Revert 253c922: restore the PM/RBAC work to the integration

Reverting the production revert so the pm branch can merge cleanly on
top of the restored RBAC base. Conflicts against newer integration work
resolved by combining:
- App.tsx: v7's bot-draft wizard bypass + login returnUrl kept alongside
  the supervisor gating (no-project block screen, panel scoping)
- LoginPage: returnUrl navigation kept, supervisor routing added
- migration.sql: bot_drafts table kept, unified-projects ALTERs restored

backend/app/auth.py

@@ -119,10 +119,12 @@ async def context_from_claims(claims: dict, db: AsyncSession) -> UserContext:
     if not casdoor_id:
         raise UnauthorizedError("توکن فاقد شناسه کاربر است", field="authorization")
 
+    username = str(claims.get("name") or claims.get("preferred_username") or "")
     user = await db.scalar(select(User).where(User.casdoor_id == casdoor_id))
     if user is None:
         user = User(
             casdoor_id=casdoor_id,
+            username=username or None,
             first_name=str(
                 claims.get("firstName")
                 or claims.get("firstname")
@@ -135,9 +137,12 @@ async def context_from_claims(claims: dict, db: AsyncSession) -> UserContext:
         )
         db.add(user)
         await db.flush()
+    elif username and not user.username:
+        user.username = username
+        await db.flush()
 
     project_ids: list = []
-    if user.role == "pm":
+    if user.role in ("supervisor", "pm"):
         projects = (
             await db.execute(
                 select(Project)
@@ -159,7 +164,7 @@ async def context_from_claims(claims: dict, db: AsyncSession) -> UserContext:
 
 
 async def pm_project_ids(db: AsyncSession, user: User) -> list:
-    """Every project id managed by the given PM user (oldest first)."""
+    """Every project id managed by the given PM/supervisor user (oldest first)."""
     rows = (
         await db.execute(
             select(Project.id)

backend/app/db/init_db.py

@@ -174,7 +174,7 @@ _V26_DDL = [
     """,
     """
     DO $$ BEGIN
-        CREATE TYPE user_role AS ENUM ('pm', 'procurement_manager', 'admin');
+        CREATE TYPE user_role AS ENUM ('pm', 'procurement_manager', 'admin', 'supervisor');
     EXCEPTION WHEN duplicate_object THEN NULL; END $$
     """,
     """

backend/app/models/procurement.py

@@ -26,7 +26,7 @@ from app.db.base import Base
 from app.models.catalog import Material, Unit, _timestamptz, _uuid_pk
 
 user_role_enum = Enum(
-    "pm", "procurement_manager", "admin",
+    "pm", "procurement_manager", "admin", "supervisor",
     name="user_role", native_enum=True,
 )
 quote_status_enum = Enum(
@@ -58,6 +58,7 @@ class User(Base):
 
     id: Mapped[uuid.UUID] = _uuid_pk()
     casdoor_id: Mapped[str] = mapped_column(Text, nullable=False, unique=True)
+    username: Mapped[str | None] = mapped_column(Text)
     first_name: Mapped[str] = mapped_column(Text, nullable=False)
     last_name: Mapped[str] = mapped_column(Text, nullable=False)
     phone: Mapped[str | None] = mapped_column(Text)
@@ -148,12 +149,23 @@ class Project(Base):
     id: Mapped[uuid.UUID] = _uuid_pk()
     name: Mapped[str] = mapped_column(Text, nullable=False)
     description: Mapped[str | None] = mapped_column(Text)
+    location: Mapped[str | None] = mapped_column(Text, server_default=text("''"))
+    project_manager: Mapped[str | None] = mapped_column(Text, server_default=text("''"))
     start_date: Mapped[date | None] = mapped_column(Date)
+    planned_start: Mapped[date | None] = mapped_column(Date)
+    planned_end: Mapped[date | None] = mapped_column(Date)
+    actual_start: Mapped[date | None] = mapped_column(Date)
+    actual_end: Mapped[date | None] = mapped_column(Date)
+    status: Mapped[str | None] = mapped_column(Text, server_default=text("'ACTIVE'"))
+    progress: Mapped[float | None] = mapped_column(Numeric(5, 2), server_default=text("0.0"))
     # v2.6: the single PM responsible for this project (confirms arrivals).
     pm_user_id: Mapped[uuid.UUID | None] = mapped_column(
         ForeignKey("users.id", ondelete="SET NULL")
     )
     created_at: Mapped[datetime] = _timestamptz()
+    updated_at: Mapped[datetime | None] = mapped_column(
+        DateTime(timezone=True), server_default=func.now(), onupdate=func.now()
+    )
 
 
 class Quote(Base):

backend/app/routers/attribute_definitions.py

@@ -3,6 +3,7 @@ from fastapi import APIRouter, Depends, Query
 from sqlalchemy import func, or_, select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.catalog import AttributeDefinition, MaterialAttributeValue, Unit
 from app.models.procurement import LineItemSpec
@@ -13,6 +14,7 @@ from app.utils.pagination import paginate, sort_query
 from app.utils.serialization import to_iso
 
 router = APIRouter(prefix="/attribute-definitions", tags=["attribute-definitions"])
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 def attr_def_to_dict(ad: AttributeDefinition, unit: Unit | None = None) -> dict:
@@ -69,7 +71,11 @@ async def list_attribute_definitions(
 
 
 @router.post("", status_code=201)
-async def create_attribute_definition(payload: AttributeDefinitionCreate, db: AsyncSession = Depends(get_db)):
+async def create_attribute_definition(
+    payload: AttributeDefinitionCreate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     duplicate = await db.scalar(select(AttributeDefinition.id).where(AttributeDefinition.attribute_key == payload.attribute_key))
     if duplicate is not None:
         raise ConflictError("ویژگی با این attribute_key قبلاً ثبت شده است", field="attribute_key")
@@ -102,7 +108,10 @@ async def get_attribute_definition(
 
 @router.patch("/{definition_id}")
 async def update_attribute_definition(
-    definition_id, payload: AttributeDefinitionUpdate, db: AsyncSession = Depends(get_db)
+    definition_id,
+    payload: AttributeDefinitionUpdate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
 ):
     ad = await db.get(AttributeDefinition, definition_id)
     if ad is None:
@@ -136,7 +145,11 @@ async def update_attribute_definition(
 
 
 @router.delete("/{definition_id}")
-async def delete_attribute_definition(definition_id, db: AsyncSession = Depends(get_db)):
+async def delete_attribute_definition(
+    definition_id,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     ad = await db.get(AttributeDefinition, definition_id)
     if ad is None:
         raise NotFoundError("تعریف ویژگی یافت نشد")

backend/app/routers/auth.py

@@ -22,7 +22,7 @@ from app.config import settings
 from app.db.engine import get_db
 from app.routers.users import _user_projects, user_to_dict
 from app.services import analytics
-from app.utils.errors import ServiceUnavailableError, UnauthorizedError
+from app.utils.errors import ForbiddenError, ServiceUnavailableError, UnauthorizedError
 from app.utils.ratelimit import limiter
 
 logger = logging.getLogger("procurement.auth")
@@ -78,6 +78,8 @@ async def login(request: Request, payload: LoginRequest, db: AsyncSession = Depe
     claims = await _verify_token(access_token)
     ctx = await context_from_claims(claims, db)
     projects = await _user_projects(db, ctx.user)
+    if ctx.role == "supervisor" and not projects:
+        raise ForbiddenError("پروژه تخصیص داده نشده است — تا زمان تخصیص پروژه، اجازه ورود به سامانه را ندارید")
     await analytics.track(
         "login_success",
         {"username": payload.username, "role": ctx.role},

backend/app/routers/brand_materials.py

@@ -3,6 +3,7 @@ from fastapi import APIRouter, Depends, Query
 from sqlalchemy import func, select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.catalog import Brand, BrandMaterial, Material
 from app.models.procurement import LineItem
@@ -12,6 +13,7 @@ from app.utils.pagination import paginate, sort_query
 from app.utils.serialization import to_iso
 
 router = APIRouter(prefix="/brand-materials", tags=["brand-materials"])
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 def bm_to_dict(bm: BrandMaterial, expand: set[str] = frozenset()) -> dict:
@@ -70,7 +72,11 @@ async def list_brand_materials(
 
 
 @router.post("", status_code=201)
-async def create_brand_material(payload: BrandMaterialCreate, db: AsyncSession = Depends(get_db)):
+async def create_brand_material(
+    payload: BrandMaterialCreate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     if await db.get(Brand, payload.brand_id) is None:
         raise NotFoundError("برند یافت نشد", field="brand_id")
     if await db.get(Material, payload.material_id) is None:
@@ -107,7 +113,12 @@ async def get_brand_material(bm_id, expand: str | None = None, db: AsyncSession
 
 
 @router.patch("/{bm_id}")
-async def update_brand_material(bm_id, payload: BrandMaterialUpdate, db: AsyncSession = Depends(get_db)):
+async def update_brand_material(
+    bm_id,
+    payload: BrandMaterialUpdate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     bm = await db.get(BrandMaterial, bm_id)
     if bm is None:
         raise NotFoundError("ارتباط برند-متریال یافت نشد")
@@ -120,7 +131,11 @@ async def update_brand_material(bm_id, payload: BrandMaterialUpdate, db: AsyncSe
 
 
 @router.delete("/{bm_id}")
-async def delete_brand_material(bm_id, db: AsyncSession = Depends(get_db)):
+async def delete_brand_material(
+    bm_id,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     bm = await db.get(BrandMaterial, bm_id)
     if bm is None:
         raise NotFoundError("ارتباط برند-متریال یافت نشد")

backend/app/routers/brands.py

@@ -3,6 +3,7 @@ from fastapi import APIRouter, Depends, Query
 from sqlalchemy import func, select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.catalog import Brand, BrandMaterial
 from app.schemas.catalog import BrandCreate, BrandUpdate
@@ -11,6 +12,7 @@ from app.utils.pagination import paginate, sort_query
 from app.utils.serialization import to_iso
 
 router = APIRouter(prefix="/brands", tags=["brands"])
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 def brand_to_dict(brand: Brand) -> dict:
@@ -42,7 +44,11 @@ async def list_brands(
 
 
 @router.post("", status_code=201)
-async def create_brand(payload: BrandCreate, db: AsyncSession = Depends(get_db)):
+async def create_brand(
+    payload: BrandCreate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     rows = (await db.execute(select(Brand).where(Brand.name == payload.name))).scalars().all()
     if any(b.country == payload.country for b in rows):
         raise ConflictError("برندی با این نام و کشور قبلاً ثبت شده است")
@@ -61,7 +67,12 @@ async def get_brand(brand_id, db: AsyncSession = Depends(get_db)):
 
 
 @router.patch("/{brand_id}")
-async def update_brand(brand_id, payload: BrandUpdate, db: AsyncSession = Depends(get_db)):
+async def update_brand(
+    brand_id,
+    payload: BrandUpdate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     brand = await db.get(Brand, brand_id)
     if brand is None:
         raise NotFoundError("برند یافت نشد")
@@ -79,7 +90,11 @@ async def update_brand(brand_id, payload: BrandUpdate, db: AsyncSession = Depend
 
 
 @router.delete("/{brand_id}")
-async def delete_brand(brand_id, db: AsyncSession = Depends(get_db)):
+async def delete_brand(
+    brand_id,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     brand = await db.get(Brand, brand_id)
     if brand is None:
         raise NotFoundError("برند یافت نشد")

backend/app/routers/files.py

@@ -29,9 +29,10 @@ from app.utils.preview_token import make_preview_token, verify_preview_token
 
 router = APIRouter(prefix="/quotes", tags=["files"])
 
-# حذف پیوست‌ها = عملیات تدارکات (ادمین / مدیر تدارکات)؛ بارگذاری و دانلود
+# حذف و بارگذاری پیوست‌ها = عملیات تدارکات (ادمین / مدیر تدارکات)؛ دانلود
 # برای هر کاربر واردشده آزاد است.
 _attachment_deleter = require_role("procurement_manager", "admin")
+_attachment_writer = require_role("procurement_manager", "admin")
 
 ALLOWED_MIME_TYPES = {
     "image/png", "image/jpeg", "image/webp", "image/gif", "application/pdf",
@@ -125,7 +126,7 @@ async def _attachment_or_404(
 # Invoice — قابل بارگذاری در هر وضعیتی (از صفحه‌ی ویرایش)
 # ---------------------------------------------------------------------------
 
-@router.post("/{quote_id}/invoice", status_code=201, dependencies=[Depends(get_current_user)])
+@router.post("/{quote_id}/invoice", status_code=201, dependencies=[Depends(_attachment_writer)])
 async def upload_invoice(quote_id: uuid.UUID, file: UploadFile = File(...), db: AsyncSession = Depends(get_db)):
     await _quote_or_404(db, quote_id)
     mime = _validate_upload(file)
@@ -208,7 +209,7 @@ async def delete_invoice(quote_id: uuid.UUID, attachment_id: uuid.UUID, db: Asyn
 # Proforma — no status restriction
 # ---------------------------------------------------------------------------
 
-@router.post("/{quote_id}/proforma", status_code=201, dependencies=[Depends(get_current_user)])
+@router.post("/{quote_id}/proforma", status_code=201, dependencies=[Depends(_attachment_writer)])
 async def upload_proforma(quote_id: uuid.UUID, file: UploadFile = File(...), db: AsyncSession = Depends(get_db)):
     await _quote_or_404(db, quote_id)
     mime = _validate_upload(file)

backend/app/routers/inventory.py

@@ -77,23 +77,21 @@ async def inventory_scope(
         if user is not None:
             if user.role is None:
                 raise ForbiddenError("نقش شما هنوز در سیستم تعیین نشده است")
-            # v2.6: مدیر تدارکات = ادمین دفتر — دسترسی فقط‌خواندنی به پنل انبار.
-            if user.role == "procurement_manager":
-                return Scope(role="admin", project_id=project_id, actor=user.display_name)
-            if user.role not in ("pm", "admin"):
-                raise ValidationError("نقش نامعتبر است — فقط pm یا admin برای موجودی", field="role")
-            if user.role == "pm":
+            # مدیر تدارکات و مدیر پروژه: دسترسی کامل به پنل انبار، اما فقط‌خواندنی در تغییر موجودی
+            if user.role in ("procurement_manager", "pm"):
+                return Scope(role="manager", project_id=project_id, actor=user.display_name)
+            if user.role == "supervisor":
                 allowed = list(user.project_ids or [])
+                if not allowed:
+                    raise ForbiddenError("پروژه تخصیص داده نشده است")
                 if project_id is not None:
                     if project_id not in allowed:
                         raise ForbiddenError("این پروژه به شما تخصیص داده نشده است")
-                    return Scope(role="pm", project_id=project_id, actor=user.display_name)
-                if not allowed:
-                    raise ValidationError(
-                        "کاربر PM به هیچ پروژه‌ای متصل نیست (projects.pm_user_id)", field="project_id"
-                    )
-                return Scope(role="pm", project_id=allowed[0], actor=user.display_name)
-            return Scope(role="admin", project_id=project_id, actor=user.display_name)
+                    return Scope(role="supervisor", project_id=project_id, actor=user.display_name)
+                return Scope(role="supervisor", project_id=allowed[0], actor=user.display_name)
+            if user.role == "admin":
+                return Scope(role="admin", project_id=project_id, actor=user.display_name)
+            raise ValidationError("نقش نامعتبر است", field="role")
 
     # Dev fallback: header-based identity (fork's placeholder mode) — only
     # when DEV_LOGIN_ENABLED is explicitly turned on (local testing without
@@ -128,9 +126,9 @@ async def inventory_scope(
     return Scope(role=role, project_id=project_id, actor=actor)
 
 
-def _require_pm(scope: Scope) -> None:
-    if scope.role != ROLE_PM:
-        raise ForbiddenError("دسترسی ادمین فقط خواندنی است — ثبت/تغییر موجودی مجاز نیست")
+def _require_inventory_modifier(scope: Scope) -> None:
+    if scope.role not in (ROLE_ADMIN, "admin", "supervisor", ROLE_PM):
+        raise ForbiddenError("مدیر تدارکات و مدیر پروژه امکان تغییر موجودی انبار را ندارند — فقط سرپرست پروژه و ادمین مجاز هستند")
 
 
 # ---------------------------------------------------------------------------
@@ -216,8 +214,8 @@ async def list_warehouses(
     db: AsyncSession = Depends(get_db),
 ):
     stmt = select(Warehouse)
-    if scope.role == ROLE_PM:
-        stmt = stmt.where(Warehouse.project_id == scope.project_id)  # force PM scope
+    if scope.role in (ROLE_PM, "supervisor"):
+        stmt = stmt.where(Warehouse.project_id == scope.project_id)  # force PM / supervisor scope
     elif project_id is not None:
         stmt = stmt.where(Warehouse.project_id == project_id)
     stmt = stmt.order_by(Warehouse.name)
@@ -324,7 +322,7 @@ async def list_inventory(
     db: AsyncSession = Depends(get_db),
 ):
     stmt = select(InventoryItem)
-    if scope.role == ROLE_PM:
+    if scope.role in (ROLE_PM, "supervisor"):
         stmt = stmt.join(Warehouse, Warehouse.id == InventoryItem.warehouse_id).where(
             Warehouse.project_id == scope.project_id
         )
@@ -389,7 +387,7 @@ async def list_transactions(
     stmt = select(InventoryTransaction).join(
         InventoryItem, InventoryItem.id == InventoryTransaction.inventory_id
     ).join(Warehouse, Warehouse.id == InventoryItem.warehouse_id)
-    if scope.role == ROLE_PM:
+    if scope.role in (ROLE_PM, "supervisor"):
         stmt = stmt.where(Warehouse.project_id == scope.project_id)
     elif project_id is not None:
         stmt = stmt.where(Warehouse.project_id == project_id)
@@ -455,7 +453,7 @@ async def inventory_history(
     if item is None:
         raise NotFoundError("موجودی یافت نشد")
     wh = await get_warehouse_or_404(db, item.warehouse_id)
-    if scope.role == ROLE_PM and wh.project_id != scope.project_id:
+    if scope.role in (ROLE_PM, "supervisor") and wh.project_id != scope.project_id:
         raise ForbiddenError("این موجودی متعلق به پروژه شما نیست")
     txs = (await db.execute(
         select(InventoryTransaction)
@@ -475,17 +473,17 @@ async def create_transaction(
     scope: Scope = Depends(inventory_scope),
     db: AsyncSession = Depends(get_db),
 ):
-    _require_pm(scope)
+    _require_inventory_modifier(scope)
     # No explicit db.begin(): the session may already be inside an implicit
     # transaction (inventory_scope read from it in the JWT path); get_db
     # commits on success / rolls back on failure.
     with nullcontext():
         wh = await get_warehouse_or_404(db, payload.warehouse_id)
-        if wh.project_id != scope.project_id:
+        if scope.project_id is not None and wh.project_id != scope.project_id:
             raise ForbiddenError("این انبار متعلق به پروژه شما نیست")
         if payload.dest_warehouse_id is not None:
             dest = await get_warehouse_or_404(db, payload.dest_warehouse_id)
-            if dest.project_id != scope.project_id:
+            if scope.project_id is not None and dest.project_id != scope.project_id:
                 raise ForbiddenError("انبار مقصد متعلق به پروژه شما نیست")
         txs = await apply_transaction(db, payload, performed_by=scope.actor)
         await audit_record(

backend/app/routers/item_receipts.py

@@ -3,6 +3,7 @@ from fastapi import APIRouter, Depends
 from sqlalchemy import select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.procurement import ItemDecision, ItemReceipt, LineItem
 from app.schemas.procurement import ReceiptCreate, ReceiptUpdate
@@ -14,6 +15,7 @@ router = APIRouter(
     prefix="/quotes/{quote_id}/line-items/{line_item_id}/receipt",
     tags=["item-receipts"],
 )
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 async def _line_item_or_404(db: AsyncSession, quote_id, line_item_id) -> LineItem:
@@ -45,7 +47,13 @@ async def get_receipt(quote_id, line_item_id, db: AsyncSession = Depends(get_db)
 
