feat(auth): claves de permiso granulares para Supply/Almacén (F0 Supply) (#75)

RECON (14/08): show_inventory no gateaba nada en el código real — Supply
(Pedidos/Recepciones/Facturas/Almacén/CTB) solo tenía requiredRole:'manager'
a nivel de módulo, ningún item con requiredPermission. Proveedores, Platos y
Rentabilidad/Ingeniería de menús (Kitchen) igual. Los márgenes reales de
Ventas (Economía/Márgenes, Margen final, Food cost/Plato) sí tenían permiso
— show_ventas_analisis — pero nada que ver con show_inventory. Alcance
corregido con Julio antes de construir.

6 columnas nuevas en manager_permissions (2 migraciones — la segunda
corrige a la primera, que había metido show_costes en el backfill por
error de alcance; no se edita la migración ya aplicada):
  show_recepcion, show_pedidos, show_proveedores, show_inventarios,
  show_facturas — backward-compat: quien tenga show_inventory=true las
  recibe en true.
  show_costes — la sensible (costes/escandallos/márgenes). Nace en false
  para todos, NO entra en el backfill, mismo criterio que show_salaries.

Cableado real (antes decorativo, ahora gatea de verdad):
  - supply/module.tsx: Pedidos→show_pedidos, Recepciones→show_recepcion,
    Facturas→show_facturas, Almacén→show_inventory ("ver el almacén y el
    stock", su alcance reducido). Comunicar a CTB→requiredRole:'admin'
    (decisión de Julio: no es operativa de local).
  - kitchen/module.tsx: Proveedores→show_proveedores. Platos→show_costes
    (decisión explícita: el escandallo se ve dentro de la pantalla normal
    de editar el plato, sin separar datos — "el rol no entra ahí", no se
    rediseña la pantalla). Rentabilidad e Ingeniería de menús→show_costes.
  - ventas/module.tsx: Economía/Márgenes, Margen final y Food cost/Plato
    exigen AHORA show_ventas_analisis Y show_costes (antes bastaba con
    show_ventas_analisis, que las 2 plantillas ya tenían en true — dejaba
    el food cost visible por esa vía aunque show_costes fuera false).

shell/types.ts: requiredPermission pasa de string a string | string[]
(array = AND, todas las claves exigidas) — necesario para el caso de
Ventas. Los 4 sitios que lo evalúan (ModuleSidebar, ShellTopBar,
ShellBottomNav, MobileModuleTabs) actualizados con el mismo check.

managerPermissionsService.ts: las 6 claves nuevas en DEFAULT_PERMISSIONS y
en los 4 mappers (rowToManagerPermissions, managerPermissionsToInsertRow,
patchToUpdateRow, permissionTemplateValuesToRow). Plantillas
"Responsable de local"/"Oficina": las 5 no-sensibles en true, show_costes
en false en las dos.

Corrección adicional aprobada por Julio sobre lo ya mergeado en #74:
show_informes_personal (gatea Nóminas) pasa a true en "Responsable de
local" — edita el cuadrante y aprueba vacaciones; no ver las horas de su
equipo sería incoherente. Se queda en false en "Oficina".

ManagerPermissionsModal.tsx: 6 toggles nuevos, sección "Compras y
Almacén" — no quedan decorativos, tienen editor individual desde el
primer commit (a diferencia de 6 columnas previas al 14/08 que siguen sin
toggle: showTasks/showScheduled/showTemplates/showIncidents/showAudits/
showHistory, deuda previa no tocada aquí).

Verificado: has_permission()/get_effective_permissions() reconocen las 6
columnas nuevas sin cambio de función (impersonación real vía MCP contra
la única fila existente en manager_permissions). tsc -b limpio (único
error restante: DailyCountWizard.tsx, huérfano, ajeno a esta rama).

