Multi-Tier Scoped RBAC

// PropertyScopeGuard: Pencegah IDOR Lintas-Penyewa
@Injectable()
export class PropertyScopeGuard implements CanActivate {
  canActivate(context: ExecutionContext): boolean {
    const { user, params, body } = context.switchToHttp().getRequest();
    const targetProperty = params.propertyId || body.propertyId;

    // Superadmin & Admin memiliki akses operator penuh
    if (user.role === 'superadmin' || user.role === 'admin') {
      return true;
    }

    // Manager & Frontdesk dibatasi hanya pada propertinya sendiri
    if (user.role === 'manager' || user.role === 'frontdesk') {
      if (user.propertyId?.toString() === targetProperty) {
        return true;
      }
      throw new ForbiddenException('Akses Ditolak: Anda tidak memiliki izin untuk properti ini.');
    }

    throw new ForbiddenException('Role tidak memiliki izin akses.');
  }
}