 
 @router.post("", status_code=201)
-async def create_receipt(quote_id, line_item_id, payload: ReceiptCreate, db: AsyncSession = Depends(get_db)):
+async def create_receipt(
+    quote_id,
+    line_item_id,
+    payload: ReceiptCreate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     await _line_item_or_404(db, quote_id, line_item_id)
     decision = await _decision_or_404(db, line_item_id)
     existing = await db.scalar(select(ItemReceipt).where(ItemReceipt.item_decision_id == decision.id))
@@ -65,7 +73,13 @@ async def create_receipt(quote_id, line_item_id, payload: ReceiptCreate, db: Asy
 
 
 @router.patch("")
-async def update_receipt(quote_id, line_item_id, payload: ReceiptUpdate, db: AsyncSession = Depends(get_db)):
+async def update_receipt(
+    quote_id,
+    line_item_id,
+    payload: ReceiptUpdate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     await _line_item_or_404(db, quote_id, line_item_id)
     decision = await db.scalar(select(ItemDecision).where(ItemDecision.line_item_id == line_item_id))
     if decision is None:

backend/app/routers/item_termsheets.py

@@ -7,6 +7,7 @@ from fastapi import APIRouter, Depends
 from sqlalchemy import select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.procurement import (
     ItemDecision,
@@ -23,6 +24,7 @@ router = APIRouter(
     prefix="/quotes/{quote_id}/line-items/{line_item_id}/termsheets",
     tags=["item-termsheets"],
 )
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 async def _line_item_or_404(db: AsyncSession, quote_id, line_item_id) -> LineItem:
@@ -58,7 +60,11 @@ async def list_item_termsheets(quote_id, line_item_id, db: AsyncSession = Depend
 
 @router.post("", status_code=201)
 async def create_item_termsheet(
-    quote_id, line_item_id, payload: ItemTermsheetCreate, db: AsyncSession = Depends(get_db)
+    quote_id,
+    line_item_id,
+    payload: ItemTermsheetCreate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
 ):
     async with db.begin():
         li = await _line_item_or_404(db, quote_id, line_item_id)
@@ -93,7 +99,12 @@ async def create_item_termsheet(
 
 @router.patch("/{item_termsheet_id}")
 async def update_item_termsheet(
-    quote_id, line_item_id, item_termsheet_id, payload: ItemTermsheetUpdate, db: AsyncSession = Depends(get_db)
+    quote_id,
+    line_item_id,
+    item_termsheet_id,
+    payload: ItemTermsheetUpdate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
 ):
     li = await _line_item_or_404(db, quote_id, line_item_id)
     quote = await db.get(Quote, quote_id)
@@ -114,7 +125,11 @@ async def update_item_termsheet(
 
 @router.delete("/{item_termsheet_id}")
 async def delete_item_termsheet(
-    quote_id, line_item_id, item_termsheet_id, db: AsyncSession = Depends(get_db)
+    quote_id,
+    line_item_id,
+    item_termsheet_id,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
 ):
     it = await db.scalar(
         select(ItemTermsheet).where(ItemTermsheet.id == item_termsheet_id, ItemTermsheet.line_item_id == line_item_id)

backend/app/routers/line_item_specs.py

@@ -3,6 +3,7 @@ from fastapi import APIRouter, Depends
 from sqlalchemy import select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.catalog import AttributeDefinition, Unit
 from app.models.procurement import LineItem, LineItemSpec, Quote
@@ -12,6 +13,7 @@ from app.services.eav_service import flatten_eav_values
 from app.utils.errors import ConflictError, NotFoundError
 
 router = APIRouter(prefix="/quotes/{quote_id}/line-items/{line_item_id}/specs", tags=["line-item-specs"])
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 async def _line_item_or_404(db: AsyncSession, quote_id, line_item_id) -> LineItem:
@@ -53,7 +55,13 @@ async def get_line_item_specs(quote_id, line_item_id, db: AsyncSession = Depends
 
 
 @router.put("")
-async def put_line_item_specs(quote_id, line_item_id, payload: SpecsPutIn, db: AsyncSession = Depends(get_db)):
+async def put_line_item_specs(
+    quote_id,
+    line_item_id,
+    payload: SpecsPutIn,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     """FULL replacement — specs not in the payload are DELETED (P1-19)."""
     async with db.begin():
         li = await _line_item_or_404(db, quote_id, line_item_id)

backend/app/routers/line_items.py

@@ -3,6 +3,7 @@ from fastapi import APIRouter, Depends, Query
 from sqlalchemy import select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.catalog import Material, Unit
 from app.models.procurement import ItemDecision, LineItem, Quote
@@ -14,6 +15,7 @@ from app.utils.errors import ConflictError, NotFoundError
 from app.utils.pagination import paginate, sort_query
 
 router = APIRouter(prefix="/quotes/{quote_id}/line-items", tags=["line-items"])
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 async def _quote_or_404(db: AsyncSession, quote_id) -> Quote:
@@ -50,7 +52,12 @@ async def list_line_items(
 
 
 @router.post("", status_code=201)
-async def create_line_item(quote_id, payload: LineItemCreate, db: AsyncSession = Depends(get_db)):
+async def create_line_item(
+    quote_id,
+    payload: LineItemCreate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     async with db.begin():
         quote = await _quote_or_404(db, quote_id)
         if quote.status != "offered":
@@ -89,7 +96,11 @@ async def get_line_item(
 
 @router.patch("/{line_item_id}")
 async def update_line_item(
-    quote_id, line_item_id, payload: LineItemUpdate, db: AsyncSession = Depends(get_db)
+    quote_id,
+    line_item_id,
+    payload: LineItemUpdate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
 ):
     li = await _line_item_or_404(db, quote_id, line_item_id)
     quote = await _quote_or_404(db, quote_id)
@@ -131,7 +142,12 @@ async def update_line_item(
 
 
 @router.delete("/{line_item_id}")
-async def delete_line_item(quote_id, line_item_id, db: AsyncSession = Depends(get_db)):
+async def delete_line_item(
+    quote_id,
+    line_item_id,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     li = await _line_item_or_404(db, quote_id, line_item_id)
     quote = await _quote_or_404(db, quote_id)
     if quote.status != "offered":

backend/app/routers/material_categories.py

@@ -3,6 +3,7 @@ from fastapi import APIRouter, Depends, Query
 from sqlalchemy import func, or_, select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.catalog import MaterialCategory
 from app.models.procurement import Supplier
@@ -12,6 +13,7 @@ from app.utils.pagination import paginate, sort_query
 from app.utils.serialization import to_iso
 
 router = APIRouter(prefix="/material-categories", tags=["material-categories"])
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 def category_to_dict(category: MaterialCategory) -> dict:
@@ -46,7 +48,11 @@ async def list_categories(
 
 
 @router.post("", status_code=201)
-async def create_category(payload: MaterialCategoryCreate, db: AsyncSession = Depends(get_db)):
+async def create_category(
+    payload: MaterialCategoryCreate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     duplicate = await db.scalar(select(MaterialCategory.id).where(MaterialCategory.slug == payload.slug))
     if duplicate is not None:
         raise ConflictError("دسته‌بندی با این slug قبلاً ثبت شده است", field="slug")
@@ -70,7 +76,12 @@ async def get_category(category_id, db: AsyncSession = Depends(get_db)):
 
 
 @router.patch("/{category_id}")
-async def update_category(category_id, payload: MaterialCategoryUpdate, db: AsyncSession = Depends(get_db)):
+async def update_category(
+    category_id,
+    payload: MaterialCategoryUpdate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     category = await db.get(MaterialCategory, category_id)
     if category is None:
         raise NotFoundError("دسته‌بندی یافت نشد")
@@ -92,7 +103,11 @@ async def update_category(category_id, payload: MaterialCategoryUpdate, db: Asyn
 
 
 @router.delete("/{category_id}")
-async def delete_category(category_id, db: AsyncSession = Depends(get_db)):
+async def delete_category(
+    category_id,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     category = await db.get(MaterialCategory, category_id)
     if category is None:
         raise NotFoundError("دسته‌بندی یافت نشد")

backend/app/routers/materials.py

@@ -9,6 +9,7 @@ from fastapi import APIRouter, Depends, Query, Request
 from sqlalchemy import exists, select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.catalog import (
     AttributeDefinition,
@@ -38,6 +39,7 @@ from app.utils.errors import ConflictError, NotFoundError, ValidationError
 from app.utils.pagination import paginate, sort_query
 
 router = APIRouter(prefix="/materials", tags=["materials"])
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 def _coerce_filter_value(data_type: str, raw: str):
@@ -125,7 +127,10 @@ async def list_materials(
 
 @router.post("", status_code=201)
 async def create_material(
-    payload: MaterialCreate, expand: str | None = None, db: AsyncSession = Depends(get_db)
+    payload: MaterialCreate,
+    expand: str | None = None,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
 ):
     material = await material_service.create_material(db, payload)
     return {"data": await serialize_material(db, material, parse_expand(expand))}
@@ -140,7 +145,12 @@ async def get_material(material_id, expand: str | None = None, db: AsyncSession
 
 
 @router.patch("/{material_id}")
-async def update_material(material_id, payload: MaterialUpdate, db: AsyncSession = Depends(get_db)):
+async def update_material(
+    material_id,
+    payload: MaterialUpdate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     material = await db.get(Material, material_id)
     if material is None:
         raise NotFoundError("متریال یافت نشد")
@@ -149,7 +159,11 @@ async def update_material(material_id, payload: MaterialUpdate, db: AsyncSession
 
 
 @router.delete("/{material_id}")
-async def delete_material(material_id, db: AsyncSession = Depends(get_db)):
+async def delete_material(
+    material_id,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     material = await db.get(Material, material_id)
     if material is None:
         raise NotFoundError("متریال یافت نشد")
@@ -248,7 +262,10 @@ async def list_material_units(
 
 @router.post("/{material_id}/units", status_code=201)
 async def create_material_unit(
-    material_id, payload: MaterialUnitCreate, db: AsyncSession = Depends(get_db)
+    material_id,
+    payload: MaterialUnitCreate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
 ):
     async with db.begin():
         await _material_or_404(db, material_id)
@@ -287,7 +304,11 @@ async def create_material_unit(
 
 @router.patch("/{material_id}/units/{mu_id}")
 async def update_material_unit(
-    material_id, mu_id, payload: MaterialUnitUpdate, db: AsyncSession = Depends(get_db)
+    material_id,
+    mu_id,
+    payload: MaterialUnitUpdate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
 ):
     async with db.begin():
         mu = await db.scalar(
@@ -319,7 +340,12 @@ async def update_material_unit(
 
 
 @router.delete("/{material_id}/units/{mu_id}")
-async def delete_material_unit(material_id, mu_id, db: AsyncSession = Depends(get_db)):
+async def delete_material_unit(
+    material_id,
+    mu_id,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     mu = await db.scalar(
         select(MaterialUnit).where(MaterialUnit.id == mu_id, MaterialUnit.material_id == material_id)
     )
@@ -365,7 +391,10 @@ async def get_material_attribute_values(
 
 @router.put("/{material_id}/attribute-values")
 async def put_material_attribute_values(
-    material_id, payload: MaterialAttributeValuesPut, db: AsyncSession = Depends(get_db)
+    material_id,
+    payload: MaterialAttributeValuesPut,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
 ):
     """FULL replacement of a material's EAV values (empty array deletes all)."""
     async with db.begin():

backend/app/routers/projects.py

@@ -3,7 +3,7 @@ from fastapi import APIRouter, Depends, Query, Request
 from sqlalchemy import func, or_, select
 from sqlalchemy.ext.asyncio import AsyncSession
 
-from app.auth import UserContext, get_optional_user
+from app.auth import UserContext, get_optional_user, require_role
 from app.db.engine import get_db
 from app.models.procurement import Project, Quote, User
 from app.schemas.procurement import ProjectCreate, ProjectUpdate
@@ -13,6 +13,7 @@ from app.utils.pagination import paginate, sort_query
 from app.utils.serialization import to_date, to_iso
 
 router = APIRouter(prefix="/projects", tags=["projects"])
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 async def _optional_ctx(request: Request, db: AsyncSession = Depends(get_db)) -> UserContext | None:
@@ -33,8 +34,12 @@ async def project_to_dict(db: AsyncSession, project: Project) -> dict:
     d = {
         "id": str(project.id),
         "name": project.name,
-        "description": project.description,
+        "location": project.location or "",
+        "project_manager": project.project_manager or "",
+        "description": project.description or "",
         "start_date": to_date(project.start_date),
+        "status": project.status or "ACTIVE",
+        "progress": float(project.progress) if project.progress is not None else 0.0,
         "pm_user_id": str(project.pm_user_id) if project.pm_user_id else None,
         "created_at": to_iso(project.created_at),
     }
@@ -42,6 +47,8 @@ async def project_to_dict(db: AsyncSession, project: Project) -> dict:
         pm = await db.get(User, project.pm_user_id)
         if pm:
             d["pm_name"] = f"{pm.first_name} {pm.last_name}".strip() or pm.casdoor_id
+    elif project.project_manager:
+        d["pm_name"] = project.project_manager
     return d
 
 
@@ -55,7 +62,14 @@ async def list_projects(
 ):
     stmt = select(Project)
     if q:
-        stmt = stmt.where(or_(Project.name.ilike(f"%{q}%"), Project.description.ilike(f"%{q}%")))
+        stmt = stmt.where(
+            or_(
+                Project.name.ilike(f"%{q}%"),
+                Project.description.ilike(f"%{q}%"),
+                Project.location.ilike(f"%{q}%"),
+                Project.project_manager.ilike(f"%{q}%"),
+            )
+        )
     stmt = sort_query(stmt, Project, sort)
     items, meta = await paginate(stmt, page, page_size, db)
     pm_map = await _pm_map(db, items)
@@ -64,24 +78,38 @@ async def list_projects(
         d = {
             "id": str(p.id),
             "name": p.name,
-            "description": p.description,
+            "location": p.location or "",
+            "project_manager": p.project_manager or "",
+            "description": p.description or "",
             "start_date": to_date(p.start_date),
+            "status": p.status or "ACTIVE",
+            "progress": float(p.progress) if p.progress is not None else 0.0,
             "pm_user_id": str(p.pm_user_id) if p.pm_user_id else None,
             "created_at": to_iso(p.created_at),
         }
         pm = pm_map.get(p.pm_user_id)
         if pm:
             d["pm_name"] = f"{pm.first_name} {pm.last_name}".strip() or pm.casdoor_id
+        elif p.project_manager:
+            d["pm_name"] = p.project_manager
         data.append(d)
     return {"data": data, "meta": meta}
 
 
 @router.post("", status_code=201)
-async def create_project(payload: ProjectCreate, db: AsyncSession = Depends(get_db)):
+async def create_project(
+    payload: ProjectCreate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     project = Project(
-        name=payload.name,
-        description=payload.description,
+        name=payload.name.strip(),
+        location=payload.location.strip() if payload.location else "",
+        project_manager=payload.project_manager.strip() if payload.project_manager else "",
+        description=payload.description.strip() if payload.description else "",
         start_date=payload.start_date,
+        planned_start=payload.start_date,
+        status="ACTIVE",
     )
     db.add(project)
     await db.flush()
@@ -103,37 +131,51 @@ async def update_project(
     request: Request,
     ctx: UserContext | None = Depends(_optional_ctx),
     db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
 ):
     project = await db.get(Project, project_id)
     if project is None:
         raise NotFoundError("پروژه یافت نشد")
     if payload.name is not None:
-        project.name = payload.name
+        project.name = payload.name.strip()
+    if payload.location is not None:
+        project.location = payload.location.strip()
+    if payload.project_manager is not None:
+        project.project_manager = payload.project_manager.strip()
     if payload.description is not None:
-        project.description = payload.description
+        project.description = payload.description.strip()
     if payload.start_date is not None:
         project.start_date = payload.start_date
+        project.planned_start = payload.start_date
+    if payload.status is not None:
+        project.status = payload.status
     # PM assignment (1:N): one PM per project, a PM may own many projects.
     # Admin / procurement manager only (same rule as the Organization panel).
     if "pm_user_id" in payload.model_fields_set:
         role = ctx.role if ctx else (request.headers.get("x-user-role") or "").strip().lower()
-        if role not in ("admin", "procurement_manager"):
-            raise ForbiddenError("تعیین مدیر پروژه فقط برای ادمین / مدیر تدارکات مجاز است")
+        if role not in ("admin", "procurement_manager", "pm"):
+            raise ForbiddenError("تعیین سرپرست پروژه فقط برای مدیر تدارکات، مدیر پروژه و ادمین مجاز است")
         if payload.pm_user_id is None:
             project.pm_user_id = None
         else:
             pm_user = await db.get(User, payload.pm_user_id)
             if pm_user is None:
                 raise NotFoundError("کاربر یافت نشد", field="pm_user_id")
-            if pm_user.role != "pm":
-                raise ValidationError("ابتدا نقش این کاربر را «مدیر پروژه» کنید", field="pm_user_id")
+            if pm_user.role not in ("supervisor", "pm"):
+                raise ValidationError("ابتدا نقش این کاربر را «سرپرست پروژه» کنید", field="pm_user_id")
             project.pm_user_id = pm_user.id
+            if not project.project_manager:
+                project.project_manager = f"{pm_user.first_name} {pm_user.last_name}".strip()
     await db.flush()
     return {"data": await project_to_dict(db, project)}
 
 
 @router.delete("/{project_id}")
-async def delete_project(project_id, db: AsyncSession = Depends(get_db)):
+async def delete_project(
+    project_id,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     project = await db.get(Project, project_id)
     if project is None:
         raise NotFoundError("پروژه یافت نشد")

backend/app/routers/quote_events.py

@@ -3,6 +3,7 @@ from fastapi import APIRouter, Depends, Query
 from sqlalchemy import select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.procurement import Quote, QuoteEvent
 from app.schemas.procurement import NoteEventIn
@@ -11,6 +12,7 @@ from app.utils.errors import NotFoundError, ValidationError
 from app.utils.pagination import paginate, sort_query
 
 router = APIRouter(prefix="/quotes/{quote_id}/events", tags=["quote-events"])
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 @router.get("")
@@ -34,7 +36,12 @@ async def list_events(
 
 
 @router.post("", status_code=201)
-async def create_event(quote_id, payload: NoteEventIn, db: AsyncSession = Depends(get_db)):
+async def create_event(
+    quote_id,
+    payload: NoteEventIn,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     quote = await db.get(Quote, quote_id)
     if quote is None:
         raise NotFoundError("پیشنهاد (استعلام) یافت نشد")

backend/app/routers/quotes.py

@@ -8,6 +8,7 @@ from fastapi import APIRouter, Depends, Query
 from sqlalchemy import exists, func, or_, select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.catalog import Material
 from app.models.procurement import (
@@ -42,6 +43,9 @@ from app.utils.security import get_actor
 
 router = APIRouter(prefix="/quotes", tags=["quotes"])
 
+# عملیات نوشتنی تدارکات — فقط ادمین و مدیر تدارکات (مدیر پروژه فقط خواندن دارد)
+_procurement_writer = require_role("admin", "procurement_manager")
+
 
 # --- list filter helpers ---------------------------------------------------
 
@@ -156,7 +160,12 @@ async def get_quote(quote_id, expand: str | None = None, db: AsyncSession = Depe
 # ---------------------------------------------------------------------------
 