Author: Llorente29

src/components/ManagerPermissionsModal.tsx

@@ -15,6 +15,7 @@ import {
   RefreshCw, Calendar, ClipboardList, FileText, Wallet, DollarSign, Settings2,
   Leaf, AlertTriangle,
   FlaskConical, BarChart3, Brain, Bike, Package, MapPin, Bell,
+  PackageCheck, Truck, Store, Boxes, Coins,
   type LucideIcon,
 } from 'lucide-react'
 import { Modal, Button, Card, Alert } from './ui'
@@ -76,14 +77,25 @@ const PERMISSION_ITEMS: PermissionItem[] = [
   { key: 'showVentasAnalisis',        label: 'Análisis de Ventas',  Icon: BarChart3, section: 'Inventario' },
   { key: 'showPrediccionPersonal',    label: 'Predicción Personal', Icon: Brain, section: 'Inventario' },
   { key: 'showZonasPedido',           label: 'Zonas de Pedido',     Icon: Bike, section: 'Inventario', sensitive: true },
-  { key: 'showInventory',             label: 'Inventario',          Icon: Package, section: 'Inventario' },
+  { key: 'showInventory',             label: 'Almacén (ver stock)', Icon: Package, section: 'Inventario' },
+
+  // Compras y Almacén (ENCARGO CODE 14/08 — separación de show_inventory,
+  // que antes no gateaba nada de esto: Supply/Kitchen se veían por rol,
+  // no por permiso). show_costes es la sensible — mismo criterio que
+  // "Ver salarios": false por defecto en toda plantilla.
+  { key: 'showRecepcion',             label: 'Recepción de pedidos', Icon: PackageCheck, section: 'Compras y Almacén' },
+  { key: 'showPedidos',               label: 'Pedidos a proveedor', Icon: Truck, section: 'Compras y Almacén' },
+  { key: 'showProveedores',           label: 'Proveedores (catálogo y precios)', Icon: Store, section: 'Compras y Almacén', sensitive: true },
+  { key: 'showInventarios',           label: 'Recuentos de inventario', Icon: Boxes, section: 'Compras y Almacén' },
+  { key: 'showFacturas',              label: 'Facturas de proveedor', Icon: FileText, section: 'Compras y Almacén' },
+  { key: 'showCostes',                label: 'Costes, escandallos y márgenes', Icon: Coins, section: 'Compras y Almacén', sensitive: true },
 
   // Configuración
   { key: 'showLocations',             label: 'Locales',             Icon: MapPin, section: 'Configuración', sensitive: true },
   { key: 'showTspoonSettings',        label: 'Avisos',              Icon: Bell, section: 'Configuración', sensitive: true },
 ]
 
-const SECTIONS = ['Principal', 'Personal', 'APPCC', 'Inventario', 'Configuración']
+const SECTIONS = ['Principal', 'Personal', 'APPCC', 'Inventario', 'Compras y Almacén', 'Configuración']
 
 export default function ManagerPermissionsModal({ userProfileId, userName, onClose, onSaved }: Props) {
   const [perms, setPerms] = useState<ManagerPermissions | null>(null)

src/modules/kitchen/module.tsx

@@ -2,6 +2,15 @@
 //
 // ModuleDefinition del módulo Folvy Kitchen (escandallo de cocina).
 // Sigue el patrón canónico de appcc/module.tsx.
+//
+// ENCARGO CODE (14/08) — Proveedores, Platos, Rentabilidad e Ingeniería de
+// menús ahora exigen show_proveedores/show_costes además de requiredRole:
+// 'manager' (antes solo tenían el rol, ninguna columna de manager_permissions
+// los gateaba). 'Platos' (kitchen_recipes) bajo show_costes por decisión
+// explícita de Julio: el coste/escandallo se ve dentro de la pantalla
+// normal de editar el plato, sin separación posible hoy — "sin rediseñar
+// la pantalla, simplemente el rol no entra ahí". Quien no tenga show_costes
+// tampoco puede editar platos/menús desde aquí.
 import { LayoutDashboard, ChefHat, BookOpen, TrendingUp, Target, Truck, UtensilsCrossed, SlidersHorizontal, CircleSlash, Megaphone, Sliders, BarChart3, Link2 } from 'lucide-react'
 import type { ModuleDefinition } from '@/shell/types'
 import KitchenDashboardPage from '@/modules/kitchen/pages/KitchenDashboardPage'
@@ -58,10 +67,10 @@ export const kitchenModule: ModuleDefinition = {
       { id: 'kitchen_availability',  label: 'Disponibilidad',      icon: CircleSlash,       path: 'disponibilidad',   requiredRole: 'manager' },
       { id: 'kitchen_availability_reports', label: 'Informes de disponibilidad', icon: BarChart3, path: 'disponibilidad-informes', requiredRole: 'manager' },
       { id: 'kitchen_items',         label: 'Ingredientes',        icon: ChefHat,           path: '' },
-      { id: 'kitchen_suppliers',     label: 'Proveedores',         icon: Truck,             path: 'proveedores',      requiredRole: 'manager' },
-      { id: 'kitchen_recipes',       label: 'Platos',              icon: BookOpen,          path: 'recetas',          requiredRole: 'manager' },
-      { id: 'kitchen_profitability', label: 'Rentabilidad',        icon: TrendingUp,        path: 'rentabilidad',     requiredRole: 'manager' },
-      { id: 'kitchen_menu_eng',      label: 'Ingeniería de menús', icon: Target,            path: 'ingenieria-menus', requiredRole: 'manager' },
+      { id: 'kitchen_suppliers',     label: 'Proveedores',         icon: Truck,             path: 'proveedores',      requiredRole: 'manager', requiredPermission: 'show_proveedores' },
+      { id: 'kitchen_recipes',       label: 'Platos',              icon: BookOpen,          path: 'recetas',          requiredRole: 'manager', requiredPermission: 'show_costes' },
+      { id: 'kitchen_profitability', label: 'Rentabilidad',        icon: TrendingUp,        path: 'rentabilidad',     requiredRole: 'manager', requiredPermission: 'show_costes' },
+      { id: 'kitchen_menu_eng',      label: 'Ingeniería de menús', icon: Target,            path: 'ingenieria-menus', requiredRole: 'manager', requiredPermission: 'show_costes' },
       { id: 'kitchen_offers',        label: 'Ofertas del agente',  icon: Megaphone,         path: 'ofertas',          requiredRole: 'manager' },
       { id: 'kitchen_offer_rules',   label: 'Reglas de ofertas',   icon: Sliders,           path: 'ofertas-reglas',   requiredRole: 'manager' },
       { id: 'kitchen_settings',      label: 'Ajustes',             icon: SlidersHorizontal, path: 'ajustes',          requiredRole: 'manager' },

