?: FrontendRole; active?: boolean; password?: string; must_change_password?: boolean; allowed_menus?: string[] | null; agenda_perms?: AgendaPerm[] | null }): Promise<{ status: string; user: FrontendUser; message?: string }> {
const { data } = await axios.put(`${ODOO_BASE}/skeen/frontend/v1/auth/users/${id}`, payload);
return data;
},

45
odoo-addons/skeen_whatsapp/controllers/auth.py
View File

@@ -15,7 +15,7 @@ import time
from odoo.http import request, Response
from ..roles import ROLE_RANKS, get_menu_roles
from ..roles import ROLE_RANKS, get_menu_roles, AGENDA_PERMS, resolve_agenda_perms
TTL_SECONDS = 60 * 60 * 12 # 12 horas
SECRET_KEY = 'skeen.frontend.secret'
@@ -182,3 +182,46 @@ def require_role(min_role='lectura'):
return func(self, *args, **kw)
return wrapper
return decorator
# ---------------------------------------------------------------------------
# Permisos de ACCION dentro de la Agenda (selector por usuario).
#
# require_role sigue siendo el guard de rango: el token no lleva permisos,
# asi que no hay listas cacheadas que se puedan desincronizar. Este decorador
# REFINA dentro de la agenda y solo puede QUITAR acceso, nunca darlo por
# encima del rango del rol.
# ---------------------------------------------------------------------------
AGENDA_PERM_LABELS = dict(AGENDA_PERMS)
def agenda_perm_error(user, perm):
"""Response 403 si la accion no esta permitida; None si si lo esta."""
if user is None or perm not in resolve_agenda_perms(user):
label = AGENDA_PERM_LABELS.get(perm, perm)
return _json({'status': 'error', 'message': 'Sin permiso: %s' % label}, 403)
return None
def require_agenda(perm):
"""Decorator: exige token valido y la accion de agenda indicada.
Se apila por DEBAJO de require_role (decorador interno), de modo que el
control de rango del rol ya corrió y solo falta refinar la acción concreta.
"""
def decorator(func):
@functools.wraps(func)
def wrapper(self, *args, **kw):
if request.httprequest.method == 'OPTIONS':
return _json({}, 200)
user = current_user(request.env)
if not user:
return _json({'status': 'error', 'message': 'No autenticado'}, 401)
denied = agenda_perm_error(user, perm)
if denied is not None:
return denied
request.frontend_user = user
return func(self, *args, **kw)
return wrapper
return decorator