 @router.post("", status_code=201)
-async def create_quote(payload: QuoteCreate, db: AsyncSession = Depends(get_db), actor: str = Depends(get_actor)):
+async def create_quote(
+    payload: QuoteCreate,
+    db: AsyncSession = Depends(get_db),
+    actor: str = Depends(get_actor),
+    _auth=Depends(_procurement_writer),
+):
     quote = await quote_service.create_quote(db, payload, actor)
     return {"data": await serialize_quote_with_children(db, quote)}
 
@@ -167,7 +176,11 @@ async def create_quote(payload: QuoteCreate, db: AsyncSession = Depends(get_db),
 
 @router.patch("/{quote_id}")
 async def update_quote(
-    quote_id, payload: QuoteUpdate, db: AsyncSession = Depends(get_db), actor: str = Depends(get_actor)
+    quote_id,
+    payload: QuoteUpdate,
+    db: AsyncSession = Depends(get_db),
+    actor: str = Depends(get_actor),
+    _auth=Depends(_procurement_writer),
 ):
     quote = await quote_service.update_quote(db, quote_id, payload, actor)
     return {"data": await serialize_quote(db, quote, set())}
@@ -175,7 +188,11 @@ async def update_quote(
 
 @router.patch("/{quote_id}/children")
 async def replace_quote_children(
-    quote_id, payload: QuoteChildrenReplaceIn, db: AsyncSession = Depends(get_db), actor: str = Depends(get_actor)
+    quote_id,
+    payload: QuoteChildrenReplaceIn,
+    db: AsyncSession = Depends(get_db),
+    actor: str = Depends(get_actor),
+    _auth=Depends(_procurement_writer),
 ):
     """Full replacement of a quote's line items + termsheets (edit modal)."""
     quote = await quote_service.replace_quote_children(db, quote_id, payload, actor)
@@ -188,7 +205,11 @@ async def replace_quote_children(
 
 @router.patch("/{quote_id}/accept")
 async def accept_quote(
-    quote_id, payload: AcceptQuoteIn, db: AsyncSession = Depends(get_db), actor: str = Depends(get_actor)
+    quote_id,
+    payload: AcceptQuoteIn,
+    db: AsyncSession = Depends(get_db),
+    actor: str = Depends(get_actor),
+    _auth=Depends(_procurement_writer),
 ):
     quote = await quote_service.accept_quote(db, quote_id, payload, actor)
     return {"data": await _accept_response(db, quote)}
@@ -224,7 +245,12 @@ async def _accept_response(db: AsyncSession, quote: Quote) -> dict:
 
 
 @router.patch("/{quote_id}/arrive")
-async def arrive_quote(quote_id, db: AsyncSession = Depends(get_db), actor: str = Depends(get_actor)):
+async def arrive_quote(
+    quote_id,
+    db: AsyncSession = Depends(get_db),
+    actor: str = Depends(get_actor),
+    _auth=Depends(_procurement_writer),
+):
     quote = await quote_service.arrive_quote(db, quote_id, actor)
     return {
         "data": {
@@ -237,7 +263,11 @@ async def arrive_quote(quote_id, db: AsyncSession = Depends(get_db), actor: str
 
 @router.patch("/{quote_id}/arrive-items")
 async def arrive_items(
-    quote_id, payload: ArriveItemsIn, db: AsyncSession = Depends(get_db), actor: str = Depends(get_actor)
+    quote_id,
+    payload: ArriveItemsIn,
+    db: AsyncSession = Depends(get_db),
+    actor: str = Depends(get_actor),
+    _auth=Depends(_procurement_writer),
 ):
     quote = await quote_service.arrive_items(db, quote_id, payload, actor)
     return {
@@ -259,14 +289,23 @@ async def arrive_items(
 
 @router.patch("/{quote_id}/reject")
 async def reject_quote(
-    quote_id, payload: RejectQuoteIn | None = None, db: AsyncSession = Depends(get_db), actor: str = Depends(get_actor)
+    quote_id,
+    payload: RejectQuoteIn | None = None,
+    db: AsyncSession = Depends(get_db),
+    actor: str = Depends(get_actor),
+    _auth=Depends(_procurement_writer),
 ):
     quote = await quote_service.reject_quote(db, quote_id, payload or RejectQuoteIn(), actor)
     return {"data": {"id": str(quote.id), "status": quote.status}}
 
 
 @router.patch("/{quote_id}/expire")
-async def expire_quote(quote_id, db: AsyncSession = Depends(get_db), actor: str = Depends(get_actor)):
+async def expire_quote(
+    quote_id,
+    db: AsyncSession = Depends(get_db),
+    actor: str = Depends(get_actor),
+    _auth=Depends(_procurement_writer),
+):
     quote = await quote_service.expire_quote(db, quote_id, actor)
     return {"data": {"id": str(quote.id), "status": quote.status}}
 
@@ -276,6 +315,10 @@ async def expire_quote(quote_id, db: AsyncSession = Depends(get_db), actor: str
 # ---------------------------------------------------------------------------
 
 @router.delete("/{quote_id}")
-async def delete_quote(quote_id, db: AsyncSession = Depends(get_db)):
+async def delete_quote(
+    quote_id,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     result = await quote_service.delete_quote(db, quote_id)
     return {"data": result}

backend/app/routers/schedule_steps.py

@@ -3,6 +3,7 @@ from fastapi import APIRouter, Depends, Query
 from sqlalchemy import func, select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.procurement import Termsheet, TermsheetScheduleStep
 from app.schemas.procurement import ScheduleStepCreate, ScheduleStepUpdate
@@ -15,6 +16,7 @@ router = APIRouter(
     prefix="/quotes/{quote_id}/termsheets/{termsheet_id}/schedule-steps",
     tags=["schedule-steps"],
 )
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 async def _termsheet_or_404(db: AsyncSession, quote_id, termsheet_id) -> Termsheet:
@@ -57,7 +59,11 @@ async def list_schedule_steps(
 
 @router.post("", status_code=201)
 async def create_schedule_step(
-    quote_id, termsheet_id, payload: ScheduleStepCreate, db: AsyncSession = Depends(get_db)
+    quote_id,
+    termsheet_id,
+    payload: ScheduleStepCreate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
 ):
     ts = await _termsheet_or_404(db, quote_id, termsheet_id)
     step_no = payload.step_no
@@ -84,7 +90,12 @@ async def create_schedule_step(
 
 @router.patch("/{step_id}")
 async def update_schedule_step(
-    quote_id, termsheet_id, step_id, payload: ScheduleStepUpdate, db: AsyncSession = Depends(get_db)
+    quote_id,
+    termsheet_id,
+    step_id,
+    payload: ScheduleStepUpdate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
 ):
     step = await _step_or_404(db, termsheet_id, step_id)
     if payload.step_no is not None and payload.step_no != step.step_no:
@@ -109,7 +120,13 @@ async def update_schedule_step(
 
 
 @router.delete("/{step_id}")
-async def delete_schedule_step(quote_id, termsheet_id, step_id, db: AsyncSession = Depends(get_db)):
+async def delete_schedule_step(
+    quote_id,
+    termsheet_id,
+    step_id,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     step = await _step_or_404(db, termsheet_id, step_id)
     count = await db.scalar(
         select(func.count()).select_from(TermsheetScheduleStep).where(

backend/app/routers/standard_conversions.py

@@ -3,6 +3,7 @@ from fastapi import APIRouter, Depends, Query
 from sqlalchemy import select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.catalog import StandardConversion
 from app.schemas.catalog import StandardConversionCreate, StandardConversionUpdate
@@ -11,6 +12,7 @@ from app.utils.pagination import paginate
 from app.utils.serialization import to_iso
 
 router = APIRouter(prefix="/standard-conversions", tags=["standard-conversions"])
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 def sc_to_dict(sc: StandardConversion) -> dict:
@@ -41,7 +43,11 @@ async def list_standard_conversions(
 
 
 @router.post("", status_code=201)
-async def create_standard_conversion(payload: StandardConversionCreate, db: AsyncSession = Depends(get_db)):
+async def create_standard_conversion(
+    payload: StandardConversionCreate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     duplicate = await db.scalar(
         select(StandardConversion.id).where(
             StandardConversion.from_unit == payload.from_unit,
@@ -67,7 +73,12 @@ async def get_standard_conversion(sc_id, db: AsyncSession = Depends(get_db)):
 
 
 @router.patch("/{sc_id}")
-async def update_standard_conversion(sc_id, payload: StandardConversionUpdate, db: AsyncSession = Depends(get_db)):
+async def update_standard_conversion(
+    sc_id,
+    payload: StandardConversionUpdate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     sc = await db.get(StandardConversion, sc_id)
     if sc is None:
         raise NotFoundError("تبدیل استاندارد یافت نشد")
@@ -94,7 +105,11 @@ async def update_standard_conversion(sc_id, payload: StandardConversionUpdate, d
 
 
 @router.delete("/{sc_id}")
-async def delete_standard_conversion(sc_id, db: AsyncSession = Depends(get_db)):
+async def delete_standard_conversion(
+    sc_id,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     sc = await db.get(StandardConversion, sc_id)
     if sc is None:
         raise NotFoundError("تبدیل استاندارد یافت نشد")

backend/app/routers/supplier_materials.py

@@ -8,6 +8,7 @@ from fastapi import APIRouter, Depends, Query
 from sqlalchemy import select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.catalog import Material, MaterialCategory
 from app.models.procurement import Supplier, SupplierMaterial
@@ -18,6 +19,7 @@ from app.utils.pagination import paginate
 from app.utils.serialization import to_iso
 
 router = APIRouter(tags=["supplier-materials"])
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 def link_to_dict(link: SupplierMaterial, material: Material | None = None,
@@ -63,7 +65,10 @@ async def list_supplier_materials(
 
 @router.post("/suppliers/{supplier_id}/materials", status_code=201)
 async def create_supplier_material(
-    supplier_id, payload: SupplierMaterialCreate, db: AsyncSession = Depends(get_db)
+    supplier_id,
+    payload: SupplierMaterialCreate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
 ):
     async with db.begin():
         link = await link_supplier_material(db, supplier_id, payload.material_id)
@@ -72,7 +77,12 @@ async def create_supplier_material(
 
 
 @router.delete("/suppliers/{supplier_id}/materials/{material_id}")
-async def delete_supplier_material(supplier_id, material_id, db: AsyncSession = Depends(get_db)):
+async def delete_supplier_material(
+    supplier_id,
+    material_id,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     async with db.begin():
         await unlink_supplier_material(db, supplier_id, material_id)
     return {"data": {"supplier_id": str(supplier_id), "material_id": str(material_id), "deleted": True}}

backend/app/routers/suppliers.py

@@ -3,6 +3,7 @@ from fastapi import APIRouter, Depends, Query
 from sqlalchemy import func, or_, select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.catalog import MaterialCategory
 from app.models.procurement import Quote, Supplier
@@ -12,6 +13,7 @@ from app.utils.pagination import paginate, sort_query
 from app.utils.serialization import to_iso
 
 router = APIRouter(prefix="/suppliers", tags=["suppliers"])
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 def supplier_to_dict(supplier: Supplier, category: MaterialCategory | None = None) -> dict:
@@ -71,7 +73,11 @@ async def list_suppliers(
 
 
 @router.post("", status_code=201)
-async def create_supplier(payload: SupplierCreate, db: AsyncSession = Depends(get_db)):
+async def create_supplier(
+    payload: SupplierCreate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     category = await _category_or_404(db, payload.category_id)
     supplier = Supplier(
         name=payload.name,
@@ -96,7 +102,12 @@ async def get_supplier(supplier_id, db: AsyncSession = Depends(get_db)):
 
 
 @router.patch("/{supplier_id}")
-async def update_supplier(supplier_id, payload: SupplierUpdate, db: AsyncSession = Depends(get_db)):
+async def update_supplier(
+    supplier_id,
+    payload: SupplierUpdate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     supplier = await db.get(Supplier, supplier_id)
     if supplier is None:
         raise NotFoundError("تأمین‌کننده یافت نشد")
@@ -120,7 +131,11 @@ async def update_supplier(supplier_id, payload: SupplierUpdate, db: AsyncSession
 
 
 @router.delete("/{supplier_id}")
-async def delete_supplier(supplier_id, db: AsyncSession = Depends(get_db)):
+async def delete_supplier(
+    supplier_id,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     supplier = await db.get(Supplier, supplier_id)
     if supplier is None:
         raise NotFoundError("تأمین‌کننده یافت نشد")

backend/app/routers/termsheets.py

@@ -3,6 +3,7 @@ from fastapi import APIRouter, Depends, Query
 from sqlalchemy import func, select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.procurement import (
     ItemDecision,
@@ -26,6 +27,7 @@ from app.utils.errors import ConflictError, NotFoundError, ValidationError
 from app.utils.pagination import paginate, sort_query
 
 router = APIRouter(prefix="/quotes/{quote_id}/termsheets", tags=["termsheets"])
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 async def _quote_or_404(db: AsyncSession, quote_id) -> Quote:
@@ -80,7 +82,12 @@ async def list_termsheets(
 
 
 @router.post("", status_code=201)
-async def create_termsheet(quote_id, payload: TermsheetCreate, db: AsyncSession = Depends(get_db)):
+async def create_termsheet(
+    quote_id,
+    payload: TermsheetCreate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     async with db.begin():
         quote = await _quote_or_404(db, quote_id)
         if quote.status != "offered":
@@ -110,7 +117,11 @@ async def get_termsheet(
 
 @router.patch("/{termsheet_id}")
 async def update_termsheet(
-    quote_id, termsheet_id, payload: TermsheetUpdate, db: AsyncSession = Depends(get_db)
+    quote_id,
+    termsheet_id,
+    payload: TermsheetUpdate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
 ):
     ts = await _termsheet_or_404(db, quote_id, termsheet_id)
     if ts.status != "offered":
@@ -127,7 +138,11 @@ async def update_termsheet(
 
 @router.patch("/{termsheet_id}/status")
 async def update_termsheet_status(
-    quote_id, termsheet_id, payload: TermsheetStatusUpdate, db: AsyncSession = Depends(get_db)
+    quote_id,
+    termsheet_id,
+    payload: TermsheetStatusUpdate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
 ):
     async with db.begin():
         ts = await _termsheet_or_404(db, quote_id, termsheet_id)
@@ -139,7 +154,12 @@ async def update_termsheet_status(
 
 
 @router.delete("/{termsheet_id}")
-async def delete_termsheet(quote_id, termsheet_id, db: AsyncSession = Depends(get_db)):
+async def delete_termsheet(
+    quote_id,
+    termsheet_id,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     ts = await _termsheet_or_404(db, quote_id, termsheet_id)
     quote = await _quote_or_404(db, quote_id)
     if quote.status != "offered":

backend/app/routers/units.py

@@ -3,6 +3,7 @@ from fastapi import APIRouter, Depends, Query
 from sqlalchemy import func, or_, select
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.auth import require_role
 from app.db.engine import get_db
 from app.models.catalog import AttributeDefinition, Material, MaterialUnit, Unit
 from app.models.procurement import LineItem, LineItemSpec
@@ -11,6 +12,7 @@ from app.utils.errors import ConflictError, NotFoundError
 from app.utils.pagination import paginate, sort_query
 
 router = APIRouter(prefix="/units", tags=["units"])
+_procurement_writer = require_role("admin", "procurement_manager")
 
 
 def unit_full_to_dict(unit: Unit) -> dict:
@@ -45,7 +47,11 @@ async def list_units(
 
 
 @router.post("", status_code=201)
-async def create_unit(payload: UnitCreate, db: AsyncSession = Depends(get_db)):
+async def create_unit(
+    payload: UnitCreate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     duplicate = await db.scalar(select(Unit.id).where(Unit.code == payload.code))
     if duplicate is not None:
         raise ConflictError("واحدی با این کد قبلاً ثبت شده است", field="code")
@@ -70,7 +76,12 @@ async def get_unit(unit_id: int, db: AsyncSession = Depends(get_db)):
 
 
 @router.patch("/{unit_id}")
-async def update_unit(unit_id: int, payload: UnitUpdate, db: AsyncSession = Depends(get_db)):
+async def update_unit(
+    unit_id: int,
+    payload: UnitUpdate,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     unit = await db.get(Unit, unit_id)
     if unit is None:
         raise NotFoundError("واحد یافت نشد")
@@ -92,7 +103,11 @@ async def update_unit(unit_id: int, payload: UnitUpdate, db: AsyncSession = Depe
 
 
 @router.delete("/{unit_id}")
-async def delete_unit(unit_id: int, db: AsyncSession = Depends(get_db)):
+async def delete_unit(
+    unit_id: int,
+    db: AsyncSession = Depends(get_db),
+    _auth=Depends(_procurement_writer),
+):
     unit = await db.get(Unit, unit_id)
     if unit is None:
         raise NotFoundError("واحد یافت نشد")

backend/app/routers/users.py

@@ -17,7 +17,7 @@ import uuid
 
 import httpx
 from fastapi import APIRouter, Depends
-from sqlalchemy import select, update
+from sqlalchemy import select, update, text
 from sqlalchemy.ext.asyncio import AsyncSession
 
 from app.auth import UserContext, get_current_user, require_role
@@ -41,6 +41,8 @@ USER_ROLE_LABELS = {
     "pm": "مدیر پروژه",
     "procurement_manager": "مدیر تدارکات",
     "admin": "ادمین",
+    # کاربر فقطِ پنل مدیریت پروژه (PM) — به انبار/تدارکات دسترسی ندارد
+    "supervisor": "سرپرست پروژه",
 }
 
 
@@ -52,6 +54,7 @@ def user_to_dict(user: User, projects: list[Project] | None = None) -> dict:
     return {
         "id": str(user.id),
         "casdoor_id": user.casdoor_id,
+        "username": user.username,
         "first_name": user.first_name,
         "last_name": user.last_name,
         "phone": user.phone,
@@ -65,15 +68,15 @@ def user_to_dict(user: User, projects: list[Project] | None = None) -> dict:
 
 
 async def _org_manager(ctx: UserContext = Depends(get_current_user)) -> UserContext:
-    """Admin OR procurement manager (the same person) — organization management."""
-    if ctx.role not in ("admin", "procurement_manager"):
+    """Admin, procurement manager, or project manager — organization management."""
+    if ctx.role not in ("admin", "procurement_manager", "pm"):
         raise ForbiddenError("دسترسی به این بخش برای نقش شما مجاز نیست")
     return ctx
 
 
 async def _user_projects(db: AsyncSession, user: User) -> list[Project]:
-    """Every project the user manages as PM (oldest first; [] for non-PMs)."""
-    if user.role != "pm":
+    """Every project assigned to the user (supervisor or PM) (oldest first)."""
+    if user.role not in ("supervisor", "pm"):
         return []
     rows = (
         await db.execute(
@@ -148,13 +151,13 @@ async def list_users(
 ):
     """Every user (with role + assigned projects) — Organization panel."""
     users = (await db.execute(select(User).order_by(User.created_at))).scalars().all()
-    pm_ids = {u.id for u in users if u.role == "pm"}
+    supervisor_ids = {u.id for u in users if u.role in ("supervisor", "pm")}
     by_user: dict = {}
-    if pm_ids:
+    if supervisor_ids:
         projs = (
             await db.execute(
                 select(Project)
-                .where(Project.pm_user_id.in_(pm_ids))
+                .where(Project.pm_user_id.in_(supervisor_ids))
                 .order_by(Project.created_at, Project.id)
             )
         ).scalars().all()
@@ -204,7 +207,7 @@ async def update_user_role(
     if user is None:
         raise NotFoundError("کاربر یافت نشد")
     previous_role = user.role
-    if user.role == "pm" and payload.role != "pm":
+    if user.role in ("supervisor", "pm") and payload.role not in ("supervisor", "pm"):
         await _unassign_projects(db, user.id)
     user.role = payload.role
     await db.flush()
@@ -231,8 +234,15 @@ async def sync_casdoor_users(
             continue
         existing = await db.scalar(select(User).where(User.casdoor_id == cid))
         if existing is None:
+            uname = str(cu.get("name") or cu.get("preferred_username") or "") or None
+            if uname:
+                by_uname = await db.scalar(select(User).where(User.username == uname))
+                if by_uname is not None:
+                    by_uname.casdoor_id = cid
+                    continue
             db.add(User(
                 casdoor_id=cid,
+                username=uname,
                 first_name=str(
                     cu.get("firstName")
                     or cu.get("displayName")
@@ -243,16 +253,20 @@ async def sync_casdoor_users(
                 phone=str(cu.get("phone") or "") or None,
             ))
             created += 1
+        elif not existing.username:
+            uname = str(cu.get("name") or cu.get("preferred_username") or "") or None
+            if uname:
+                existing.username = uname
     await db.flush()
 
     users = (await db.execute(select(User).order_by(User.created_at))).scalars().all()
-    pm_ids = {u.id for u in users if u.role == "pm"}
+    supervisor_ids = {u.id for u in users if u.role in ("supervisor", "pm")}
     by_user: dict = {}
-    if pm_ids:
+    if supervisor_ids:
         projs = (
             await db.execute(
                 select(Project)
-                .where(Project.pm_user_id.in_(pm_ids))
+                .where(Project.pm_user_id.in_(supervisor_ids))
                 .order_by(Project.created_at, Project.id)
             )
         ).scalars().all()
@@ -282,11 +296,16 @@ async def assign_user_project(
     user = await db.get(User, user_id)
     if user is None:
         raise NotFoundError("کاربر یافت نشد")
-    if user.role != "pm":
-        raise ValidationError("ابتدا نقش این کاربر را «مدیر پروژه» کنید", field="role")
+    if user.role not in ("supervisor", "pm"):
+        raise ValidationError("ابتدا نقش این کاربر را «سرپرست پروژه» کنید", field="role")
 
     if payload.project_id is None:
         await _unassign_projects(db, user.id)
+        if user.username:
+            await db.execute(
+                text("DELETE FROM project_assignments WHERE user_id IN (SELECT id FROM pm_users WHERE username = :uname)"),
+                {"uname": user.username}
+            )
         await db.flush()
         return {"data": user_to_dict(user)}
 