src/modules/multitenancy/services/managerPermissionsService.ts

@@ -91,6 +91,12 @@ export const DEFAULT_PERMISSIONS: Omit<ManagerPermissions, 'userProfileId' | 'cr
   canApproveVacations: true,
   showAppccToday: false,
   showAppccIncidents: false,
+  showRecepcion: true,
+  showPedidos: true,
+  showProveedores: true,
+  showInventarios: true,
+  showFacturas: true,
+  showCostes: false,
 }
 
 /**
@@ -108,19 +114,24 @@ export function defaultPermissions(): typeof DEFAULT_PERMISSIONS {
 // TypeScript, no una tabla: si una plantilla se equivoca de clave, el
 // `Omit<..., 'userProfileId'|'createdAt'|'updatedAt'>` de abajo NO COMPILA
 // — no puede inventarse un permiso que no existe. Aplicar una plantilla
-// escribe las 31 columnas reales de manager_permissions vía savePermissions;
+// escribe las 37 columnas reales de manager_permissions vía savePermissions;
 // las casillas siguen siendo editables una a una después (no es una jaula).
 //
-// Valores aprobados por Julio (14/08). show_salaries y show_informes_personal
-// (gatea Nóminas, tan sensible como salarios) en false en las dos. Plantilla
-// "Solo lectura" retirada por decisión de Julio: el modelo solo gatea
-// visibilidad de pantalla, no acciones dentro de ella, y el nombre prometía
-// algo que el sistema de permisos no puede garantizar todavía.
-// No hay claves de Supply/Almacén/Recepción en manager_permissions: ese
-// módulo no está gateado por esta tabla hoy (cualquier manager/admin ya lo ve
-// por rol, sin mirar ninguna columna — ver ENCARGO CODE 14/08 "claves de
-// Supply", rama aparte). "Oficina" solo puede tocar los toggles que sí
-// existen (inventario, ventas, zonas de pedido, fichas técnicas).
+// Valores aprobados por Julio (14/08, con una ronda de correcciones).
+// show_salaries en false en las dos, sin excepción. show_informes_personal
+// (gatea Nóminas, además de los informes de fichaje/gestoría — una sola
+// clave para las cuatro pantallas, no hay forma de separarlas hoy) en true
+// para "Responsable de local" (edita el cuadrante y aprueba vacaciones; no
+// ver las horas de su equipo sería incoherente) y en false para "Oficina".
+// Plantilla "Solo lectura" retirada por decisión de Julio: el modelo solo
+// gatea visibilidad de pantalla, no acciones dentro de ella, y el nombre
+// prometía algo que el sistema de permisos no puede garantizar todavía.
+//
+// Las 6 claves de Supply/Almacén (show_recepcion, show_pedidos,
+// show_proveedores, show_inventarios, show_facturas, show_costes) — ver
+// ENCARGO CODE 14/08 "claves de Supply" — en true para las dos salvo
+// show_costes, que nace en false en las dos y NO entra en el backfill de
+// compatibilidad de la migración, mismo criterio que show_salaries.
 type PermissionTemplateValues = Omit<ManagerPermissions, 'userProfileId' | 'createdAt' | 'updatedAt'>
 
