feat(gps): фильтры heartbeat-эхо/valid=false/spike; доступ к GPS и Финансам — матрица на /users (пользователи+роли)

server/routes/auth.core.routes.ts

@@ -190,6 +190,12 @@ export function registerAuthCoreRoutes(router: Router): void {
         return res.status(401).json({ success: false, error: 'Пользователь не найден' });
       }
       const permissions = await storage.getAppRolePermissions(user.appRole);
+      // Эффективный доступ к модулям (GPS/Финансы) — флаг пользователя OR роли OR admin
+      const { hasModuleAccess } = await import("../utils/module-access");
+      const moduleAccess = {
+        gps: await hasModuleAccess(user as any, "gps"),
+        finance: await hasModuleAccess(user as any, "finance"),
+      };
       res.json({
         success: true,
         user: {
@@ -200,6 +206,7 @@ export function registerAuthCoreRoutes(router: Router): void {
           middleName: user.middleName,
           appRole: user.appRole,
           permissions,
+          moduleAccess,
           organization: user.organization ? {
             id: user.organization.id,
             name: user.organization.name,

server/routes/auth.users.routes.ts

@@ -282,6 +282,8 @@ export function registerUserManagementRoutes(router: Router): void {
         lastLogin: user.lastLogin,
         lastActivityAt: user.lastActivityAt,
         createdAt: user.createdAt,
+        gpsAccess: user.gpsAccess,
+        financeAccess: user.financeAccess,
         organizationalRoles: roleMembersMap.get(user.id) || [],
       }));
 
@@ -307,6 +309,56 @@ export function registerUserManagementRoutes(router: Router): void {
     }
   });
 
+  // PATCH /api/users/:id/module-access — флаги доступа к модулям GPS/Финансы (только admin)
+  router.patch('/api/users/:id/module-access',
+    authenticateToken,
+    tenantIsolation,
+    async (req: AuthenticatedRequest, res) => {
+      try {
+        if (req.user!.appRole !== 'admin') {
+          return res.status(403).json({ success: false, error: 'Требуются права администратора' });
+        }
+        const userId = parseInt(req.params.id);
+        if (isNaN(userId)) {
+          return res.status(400).json({ success: false, error: 'Некорректный ID пользователя' });
+        }
+
+        const { gpsAccess, financeAccess } = req.body ?? {};
+        const updates: { gpsAccess?: boolean; financeAccess?: boolean } = {};
+        if (gpsAccess !== undefined) {
+          if (typeof gpsAccess !== 'boolean') {
+            return res.status(400).json({ success: false, error: 'gpsAccess: boolean' });
+          }
+          updates.gpsAccess = gpsAccess;
+        }
+        if (financeAccess !== undefined) {
+          if (typeof financeAccess !== 'boolean') {
+            return res.status(400).json({ success: false, error: 'financeAccess: boolean' });
+          }
+          updates.financeAccess = financeAccess;
+        }
+        if (Object.keys(updates).length === 0) {
+          return res.status(400).json({ success: false, error: 'Передайте gpsAccess и/или financeAccess' });
+        }
+
+        // Tenant isolation: редактируем только пользователя своей организации
+        const target = await storage.getUser(userId);
+        if (!target || target.organizationId !== req.organizationId!) {
+          return res.status(404).json({ success: false, error: 'Пользователь не найден' });
+        }
+
+        const updated = await storage.updateUser(userId, updates);
+        res.json({
+          success: true,
+          user: { id: updated.id, gpsAccess: updated.gpsAccess, financeAccess: updated.financeAccess },
+        });
+      } catch (error) {
+        console.error('Update user module access error:', error);
+        res.status(500).json({ success: false, error: 'Ошибка при обновлении доступа к модулям' });
+      }
+    });
+
+
   // Column values for users (autocomplete for filters)
   router.get('/api/users/column-values',
     async (req: AuthenticatedRequest, res) => {

server/routes/roles.routes.ts

@@ -17,6 +17,45 @@ router.get('/api/roles', authenticateToken, tenantIsolation, async (req: Authent
   }
 });
 
+// PATCH /api/roles/:id/module-access — флаги доступа к модулям GPS/Финансы (только admin)
+router.patch('/api/roles/:id/module-access', authenticateToken, tenantIsolation, async (req: AuthenticatedRequest, res) => {
+  try {
+    if (req.user!.appRole !== 'admin') {
+      return res.status(403).json({ success: false, error: 'Требуются права администратора' });
+    }
+    const id = parseInt(req.params.id);
+    if (isNaN(id)) return res.status(400).json({ success: false, error: 'Некорректный ID роли' });
+
+    const { gpsAccess, financeAccess } = req.body ?? {};
+    const updates: { gpsAccess?: boolean; financeAccess?: boolean } = {};
+    if (gpsAccess !== undefined) {
+      if (typeof gpsAccess !== 'boolean') {
+        return res.status(400).json({ success: false, error: 'gpsAccess: boolean' });
+      }
+      updates.gpsAccess = gpsAccess;
+    }
+    if (financeAccess !== undefined) {
+      if (typeof financeAccess !== 'boolean') {
+        return res.status(400).json({ success: false, error: 'financeAccess: boolean' });
+      }
+      updates.financeAccess = financeAccess;
+    }
+    if (Object.keys(updates).length === 0) {
+      return res.status(400).json({ success: false, error: 'Передайте gpsAccess и/или financeAccess' });
+    }
+
+    const role = await storage.updateRole(id, req.organizationId!, updates);
+    if (!role) return res.status(404).json({ success: false, error: 'Роль не найдена' });
+    return res.json({
+      success: true,
+      role: { id: role.id, gpsAccess: role.gpsAccess, financeAccess: role.financeAccess },
+    });
+  } catch (error) {
+    console.error('Update role module access error:', error);
+    return res.status(500).json({ success: false, error: 'Ошибка при обновлении доступа к модулям' });
+  }
+});
+
 // GET /api/roles/:id — одна роль с участниками
 router.get('/api/roles/:id', authenticateToken, tenantIsolation, async (req: AuthenticatedRequest, res) => {
   try {