@@ -294,5 +313,19 @@ async def assign_user_project(
     if project is None:
         raise NotFoundError("پروژه یافت نشد", field="project_id")
     project.pm_user_id = user.id
+    if user.username:
+        await db.execute(
+            text("""
+                INSERT INTO project_assignments (id, user_id, project_id)
+                SELECT gen_random_uuid(), pu.id, :pid
+                FROM pm_users pu
+                WHERE pu.username = :uname
+                AND NOT EXISTS (
+                    SELECT 1 FROM project_assignments pa
+                    WHERE pa.user_id = pu.id AND pa.project_id = :pid
+                )
+            """),
+            {"pid": project.id, "uname": user.username}
+        )
     await db.flush()
     return {"data": user_to_dict(user, await _user_projects(db, user))}

backend/app/schemas/procurement.py

@@ -44,14 +44,19 @@ class SupplierMaterialCreate(APIModel):
 
 class ProjectCreate(APIModel):
     name: str = Field(min_length=1)
+    location: str | None = None
+    project_manager: str | None = None
     description: str | None = None
     start_date: date | None = None
 
 
 class ProjectUpdate(APIModel):
     name: str | None = Field(default=None, min_length=1)
+    location: str | None = None
+    project_manager: str | None = None
     description: str | None = None
     start_date: date | None = None
+    status: str | None = None
     # PM assignment (1:N — one PM per project, a PM may own many projects).
     # Admin / procurement manager only; None unassigns this project's PM.
     pm_user_id: UUID | None = None
@@ -209,13 +214,13 @@ class UserCreate(APIModel):
     last_name: str = ""
     phone: str | None = None
     casdoor_id: str | None = None
-    role: Literal["pm", "procurement_manager", "admin"] | None = None
+    role: Literal["pm", "procurement_manager", "admin", "supervisor"] | None = None
 
 
 class UserRoleUpdate(APIModel):
     """role=None revokes the role (and any project assignment)."""
 
-    role: Literal["pm", "procurement_manager", "admin"] | None = None
+    role: Literal["pm", "procurement_manager", "admin", "supervisor"] | None = None
 
 
 class UserProjectUpdate(APIModel):

docker-compose.yml

@@ -249,6 +249,9 @@ services:
     ports:
       - "8000:8000"
 
+    volumes:
+      - ./backend/app:/srv/backend/app
+
     networks:
       - traefik_network
       - default

frontend/src/App.tsx

@@ -38,7 +38,7 @@ const WarehousesPage = lazy(() =>
   import("./pages/Inventory/WarehousesPage").then((m) => ({ default: m.WarehousesPage })),
 );
 const OrganizationPage = lazy(() =>
-  import("./pages/Inventory/OrganizationPage").then((m) => ({ default: m.OrganizationPage })),
+  import("./pages/Organization/OrganizationPage").then((m) => ({ default: m.OrganizationPage })),
 );
 const AdminPanelPage = lazy(() =>
   import("./pages/Admin/AdminPanel").then((m) => ({ default: m.AdminPanel })),
@@ -68,16 +68,101 @@ function RequireAuth({ children }: { children: React.ReactNode }) {
     const returnUrl = encodeURIComponent(location.pathname + location.search);
     return <Navigate to={`/login?returnUrl=${returnUrl}`} replace />;
   }
+  if (user.role === "supervisor") {
+    // اگر سرپرست پروژه‌ای نداشته باشد، دسترسی مسدود می‌شود
+    if (!user.projects || user.projects.length === 0) {
+      return (
+        <div className="flex min-h-screen items-center justify-center bg-bg px-4">
+          <div className="w-full max-w-md rounded-2xl border border-line bg-panel p-8 text-center shadow-sm">
+            <h1 className="text-[16px] font-extrabold text-red">پروژه تخصیص داده نشده است</h1>
+            <p className="mt-2 text-[12.5px] leading-6 text-muted">
+              شما به عنوان سرپرست پروژه در سیستم ثبت شدهاید اما هنوز هیچ پروژه‌ای به شما تخصیص داده نشده است.
+              تا زمان تخصیص پروژه توسط مدیر سیستم، اجازه ورود به سامانه را ندارید.
+            </p>
+            <button
+              type="button"
+              onClick={() => {
+                useAuthStore.getState().logout();
+                window.location.href = "/login";
+              }}
+              className="mt-5 inline-flex h-10 w-full cursor-pointer items-center justify-center rounded-lg bg-accent px-4 text-[13px] font-bold text-white transition-colors hover:bg-accent-dark"
+            >
+              خروج از حساب
+            </button>
+          </div>
+        </div>
+      );
+    }
+    // سرپرست پروژه فقط به انبار و PM دسترسی دارد
+    if (!location.pathname.startsWith("/inventory") && location.pathname !== "/panel/pm") {
+      return <Navigate to="/panel/pm" replace />;
+    }
+  }
+  }
   return <>{children}</>;
 }
 
-// صفحه‌ی اصلی بر اساس نقش: مدیر پروژه → پنل انبار؛ مدیر تدارکات/ادمین → دفتر
+// صفحه‌ی اصلی بر اساس نقش: سرپرست پروژه → پنل مدیریت پروژه (PM)؛ مدیران و ادمین → دفتر تدارکات
 function HomeRoute() {
   const user = useAuthStore((s) => s.user);
-  if (user?.role === "pm") return <Navigate to="/inventory" replace />;
+  if (user?.role === "supervisor") return <Navigate to="/panel/pm" replace />;
   return <DashboardPage />;
 }
 
+// دسترسی ایجاد استعلام/پیشنهاد (ویزارد): مدیر تدارکات، مدیر پروژه و ادمین
+function RequireProcurementWrite({ children }: { children: React.ReactNode }) {
+  const user = useAuthStore((s) => s.user);
+  if (user?.role !== "admin" && user?.role !== "procurement_manager" && user?.role !== "pm") {
+    return <Navigate to={user?.role === "supervisor" ? "/inventory" : "/"} replace />;
+  }
+  return <>{children}</>;
+}
+
+// پنل «مدیریت پروژه (PM)» — اپ PM روی همان دامنه زیر مسیر /pm سرو می‌شود
+function PmPanelPage() {
+  return (
+    <iframe
+      src="/pm/"
+      title="مدیریت پروژه (PM)"
+      className="h-dvh w-full border-0"
+    />
+  );
+}
+
+// دسترسی پنل PM: همه نقش‌ها دسترسی دارند
+function RequirePmPanel({ children }: { children: React.ReactNode }) {
+  const user = useAuthStore((s) => s.user);
+  const allowed = user?.role === "admin" || user?.role === "procurement_manager" || user?.role === "pm" || user?.role === "supervisor";
+  if (!allowed) return <Navigate to="/" replace />;
+  return <>{children}</>;
+}
+
+// دسترسی پنل سازمان‌دهی: فقط ادمین، مدیر تدارکات و مدیر پروژه
+function RequireOrganization({ children }: { children: React.ReactNode }) {
+  const user = useAuthStore((s) => s.user);
+  const allowed = user?.role === "admin" || user?.role === "procurement_manager" || user?.role === "pm";
+  if (!allowed) return <Navigate to={user?.role === "supervisor" ? "/inventory" : "/"} replace />;
+  return <>{children}</>;
+}
+
+// دسترسی تغییر موجودی انبار: فقط سرپرست پروژه و ادمین (مدیر تدارکات و مدیر پروژه نمی‌توانند موجودی تغییر دهند)
+function RequireInventoryChange({ children }: { children: React.ReactNode }) {
+  const user = useAuthStore((s) => s.user);
+  if (user?.role !== "admin" && user?.role !== "supervisor") {
+    return <Navigate to="/inventory" replace />;
+  }
+  return <>{children}</>;
+}
+
+// دسترسی مدیریت انبارها: فقط مدیران و ادمین (سرپرست پروژه فقط می‌تواند موجودی تغییر دهد)
+function RequireWarehouseManage({ children }: { children: React.ReactNode }) {
+  const user = useAuthStore((s) => s.user);
+  if (user?.role === "supervisor") {
+    return <Navigate to="/inventory" replace />;
+  }
+  return <>{children}</>;
+}
+
 export default function App() {
   return (
     <ErrorBoundary>
@@ -97,7 +182,9 @@ export default function App() {
           path="/wizard"
           element={
             <RequireAuth>
-              <WizardPage />
+              <RequireProcurementWrite>
+                <WizardPage />
+              </RequireProcurementWrite>
             </RequireAuth>
           }
         />
@@ -177,7 +264,9 @@ export default function App() {
           element={
             <RequireAuth>
               <RequirePmProjects>
-                <ChangeInventoryPage />
+                <RequireInventoryChange>
+                  <ChangeInventoryPage />
+                </RequireInventoryChange>
               </RequirePmProjects>
             </RequireAuth>
           }
@@ -197,18 +286,24 @@ export default function App() {
           element={
             <RequireAuth>
               <RequirePmProjects>
-                <WarehousesPage />
+                <RequireWarehouseManage>
+                  <WarehousesPage />
+                </RequireWarehouseManage>
               </RequirePmProjects>
             </RequireAuth>
           }
         />
         <Route
           path="/inventory/org"
+          element={<Navigate to="/organization" replace />}
+        />
+        <Route
+          path="/organization"
           element={
             <RequireAuth>
-              <RequirePmProjects>
+              <RequireOrganization>
                 <OrganizationPage />
-              </RequirePmProjects>
+              </RequireOrganization>
             </RequireAuth>
           }
         />
@@ -220,6 +315,17 @@ export default function App() {
             </RequireAuth>
           }
         />
+        {/* پنل مدیریت پروژه — فقط ادمین و مدیر پروژه */}
+        <Route
+          path="/panel/pm"
+          element={
+            <RequireAuth>
+              <RequirePmPanel>
+                <PmPanelPage />
+              </RequirePmPanel>
+            </RequireAuth>
+          }
+        />
         <Route path="*" element={<Navigate to="/" replace />} />
         </Routes>
       </Suspense>

frontend/src/components/AppSwitcherMenu.tsx

@@ -1,48 +1,72 @@
-import { useLocation } from "react-router-dom";
+
 import { PanelMenu, type MenuItem } from "./PanelMenu";
 import { useLogout } from "../pages/Inventory/panelMenu";
 import { useAuthStore } from "../store/auth";
 
-// منوی همبرگری مشترک بین دو ماژول (پنل انبار / دفتر تدارکات) —
-// دقیقاً مثل منوی دفتر: عنوان «پنل‌ها»، ماژول فعلی با استایل فعال (پر)
-// + «✓ فعلی»، ماژول دیگر به‌عنوان سوییچر، و در پایان جداکننده + خروج.
-// مدیر پروژه (1:N): زیر «مدیریت انبار» یک آکاردئون باز می‌شود که همه‌ی
-// پروژه‌های تخصیص‌یافته را نشان می‌دهد؛ پروژه‌ی فعال با «✓ فعلی» مشخص است و
-// انتخاب هر پروژه فقط «پروژه‌ی فعال» را عوض می‌کند (نشست/توکن دست‌نخورده).
+// منوی همبرگری مشترک بین ۴ پنل اصلی سامانه:
+// ۱. مدیریت انبار (/inventory)
+// ۲. مدیریت تدارکات (/)
+// ۳. مدیریت پروژه (/panel/pm)
+// ۴. سازمان‌دهی (/organization)
 export function AppSwitcherMenu({
   activeModule,
   canSwitchToProcurement = true,
 }: {
-  activeModule: "warehouse" | "procurement";
-  canSwitchToProcurement?: boolean; // مدیر پروژه به دفتر تدارکات دسترسی ندارد
+  activeModule: "warehouse" | "procurement" | "organization";
+  canSwitchToProcurement?: boolean;
 }) {
   const logout = useLogout();
-  const { pathname } = useLocation();
   const user = useAuthStore((s) => s.user);
-  const setActiveProject = useAuthStore((s) => s.setActiveProject);
-  const items: MenuItem[] = [];
+  const isSupervisor = user?.role === "supervisor";
 
-  const isPm = user?.role === "pm";
-  const pmProjects = isPm ? user?.projects ?? [] : [];
-  const projectChildren: MenuItem[] | undefined =
-    activeModule === "warehouse" && isPm
-      ? pmProjects.map((p) => ({
-          label: p.name,
-          to: pathname, // همان بخش فعلی؛ فقط پروژه عوض می‌شود
-          active: p.id === user?.project_id,
-          onClick: () => setActiveProject(p.id),
-        }))
-      : undefined;
-
-  if (activeModule === "procurement") {
-    items.push({ label: "مدیریت انبار", to: "/inventory" });
-    items.push({ label: "مدیریت تدارکات", to: "/", active: true });
-  } else {
-    items.push({ label: "مدیریت انبار", to: "/inventory", active: true, children: projectChildren });
-    if (canSwitchToProcurement) {
-      items.push({ label: "مدیریت تدارکات", to: "/" });
-    }
+  // سرپرست پروژه: منحصراً دو پنل «انبار» و «مدیریت پروژه» نمایش داده می‌شود
+  if (isSupervisor) {
+    const supervisorItems: MenuItem[] = [
+      {
+        label: "انبار",
+        to: "/inventory",
+        active: activeModule === "warehouse",
+      },
+      {
+        label: "مدیریت پروژه",
+        to: "/panel/pm",
+      },
+      { divider: true },
+      { label: "خروج از حساب", onClick: logout },
+    ];
+    return <PanelMenu title="پنل‌ها" items={supervisorItems} />;
   }
+
+  const canManage = user?.role === "admin" || user?.role === "procurement_manager" || user?.role === "pm";
+  const items: MenuItem[] = [
+    {
+      label: "انبار",
+      to: "/inventory",
+      active: activeModule === "warehouse",
+    },
+  ];
+
+  if (canSwitchToProcurement) {
+    items.push({
+      label: "تدارکات",
+      to: "/",
+      active: activeModule === "procurement",
+    });
+  }
+
+  items.push({
+    label: "مدیریت پروژه",
+    to: "/panel/pm",
+  });
+
+  if (canManage) {
+    items.push({
+      label: "سازمان‌دهی",
+      to: "/organization",
+      active: activeModule === "organization",
+    });
+  }
+
   items.push({ divider: true });
   items.push({ label: "خروج از حساب", onClick: logout });
   return <PanelMenu title="پنل‌ها" items={items} />;

frontend/src/components/PanelMenu.tsx

@@ -6,6 +6,8 @@ import { cn } from "../lib/utils";
 export interface MenuItem {
   label?: string;
   to?: string;
+  // لینک خارجی (اپ جداگانه، مثل سامانه PM) — در تب جدید باز می‌شود
+  href?: string;
   active?: boolean;
   divider?: boolean;
   onClick?: () => void;
@@ -112,6 +114,21 @@ export function PanelMenu({ items, title }: { items: MenuItem[]; title?: string
                   </div>
                 )}
               </div>
+            ) : it.href ? (
+              <a
+                key={i}
+                href={it.href}
+                target="_blank"
+                rel="noopener noreferrer"
+                onClick={() => setOpen(false)}
+                className={cn(
+                  "flex items-center justify-between gap-3 rounded-lg px-3 py-2 text-[13px] no-underline",
+                  it.active ? "bg-accent font-bold text-white" : "text-ink hover:bg-slate-bg",
+                )}
+              >
+                {it.label}
+                <span aria-hidden className="text-[10px] opacity-60">↗</span>
+              </a>
             ) : it.to ? (
               <Link
                 key={i}

frontend/src/components/RequirePmProjects.tsx

@@ -16,11 +16,11 @@ export function RequirePmProjects({ children }: { children: ReactNode }) {
   const setProjects = useAuthStore((s) => s.setProjects);
   const logout = useLogout();
 
-  const isPm = user?.role === "pm";
-  const [state, setState] = useState<"loading" | "ok" | "empty">(isPm ? "loading" : "ok");
+  const isSupervisor = user?.role === "supervisor";
+  const [state, setState] = useState<"loading" | "ok" | "empty">(isSupervisor ? "loading" : "ok");
 
   useEffect(() => {
-    if (!user || user.role !== "pm") {
+    if (!user || user.role !== "supervisor") {
       setState("ok");
       return;
     }

frontend/src/components/layout/Header.tsx

@@ -2,6 +2,23 @@ import type { ReactNode } from "react";
 import { useLocation, useNavigate } from "react-router-dom";
 import { ChevronRight, ClipboardList } from "lucide-react";
 import { cn } from "../../lib/utils";
+import { useAuthStore, type AuthUser } from "../../store/auth";
+
+const ROLE_LABELS: Record<string, string> = {
+  admin: "ادمین",
+  procurement_manager: "مدیر تدارکات",
+  pm: "مدیر پروژه",
+  supervisor: "سرپرست پروژه",
+};
+
+export function userSubtitle(user: AuthUser | null | undefined): string {
+  if (!user) return "";
+  const fullName = `${user.first_name || ""} ${user.last_name || ""}`.trim() || user.display_name || "کاربر";
+  const username = user.username || user.casdoor_id || "-";
+  const role = user.role_label || (user.role ? ROLE_LABELS[user.role] : "بدون نقش");
+  const proj = user.role === "supervisor" && user.project_name ? ` – پروژه: ${user.project_name}` : "";
+  return `${fullName} | نام کاربری: ${username} | نقش: ${role}${proj}`;
+}
 
 interface HeaderProps {
   title: string;
@@ -18,6 +35,10 @@ interface HeaderProps {
 export function Header({ title, sub, backTo, backLabel = "بازگشت", actions, brand, icon, menu }: HeaderProps) {
   const navigate = useNavigate();
   const location = useLocation();
+  const user = useAuthStore((s) => s.user);
+
+  const userSub = userSubtitle(user);
+  const displaySub = sub !== undefined ? sub : userSub;
 