 export interface PermissionTemplate {
@@ -139,14 +150,16 @@ export const PERMISSION_TEMPLATES: readonly PermissionTemplate[] = [
       showDashboard: true, showStaff: true, showAhoraMismo: true,
       showFichajesGlobal: true, showKioskoFichaje: true, showSolicitudesPendientes: true,
       showTurnosAbiertos: true, showCambiosPendientes: true, showCalendario: true,
-      showPlantillaTurnos: true, showInformesPersonal: false, showBolsaHoras: true,
+      showPlantillaTurnos: true, showInformesPersonal: true, showBolsaHoras: true,
       showTasks: true, showScheduled: true, showTemplates: false,
       showIncidents: true, showAudits: true, showHistory: true,
       showTspoon: false, showVentasAnalisis: false, showPrediccionPersonal: false,
       showZonasPedido: false, showInventory: true, showLocations: false,
       showTspoonSettings: false, showSalaries: false,
       canManageEmployees: false, canEditSchedule: true, canApproveVacations: true,
       showAppccToday: true, showAppccIncidents: true,
+      showRecepcion: true, showPedidos: true, showProveedores: true,
+      showInventarios: true, showFacturas: true, showCostes: false,
     },
   },
   {
@@ -165,6 +178,8 @@ export const PERMISSION_TEMPLATES: readonly PermissionTemplate[] = [
       showTspoonSettings: false, showSalaries: false,
       canManageEmployees: false, canEditSchedule: false, canApproveVacations: false,
       showAppccToday: false, showAppccIncidents: false,
+      showRecepcion: true, showPedidos: true, showProveedores: true,
+      showInventarios: true, showFacturas: true, showCostes: false,
     },
   },
 ] as const
@@ -210,6 +225,12 @@ export function permissionTemplateValuesToRow(values: PermissionTemplateValues):
     can_approve_vacations: values.canApproveVacations,
     show_appcc_today: values.showAppccToday,
     show_appcc_incidents: values.showAppccIncidents,
+    show_recepcion: values.showRecepcion,
+    show_pedidos: values.showPedidos,
+    show_proveedores: values.showProveedores,
+    show_inventarios: values.showInventarios,
+    show_facturas: values.showFacturas,
+    show_costes: values.showCostes,
   }
 }
 
@@ -255,6 +276,12 @@ export function rowToManagerPermissions(row: RowManagerPermissions): ManagerPerm
     canApproveVacations: row.can_approve_vacations,
     showAppccToday: row.show_appcc_today ?? false,
     showAppccIncidents: row.show_appcc_incidents ?? false,
+    showRecepcion: row.show_recepcion,
+    showPedidos: row.show_pedidos,
+    showProveedores: row.show_proveedores,
+    showInventarios: row.show_inventarios,
+    showFacturas: row.show_facturas,
+    showCostes: row.show_costes,
     createdAt: row.created_at,
     updatedAt: row.updated_at,
   }
@@ -302,6 +329,12 @@ function managerPermissionsToInsertRow(
     can_approve_vacations: perms.canApproveVacations,
     show_appcc_today: perms.showAppccToday,
     show_appcc_incidents: perms.showAppccIncidents,
+    show_recepcion: perms.showRecepcion,
+    show_pedidos: perms.showPedidos,
+    show_proveedores: perms.showProveedores,
+    show_inventarios: perms.showInventarios,
+    show_facturas: perms.showFacturas,
+    show_costes: perms.showCostes,
   }
 }
 
