Release Report — Stage Beta · Sprint Beta-5 · Tenant Provisioning Foundation

Mục tiêu: chứng minh Tenant lifecycle hoạt động thật trong mô hình multi-tenant. Founder điều hành không cần SQL thủ công.
Không Payment · không Notification prod · không Frontend · không refactor Core · không đổi deployment · không đổi mô hình Partner (Beta-4).

1. Những gì đã hoàn thành

Schema / Migration (in-scope, proven necessary)

• tenants.status (migration 20260706000000_add_tenant_status): additive TEXT NOT NULL DEFAULT 'active'.

Backward-compatible — mọi tenant/seed/Alpha hiện có → active (không hồi quy). 1 migration duy nhất, đúng phạm vi Tenant lifecycle. RLS áp qua prisma/rls/enable-rls.sql (tách khỏi migration) nên cột mới không đụng RLS.

Code (surgical)

• Cổng Tenant RLS-safe (booking-service.ts): assertTenantActive chạy TRONG tenant context

(runInTx + checkAvailability) — nơi RLS cho phép đọc chính row tenant. Chặn booking/availability khi tenant != active ⇒ TENANT_INACTIVE (403). Đặt ở BookingService, KHÔNG ở auth vì tenants là RLS-FORCE (auth chạy trước context). Tương thích ngược: tenant không có row lifecycle (legacy/test) giữ hành vi cũ; chỉ chặn tenant đã provision & không active.

• Tenant lifecycle + audit (provisioning-service.ts, additive — không sửa Partner Beta-4):

provisionTenant(provisioned) · activateTenant · suspendTenant(reversible) · reactivateTenant · archiveTenant(terminal) với guard invariant (TenantTransitionError/TenantNotFoundError); audit 5 event tenant.* (scope tenantId); tenantHealth (read-only).

• error-mapping: thêm TENANT_INACTIVE → 403.
• ops CLI (cli.ts): provision-tenant · activate-tenant · suspend-tenant · reactivate-tenant ·

archive-tenant(--confirm) · tenant-health · show-audit --tenant. Transition sai → exit 2 (không throw thô, không 5xx).

Tài liệu (Deliverables #1/#2/#3/#5)

• docs/platform/TENANT-LIFECYCLE.md — trạng thái, transition, invariant, audit, quan hệ Partner↔Tenant↔Inventory↔Booking + ma trận 2 cổng.
• docs/operations/TENANT-OPERATIONS.md — mọi thao tác + tenant health (không secret).
• docs/demo/TENANT-PROVISIONING-DEMO.md — 11 bước Founder tự chạy, mỗi bước tiêu chí PASS.
• docs/platform/TENANT-AUDIT-VERIFICATION.md — cách kiểm chứng audit.

Test (Deliverable #4) — chạy trong CI (platform-ci.yml → test:infra)

• tenant-provisioning-e2e.test.ts — luồng DoD qua HTTP thật: provision→activate→inventory→key→availability 200→

booking 201→suspend→403 TENANT_INACTIVE→reactivate→201→archive→403 (terminal); assert 5 audit event; assert không 5xx; assert suspend Tenant không đụng Partner (độc lập 2 cổng).

• ops-tenant.test.ts — vòng đời qua CLI, invariant→exit 2, partner-không-tồn-tại→exit 2, tenant-health, show-audit --tenant.

2. Test result

• npm run lint ✅ · npm run typecheck:all ✅ · npm run test:domain ✅ · npm run test:core ✅ · npm run platform:metadata:check ✅
• npm run test:infra (Postgres ephemeral Docker, migrate deploy gồm migration mới): 192/192 PASS, 0 fail.
• Gồm 7 test Beta-5 mới + toàn bộ regression xanh: Beta-4 partner (partner-management-e2e, ops-partner), Beta-1/2 booking

(booking-e2e, booking-lifecycle-e2e, availability-concurrency), auth, RLS harness.

• Không 5xx trong E2E (assert tường minh).

3. LIVE verification

• Chưa chạy trên môi trường LIVE (staging) trong sprint này — thay đổi gồm migration, cần cửa sổ bảo trì + pg_dump

trước khi migrate deploy (theo DB-SAFETY.md). Đề nghị áp ở lần deploy staging kế (an toàn: additive column, non-locking).

• Đã kiểm chứng đầy đủ cục bộ bằng chính lệnh CI (lint/typecheck:all/test:domain/test:core/metadata:check/test:infra) + Postgres thật.

4. Những gì CHƯA hoàn thành / cố ý không làm

• Không UI/Frontend Tenant portal (ngoài scope) — điều hành qua ops CLI.
• Cổng Tenant chỉ ở đường API key (BookingService). Đường JWT end-user cũng đi qua BookingService nên cũng bị cổng Tenant chặn

(gate ở BookingService, không ở resolver) — đã phủ. (Cổng Partner Beta-4 vẫn chỉ ở api-key path — xem Rủi ro.)

• Audit chưa atomic với thay đổi tenants.status (append awaited ngay sau update) — như Beta-4.
• Giữ song song createTenant (tạo active, back-compat seed/Beta-4) và provisionTenant (tạo provisioned, có audit) — không hợp nhất để tránh phá Beta-4/seed.
• CI live-run: chưa quan sát job platform-ci.yml chạy thật trên GitHub trong sprint (verify cục bộ bằng đúng các lệnh CI). Chạy khi push/PR main.

5. Rủi ro còn lại

1. Audit chưa atomic với state-change (Trung bình, lặp từ Beta-4): tiến trình chết giữa update và append có thể lệch 1 event. *Khắc phục Beta-6:* gói mỗi thao tác Partner/Tenant + audit trong prisma.$transaction.
2. Cổng Tenant thêm 1 truy vấn tenants mỗi write/availability (Thấp): point-lookup theo PK; chấp nhận được. Nếu cần, cache theo request.
3. Cổng Partner (Beta-4) chỉ ở api-key path (Thấp, tồn dư): JWT session tới partner suspended chưa bị chặn ở auth (login end-user chưa mở). Không ảnh hưởng DoD Beta-5. *Beta-6:* thống nhất cổng Partner cho cả JWT.
4. Hai lối tạo tenant (createTenant active vs provisionTenant provisioned) (Thấp): tài liệu nêu rõ; Beta-6 cân nhắc hợp nhất.
5. Tương thích ngược "tenant không row ⇒ cho phép" (Thấp, chủ ý): chỉ áp cho tenant chưa provision qua Beta-5; tenant thật luôn có row. Không hở cho luồng DoD (suspend/archive luôn có row).
6. Migration chưa áp LIVE (Trung bình về quy trình): cần backup + cửa sổ bảo trì khi deploy staging.

6. Đề xuất Beta-6

1. Atomic audit cho Partner + Tenant (prisma.$transaction) — khử rủi ro #1 cho cả hai sprint.
2. Áp migration + LIVE verification trên staging: pg_dump → migrate deploy → chạy demo Tenant thật (đo end-to-end).
3. Thống nhất cổng Partner cho JWT path (rủi ro #3) khi mở auth end-user.
4. Hợp nhất create path (Partner + Tenant) về API có status khởi tạo rõ ràng + test hồi quy seed/Alpha.
5. Tenant/Partner read API + Founder viewer (chỉ đọc): liệt kê tenant theo status + audit timeline, tiến tới M4B — không mở Core.

QA — Definition of Done

Trạng thái Sprint: deliverable + DoD đạt trên kiểm chứng cục bộ. Còn lại: (a) áp migration + LIVE verification staging (cần cửa sổ bảo trì), (b) một lần chạy xanh platform-ci.yml trên PR. Chờ Founder review.