   // اگر کاربر از داخل برنامه به این صفحه آمده، یک قدم برمی‌گردیم؛
   // اگر مستقیم باز شده (بدون سابقه‌ی داخلی)، به backTo می‌رویم.
@@ -47,7 +68,7 @@ export function Header({ title, sub, backTo, backLabel = "بازگشت", actions
       <div className="flex min-w-0 items-center gap-2.5">
         <div className="min-w-0">
           <h1 className="text-[17px] font-extrabold leading-6">{title}</h1>
-          {sub && <div className="text-[11px] text-muted">{sub}</div>}
+          {displaySub && <div className="text-[11.5px] text-muted font-normal mt-0.5">{displaySub}</div>}
         </div>
       </div>
       <div className="ms-auto flex flex-wrap items-center gap-2">{actions}</div>

frontend/src/components/layout/MobileTabBar.tsx

@@ -8,7 +8,6 @@ import {
   PackageSearch,
   Scale,
   Truck,
-  UsersRound,
   type LucideIcon,
 } from "lucide-react";
 import { cn } from "../../lib/utils";
@@ -37,12 +36,12 @@ const PM_INV_TABS: TabDef[] = [
   { to: "/inventory/arrivals", label: "کالاهای در راه", icon: PackageSearch },
 ];
 
-// تب‌های پنل انبار برای ادمین / مدیر تدارکات (آینه‌ی ناوبری بالای دسکتاپ)
+// تب‌های پنل انبار برای ادمین / مدیر تدارکات / مدیر پروژه (آینه‌ی ناوبری بالای دسکتاپ)
 const ADMIN_INV_TABS: TabDef[] = [
   { to: "/inventory", label: "انبار", icon: Boxes, end: true },
   { to: "/inventory/daily", label: "کنترل روزانه", icon: CalendarDays },
+  { to: "/inventory/warehouses", label: "انبارها", icon: Building2 },
   { to: "/inventory/arrivals", label: "کالاهای در راه", icon: PackageSearch },
-  { to: "/inventory/org", label: "سازمان‌دهی", icon: UsersRound },
 ];
 
 function TabBar({ tabs }: { tabs: TabDef[] }) {
@@ -81,6 +80,10 @@ export function MobileTabBar() {
   const { pathname } = useLocation();
 
   if (pathname === "/login" || pathname === "/admin") return null;
+  // پنل مدیریت پروژه: iframe تمام‌صفحه‌ی PM است و خودش تب‌بار داخلی دارد
+  if (pathname === "/panel/pm") return null;
+  // سرپرست پروژه فقطِ پنل PM است و هیچ تب ERP ندارد
+  if (role === "supervisor") return null;
   const isPM = role === "pm";
   const isOffice = role === "admin" || role === "procurement_manager";
 

frontend/src/hooks/index.ts

@@ -2,5 +2,5 @@ export { useStoreData, useInvalidateStore, refreshProcurementStore } from "./use
 export { useQuotes, useCreateQuote, useUpdateQuote, useDeleteQuote } from "./useQuotes";
 export { useSuppliers, useAddSupplier, useUpdateSupplier, useRemoveSupplier } from "./useSuppliers";
 export { useMaterials, useAddMaterial } from "./useMaterials";
-export { useProjects, useAddProject } from "./useProjects";
+export { useProjects, useAddProject, useDeleteProject } from "./useProjects";
 export { useUnits, useSaveStandardConversion, useDeleteStandardConversion } from "./useUnits";

frontend/src/hooks/useProjects.ts

@@ -21,3 +21,15 @@ export function useAddProject() {
     onSettled: () => invalidate(),
   });
 }
+
+export function useDeleteProject() {
+  const deleteProject = useAppStore((s) => s.deleteProject);
+  const invalidate = useInvalidateStore();
+  return useMutation({
+    mutationFn: (id: string) => api.projects.delete(id),
+    onMutate: (id) => deleteProject(id),
+    onSettled: () => invalidate(),
+  });
+}
+
+

frontend/src/lib/api.ts

@@ -91,7 +91,7 @@ function handle401(path: string, res: Response): void {
 // ادمین/مدیر تدارکات بدون پارامتر (همه‌ی پروژه‌ها) باقی می‌ماند.
 function activeProjectId(): string | null {
   const { user } = useAuthStore.getState();
-  return user?.role === "pm" ? user.project_id : null;
+  return user?.role === "supervisor" || user?.role === "pm" ? user.project_id : null;
 }
 
 function projectQuery(projectId?: string | null): string {
@@ -339,6 +339,12 @@ interface RawSupplier {
 interface RawProject {
   id: string;
   name: string;
+  location?: string | null;
+  project_manager?: string | null;
+  description?: string | null;
+  start_date?: string | null;
+  status?: string | null;
+  progress?: number | null;
 }
 interface RawSpec {
   attribute_key: string;
@@ -1231,11 +1237,36 @@ export const api = {
   projects: {
     list: async (): Promise<Project[]> => {
       const raw = await getData<RawProject[]>(`/projects?page_size=${PAGE_SIZE}`);
-      return raw.map((p) => ({ id: p.id, name: p.name }));
+      return raw.map((p) => ({
+        id: p.id,
+        name: p.name,
+        location: p.location || "",
+        project_manager: p.project_manager || "",
+        description: p.description || "",
+        start_date: p.start_date,
+        status: p.status || "ACTIVE",
+        progress: p.progress != null ? Number(p.progress) : 0,
+      }));
     },
     create: async (p: Project): Promise<Project> => {
-      const raw = await postData<RawProject>("/projects", { name: p.name });
-      return { id: raw.id, name: raw.name };
+      const raw = await postData<RawProject>("/projects", {
+        name: p.name,
+        location: p.location || "",
+        project_manager: p.project_manager || "",
+        description: p.description || "",
+      });
+      return {
+        id: raw.id,
+        name: raw.name,
+        location: raw.location || "",
+        project_manager: raw.project_manager || "",
+        description: raw.description || "",
+        status: raw.status || "ACTIVE",
+        progress: raw.progress != null ? Number(raw.progress) : 0,
+      };
+    },
+    delete: async (id: string): Promise<void> => {
+      await deleteData(`/projects/${id}`);
     },
   },
 
@@ -1625,10 +1656,11 @@ interface RawUnitL { id: number; code: string; name_fa: string | null; }
 export interface UserRow {
   id: string;
   casdoor_id: string;
+  username?: string | null;
   first_name: string;
   last_name: string;
   phone: string | null;
-  role: "pm" | "procurement_manager" | "admin" | null;
+  role: "pm" | "procurement_manager" | "admin" | "supervisor" | null;
   role_label: string | null;
   project_id: string | null;
   project_name: string | null;
@@ -1653,10 +1685,11 @@ export const apiV26 = {
           user: {
             id: string;
             casdoor_id: string;
+            username?: string;
             first_name: string;
             last_name: string;
             phone: string | null;
-            role: "pm" | "procurement_manager" | "admin" | null;
+            role: "pm" | "procurement_manager" | "admin" | "supervisor" | null;
             role_label: string | null;
             project_id: string | null;
             project_name: string | null;
@@ -1670,6 +1703,7 @@ export const apiV26 = {
         expires_in: res.data.expires_in,
         user: {
           ...u,
+          username: u.username || u.casdoor_id,
           display_name: `${u.first_name} ${u.last_name}`.trim() || u.casdoor_id,
         },
       };
@@ -1689,14 +1723,15 @@ export const apiV26 = {
   users: {
     me: async (): Promise<import("../store/auth").AuthUser> => {
       const data = await getData<{
-        id: string; casdoor_id: string; first_name: string; last_name: string; phone: string | null;
-        role: "pm" | "procurement_manager" | "admin" | null; role_label: string | null;
+        id: string; casdoor_id: string; username?: string; first_name: string; last_name: string; phone: string | null;
+        role: "pm" | "procurement_manager" | "admin" | "supervisor" | null; role_label: string | null;
         project_id: string | null; project_name: string | null;
         projects?: { id: string; name: string }[];
       }>("/users/me");
       return {
         id: data.id,
         casdoor_id: data.casdoor_id,
+        username: data.username || data.casdoor_id,
         first_name: data.first_name,
         last_name: data.last_name,
         phone: data.phone,
@@ -1720,7 +1755,7 @@ export const apiV26 = {
       first_name: string; last_name?: string; phone?: string | null;
       casdoor_id?: string | null; role?: "pm" | "procurement_manager" | "admin" | null;
     }): Promise<UserRow> => postData<UserRow>("/users", body),
-    updateRole: async (id: string, role: "pm" | "procurement_manager" | "admin" | null): Promise<UserRow> =>
+    updateRole: async (id: string, role: "pm" | "procurement_manager" | "admin" | "supervisor" | null): Promise<UserRow> =>
       patchData<UserRow>(`/users/${id}`, { role }),
     assignProject: async (id: string, projectId: string | null): Promise<UserRow> =>
       postData<UserRow>(`/users/${id}/project`, { project_id: projectId }),

frontend/src/lib/types.ts

@@ -31,6 +31,12 @@ export interface Material {
 export interface Project {
   id: string;
   name: string;
+  location?: string;
+  project_manager?: string;
+  description?: string;
+  start_date?: string | null;
+  status?: string;
+  progress?: number;
 }
 
 // مرحله‌ی پرداخت

frontend/src/pages/Admin/AdminPanel.tsx

@@ -15,6 +15,7 @@ const ROLE_LABELS: Record<string, string> = {
   pm: "مدیر پروژه",
   procurement_manager: "مدیر تدارکات",
   admin: "ادمین",
+  supervisor: "سرپرست پروژه",
 };
 
 // پنل مدیریت ادمین (فقط ادمین) — همگام‌سازی کاربران از Casdoor و
@@ -80,6 +81,26 @@ export function AdminPanel() {
     }
   };
 
+  // اعطا/لغو نقش «سرپرست پروژه» — کاربر فقطِ پنل مدیریت پروژه (PM)
+  const toggleSupervisor = async (u: UserRow) => {
+    setBusyId(u.id);
+    const target = u.role === "supervisor" ? null : "supervisor";
+    try {
+      await apiV26.users.updateRole(u.id, target as "supervisor" | null);
+      toast.success(
+        target === "supervisor"
+          ? `«${u.first_name} ${u.last_name}» سرپرست پروژه شد ✓`
+          : `نقش سرپرست پروژه از «${u.first_name} ${u.last_name}» گرفته شد`,
+      );
+      await load();
+      refreshProcurementStore();
+    } catch (err) {
+      toast.error(err instanceof Error ? err.message : "خطا در تغییر نقش");
+    } finally {
+      setBusyId(null);
+    }
+  };
+
   if (!isAdmin) {
     return (
       <div className="min-h-screen">
@@ -129,12 +150,13 @@ export function AdminPanel() {
                   <th className="py-2 pe-3">نام کامل</th>
                   <th className="py-2 pe-3">شناسه Casdoor</th>
                   <th className="py-2 pe-3">نقش فعلی</th>
-                  <th className="py-2">مدیریت مدیر تدارکات</th>
+                  <th className="py-2">مدیریت نقش‌ها</th>
                 </tr>
               </thead>
               <tbody>
                 {users.map((u) => {
                   const isPMgr = u.role === "procurement_manager";
+                  const isSup = u.role === "supervisor";
                   return (
                     <tr key={u.id} className="border-b border-line/50">
                       <td className="py-2 pe-3 font-semibold">
@@ -147,17 +169,30 @@ export function AdminPanel() {
                         </span>
                       </td>
                       <td className="py-2">
-                        <button
-                          disabled={busyId === u.id}
-                          onClick={() => void toggleProcurementManager(u)}
-                          className={`rounded-lg border px-3 py-1 text-[11.5px] font-bold ${
-                            isPMgr
-                              ? "border-red/30 bg-red/5 text-red hover:bg-red/10"
-                              : "border-green/30 bg-green/5 text-green hover:bg-green/10"
-                          } disabled:opacity-50`}
-                        >
-                          {busyId === u.id ? "…" : isPMgr ? "لغو نقش مدیر تدارکات" : "اعطای نقش مدیر تدارکات"}
-                        </button>
+                        <div className="flex flex-wrap items-center gap-1.5">
+                          <button
+                            disabled={busyId === u.id}
+                            onClick={() => void toggleProcurementManager(u)}
+                            className={`rounded-lg border px-3 py-1 text-[11.5px] font-bold ${
+                              isPMgr
+                                ? "border-red/30 bg-red/5 text-red hover:bg-red/10"
+                                : "border-green/30 bg-green/5 text-green hover:bg-green/10"
+                            } disabled:opacity-50`}
+                          >
+                            {busyId === u.id ? "…" : isPMgr ? "لغو نقش مدیر تدارکات" : "اعطای نقش مدیر تدارکات"}
+                          </button>
+                          <button
+                            disabled={busyId === u.id}
+                            onClick={() => void toggleSupervisor(u)}
+                            className={`rounded-lg border px-3 py-1 text-[11.5px] font-bold ${
+                              isSup
+                                ? "border-red/30 bg-red/5 text-red hover:bg-red/10"
+                                : "border-green/30 bg-green/5 text-green hover:bg-green/10"
+                            } disabled:opacity-50`}
+                          >
+                            {busyId === u.id ? "…" : isSup ? "لغو نقش سرپرست پروژه" : "اعطای نقش سرپرست پروژه"}
+                          </button>
+                        </div>
                       </td>
                     </tr>
                   );

frontend/src/pages/Auth/LoginPage.tsx

@@ -79,6 +79,10 @@ export function LoginPage() {
         toast.error("نقش شما هنوز در سیستم تعیین نشده است — با مدیر سیستم تماس بگیرید");
         return;
       }
+      if (user.role === "supervisor" && (!user.projects || user.projects.length === 0)) {
+        toast.error("پروژه تخصیص داده نشده است — تا زمان تخصیص پروژه اجازه ورود ندارید");
+        return;
+      }
       setToken(access_token);
       setUser(user);
       // تحلیل رفتار (no-op بدون تنظیمات VITE_OPENPANEL_*)
@@ -88,9 +92,10 @@ export function LoginPage() {
       if (returnUrl) {
         navigate(decodeURIComponent(returnUrl));
       } else {
-        // مدیر پروژه → پنل انبار؛ مدیر تدارکات/ادمین → دفتر پیشنهادهای خرید
-        navigate(user.role === "pm" ? "/inventory" : "/");
-      }
+        // سرپرست پروژه → پنل مدیریت پروژه (PM)؛ مدیر پروژه → پنل انبار؛ بقیه → دفتر
+        if (user.role === "supervisor") navigate("/panel/pm");
+        else navigate(user.role === "pm" ? "/inventory" : "/");
+      } (revert: restore production to the state before 730d0bd (PM/RBAC work moved to 'pm'))
     } catch (err) {
       toast.error(err instanceof Error ? err.message : "خطا در ورود");
     } finally {

frontend/src/pages/Dashboard/DashboardPage.tsx

@@ -18,12 +18,16 @@ import { LedgerTable } from "./LedgerTable";
 import { AppSwitcherMenu } from "../../components/AppSwitcherMenu";
 import { AcceptModal } from "./AcceptModal";
 import { EditModal } from "./EditModal";
+import { useAuthStore } from "../../store/auth";
 
 const EMPTY_FILTERS: Filters = { supplier: "", status: "", search: "" };
 
 export function DashboardPage() {
   useStoreData();
 
+  const user = useAuthStore((s) => s.user);
+  const canWrite = user?.role === "admin" || user?.role === "procurement_manager";
+
   const quotes = useQuotes();
   const suppliers = useSuppliers();
   const materials = useMaterials();
@@ -85,7 +89,7 @@ export function DashboardPage() {
   return (
     <div className="min-h-screen pb-20 md:pb-6">
       <Header
-        title="دفتر پیشنهادهای خرید"
+        title="مدیریت تدارکات"
         brand
         menu={<AppSwitcherMenu activeModule="procurement" />}
         actions={
@@ -114,13 +118,15 @@ export function DashboardPage() {
             </Link>
 
             {/* دکمه اصلی: افزودن پیشنهاد جدید */}
-            <Link
-              to="/wizard"
-              className="inline-flex items-center gap-1.5 px-4 py-2 rounded-xl bg-blue-600 hover:bg-blue-700 active:bg-blue-800 text-white text-xs font-semibold shadow-sm hover:shadow transition-all no-underline"
-            >
-              <Plus className="h-4 w-4" />
-              <span>افزودن پیشنهاد جدید</span>
-            </Link>
+            {canWrite && (
+              <Link
+                to="/wizard"
+                className="inline-flex items-center gap-1.5 px-4 py-2 rounded-xl bg-blue-600 hover:bg-blue-700 active:bg-blue-800 text-white text-xs font-semibold shadow-sm hover:shadow transition-all no-underline"
+              >
+                <Plus className="h-4 w-4" />
+                <span>افزودن پیشنهاد جدید</span>
+              </Link>
+            )}
           </div>
         }
       />
@@ -148,17 +154,20 @@ export function DashboardPage() {
           onToggleExpand={toggleExpand}
           onAccept={setAcceptId}
           onEdit={setEditId}
+          canWrite={canWrite}
         />
       </PageLayout>
 
       {/* دکمه شناور اکشن (FAB) مخصوص نسخه موبایل */}
-      <Link
-        to="/wizard"
-        aria-label="افزودن پیشنهاد جدید"
-        className="md:hidden fixed bottom-20 left-4 z-40 flex h-14 w-14 items-center justify-center rounded-full bg-accent text-white shadow-xl shadow-accent/30 active:scale-95 transition-transform"
-      >
-        <Plus className="h-7 w-7" />
-      </Link>
+      {canWrite && (
+        <Link
+          to="/wizard"
+          aria-label="افزودن پیشنهاد جدید"
+          className="md:hidden fixed bottom-20 left-4 z-40 flex h-14 w-14 items-center justify-center rounded-full bg-accent text-white shadow-xl shadow-accent/30 active:scale-95 transition-transform"
+        >
+          <Plus className="h-7 w-7" />
+        </Link>
+      )}
 
       <AcceptModal quoteId={acceptId} onClose={() => setAcceptId(null)} />
       <EditModal quoteId={editId} onClose={() => setEditId(null)} />

frontend/src/pages/Dashboard/LedgerTable.tsx

@@ -10,6 +10,7 @@ export interface LedgerTableProps {
   onToggleExpand: (id: string) => void;
   onAccept: (id: string) => void;
   onEdit: (id: string) => void;
+  canWrite?: boolean;
 }
 
 // دفتر پیشنهادها — فهرست کارت‌ها (واکنش‌گرا و بهینه برای موبایل)
@@ -20,6 +21,7 @@ export function LedgerTable({
   onToggleExpand,
   onAccept,
   onEdit,
+  canWrite = true,
 }: LedgerTableProps) {
   if (!quotes.length) {
     return (
@@ -40,6 +42,7 @@ export function LedgerTable({
           onToggleExpand={() => onToggleExpand(q.id)}
           onAccept={() => onAccept(q.id)}
           onEdit={() => onEdit(q.id)}
+          canWrite={canWrite}
         />
       ))}
       <div className="px-2 py-3 text-center text-[10.5px] leading-5 text-muted sm:py-1 sm:text-[11px]">

frontend/src/pages/Dashboard/QuoteCard.tsx

@@ -24,6 +24,7 @@ export interface QuoteCardProps {
   onToggleExpand: () => void;
   onAccept: () => void;
   onEdit: () => void;
+  canWrite?: boolean;
 }
 
 function InfoCell({ label, children, className }: { label: string; children: React.ReactNode; className?: string }) {
@@ -35,7 +36,7 @@ function InfoCell({ label, children, className }: { label: string; children: Rea
   );
 }
 