@@ -342,6 +375,12 @@ function patchToUpdateRow(patch: ManagerPermissionsPatch): RowManagerPermissions
   if (patch.canApproveVacations !== undefined) row.can_approve_vacations = patch.canApproveVacations
   if (patch.showAppccToday !== undefined) row.show_appcc_today = patch.showAppccToday
   if (patch.showAppccIncidents !== undefined) row.show_appcc_incidents = patch.showAppccIncidents
+  if (patch.showRecepcion !== undefined) row.show_recepcion = patch.showRecepcion
+  if (patch.showPedidos !== undefined) row.show_pedidos = patch.showPedidos
+  if (patch.showProveedores !== undefined) row.show_proveedores = patch.showProveedores
+  if (patch.showInventarios !== undefined) row.show_inventarios = patch.showInventarios
+  if (patch.showFacturas !== undefined) row.show_facturas = patch.showFacturas
+  if (patch.showCostes !== undefined) row.show_costes = patch.showCostes
   return row
 }
 

src/modules/supply/module.tsx

@@ -14,7 +14,12 @@
 //   - C3: Facturas (three-way match + OCR) → eslabón al coste.
 //   - Luego: Inventario, Previsión, Planificación.
 //
-// Gating: requiredRole 'manager' (el aprovisionamiento lo gestiona admin/manager).
+// Gating: requiredRole 'manager' a nivel de módulo, más requiredPermission
+// por item (ENCARGO CODE 14/08 — antes NINGÚN item de este módulo tenía
+// requiredPermission; cualquier manager/admin veía las 5 pantallas,
+// show_inventory incluido, sin que esa columna gatease nada realmente).
+// Comunicar a CTB sube a requiredRole: 'admin' (decisión de Julio, no
+// manager) — comunica datos a la gestoría, no es operativa de local.
 
 import { Truck, ClipboardList, PackageCheck, FileText, Boxes, Send } from 'lucide-react'
 import type { ModuleDefinition } from '@/shell/types'
@@ -45,11 +50,11 @@ export const supplyModule: ModuleDefinition = {
   // C2 añade Recepciones. Al construir C3 se añaden Facturas, etc.
   sidebar: {
     items: [
-      { id: 'supply_orders', label: 'Pedidos', icon: ClipboardList, path: '' },
-      { id: 'supply_receipts', label: 'Recepciones', icon: PackageCheck, path: 'recepciones' },
-      { id: 'supply_invoices', label: 'Facturas', icon: FileText, path: 'facturas' },
-      { id: 'supply_inventory', label: 'Almacén', icon: Boxes, path: 'inventario' },
-      { id: 'supply_ctb', label: 'Comunicar a CTB', icon: Send, path: 'comunicar-ctb' },
+      { id: 'supply_orders', label: 'Pedidos', icon: ClipboardList, path: '', requiredPermission: 'show_pedidos' },
+      { id: 'supply_receipts', label: 'Recepciones', icon: PackageCheck, path: 'recepciones', requiredPermission: 'show_recepcion' },
+      { id: 'supply_invoices', label: 'Facturas', icon: FileText, path: 'facturas', requiredPermission: 'show_facturas' },
+      { id: 'supply_inventory', label: 'Almacén', icon: Boxes, path: 'inventario', requiredPermission: 'show_inventory' },
+      { id: 'supply_ctb', label: 'Comunicar a CTB', icon: Send, path: 'comunicar-ctb', requiredRole: 'admin' },
     ],
   },
 }

src/modules/ventas/module.tsx

@@ -4,6 +4,13 @@
 // Añadida la pagina "Economia / Margenes" (EconomiaPlataformasPage), que lee la
 // economia real de plataforma (channel_settlement + channel_settlement_order) via
 // la RPC channel_economics_dashboard. Convive con el Resumen de ventas (que lee `sale`).
+//
+// ENCARGO CODE (14/08) "claves de Supply" — los 3 items que muestran food
+// cost/márgenes (economia, margen-final, margen) exigen AHORA show_costes
+// ADEMÁS de show_ventas_analisis (AND, ver requiredPermission como array en
+// shell/types.ts): antes bastaba con show_ventas_analisis, que ninguna de
+// las 2 plantillas actuales tiene en false — dejaba el food cost visible
+// por esta vía aunque show_costes fuera false.
 