72
odoo-addons/skeen_whatsapp/controllers/frontend.py
View File

@@ -9,7 +9,9 @@ import re
import uuid
from datetime import date, datetime, timedelta
from .auth import sign_token, current_user, require_role, forbid_roles, verify_token
from .auth import require_agenda, agenda_perm_error
from ..roles import ROLE_SELECTION, ROLE_KEYS, MENU_ROLES_KEY, get_menu_roles
from ..roles import AGENDA_PERM_KEYS
def json_response(data, status=200):
@@ -33,6 +35,35 @@ STATE_FLOW = ['pending', 'confirmed', 'arrived', 'in_progress', 'done']
# Estados que liberan el horario (no ocupan agenda)
INACTIVE_STATES = ('cancelled', 'no_show', 'waitlist')
# ---------------------------------------------------------------------------
# Permiso de agenda que exige cada accion del checklist de estado.
# 'visitas' = pasar a En cabina (arrive), que es lo que genera la visita del dia.
# 'cancel' es la baja de la cita -> eliminar. 'waitlist' mete a la lista de
# espera -> agendar. El resto son ediciones sobre la cita.
# ---------------------------------------------------------------------------
AGENDA_STATUS_PERM = {
'arrive': 'visitas',
'cancel': 'eliminar',
'waitlist': 'agendar',
'confirm': 'editar',
'start': 'editar',
'done': 'editar',
'no_show': 'editar',
'back': 'editar',
}
# Estado destino -> permiso, para 'next' y 'set_state' (no nombran la accion).
AGENDA_STATE_PERM = {'arrived': 'visitas', 'cancelled': 'eliminar'}
def _agenda_status_perm(action, target=None):
"""Permiso de agenda requerido por un cambio de estado de la cita."""
perm = AGENDA_STATUS_PERM.get(action)
if perm:
return perm
if target:
return AGENDA_STATE_PERM.get(target, 'editar')
return 'editar'
def _parse_json_body():
"""Lee y parsea el body JSON de la petición"""
@@ -306,6 +337,12 @@ class SkeenFrontendController(http.Controller):
if menus is not None and not isinstance(menus, list):
return json_response({'status': 'error', 'message': 'allowed_menus debe ser una lista'}, 400)
vals['allowed_menus'] = json.dumps(menus) if menus else False
if 'agenda_perms' in data:
perms = data.get('agenda_perms')
if perms is not None and not isinstance(perms, list):
return json_response({'status': 'error', 'message': 'agenda_perms debe ser una lista o null'}, 400)
# None = heredar del rol (dejar el campo vacío)
vals['agenda_perms'] = json.dumps(perms) if perms is not None else False
if vals:
previos = {k: getattr(user, k) for k in vals}
user.write(vals)
@@ -565,6 +602,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/appointments', type='http', auth='none', methods=['POST'], csrf=False)
@require_role('recepcion')
@require_agenda('agendar')
def create_appointment(self, **kw):
"""Crear una o más citas (soporta paquetes de sesiones)"""
try:
@@ -632,6 +670,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/appointments/quick', type='http', auth='none', methods=['POST', 'OPTIONS'], csrf=False)
@require_role('recepcion')
@require_agenda('agendar')
def create_quick_appointment(self, **kw):
"""Cita rápida: solo nombre + teléfono (+ fecha/hora/médico del contexto).
@@ -743,6 +782,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/appointments/<int:appointment_id>', type='http', auth='none', methods=['PUT'], csrf=False)
@require_role('recepcion')
@require_agenda('editar')
def update_appointment(self, appointment_id, **kw):
try:
cita = request.env['skeen.cita'].sudo().browse(appointment_id)
@@ -778,6 +818,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/appointments/<int:appointment_id>', type='http', auth='none', methods=['DELETE'], csrf=False)
@require_role('recepcion')
@require_agenda('eliminar')
def delete_appointment(self, appointment_id, **kw):
try:
cita = request.env['skeen.cita'].sudo().browse(appointment_id)
@@ -806,6 +847,19 @@ class SkeenFrontendController(http.Controller):
return json_response({'status': 'error', 'message': 'Cita no encontrada'}, 404)
data = _parse_json_body()
action = data.get('action')
# El permiso depende del estado destino: 'next' y 'set_state' no
# nombran la accion, asi que se resuelve contra la cita real.
_target = None
if action == 'next':
_idx = STATE_FLOW.index(cita.state) if cita.state in STATE_FLOW else -1
if 0 <= _idx < len(STATE_FLOW) - 1:
_target = STATE_FLOW[_idx + 1]
elif action == 'set_state':
_target = data.get('state')
denied = agenda_perm_error(
request.frontend_user, _agenda_status_perm(action, _target))
if denied is not None:
return denied
user = request.frontend_user.login
note = (data.get('reason') or '').strip()
if action == 'confirm':
@@ -880,6 +934,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/appointments/<int:appointment_id>/phone_confirm', type='http', auth='none', methods=['POST', 'OPTIONS'], csrf=False)
@require_role('recepcion')
@require_agenda('editar')
def appointment_phone_confirm(self, appointment_id, **kw):
"""Toggle de la 1ra confirmación (telefónica) de una cita.
@@ -913,6 +968,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/appointments/<int:appointment_id>/package_finished', type='http', auth='none', methods=['POST', 'OPTIONS'], csrf=False)
@require_role('recepcion')
@require_agenda('editar')
def appointment_package_finished(self, appointment_id, **kw):
try:
cita = request.env['skeen.cita'].sudo().browse(appointment_id)