-export function QuoteCard({ store, q, expanded, onToggleExpand, onAccept, onEdit }: QuoteCardProps) {
+export function QuoteCard({ store, q, expanded, onToggleExpand, onAccept, onEdit, canWrite = true }: QuoteCardProps) {
   const sup = supplierById(store.suppliers, q.supplier_id);
   const expired = isExpired(q);
   const total = quoteTotal(q);
@@ -46,7 +47,7 @@ export function QuoteCard({ store, q, expanded, onToggleExpand, onAccept, onEdit
   // ستون / دکمه پذیرش
   let acceptedCell: React.ReactNode;
   if (q.status === "offered") {
-    acceptedCell = (
+    acceptedCell = canWrite ? (
       <button
         onClick={(e) => {
           e.stopPropagation();
@@ -57,6 +58,8 @@ export function QuoteCard({ store, q, expanded, onToggleExpand, onAccept, onEdit
         <Check className="h-3.5 w-3.5" />
         <span>پذیرش</span>
       </button>
+    ) : (
+      <span className="text-muted text-xs font-medium">در انتظار پذیرش</span>
     );
   } else if (q.accepted_date) {
     acceptedCell = <span className="tabular-nums font-medium">{fmtDateTime(q.accepted_date)}</span>;
@@ -185,19 +188,21 @@ export function QuoteCard({ store, q, expanded, onToggleExpand, onAccept, onEdit
           )}
 
           {/* دکمه ویرایش */}
-          <button
-            type="button"
-            className="inline-flex h-7 items-center justify-center gap-1 rounded-md border border-line bg-panel px-2 text-xs font-medium text-ink hover:bg-slate-50 dark:hover:bg-zinc-800 transition-colors sm:h-8 sm:px-2.5"
-            onClick={(e) => {
-              e.stopPropagation();
-              onEdit();
-            }}
-            title="ویرایش پیشنهاد"
-            aria-label="ویرایش"
-          >
-            <Pencil className="h-3 w-3 text-muted" />
-            <span className="hidden sm:inline">ویرایش</span>
-          </button>
+          {canWrite && (
+            <button
+              type="button"
+              className="inline-flex h-7 items-center justify-center gap-1 rounded-md border border-line bg-panel px-2 text-xs font-medium text-ink hover:bg-slate-50 dark:hover:bg-zinc-800 transition-colors sm:h-8 sm:px-2.5"
+              onClick={(e) => {
+                e.stopPropagation();
+                onEdit();
+              }}
+              title="ویرایش پیشنهاد"
+              aria-label="ویرایش"
+            >
+              <Pencil className="h-3 w-3 text-muted" />
+              <span className="hidden sm:inline">ویرایش</span>
+            </button>
+          )}
 
           {/* دکمه فلش اکسپند در هدر */}
           <button

frontend/src/pages/Inventory/ChangeInventoryPage.tsx

@@ -94,8 +94,9 @@ export function ChangeInventoryPage() {
     }
   }, [params]);
 
-  const isAdmin = user?.role === "admin" || user?.role === "procurement_manager";
-  const isPM = user?.role === "pm";
+  const isAdmin = user?.role === "admin";
+  const isSupervisor = user?.role === "supervisor";
+  const canModify = isSupervisor || isAdmin;
 
   const warehouses = data.warehouses;
   const whOpts = useMemo(
@@ -604,7 +605,7 @@ export function ChangeInventoryPage() {
 
   const meta = FORM_TYPES.find((f) => f.t === type)!;
 
-  if (isAdmin) {
+  if (!canModify) {
     return (
       <div className="min-h-screen">
         <Header title="تغییر موجودی" backTo="/inventory" backLabel="بازگشت به داشبورد" />
@@ -612,22 +613,12 @@ export function ChangeInventoryPage() {
           <div className="rounded-xl border border-line bg-panel p-8 text-center">
             <div className="text-3xl">🔒</div>
             <h3 className="mt-2 text-[15px] font-bold">دسترسی فقط‌خواندنی</h3>
-            <p className="mt-1 text-[12.5px] text-muted">نقش ادمین اجازه ثبت تغییر موجودی ندارد. این بخش برای مدیران پروژه فعال است.</p>
+            <p className="mt-1 text-[12.5px] text-muted">امکان تغییر موجودی انبار منحصراً در اختیار سرپرست پروژه و ادمین است.</p>
           </div>
         </PageLayout>
       </div>
     );
   }
-  if (!isPM) {
-    return (
-      <div className="min-h-screen">
-        <Header title="تغییر موجودی" backTo="/inventory" backLabel="بازگشت به داشبورد" />
-        <PageLayout>
-          <div className="text-[13px] text-muted">این بخش فقط برای مدیر پروژه است.</div>
-        </PageLayout>
-      </div>
-    );
-  }
 
   const isCount = type === "STOCK_COUNT";
   const isTransfer = type === "TRANSFER";

frontend/src/pages/Inventory/InventoryPage.tsx

@@ -51,8 +51,10 @@ export function InventoryPage() {
   const location = useLocation();
   const user = useAuthStore((s) => s.user);
   const { warehouses, inventory, transactions, lookup, loading } = useInventoryData();
-  const isAdmin = user?.role === "admin" || user?.role === "procurement_manager";
-  const isPM = user?.role === "pm";
+  const isManager = user?.role === "admin" || user?.role === "procurement_manager" || user?.role === "pm";
+  const isSupervisor = user?.role === "supervisor";
+  const isAdmin = user?.role === "admin";
+  const canModify = isSupervisor || isAdmin;
   const [params] = useSearchParams();
 
   const [filters, setFilters] = useState<{ warehouse: string; material: string; project: string }>({
@@ -67,10 +69,10 @@ export function InventoryPage() {
   const [expBrand, setExpBrand] = useState<string | null>(null);
 
   const visibleWarehouses = useMemo(() => {
-    if (isAdmin && filters.project) return warehouses.filter((w) => w.project_id === filters.project);
-    if (isAdmin) return warehouses;
+    if (isManager && filters.project) return warehouses.filter((w) => w.project_id === filters.project);
+    if (isManager) return warehouses;
     return warehouses.filter((w) => String(w.project_id) === String(user?.project_id || ""));
-  }, [warehouses, isAdmin, filters.project, user?.project_id]);
+  }, [warehouses, isManager, filters.project, user?.project_id]);
 
   const visibleIds = useMemo(() => new Set(visibleWarehouses.map((w) => w.id)), [visibleWarehouses]);
 
@@ -133,12 +135,12 @@ export function InventoryPage() {
   const hasFilter = !!(filters.warehouse || (isAdmin && filters.project));
 
   if (loading) return <div className="min-h-screen" />;
-  if (!user || (!isAdmin && !isPM)) {
+  if (!user) {
     return (
       <div className="min-h-screen">
-        <Header title="داشبورد انبار" backTo="/inventory" backLabel="بازگشت به داشبورد" />
+        <Header title="داشبورد انبار" backTo="/" backLabel="بازگشت" />
         <PageLayout>
-          <EmptyState emoji="🔒" text="دسترسی به انبار فقط برای مدیر پروژه یا ادمین است." />
+          <EmptyState emoji="🔒" text="لطفاً برای دسترسی به سامانه انبار وارد شوید." />
         </PageLayout>
       </div>
     );
@@ -150,10 +152,10 @@ export function InventoryPage() {
         title="سامانه مدیریت انبار"
         sub={inventorySubheader(user)}
         icon={<WarehouseIcon className="h-4.5 w-4.5" strokeWidth={2} />}
-        menu={<AppSwitcherMenu activeModule="warehouse" canSwitchToProcurement={isAdmin} />}
+        menu={<AppSwitcherMenu activeModule="warehouse" />}
         actions={
           <div className="hidden md:flex items-center gap-2">
-            <InventoryTopNav pathname={location.pathname} variant={isAdmin ? "admin" : "pm"} />
+            <InventoryTopNav pathname={location.pathname} />
           </div>
         }
       />
@@ -246,8 +248,8 @@ export function InventoryPage() {
           {/* فیلترهای پیشرفته — برچسب‌های لمسی بدون سلکت و بدون بیرون‌زدگی */}
           {showMobileFilters && (
             <div className="mt-2.5 border-t border-line/60 pt-2.5 flex flex-col gap-2.5">
-              {/* پروژه‌ها (مخصوص ادمین) */}
-              {isAdmin && lookup.projects.length > 0 && (
+              {/* پروژه‌ها (مدیران و ادمین) */}
+              {isManager && lookup.projects.length > 0 && (
                 <div>
                   <div className="mb-1.5 text-[11px] font-bold text-muted">پروژه:</div>
                   <div className="flex flex-wrap gap-1.5">
@@ -415,7 +417,7 @@ export function InventoryPage() {
       </PageLayout>
 
       {/* دکمه شناور تغییر موجودی */}
-      {isPM && (
+      {canModify && (
         <Link
           to="/inventory/change"
           className="fixed bottom-20 left-5 z-40 flex h-14 w-14 items-center justify-center rounded-full bg-blue-600 text-white shadow-xl shadow-blue-600/40 transition-all duration-200 hover:bg-blue-700 hover:scale-105 active:scale-90 md:bottom-8 md:left-8"

frontend/src/pages/Inventory/InventoryTopNav.tsx

@@ -1,26 +1,32 @@
 import { Link } from "react-router-dom";
 import { Button } from "../../components/ui/button";
 
+import { useAuthStore } from "../../store/auth";
+
 // ناوبری بالای صفحه در پنل انبار — هماهنگ با دیزاین‌سیستم دکمه‌ها
 export function InventoryTopNav({
   pathname,
-  variant = "pm",
 }: {
   pathname: string;
-  variant?: "pm" | "admin";
 }) {
-  const items =
-    variant === "admin"
-      ? [
-          { label: "کنترل روزانه", to: "/inventory/daily", active: pathname.startsWith("/inventory/daily") },
-          { label: "کالاهای در راه", to: "/inventory/arrivals", active: pathname.startsWith("/inventory/arrivals") },
-          { label: "سازمان‌دهی", to: "/inventory/org", active: pathname.startsWith("/inventory/org") },
-        ]
-      : [
-          { label: "کنترل روزانه", to: "/inventory/daily", active: pathname.startsWith("/inventory/daily") },
-          { label: "انبارها", to: "/inventory/warehouses", active: pathname.startsWith("/inventory/warehouses") },
-          { label: "کالاهای در راه", to: "/inventory/arrivals", active: pathname.startsWith("/inventory/arrivals") },
-        ];
+  const user = useAuthStore((s) => s.user);
+  const isAdmin = user?.role === "admin";
+  const isManager = user?.role === "procurement_manager" || user?.role === "pm" || isAdmin;
+
+  const items: { label: string; to: string; active: boolean }[] = [];
+  // سرپرست پروژه از دکمه شناور گرد (+) در پایین صفحه استفاده می‌کند و دکمه مستطیلی بالای صفحه برای او نمایش داده نمی‌شود
+  if (isAdmin) {
+    items.push({
+      label: "تغییر موجودی",
+      to: "/inventory/change",
+      active: pathname.startsWith("/inventory/change"),
+    });
+  }
+  if (isManager) {
+    items.push({ label: "کنترل روزانه", to: "/inventory/daily", active: pathname.startsWith("/inventory/daily") });
+    items.push({ label: "انبارها", to: "/inventory/warehouses", active: pathname.startsWith("/inventory/warehouses") });
+    items.push({ label: "کالاهای در راه", to: "/inventory/arrivals", active: pathname.startsWith("/inventory/arrivals") });
+  }
 
