feat(gps): фильтры heartbeat-эхо/valid=false/spike; доступ к GPS и Финансам — матрица на /users (пользователи+роли)

server/routes/roles.routes.ts

@@ -17,6 +17,45 @@ router.get('/api/roles', authenticateToken, tenantIsolation, async (req: Authent
   }
 });
 
+// PATCH /api/roles/:id/module-access — флаги доступа к модулям GPS/Финансы (только admin)
+router.patch('/api/roles/:id/module-access', authenticateToken, tenantIsolation, async (req: AuthenticatedRequest, res) => {
+  try {
+    if (req.user!.appRole !== 'admin') {
+      return res.status(403).json({ success: false, error: 'Требуются права администратора' });
+    }
+    const id = parseInt(req.params.id);
+    if (isNaN(id)) return res.status(400).json({ success: false, error: 'Некорректный ID роли' });
+
+    const { gpsAccess, financeAccess } = req.body ?? {};
+    const updates: { gpsAccess?: boolean; financeAccess?: boolean } = {};
+    if (gpsAccess !== undefined) {
+      if (typeof gpsAccess !== 'boolean') {
+        return res.status(400).json({ success: false, error: 'gpsAccess: boolean' });
+      }
+      updates.gpsAccess = gpsAccess;
+    }
+    if (financeAccess !== undefined) {
+      if (typeof financeAccess !== 'boolean') {
+        return res.status(400).json({ success: false, error: 'financeAccess: boolean' });
+      }
+      updates.financeAccess = financeAccess;
+    }
+    if (Object.keys(updates).length === 0) {
+      return res.status(400).json({ success: false, error: 'Передайте gpsAccess и/или financeAccess' });
+    }
+
+    const role = await storage.updateRole(id, req.organizationId!, updates);
+    if (!role) return res.status(404).json({ success: false, error: 'Роль не найдена' });
+    return res.json({
+      success: true,
+      role: { id: role.id, gpsAccess: role.gpsAccess, financeAccess: role.financeAccess },
+    });
+  } catch (error) {
+    console.error('Update role module access error:', error);
+    return res.status(500).json({ success: false, error: 'Ошибка при обновлении доступа к модулям' });
+  }
+});
+
 // GET /api/roles/:id — одна роль с участниками
 router.get('/api/roles/:id', authenticateToken, tenantIsolation, async (req: AuthenticatedRequest, res) => {
   try {