@@ -931,6 +987,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/appointments/bulk_phone_confirm', type='http', auth='none', methods=['POST', 'OPTIONS'], csrf=False)
@require_role('recepcion')
@require_agenda('editar')
def bulk_phone_confirm(self, **kw):
"""Confirmación telefónica en lote.
@@ -1099,6 +1156,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/bloqueos', type='http', auth='none', methods=['POST'], csrf=False)
@require_role('recepcion')
@require_agenda('agendar')
def create_bloqueo(self, **kw):
"""Crea uno o varios bloqueos de agenda.
@@ -1213,6 +1271,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/bloqueos/<int:bloqueo_id>', type='http', auth='none', methods=['PUT', 'OPTIONS'], csrf=False)
@require_role('recepcion')
@require_agenda('agendar')
def update_bloqueo(self, bloqueo_id, **kw):
"""Edita un bloqueo existente (fecha, horario, motivo, médico)."""
try:
@@ -1255,6 +1314,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/bloqueos/<int:bloqueo_id>', type='http', auth='none', methods=['DELETE'], csrf=False)
@require_role('recepcion')
@require_agenda('agendar')
def delete_bloqueo(self, bloqueo_id, **kw):
try:
bloqueo = request.env['skeen.cita.bloqueo'].sudo().browse(bloqueo_id)
@@ -1269,6 +1329,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/bloqueos/grupo/<string:grupo>', type='http', auth='none', methods=['DELETE'], csrf=False)
@require_role('recepcion')
@require_agenda('agendar')
def delete_bloqueo_grupo(self, grupo, **kw):
"""Elimina la serie completa (mismo `grupo`) de bloqueos."""
try:
@@ -1370,6 +1431,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/lista_espera', type='http', auth='none', methods=['POST'], csrf=False)
@require_role('recepcion')
@require_agenda('agendar')
def create_lista_espera(self, **kw):
try:
data = _parse_json_body()
@@ -1402,6 +1464,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/lista_espera/<int:registro_id>', type='http', auth='none', methods=['PUT', 'OPTIONS'], csrf=False)
@require_role('recepcion')
@require_agenda('agendar')
def update_lista_espera(self, registro_id, **kw):
"""Edita la espera o la resuelve (state agendado/descartado, cita_id)."""
try:
@@ -1445,6 +1508,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/lista_espera/<int:registro_id>', type='http', auth='none', methods=['DELETE'], csrf=False)
@require_role('recepcion')
@require_agenda('agendar')
def delete_lista_espera(self, registro_id, **kw):
try:
record = request.env['skeen.lista.espera'].sudo().browse(registro_id)
@@ -1552,6 +1616,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/visitas/<int:visita_id>', type='http', auth='none', methods=['PUT'], csrf=False)
@require_role('recepcion')
@require_agenda('visitas')
def update_visita(self, visita_id, **kw):
try:
visita = request.env['skeen.visita'].sudo().browse(visita_id)
@@ -1567,6 +1632,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/visitas/<int:visita_id>/complete', type='http', auth='none', methods=['POST', 'OPTIONS'], csrf=False)
@require_role('recepcion')
@require_agenda('visitas')
def complete_visita(self, visita_id, **kw):
try:
visita = request.env['skeen.visita'].sudo().browse(visita_id)
@@ -1579,6 +1645,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/visitas/<int:visita_id>/cancel', type='http', auth='none', methods=['POST', 'OPTIONS'], csrf=False)
@require_role('recepcion')
@require_agenda('visitas')
def cancel_visita(self, visita_id, **kw):
try:
visita = request.env['skeen.visita'].sudo().browse(visita_id)
@@ -1591,6 +1658,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/consultas', type='http', auth='none', methods=['POST', 'OPTIONS'], csrf=False)
@require_role('recepcion')
@require_agenda('visitas')
def create_consulta(self, **kw):
"""Consulta médica directa: visita completada sin cita origen"""
try:
@@ -1618,6 +1686,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/visitas/<int:visita_id>/insumos', type='http', auth='none', methods=['POST', 'OPTIONS'], csrf=False)
@require_role('recepcion')
@require_agenda('visitas')
def add_visita_insumo(self, visita_id, **kw):
try:
visita = request.env['skeen.visita'].sudo().browse(visita_id)
@@ -1644,6 +1713,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/visitas/<int:visita_id>/insumos/<int:line_id>', type='http', auth='none', methods=['DELETE'], csrf=False)
@require_role('recepcion')
@require_agenda('visitas')
def delete_visita_insumo(self, visita_id, line_id, **kw):
try:
visita = request.env['skeen.visita'].sudo().browse(visita_id)
@@ -1661,6 +1731,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/visitas/<int:visita_id>/adjuntos', type='http', auth='none', methods=['POST', 'OPTIONS'], csrf=False)
@require_role('recepcion')
@require_agenda('visitas')
def add_visita_adjunto(self, visita_id, **kw):
try:
visita = request.env['skeen.visita'].sudo().browse(visita_id)
@@ -1695,6 +1766,7 @@ class SkeenFrontendController(http.Controller):
@http.route('/skeen/frontend/v1/visitas/adjuntos/<int:adj_id>', type='http', auth='none', methods=['DELETE'], csrf=False)
@require_role('recepcion')
@require_agenda('visitas')
def delete_visita_adjunto(self, adj_id, **kw):
try:
adj = request.env['skeen.visita.adjunto'].sudo().browse(adj_id)