   return (
     <>

frontend/src/pages/Inventory/OrganizationPage.tsx

@@ -1,354 +0,0 @@
-import { useCallback, useEffect, useState } from "react";
-import { useNavigate } from "react-router-dom";
-import { toast } from "sonner";
-import { Header, PageLayout } from "../../components/layout/Header";
-import { useAuthStore } from "../../store/auth";
-import { inventorySubheader } from "./panelMenu";
-import { apiV26, type UserRow } from "../../lib/api";
-import { refreshProcurementStore } from "../../hooks";
-import { useInventoryData } from "./useInventoryData";
-import { faNum } from "../../lib/formatters";
-import { ProjectMultiSelect } from "../../components/ProjectMultiSelect";
-
-type Role = "pm" | "procurement_manager" | "admin" | null;
-
-const ROLE_LABELS: Record<string, string> = {
-  pm: "مدیر پروژه",
-  procurement_manager: "مدیر تدارکات",
-  admin: "ادمین",
-};
-
-// سازمان‌دهی (فقط ادمین / مدیر تدارکات) — کاربران، مدیران پروژه و انبارهای هر پروژه
-export function OrganizationPage() {
-    const navigate = useNavigate();
-  const user = useAuthStore((s) => s.user);
-  const data = useInventoryData();
-
-  const [users, setUsers] = useState<UserRow[]>([]);
-  const [loadingUsers, setLoadingUsers] = useState(true);
-  const [syncing, setSyncing] = useState(false);
-  const [busyId, setBusyId] = useState<string | null>(null);
-
-  const [newWh, setNewWh] = useState<Record<string, string>>({});
-  const [newWhDesc, setNewWhDesc] = useState<Record<string, string>>({});
-
-  const canManage = user?.role === "admin" || user?.role === "procurement_manager";
-  // فقط ادمین می‌تواند نقش‌ها را تغییر دهد/ارتقا دهد (RBAC) — مدیر تدارکات فقط
-  // پروژه‌ی مدیران پروژه را تعیین/جابه‌جا می‌کند.
-  const canChangeRoles = user?.role === "admin";
-
-  const loadUsers = useCallback(async () => {
-    try {
-      const list = await apiV26.users.list();
-      setUsers(list);
-    } catch (err) {
-      toast.error(err instanceof Error ? err.message : "خطا در دریافت کاربران");
-    } finally {
-      setLoadingUsers(false);
-    }
-  }, []);
-
-  useEffect(() => {
-    if (canManage) void loadUsers();
-  }, [canManage, loadUsers]);
-
-  const syncUsers = async () => {
-    setSyncing(true);
-    try {
-      const { users: synced, created } = await apiV26.users.sync();
-      setUsers(synced);
-      toast.success(
-        created > 0
-          ? `همگام‌سازی انجام شد — ${faNum(created)} کاربر جدید از Casdoor اضافه شد ✓`
-          : "همگام‌سازی انجام شد — کاربر جدیدی یافت نشد",
-      );
-      await data.refresh();
-    } catch (err) {
-      toast.error(err instanceof Error ? err.message : "خطا در همگام‌سازی با Casdoor");
-    } finally {
-      setSyncing(false);
-    }
-  };
-
-  if (!canManage) {
-    return (
-      <div className="min-h-screen">
-        <Header title="سازمان‌دهی" backTo="/inventory" backLabel="بازگشت به داشبورد" />
-        <PageLayout>
-          <div className="text-[13px] text-muted">این بخش فقط برای ادمین / مدیر تدارکات است.</div>
-        </PageLayout>
-      </div>
-    );
-  }
-
-  // ---------- actions: users ----------
-
-  const changeRole = async (u: UserRow, role: Role) => {
-    setBusyId(u.id);
-    try {
-      await apiV26.users.updateRole(u.id, role);
-      toast.success(`نقش «${ROLE_LABELS[role ?? ""] ?? "بدون نقش"}» برای ${u.first_name} ${u.last_name} ثبت شد ✓`);
-      await loadUsers();
-      refreshProcurementStore();
-    } catch (err) {
-      toast.error(err instanceof Error ? err.message : "خطا در تغییر نقش");
-    } finally {
-      setBusyId(null);
-    }
-  };
-
-  // پروژه‌های متصل به یک کاربر (1:N) — با پشتیبانی از شکل قدیمیِ تک‌پروژه‌ای
-  const assignedProjectsOf = (u: UserRow) =>
-    u.projects ?? (u.project_id ? [{ id: u.project_id, name: u.project_name ?? "" }] : []);
-
-  // همگام‌سازی چند-انتخابیِ پروژه‌ها: افزودن/حذف هر اختلاف با یک PATCH
-  // (pm_user_id = کاربر برای اتصال، null برای جداسازی؛ مدیر قبلی جایگزین می‌شود)
-  const syncUserProjects = async (u: UserRow, nextIds: string[]) => {
-    const current = assignedProjectsOf(u).map((p) => p.id);
-    const added = nextIds.filter((id) => !current.includes(id));
-    const removed = current.filter((id) => !nextIds.includes(id));
-    if (!added.length && !removed.length) return;
-    setBusyId(u.id);
-    try {
-      for (const pid of added) await apiV26.projects.setPm(pid, u.id);
-      for (const pid of removed) await apiV26.projects.setPm(pid, null);
-      const names = nextIds
-        .map((id) => data.lookup.projects.find((p) => p.id === id)?.name)
-        .filter(Boolean)
-        .join("، ");
-      toast.success(
-        nextIds.length
-          ? `پروژه‌های «${u.first_name} ${u.last_name}» به‌روزرسانی شد: ${names} ✓`
-          : `«${u.first_name} ${u.last_name}» از همه‌ی پروژه‌ها جدا شد`,
-      );
-      await loadUsers();
-      await data.refresh();
-      refreshProcurementStore();
-    } catch (err) {
-      toast.error(err instanceof Error ? err.message : "خطا در به‌روزرسانی پروژه‌ها");
-      await loadUsers(); // وضعیت واقعی سرور را برگردان
-    } finally {
-      setBusyId(null);
-    }
-  };
-
-  // ---------- actions: warehouses ----------
-
-  const addWarehouse = async (projectId: string) => {
-    const name = (newWh[projectId] || "").trim();
-    if (!name) return toast.error("نام انبار الزامی است");
-    try {
-      await apiV26.warehouses.create({ project_id: projectId, name, description: (newWhDesc[projectId] || "").trim() || null });
-      setNewWh((s) => ({ ...s, [projectId]: "" }));
-      setNewWhDesc((s) => ({ ...s, [projectId]: "" }));
-      toast.success(`انبار «${name}» اضافه شد ✓`);
-      await data.refresh();
-    } catch (err) {
-      toast.error(err instanceof Error ? err.message : "خطا در افزودن انبار");
-    }
-  };
-
-  // انبار برای همیشه به پروژه‌ی والدش تعلق دارد — انتقال به پروژه‌ی دیگر وجود ندارد؛
-  // انبار فقط با حذف و ساخت دوباره زیر پروژه‌ی موردنظر جابه‌جا می‌شود.
-  const removeWarehouse = async (id: string) => {
-    if (!confirm("انبار حذف شود؟ (انبارهای دارای سابقه تراکنش قابل حذف نیستند)")) return;
-    try {
-      await apiV26.warehouses.delete(id);
-      toast.success("انبار حذف شد");
-      await data.refresh();
-    } catch (err) {
-      toast.error(err instanceof Error ? err.message : "خطا در حذف انبار");
-    }
-  };
-
-  // مدیرِ مسئول یک پروژه (1:N — کاربر ممکن است مدیر چند پروژه باشد)
-  const pmOf = (projectId: string) =>
-    users.find(
-      (u) =>
-        u.role === "pm" &&
-        (u.projects?.some((p) => p.id === projectId) || u.project_id === projectId),
-    ) || null;
-
-  return (
-    <div className="min-h-screen">
-      <Header
-        title="سازمان‌دهی"
-        sub={inventorySubheader(user)}
-        backTo="/inventory"
-        backLabel="بازگشت به داشبورد"
-      />
-      <PageLayout className="flex flex-col gap-3">
-        <div className="rounded-lg border border-blue/20 bg-blue/5 px-3 py-2 text-[12px] leading-6 text-muted">
-          ℹ️ کاربران از Casdoor همگام می‌شوند و نقش‌ها اینجا (فقط توسط ادمین) تعیین می‌شوند؛
-          مدیر تدارکات فقط پروژه‌ی مدیران پروژه را تعیین/جابه‌جا می‌کند. پروژه‌ها از سیستم تدارکات می‌آیند و
-          هر مدیر پروژه به همه انبارهای پروژه خودش دسترسی دارد. همه تغییرات فوراً در داشبورد و فرم‌ها اعمال می‌شود.
-        </div>
-
-        {/* ---------- کاربران و مدیران پروژه ---------- */}
-        <div className="rounded-xl border border-line bg-panel p-4">
-          <div className="mb-2 flex flex-wrap items-center justify-between gap-2">
-            <h3 className="text-[14px] font-bold">👥 کاربران و مدیران پروژه</h3>
-            <button
-              onClick={() => void syncUsers()}
-              disabled={syncing}
-              className="rounded-lg border border-accent/40 bg-accent/5 px-3 py-1.5 text-[12px] font-bold text-accent disabled:opacity-50"
-            >
-              {syncing ? "در حال همگام‌سازی…" : "🔄 همگام‌سازی از Casdoor"}
-            </button>
-          </div>
-
-          {loadingUsers ? (
-            <div className="py-3 text-[12.5px] text-muted">در حال بارگذاری کاربران…</div>
-          ) : !users.length ? (
-            <div className="rounded-lg border border-dashed border-line px-3 py-3 text-[12px] text-muted">
-              کاربری ثبت نشده است — کاربران پس از اولین ورود (Casdoor) به‌صورت خودکار ساخته می‌شوند؛
-              یا دکمه‌ی «همگام‌سازی از Casdoor» را بزنید.
-            </div>
-          ) : (
-            <div className="overflow-x-auto">
-              <table className="w-full text-[12.5px]">
-                <thead>
-                  <tr className="border-b border-line text-right text-muted">
-                    <th className="py-2 pe-3">نام</th>
-                    <th className="py-2 pe-3">نقش</th>
-                    <th className="py-2 pe-3">پروژه (مدیر پروژه)</th>
-                    <th className="py-2">عملیات</th>
-                  </tr>
-                </thead>
-                <tbody>
-                  {users.map((u) => (
-                    <tr key={u.id} className="border-b border-line/50">
-                      <td className="py-1.5 pe-3">
-                        <b>{u.first_name} {u.last_name}</b>
-                        <small className="block text-[10.5px] text-muted ltr">{u.casdoor_id}</small>
-                      </td>
-                      <td className="py-1.5 pe-3">
-                        {canChangeRoles ? (
-                          <select
-                            className="h-7 rounded-lg border border-line bg-panel px-2 text-[12px]"
-                            value={u.role ?? ""}
-                            disabled={busyId === u.id}
-                            onChange={(e) => void changeRole(u, (e.target.value || null) as Role)}
-                          >
-                            <option value="">— بدون نقش —</option>
-                            <option value="pm">مدیر پروژه</option>
-                            <option value="procurement_manager">مدیر تدارکات</option>
-                            <option value="admin">ادمین</option>
-                          </select>
-                        ) : (
-                          <span className={`rounded-lg px-2 py-1 text-[11px] font-bold ${u.role ? "bg-accent-bg text-accent" : "bg-slate-bg text-muted"}`}>
-                            {u.role ? ROLE_LABELS[u.role] : "بدون نقش"}
-                          </span>
-                        )}
-                        {!canChangeRoles && u.role && (
-                          <small className="block text-[10px] text-muted">(تغییر نقش فقط توسط ادمین)</small>
-                        )}
-                      </td>
-                      <td className="min-w-[240px] py-1.5 pe-3 align-top">
-                        {u.role === "pm" ? (
-                          <ProjectMultiSelect
-                            options={data.lookup.projects.map((p) => ({ id: p.id, name: p.name }))}
-                            values={assignedProjectsOf(u).map((p) => p.id)}
-                            onChange={(ids) => void syncUserProjects(u, ids)}
-                            disabled={busyId === u.id}
-                          />
-                        ) : (
-                          <span className="text-[11.5px] text-muted">—</span>
-                        )}
-                      </td>
-                      <td className="py-1.5">
-                        {u.role === "pm" && u.project_id && (
-                          <span className="rounded-lg bg-green/10 px-2 py-1 text-[10.5px] font-bold text-green">فعال</span>
-                        )}
-                      </td>
-                    </tr>
-                  ))}
-                </tbody>
-              </table>
-              <div className="mt-1 text-[11px] text-muted">
-                «بدون نقش» = حذف مدیر پروژه (از همه‌ی پروژه‌ها هم جدا می‌شود). هر مدیر پروژه می‌تواند به
-                چند پروژه متصل باشد؛ حذف هر چیپ (×)، فقط همان پروژه را جدا می‌کند و اتصال به یک پروژه، مدیرِ
-                قبلیِ آن پروژه را جابه‌جا می‌کند.
-              </div>
-            </div>
-          )}
-        </div>
-
-        {/* ---------- پروژه‌ها و انبارها ---------- */}
-        <div className="grid grid-cols-1 gap-3 lg:grid-cols-2">
-          {data.lookup.projects.map((p) => {
-            const whs = data.warehouses.filter((w) => w.project_id === p.id);
-            const pm = pmOf(p.id);
-            return (
-              <div key={p.id} className="rounded-xl border border-line bg-panel p-4">
-                <div className="mb-2 flex items-center justify-between">
-                  <h3 className="text-[14px] font-bold">🏢 {p.name}</h3>
-                  <span className="rounded-lg bg-panel px-2 py-1 text-[11px] text-muted">
-                    {faNum(whs.length)} انبار
-                  </span>
-                </div>
-
-                <div className="mb-3">
-                  <h4 className="mb-1 text-[12px] font-bold text-muted">👤 مدیر پروژه</h4>
-                  {pm ? (
-                    <div className="flex items-center gap-2 rounded-lg border border-line px-3 py-2 text-[12.5px]">
-                      <span className="font-semibold">{pm.first_name} {pm.last_name}</span>
-                      <span className="text-[10.5px] text-muted">(مدیر مسئول پروژه)</span>
-                    </div>
-                  ) : (
-                    <div className="rounded-lg border border-dashed border-line px-3 py-2 text-[11.5px] text-muted">
-                      مدیری تعیین نشده است — از جدول «کاربران و مدیران پروژه» بالا، نقش مدیر پروژه را بدهید و به این پروژه متصل کنید.
-                    </div>
-                  )}
-                </div>
-
-                <h4 className="mb-1 text-[12px] font-bold text-muted">🏬 انبارهای پروژه</h4>
-                {!whs.length ? (
-                  <div className="rounded-lg border border-dashed border-line px-3 py-2 text-[11.5px] text-muted">انباری ندارد — از فرم زیر اضافه کنید.</div>
-                ) : (
-                  <div className="mb-2 flex flex-col gap-1.5">
-                    {whs.map((w) => (
-                      <div key={w.id} className="flex items-center justify-between gap-2 rounded-lg border border-line px-3 py-2 text-[12.5px]">
-                        <div className="min-w-0 flex-1">
-                          <b>{w.name}</b>
-                          <small className="block truncate text-muted">{w.description || ""}</small>
-                        </div>
-                        <div className="flex flex-wrap items-center justify-end gap-1.5">
-                          <button
-                            className="rounded-lg border border-accent/40 bg-accent/5 px-2 py-1 text-[10.5px] font-bold text-accent"
-                            onClick={() => navigate(`/inventory?warehouse=${w.id}`)}
-                            title="داشبورد این انبار"
-                          >
-                            📊 داشبورد
-                          </button>
-                          <button className="text-muted hover:text-red" onClick={() => void removeWarehouse(w.id)} title="حذف انبار">✕</button>
-                        </div>
-                      </div>
-                    ))}
-                  </div>
-                )}
-                <div className="flex flex-col gap-2 sm:flex-row sm:items-center">
-                  <input
-                    className="h-8 w-full rounded-lg border border-line bg-panel px-2 text-sm sm:w-44"
-                    placeholder="نام انبار جدید"
-                    value={newWh[p.id] || ""}
-                    onChange={(e) => setNewWh((s) => ({ ...s, [p.id]: e.target.value }))}
-                  />
-                  <input
-                    className="h-8 w-full rounded-lg border border-line bg-panel px-2 text-sm sm:w-52"
-                    placeholder="توضیحات (اختیاری)"
-                    value={newWhDesc[p.id] || ""}
-                    onChange={(e) => setNewWhDesc((s) => ({ ...s, [p.id]: e.target.value }))}
-                  />
-                  <button className="w-full rounded-lg bg-accent px-3 py-2 text-[12px] font-bold text-white sm:w-auto sm:py-1.5" onClick={() => void addWarehouse(p.id)}>
-                    + افزودن انبار
-                  </button>
-                </div>
-              </div>
-            );
-          })}
-        </div>
-      </PageLayout>
-    </div>
-  );
-}

frontend/src/pages/Inventory/WarehousesPage.tsx

@@ -9,52 +9,41 @@ import { useInventoryData, projName } from "./useInventoryData";
 import { faNum } from "../../lib/formatters";
 import { isoToJalaliStr } from "../../lib/jalali";
 
-// انبارها — مدیر پروژه: مشاهده انبارهای پروژه خودش + افزودن/ویرایش/حذف (ادمین دسترسی ندارد)
+// انبارها — مدیریت انبارها برای مدیران (ادمین، مدیر تدارکات، مدیر پروژه)
 export function WarehousesPage() {
   const navigate = useNavigate();
   const user = useAuthStore((s) => s.user);
   const data = useInventoryData();
-  const isAdmin = user?.role === "admin" || user?.role === "procurement_manager";
-  const isPM = user?.role === "pm";
+  const canManage = user?.role === "admin" || user?.role === "procurement_manager" || user?.role === "pm";
 
   const [newName, setNewName] = useState("");
   const [newDesc, setNewDesc] = useState("");
+  const [selectedProjectId, setSelectedProjectId] = useState<string>("");
   const [editId, setEditId] = useState<string | null>(null);
   const [editName, setEditName] = useState("");
   const [editDesc, setEditDesc] = useState("");
 
-  // ادمین / مدیر تدارکات به بخش «انبارها» دسترسی ندارد — مدیریت انبارها از «سازمان‌دهی»
-  if (isAdmin) {
+  if (!canManage) {
     return (
       <div className="min-h-screen">
         <Header title="انبارها" backTo="/inventory" backLabel="بازگشت به داشبورد" />
         <PageLayout>
           <div className="rounded-xl border border-line bg-panel p-8 text-center">
             <div className="text-3xl">🔒</div>
-            <h3 className="mt-2 text-[15px] font-bold">دسترسی ندارد</h3>
+            <h3 className="mt-2 text-[15px] font-bold">دسترسی محدود</h3>
             <p className="mt-1 text-[12.5px] text-muted">
-              بخش «انبارها» مخصوص مدیران پروژه است. مدیریت انبارها از بخش «سازمان‌دهی» انجام می‌شود.
+              مدیریت و تعریف انبارها مخصوص مدیران سیستم است. سرپرست پروژه فقط به ثبت تغییرات موجودی دسترسی دارد.
             </p>
           </div>
         </PageLayout>
       </div>
     );
   }
-  if (!isPM) {
-    return (
-      <div className="min-h-screen">
-        <Header title="انبارها" backTo="/inventory" backLabel="بازگشت به داشبورد" />
-        <PageLayout>
-          <div className="text-[13px] text-muted">این بخش فقط برای مدیر پروژه است.</div>
-        </PageLayout>
-      </div>
-    );
-  }
 
   const addWarehouse = async () => {
     const name = newName.trim();
     if (!name) return toast.error("نام انبار الزامی است");
-    const projectId = user?.project_id;
+    const projectId = selectedProjectId || user?.project_id || data.lookup.projects[0]?.id;
     if (!projectId) return toast.error("پروژه انبار را انتخاب کنید");
     try {
       await apiV26.warehouses.create({ project_id: projectId, name, description: newDesc.trim() || null });
@@ -99,13 +88,26 @@ export function WarehousesPage() {
         backLabel="بازگشت به داشبورد"
       />
       <PageLayout className="flex flex-col gap-3">
-        {isPM && (
+        {canManage && (
           <div className="rounded-xl border border-line bg-panel p-3">
             <h3 className="mb-2 text-[13px] font-bold">+ افزودن انبار جدید</h3>
-            <div className="flex flex-wrap gap-2">
+            <div className="flex flex-wrap items-center gap-2">
+              {data.lookup.projects.length > 1 && (
+                <select
+                  className="h-9 rounded-lg border border-line bg-panel px-3 text-sm"
+                  value={selectedProjectId || user?.project_id || data.lookup.projects[0]?.id || ""}
+                  onChange={(e) => setSelectedProjectId(e.target.value)}
+                >
+                  {data.lookup.projects.map((p) => (
+                    <option key={p.id} value={p.id}>
+                      پروژه: {p.name}
+                    </option>
+                  ))}
+                </select>
+              )}
               <input
                 className="h-9 w-52 rounded-lg border border-line bg-panel px-3 text-sm"
-                placeholder="نام انبار (مثلاً انبار موقت)"
+                placeholder="نام انبار (مثلاً انبار مرکزی)"
                 value={newName}
                 onChange={(e) => setNewName(e.target.value)}
               />
@@ -148,7 +150,7 @@ export function WarehousesPage() {
                   >
                     📊 مشاهده داشبورد انبار
                   </button>
-                  {isPM && (
+                  {canManage && (
                     <>
                       <button
                         className="rounded-lg border border-line px-3 py-1 text-[11.5px]"
@@ -162,7 +164,7 @@ export function WarehousesPage() {
                     </>
                   )}
                 </div>
-                {editId === w.id && isPM && (
+                {editId === w.id && canManage && (
                   <div className="mt-2 flex flex-col gap-1.5 rounded-lg border border-dashed border-accent/40 p-2" onClick={(e) => e.stopPropagation()}>
                     <input
                       className="h-8 rounded-lg border border-line bg-panel px-2 text-sm"

frontend/src/pages/Inventory/panelMenu.ts

@@ -10,20 +10,22 @@ export function useLogout() {
 }
 
 const ROLE_LABELS: Record<string, string> = {
-  pm: "مدیر پروژه",
-  procurement_manager: "مدیر تدارکات",
   admin: "ادمین",
+  procurement_manager: "مدیر تدارکات",
+  pm: "مدیر پروژه",
+  supervisor: "سرپرست پروژه",
 };
 
 // زیرعنوان پویای سربرگ پنل انبار:
 //   [نام کاربر] | [نقش] – [پروژه / همه پروژه‌ها]
-// مدیر پروژه → نام پروژه‌ی خودش؛ مدیر تدارکات/ادمین → «همه پروژه‌ها».
-export function inventorySubheader(user: { display_name?: string; first_name: string; last_name: string; role: string | null; role_label: string | null; project_name: string | null } | null | undefined): string {
+// سرپرست پروژه → نام پروژه‌ی خودش؛ مدیران/ادمین → «همه پروژه‌ها».
+export function inventorySubheader(user: { username?: string; casdoor_id?: string; display_name?: string; first_name: string; last_name: string; role: string | null; role_label: string | null; project_name: string | null } | null | undefined): string {
   if (!user) return "در حال بارگذاری…";
-  const name = user.display_name || `${user.first_name} ${user.last_name}`.trim() || "کاربر";
+  const name = `${user.first_name || ""} ${user.last_name || ""}`.trim() || user.display_name || "کاربر";
+  const uname = user.username || user.casdoor_id || "-";
   const role = user.role_label || (user.role ? ROLE_LABELS[user.role] : "بدون نقش");
-  const proj = user.role === "pm" ? user.project_name || "پروژه نامشخص" : "همه پروژه‌ها";
-  return `${name} | ${role} – ${proj}`;
+  const proj = user.role === "supervisor" && user.project_name ? ` – پروژه: ${user.project_name}` : "";
+  return `${name} | نام کاربری: ${uname} | نقش: ${role}${proj}`;
 }
 
 // منوی همبرگریِ مختصر برای مدیر تدارکات/ادمین: بخش‌ها بالای صفحه هستند و
@@ -37,8 +39,7 @@ export function accountMenuItems(onLogout?: () => void): MenuItem[] {
   return items;
 }
 
-// منوی همبرگری مدیر پروژه در پنل انبار — فقط «خروج از حساب»
-// (مدیر پروژه به دفتر تدارکات دسترسی ندارد و دکمه‌ی خروجِ تکی هم حذف شده).
+// منوی همبرگری سرپرست پروژه در پنل انبار
 export function pmMenuItems(onLogout?: () => void): MenuItem[] {
   const items: MenuItem[] = [];
   if (onLogout) {
@@ -47,33 +48,24 @@ export function pmMenuItems(onLogout?: () => void): MenuItem[] {
   return items;
 }
 
-// آیتم‌های منوی همبرگری پنل مدیریت انبار — با نشانگر پنل فعلی + «بازگشت به دفتر» + خروج
-//
-// دسترسی‌ها (v2.6):
-// - ادمین / مدیر تدارکات (یک نفر): داشبورد، کنترل روزانه، کالاهای در راه، سازمان‌دهی —
-//   بدون «تغییر موجودی» و بدون «انبارها».
-// - مدیر پروژه: داشبورد، تغییر موجودی، کنترل روزانه، انبارها، کالاهای در راه —
-//   بدون «سازمان‌دهی».
+// آیتم‌های بخش‌های داخلی انبار
 export function panelMenuItems(pathname: string, role: string | null | undefined, onLogout?: () => void): MenuItem[] {
-  const isAdmin = role === "admin" || role === "procurement_manager";
-  const isPM = role === "pm";
+  const isAdmin = role === "admin";
+  const isManager = role === "procurement_manager" || role === "pm" || isAdmin;
+  const isSupervisor = role === "supervisor" || isAdmin;
+
   const items: MenuItem[] = [
     { label: "داشبورد انبار", to: "/inventory", active: pathname === "/inventory" },
   ];
-  if (isPM) {
+  // فقط سرپرست پروژه و ادمین می‌توانند تغییر موجودی بدهند
+  if (isSupervisor) {
     items.push({ label: "تغییر موجودی", to: "/inventory/change", active: pathname.startsWith("/inventory/change") });
   }
-  items.push({ label: "کنترل روزانه", to: "/inventory/daily", active: pathname.startsWith("/inventory/daily") });
-  if (isPM) {
+  // کنترل روزانه و انبارها و کالاهای در راه برای مدیران
+  if (isManager) {
+    items.push({ label: "کنترل روزانه", to: "/inventory/daily", active: pathname.startsWith("/inventory/daily") });
     items.push({ label: "انبارها", to: "/inventory/warehouses", active: pathname.startsWith("/inventory/warehouses") });
-  }
-  items.push({ label: "کالاهای در راه", to: "/inventory/arrivals", active: pathname.startsWith("/inventory/arrivals") });
-  if (isAdmin) {
-    items.push({ label: "سازمان‌دهی", to: "/inventory/org", active: pathname.startsWith("/inventory/org") });
-  }
-  if (isAdmin) {
-    items.push({ divider: true });
-    items.push({ label: "بازگشت به دفتر", to: "/" });
+    items.push({ label: "کالاهای در راه", to: "/inventory/arrivals", active: pathname.startsWith("/inventory/arrivals") });
   }
   if (onLogout) {
     items.push({ divider: true });

frontend/src/pages/Inventory/useInventoryData.ts

@@ -26,8 +26,8 @@ export interface InventoryData {
 
 export function useInventoryData(): InventoryData {
   const user = useAuthStore((s) => s.user);
-  const isPM = user?.role === "pm";
-  const projectId = isPM ? user.project_id || undefined : undefined;
+  const isSupervisor = user?.role === "supervisor";
+  const projectId = isSupervisor || user?.role === "pm" ? user?.project_id || undefined : undefined;
 
   const [warehouses, setWarehouses] = useState<Warehouse[]>([]);
   const [inventory, setInventory] = useState<InventoryRow[]>([]);