 import { BarChart3, LineChart, Bike, Wallet, Percent, UtensilsCrossed, Target, Star, TrendingUp, Lightbulb, Store } from 'lucide-react'
 import type { ModuleDefinition } from '@/shell/types'
@@ -48,9 +55,9 @@ export const ventasModule: ModuleDefinition = {
     items: [
       { id: 'ventas_dashboard',  label: 'Resumen de ventas',   icon: BarChart3, path: '',         requiredPermission: 'show_ventas_analisis' },
       { id: 'ventas_recos',      label: 'Recomendaciones',     icon: Lightbulb,        path: 'recomendaciones', requiredPermission: 'show_ventas_analisis' },
-      { id: 'ventas_economia',   label: 'Economia / Margenes', icon: Wallet,           path: 'economia',     requiredPermission: 'show_ventas_analisis' },
-      { id: 'ventas_margenfin',  label: 'Margen final',        icon: Target,           path: 'margen-final', requiredPermission: 'show_ventas_analisis' },
-      { id: 'ventas_margen',     label: 'Food cost / Plato',   icon: UtensilsCrossed,  path: 'margen',       requiredPermission: 'show_ventas_analisis' },
+      { id: 'ventas_economia',   label: 'Economia / Margenes', icon: Wallet,           path: 'economia',     requiredPermission: ['show_ventas_analisis', 'show_costes'] },
+      { id: 'ventas_margenfin',  label: 'Margen final',        icon: Target,           path: 'margen-final', requiredPermission: ['show_ventas_analisis', 'show_costes'] },
+      { id: 'ventas_margen',     label: 'Food cost / Plato',   icon: UtensilsCrossed,  path: 'margen',       requiredPermission: ['show_ventas_analisis', 'show_costes'] },
       { id: 'ventas_cedidas',    label: 'Cedidas (CTB)',       icon: Store,            path: 'cedidas',      requiredPermission: 'show_ventas_analisis' },
       { id: 'ventas_calidad',    label: 'Calidad',             icon: Star,             path: 'calidad',      requiredPermission: 'show_ventas_analisis' },
       { id: 'ventas_tendencia',  label: 'Tendencia',           icon: TrendingUp,       path: 'tendencia',    requiredPermission: 'show_ventas_analisis' },

src/shell/MobileModuleTabs.tsx

@@ -25,7 +25,7 @@ export default function MobileModuleTabs({
   // y helpers del Shell se extrae a un sitio común y se quita la repetición.
   const { hasPermission, role } = usePermissions()
   const visibleItems = sidebar.items.filter(item => {
-    const passesPermission = !item.requiredPermission || hasPermission(item.requiredPermission)
+    const passesPermission = !item.requiredPermission || (Array.isArray(item.requiredPermission) ? item.requiredPermission.every(hasPermission) : hasPermission(item.requiredPermission))
     const passesRole = !item.requiredRole || role === item.requiredRole || role === 'admin'
     return passesPermission && passesRole
   })

src/shell/ModuleSidebar.tsx

@@ -28,15 +28,15 @@ export default function ModuleSidebar({
 }: ModuleSidebarProps) {
   // Gating por permiso granular Y por rol mínimo. Un item se muestra si
   // pasa AMBOS filtros:
-  //   - Permiso: si declara requiredPermission, hasPermission(clave) === true.
+  //   - Permiso: si declara requiredPermission (string o string[], AND si es array), hasPermission(clave) === true para todas.
   //   - Rol: si declara requiredRole, roleInActiveAccount === requiredRole
   //     (los admin de cuenta pasan siempre el filtro de rol).
   // El `role` viene del propio hook usePermissions (que lo lee del context
   // como `roleInActiveAccount`); NO usamos isAdmin del context — es la
   // deuda B-8 que ya está documentada en usePermissions.
   const { hasPermission, role } = usePermissions()
   const visibleItems = sidebar.items.filter(item => {
-    const passesPermission = !item.requiredPermission || hasPermission(item.requiredPermission)
+    const passesPermission = !item.requiredPermission || (Array.isArray(item.requiredPermission) ? item.requiredPermission.every(hasPermission) : hasPermission(item.requiredPermission))
     const passesRole = !item.requiredRole || role === item.requiredRole || role === 'admin'
     return passesPermission && passesRole
   })

src/shell/ShellBottomNav.tsx

@@ -57,7 +57,7 @@ function isModuleVisible(
   const items = module.sidebar?.items
   if (!items || items.length === 0) return false
   return items.some(item => {
-    const passesPermission = !item.requiredPermission || hasPermission(item.requiredPermission)
+    const passesPermission = !item.requiredPermission || (Array.isArray(item.requiredPermission) ? item.requiredPermission.every(hasPermission) : hasPermission(item.requiredPermission))
     const passesRole = !item.requiredRole || role === item.requiredRole || role === 'admin'
     return passesPermission && passesRole
   })