26
odoo-addons/skeen_whatsapp/models/frontend_user.py
View File

@@ -5,7 +5,7 @@ import json
from odoo import models, fields, api, _
from odoo.exceptions import ValidationError
from ..roles import ROLE_SELECTION, ROLE_RANKS
from ..roles import ROLE_SELECTION, ROLE_RANKS, resolve_agenda_perms
try:
from werkzeug.security import check_password_hash, generate_password_hash
@@ -34,6 +34,10 @@ class SkeenFrontendUser(models.Model):
notes = fields.Text(string='Notas')
allowed_menus = fields.Text(string='Menús Permitidos',
help='JSON array de hrefs visibles; vacío = defaults por rol')
agenda_perms = fields.Text(
string='Permisos de Agenda',
help="JSON array con las acciones permitidas dentro de la Agenda "
"(ver, agendar, editar, eliminar, visitas). Vacío = heredar del rol.")
_sql_constraints = [
('unique_login', 'unique(login)', 'El usuario ya existe.'),
@@ -72,6 +76,22 @@ class SkeenFrontendUser(models.Model):
return None
return val if isinstance(val, list) and val else None
def _agenda_perms_list(self):
"""Lista explícita de acciones de agenda, o None si el usuario hereda del rol.
A diferencia de allowed_menus, una lista vacía SÍ es un valor válido
("desmarcar todo" = solo consultar); por eso solo se devuelve None
cuando el campo está vacío o el JSON es inválido.
"""
self.ensure_one()
if not self.agenda_perms:
return None
try:
val = json.loads(self.agenda_perms)
except Exception:
return None
return val if isinstance(val, list) else None
def to_public_dict(self):
self.ensure_one()
return {
@@ -82,4 +102,8 @@ class SkeenFrontendUser(models.Model):
'must_change_password': self.must_change_password,
'last_login': self.last_login.strftime('%Y-%m-%d %H:%M') if self.last_login else None,
'allowed_menus': self._allowed_menus_list(),
# Lista resuelta (lo que realmente puede hacer) + la lista propia
# cruda, para que el editor de usuarios sepa si está heredando.
'agenda_perms': resolve_agenda_perms(self),
'agenda_perms_custom': self._agenda_perms_list(),
}

51
odoo-addons/skeen_whatsapp/roles.py
View File

@@ -44,6 +44,57 @@ ROLE_RANKS = {
MENU_ROLES_KEY = 'skeen.menu_roles'
# ------------------------------------------------------------------
# Permisos de ACCIÓN dentro de la Agenda (selector por usuario).
#
# No son visibilidad de menú: deciden qué se puede HACER una vez dentro.
# Claves estables (se guardan como JSON en skeen.frontend.user.agenda_perms).
# ------------------------------------------------------------------
AGENDA_PERMS = [
('ver', 'Consultar agenda'),
('agendar', 'Agendar cita'),
('editar', 'Editar citas'),
('eliminar', 'Eliminar citas'),
('visitas', 'Generar visitas'),
]
AGENDA_PERM_KEYS = tuple(k for k, _ in AGENDA_PERMS)
# Acciones que requieren rango de escritura (recepción para arriba): quien no
# tiene lista propia configurada hereda esto, que es exactamente lo que ya
# permitía @require_role('recepcion'). Así el selector puede QUITAR sin
# configurar nada y no cambia el comportamiento actual de nadie.
WRITE_RANK_MIN = 'recepcion'
# Roles sin rango propio en ROLE_RANKS no existen; el default se resuelve por
# rango, no por nombre, para no duplicar la lista de roles.
def agenda_defaults_for(user):
"""Permisos de agenda por defecto de un usuario (sin lista propia)."""
ver = ['ver']
if user is None:
return list(ver)
if user.role == 'admin':
return list(AGENDA_PERM_KEYS)
if user.role_rank() >= ROLE_RANKS.get(WRITE_RANK_MIN, 50):
return list(AGENDA_PERM_KEYS)
return list(ver)
def resolve_agenda_perms(user):
"""Permisos de agenda vigentes: los del usuario si tiene lista, si no el default.
'ver' nunca se quita: sin él no hay pantalla que mostrar y el resto de las
acciones carece de sentido. Se fuerza al subir.
"""
custom = user._agenda_perms_list() if user is not None else None
if custom is None:
return agenda_defaults_for(user)
valid = [k for k in AGENDA_PERM_KEYS if k in custom]
if 'ver' not in valid:
valid.insert(0, 'ver')
return valid
# Defaults = MENU_ROLES de src/lib/auth.tsx (4 roles originales).
# 'gerencia' (gerencia de la clínica) ve toda la
# operación EXCEPTO /configuracion (solo admin del sistema), /mis-ventas,