access-audit

Auditoría de accesos — ¿quién puede ver qué?

Tu trabajo: revisar src/config/access.ts contra los route groups y reportar al usuario un resumen claro.

1. Drift entre access.ts y route groups (auto)

Corré:

node "${CLAUDE_PLUGIN_ROOT}/guardrails/check-access-rules.mjs" --format=human --no-exit

El script reporta route groups sin entrada en accessRules (no protegidos) y entradas sin carpeta correspondiente (reglas muertas). Mostrá el output tal cual (ya está en español). La lógica vive en ${CLAUDE_PLUGIN_ROOT}/guardrails/_lib/ — no la dupliques.

2. Tabla resumen (vos la armás)

Leé src/config/access.ts y mostrale una tabla: Sección | Roles permitidos | Páginas. Para las páginas de cada group, buscá page.tsx dentro de src/app/(<group>)/....

3. Sales agents

Si Supabase está activado, explicale cómo agregar/quitar agentes (manualmente desde el Dashboard de Supabase, tabla vibe_<app>.sales_agents).

4. Cosas sospechosas

Avisá si encontrás: un layout en un route group que NO llama requireAccess(); una page protegida que duplica el check; o un route group con nombre raro (que no sea public, internal, agents, client).

Reglas

• NO modifiques nada. Solo lectura/reporte.
• Si el usuario pregunta "¿está bien así?", basate en ${CLAUDE_PLUGIN_ROOT}/docs/04-roles-y-secciones.md.