Paroy Store

This is a Next.js project bootstrapped with create-next-app.

Getting Started

First, run the development server:

npm run dev
# or
yarn dev
# or
pnpm dev
# or
bun dev

Open http://localhost:3000 with your browser to see the result.

Tes keamanan

npm test

Menjalankan tests/security.test.mjs dengan test runner bawaan Node — tanpa dependensi tambahan.

Yang diuji bukan kode aplikasi, melainkan databasenya: kebijakan RLS, tanda tangan RPC, dan kebijakan Storage, semuanya dari posisi penyerang yang memakai kunci anon. Itu disengaja — kunci anon ada di dalam browser setiap pengunjung, jadi siapa pun bisa memanggil Supabase langsung tanpa melewati situs. Pemeriksaan di sisi aplikasi tidak berarti apa-apa terhadap penyerang seperti itu; batas keamanan yang sebenarnya ada di Postgres.

Setiap pemeriksaan di berkas itu pernah dijalankan dengan tangan lewat curl sesudah migrasi 10 sampai 17. Jalankan lagi setelah setiap perubahan migrasi.

Semua tesnya membaca, atau menulis sesuatu yang memang harus ditolak — aman dijalankan terhadap database produksi. Perlu .env.local terisi; tanpa itu tesnya dilewati dengan peringatan, bukan gagal.

Environment variables

Simpan di .env.local (lokal) dan di Vercel → Settings → Environment Variables (produksi).

Variabel	Wajib?	Untuk apa
NEXT_PUBLIC_SUPABASE_URL	ya	Alamat proyek Supabase.
NEXT_PUBLIC_SUPABASE_ANON_KEY	ya	Kunci publik Supabase — memang ikut ke browser, keamanannya dijaga RLS.
SUPABASE_SERVICE_ROLE_KEY	ya, untuk notifikasi	Menembus RLS. Pesanan dibuat pengunjung yang belum login (anon), sementara notification_settings sengaja hanya bisa dibaca admin — server memerlukan kunci ini untuk membacanya. Juga dipakai webhook Tripay (Phase 2). Jangan pernah beri awalan NEXT_PUBLIC_.
TELEGRAM_BOT_TOKEN	opsional	Cadangan kalau tabel notification_settings belum diisi. Pengaturan sehari-hari ada di Admin → Notifikasi, tidak perlu redeploy.
TELEGRAM_CHAT_ID	opsional	Sama, cadangan untuk yang di atas.
NEXT_PUBLIC_SITE_URL	opsional	Hanya kalau memakai domain sendiri; di Vercel alamatnya terdeteksi otomatis. Dipakai untuk tautan ke /admin/pesanan di dalam notifikasi.

Siapa boleh apa

Sejak migrasi 19 ada dua tingkat, dan keduanya dipagari RLS di database — bukan oleh menu yang disembunyikan.

	Pemilik	Admin
Pesanan, Produk, Katalog & Harga, Moderasi Komunitas	selalu	hanya yang dicentang pemilik di Admin → Pengguna → Atur izin
Metode Pembayaran (nomor rekening), Gateway Pembayaran (kunci Tripay), Notifikasi (token bot), Pengaturan Situs, Pengguna	ya	tidak pernah, dan tidak bisa diberikan

Pemilik tidak bisa diubah lewat situs — tidak oleh admin lain, tidak oleh dirinya sendiri. Trigger guard_profile_role_change menolak setiap perubahan role dari atau ke owner selama auth.uid() terisi. Satu-satunya jalan memindahkannya adalah SQL Editor Supabase, yang butuh akses ke akun Supabase:

-- ganti pemilik (jalankan di SQL Editor, bukan dari aplikasi)
update public.profiles set role = 'admin', permissions = '{}' where role = 'owner';
update public.profiles set role = 'owner', permissions = '{}' where id = '<uuid akun baru>';

Admin yang baru diangkat mulai dengan NOL izin: ia bisa masuk dashboard tapi belum melihat satu menu pun sampai pemilik mencentangnya.

You can start editing the page by modifying app/page.tsx. The page auto-updates as you edit the file.

This project uses next/font to automatically optimize and load Geist, a new font family for Vercel.

Learn More

To learn more about Next.js, take a look at the following resources:

• Next.js Documentation - learn about Next.js features and API.
• Learn Next.js - an interactive Next.js tutorial.

You can check out the Next.js GitHub repository - your feedback and contributions are welcome!

Deploy on Vercel

The easiest way to deploy your Next.js app is to use the Vercel Platform from the creators of Next.js.

Check out our Next.js deployment documentation for more details.