frontend/src/pages/Organization/OrganizationPage.tsx

@@ -0,0 +1,291 @@
+import { useCallback, useEffect, useState } from "react";
+import { toast } from "sonner";
+import { Header, PageLayout } from "../../components/layout/Header";
+import { useAuthStore } from "../../store/auth";
+import { apiV26, type UserRow } from "../../lib/api";
+import { refreshProcurementStore, useProjects } from "../../hooks";
+import { faNum } from "../../lib/formatters";
+import { ProjectMultiSelect } from "../../components/ProjectMultiSelect";
+import { AppSwitcherMenu } from "../../components/AppSwitcherMenu";
+
+type Role = "pm" | "procurement_manager" | "admin" | "supervisor" | null;
+
+const ROLE_LABELS: Record<string, string> = {
+  admin: "ادمین",
+  procurement_manager: "مدیر تدارکات",
+  pm: "مدیر پروژه",
+  supervisor: "سرپرست پروژه",
+};
+
+// پنل مستقل سازمان‌دهی (ادمین، مدیر تدارکات، مدیر پروژه) — مدیریت کاربران، نقش‌ها و تخصیص پروژه‌ها به سرپرستان
+export function OrganizationPage() {
+  const user = useAuthStore((s) => s.user);
+  const projects = useProjects();
+
+  const [users, setUsers] = useState<UserRow[]>([]);
+  const [loadingUsers, setLoadingUsers] = useState(true);
+  const [syncing, setSyncing] = useState(false);
+  const [busyId, setBusyId] = useState<string | null>(null);
+
+  const canManage = user?.role === "admin" || user?.role === "procurement_manager" || user?.role === "pm";
+  // فقط ادمین می‌تواند نقش‌ها را تغییر دهد؛ مدیران می‌توانند پروژه‌ها را به سرپرستان تخصیص دهند
+  const canChangeRoles = user?.role === "admin";
+
+  const loadUsers = useCallback(async () => {
+    try {
+      const list = await apiV26.users.list();
+      setUsers(list);
+    } catch (err) {
+      toast.error(err instanceof Error ? err.message : "خطا در دریافت کاربران");
+    } finally {
+      setLoadingUsers(false);
+    }
+  }, []);
+
+  useEffect(() => {
+    if (canManage) void loadUsers();
+  }, [canManage, loadUsers]);
+
+  const syncUsers = async () => {
+    setSyncing(true);
+    try {
+      const { users: synced, created } = await apiV26.users.sync();
+      setUsers(synced);
+      toast.success(
+        created > 0
+          ? `همگام‌سازی انجام شد — ${faNum(created)} کاربر جدید از Casdoor اضافه شد ✓`
+          : "همگام‌سازی انجام شد — کاربر جدیدی یافت نشد",
+      );
+      refreshProcurementStore();
+    } catch (err) {
+      toast.error(err instanceof Error ? err.message : "خطا در همگام‌سازی با Casdoor");
+    } finally {
+      setSyncing(false);
+    }
+  };
+
+  if (!canManage) {
+    return (
+      <div className="min-h-screen">
+        <Header title="سازمان‌دهی" backTo="/" backLabel="بازگشت به دفتر" />
+        <PageLayout>
+          <div className="text-[13px] text-muted">این بخش فقط برای ادمین، مدیر تدارکات و مدیر پروژه است.</div>
+        </PageLayout>
+      </div>
+    );
+  }
+
+  // ---------- actions: users ----------
+
+  const changeRole = async (u: UserRow, role: Role) => {
+    setBusyId(u.id);
+    try {
+      await apiV26.users.updateRole(u.id, role);
+      toast.success(`نقش «${ROLE_LABELS[role ?? ""] ?? "بدون نقش"}» برای ${u.first_name} ${u.last_name} ثبت شد ✓`);
+      await loadUsers();
+      refreshProcurementStore();
+    } catch (err) {
+      toast.error(err instanceof Error ? err.message : "خطا در تغییر نقش");
+    } finally {
+      setBusyId(null);
+    }
+  };
+
+  const assignedProjectsOf = (u: UserRow) =>
+    u.projects ?? (u.project_id ? [{ id: u.project_id, name: u.project_name ?? "" }] : []);
+
+  const syncUserProjects = async (u: UserRow, nextIds: string[]) => {
+    const current = assignedProjectsOf(u).map((p) => p.id);
+    const added = nextIds.filter((id) => !current.includes(id));
+    const removed = current.filter((id) => !nextIds.includes(id));
+    if (!added.length && !removed.length) return;
+    setBusyId(u.id);
+    try {
+      for (const pid of added) await apiV26.projects.setPm(pid, u.id);
+      for (const pid of removed) await apiV26.projects.setPm(pid, null);
+      const names = nextIds
+        .map((id) => projects.find((p) => p.id === id)?.name)
+        .filter(Boolean)
+        .join("، ");
+      toast.success(
+        nextIds.length
+          ? `پروژه‌های «${u.first_name} ${u.last_name}» به‌روزرسانی شد: ${names} ✓`
+          : `«${u.first_name} ${u.last_name}» از همه‌ی پروژه‌ها جدا شد`,
+      );
+      await loadUsers();
+      refreshProcurementStore();
+    } catch (err) {
+      toast.error(err instanceof Error ? err.message : "خطا در به‌روزرسانی پروژه‌ها");
+      await loadUsers();
+    } finally {
+      setBusyId(null);
+    }
+  };
+
+  // سرپرستان تخصیص‌یافته به یک پروژه
+  const supervisorsOf = (projectId: string) =>
+    users.filter(
+      (u) =>
+        (u.role === "supervisor" || u.role === "pm") &&
+        (u.projects?.some((p) => p.id === projectId) || u.project_id === projectId),
+    );
+
+  return (
+    <div className="min-h-screen">
+      <Header
+        title="سازمان‌دهی"
+        brand
+        menu={<AppSwitcherMenu activeModule="organization" />}
+      />
+      <PageLayout className="flex flex-col gap-4">
+        <div className="rounded-lg border border-blue/20 bg-blue/5 px-3 py-2 text-[12px] leading-6 text-muted">
+          ℹ️ کاربران در Casdoor تعریف شده و از طریق دکمه «همگام‌سازی» اضافه می‌شوند. نقش‌ها در این پنل توسط ادمین تعیین می‌گردند.
+          مدیران پروژه و تدارکات می‌توانند پروژه‌ها را به سرپرستان پروژه تخصیص دهند.
+        </div>
+
+        {/* ---------- بخش ۱: جدول کاربران و نقش‌ها ---------- */}
+        <div className="rounded-xl border border-line bg-panel p-4">
+          <div className="mb-3 flex flex-wrap items-center justify-between gap-2">
+            <div>
+              <h3 className="text-[14px] font-bold">👥 کاربران و نقش‌ها</h3>
+              <p className="mt-0.5 text-[11.5px] text-muted">
+                تعیین نقش کاربران و تخصیص پروژه‌ها به سرپرستان پروژه
+              </p>
+            </div>
+            <button
+              onClick={() => void syncUsers()}
+              disabled={syncing}
+              className="rounded-lg border border-accent/40 bg-accent/5 px-3 py-1.5 text-[12px] font-bold text-accent disabled:opacity-50"
+            >
+              {syncing ? "در حال همگام‌سازی…" : "🔄 همگام‌سازی از Casdoor"}
+            </button>
+          </div>
+
+          {loadingUsers ? (
+            <div className="py-3 text-[12.5px] text-muted">در حال بارگذاری کاربران…</div>
+          ) : !users.length ? (
+            <div className="rounded-lg border border-dashed border-line px-3 py-3 text-[12px] text-muted">
+              کاربری ثبت نشده است — دکمه‌ی «همگام‌سازی از Casdoor» را بزنید.
+            </div>
+          ) : (
+            <div className="overflow-x-auto">
+              <table className="w-full text-[12.5px]">
+                <thead>
+                  <tr className="border-b border-line text-right text-muted">
+                    <th className="py-2 pe-3">نام</th>
+                    <th className="py-2 pe-3">نام کاربری</th>
+                    <th className="py-2 pe-3">نقش</th>
+                    <th className="py-2 pe-3">پروژه‌های تخصیص‌یافته (سرپرست پروژه)</th>
+                    <th className="py-2">وضعیت</th>
+                  </tr>
+                </thead>
+                <tbody>
+                  {users.map((u) => (
+                    <tr key={u.id} className="border-b border-line/50">
+                      <td className="py-2.5 pe-3">
+                        <b>{u.first_name} {u.last_name}</b>
+                      </td>
+                      <td className="py-2.5 pe-3 font-mono text-[11px] text-muted">
+                        {u.username || "—"}
+                      </td>
+                      <td className="py-2.5 pe-3">
+                        {canChangeRoles ? (
+                          <select
+                            className="h-7 rounded-lg border border-line bg-panel px-2 text-[12px]"
+                            value={u.role ?? ""}
+                            disabled={busyId === u.id}
+                            onChange={(e) => void changeRole(u, (e.target.value || null) as Role)}
+                          >
+                            <option value="">— بدون نقش —</option>
+                            <option value="admin">ادمین</option>
+                            <option value="procurement_manager">مدیر تدارکات</option>
+                            <option value="pm">مدیر پروژه</option>
+                            <option value="supervisor">سرپرست پروژه</option>
+                          </select>
+                        ) : (
+                          <span className="rounded bg-panel px-2 py-0.5 text-[11px] font-semibold">
+                            {ROLE_LABELS[u.role ?? ""] ?? "بدون نقش"}
+                          </span>
+                        )}
+                      </td>
+                      <td className="py-2.5 pe-3">
+                        {u.role === "supervisor" || u.role === "pm" ? (
+                          <div className="w-72">
+                            <ProjectMultiSelect
+                              options={projects.map((p) => ({ id: p.id, name: p.name }))}
+                              values={assignedProjectsOf(u).map((p) => p.id)}
+                              onChange={(nextIds) => void syncUserProjects(u, nextIds)}
+                              disabled={busyId === u.id}
+                            />
+                          </div>
+                        ) : (
+                          <span className="text-[11px] text-muted">
+                            {u.role === "admin"
+                              ? "دسترسی کامل به همه پروژه‌ها"
+                              : u.role === "procurement_manager"
+                              ? "دسترسی کامل مدیریتی"
+                              : "—"}
+                          </span>
+                        )}
+                      </td>
+                      <td className="py-2.5 text-[11px] text-muted">
+                        {busyId === u.id ? (
+                          <span className="text-accent">در حال ذخیره…</span>
+                        ) : (
+                          <span className="text-emerald-600">✓ ثبت‌شده</span>
+                        )}
+                      </td>
+                    </tr>
+                  ))}
+                </tbody>
+              </table>
+              <div className="mt-2 text-[11px] text-muted">
+                سرپرستان پروژه‌ای که پروژه‌ای به آن‌ها تخصیص داده نشده باشد، تا زمان تخصیص پروژه اجازه ورود به سامانه را نخواهند داشت.
+              </div>
+            </div>
+          )}
+        </div>
+
+        {/* ---------- بخش ۲: کارت‌های پروژه‌ها و سرپرستان مسئول ---------- */}
+        <div>
+          <h3 className="mb-2 text-[14px] font-bold">🏢 پروژه‌ها و سرپرستان مسئول</h3>
+          <div className="grid grid-cols-1 gap-3 md:grid-cols-2 lg:grid-cols-3">
+            {projects.map((p) => {
+              const sups = supervisorsOf(p.id);
+              return (
+                <div key={p.id} className="rounded-xl border border-line bg-panel p-4">
+                  <div className="mb-2 flex items-center justify-between">
+                    <h4 className="text-[14px] font-bold">🏢 {p.name}</h4>
+                    <span className="rounded-lg bg-panel px-2 py-0.5 text-[11px] text-muted">
+                      {p.status || "پروژه فعال"}
+                    </span>
+                  </div>
+                  {p.description && (
+                    <p className="mb-3 text-[12px] text-muted line-clamp-2">{p.description}</p>
+                  )}
+                  <div>
+                    <h5 className="mb-1.5 text-[11.5px] font-bold text-muted">👤 سرپرست(های) پروژه:</h5>
+                    {!sups.length ? (
+                      <div className="rounded-lg border border-dashed border-line px-3 py-2 text-[11.5px] text-amber-600">
+                        ⚠️ سرپرستی تعیین نشده است — از جدول بالا پروژه را به سرپرست تخصیص دهید.
+                      </div>
+                    ) : (
+                      <div className="flex flex-col gap-1">
+                        {sups.map((s) => (
+                          <div key={s.id} className="flex items-center gap-2 rounded-lg border border-line px-2.5 py-1.5 text-[12px]">
+                            <span className="font-semibold">{s.first_name} {s.last_name}</span>
+                            <span className="text-[10px] text-muted font-mono">({s.username})</span>
+                          </div>
+                        ))}
+                      </div>
+                    )}
+                  </div>
+                </div>
+              );
+            })}
+          </div>
+        </div>
+      </PageLayout>
+    </div>
+  );
+}

frontend/src/pages/Projects/ProjectsPage.tsx

@@ -1,11 +1,11 @@
 import { useState } from "react";
 import { Link } from "react-router-dom";
 import { toast } from "sonner";
-import { Building2, Inbox, CheckCircle2, Truck, Phone, FolderKanban } from "lucide-react";
+import { Building2, Inbox, CheckCircle2, Truck, Phone, FolderKanban, MapPin, UserCircle2, Trash2, Plus, X } from "lucide-react";
 import type { Project, Quote, Store } from "../../lib/types";
-import { nextId } from "../../lib/api";
 import {
   useAddProject,
+  useDeleteProject,
   useMaterials,
   useProjects,
   useQuotes,
@@ -25,6 +25,7 @@ import { faNum, fmtDate } from "../../lib/formatters";
 import { Header, PageLayout } from "../../components/layout/Header";
 import { EmptyState } from "../../components/EmptyState";
 import { Button } from "../../components/ui/button";
+import { useAuthStore } from "../../store/auth";
 
 function projectQuotes(quotes: Quote[], name: string): Quote[] {
   return quotes.filter(
@@ -39,23 +40,14 @@ function projectQuotes(quotes: Quote[], name: string): Quote[] {
   );
 }
 
-// آیا این پیشنهاد برای «این» پروژه پذیرفته شده است؟
-// ملاک، پروژه‌ی هدفِ تصمیم خریدِ اقلام است (item_decisions.project_id) — نه
-// وضعیت سراسری پیشنهاد؛ پیشنهادی که فقط برای پروژه‌ی دیگری پذیرفته شده،
-// برای این پروژه همچنان «پیشنهاد شده» است.
 function acceptedForProject(q: Quote, name: string): boolean {
   return (q.line_items || []).some((li) => !li.rejected && li.target_project?.name === name);
 }
 
-// آیا اصلاً برای این پیشنهاد پروژه‌ی هدفی ثبت شده؟ (پیشنهادهای قدیمیِ
-// پیش از era تصمیم‌پروژه، طبق وضعیت سراسری دسته‌بندی می‌شوند)
 function hasTargets(q: Quote): boolean {
   return (q.line_items || []).some((li) => !!li.target_project);
 }
 
-// اقلام مربوط به این پروژه در یک quote:
-// اولویت با اقلامِ پذیرفته‌شده برای همین پروژه (تصمیم خرید)؛ سپس کاندیداهای
-// همین پروژه؛ و اگر هیچ اتصال قلم‌به‌قلمی نبود، همه‌ی اقلام فعال.
 function itemsForProject(q: Quote, name: string): Quote["line_items"] {
   const items = (q.line_items || []).filter((li) => !li.rejected);
   const targeted = items.filter((li) => li.target_project?.name === name);
@@ -73,6 +65,97 @@ function daysSince(iso: string | null): number | null {
   return Math.floor((Date.now() - d.getTime()) / 86400000);
 }
 
+// ----- مودال افزودن پروژه -----
+function AddProjectModal({
+  open,
+  onClose,
+  onSubmit,
+  loading,
+}: {
+  open: boolean;
+  onClose: () => void;
+  onSubmit: (p: Omit<Project, "id">) => void;
+  loading: boolean;
+}) {
+  const [name, setName] = useState("");
+  const [location, setLocation] = useState("");
+  const [projectManager, setProjectManager] = useState("");
+  const [description, setDescription] = useState("");
+  const [error, setError] = useState("");
+
+  const inputCls =
+    "w-full rounded-lg border border-line bg-surface px-3 py-2 text-sm shadow-sm focus-visible:outline-none focus-visible:ring-2 focus-visible:ring-accent/40";
+
+  const reset = () => {
+    setName(""); setLocation(""); setProjectManager(""); setDescription(""); setError("");
+  };
+
+  const handleClose = () => { reset(); onClose(); };
+
+  const handleSubmit = () => {
+    if (!name.trim()) { setError("نام پروژه الزامی است"); return; }
+    setError("");
+    onSubmit({ name: name.trim(), location: location.trim(), project_manager: projectManager.trim(), description: description.trim() });
+  };
+
+  if (!open) return null;
+
+  return (
+    <div className="fixed inset-0 z-50 flex items-center justify-center bg-black/40 backdrop-blur-sm" onClick={handleClose}>
+      <div
+        className="w-full max-w-lg rounded-2xl bg-panel shadow-2xl border border-line p-6"
+        onClick={(e) => e.stopPropagation()}
+      >
+        <div className="flex items-center justify-between mb-4">
+          <h2 className="text-base font-bold">افزودن پروژه جدید</h2>
+          <button type="button" onClick={handleClose} className="text-muted hover:text-on-surface transition-colors">
+            <X size={18} />
+          </button>
+        </div>
+
+        <div className="space-y-3">
+          {error && <p className="rounded-lg bg-red-50 border border-red-200 text-red-700 px-3 py-2 text-xs">{error}</p>}
+
+          <div>
+            <label className="mb-1 block text-xs font-semibold text-muted">نام پروژه *</label>
+            <input
+              value={name}
+              onChange={(e) => setName(e.target.value)}
+              onKeyDown={(e) => { if (e.key === "Enter") handleSubmit(); }}
+              placeholder="مثلاً: برج مسکونی آسمان"
+              className={inputCls}
+              autoFocus
+            />
+          </div>
+
+          <div className="grid grid-cols-2 gap-2">
+            <div>
+              <label className="mb-1 block text-xs font-semibold text-muted">محل پروژه</label>
+              <input value={location} onChange={(e) => setLocation(e.target.value)} placeholder="شهر / منطقه" className={inputCls} />
+            </div>
+            <div>
+              <label className="mb-1 block text-xs font-semibold text-muted">مدیر / سرپرست پروژه</label>
+              <input value={projectManager} onChange={(e) => setProjectManager(e.target.value)} placeholder="نام سرپرست" className={inputCls} />
+            </div>
+          </div>
+
+          <div>
+            <label className="mb-1 block text-xs font-semibold text-muted">توضیحات</label>
+            <textarea value={description} onChange={(e) => setDescription(e.target.value)} rows={2} placeholder="توضیحات تکمیلی پروژه..." className={`${inputCls} resize-none`} />
+          </div>
+
+          <div className="flex justify-end gap-2 pt-2">
+            <button type="button" onClick={handleClose} className="h-9 rounded-lg border border-line px-4 text-sm text-muted hover:bg-surface transition-colors">انصراف</button>
+            <button type="button" disabled={loading} onClick={handleSubmit} className="h-9 rounded-lg bg-accent px-4 text-sm font-semibold text-white hover:bg-accent/90 disabled:opacity-50 transition-colors">
+              {loading ? "در حال ذخیره..." : "افزودن پروژه"}
+            </button>
+          </div>
+        </div>
+      </div>
+    </div>
+  );
+}
+
 // صفحه‌ی پروژه‌ها — لیست + پنل جزئیات ۳ ستونه
 export function ProjectsPage() {
   useStoreData();
@@ -82,54 +165,53 @@ export function ProjectsPage() {
   const materials = useMaterials();
   const { standardConversions } = useUnits();
   const addProject = useAddProject();
+  const deleteProject = useDeleteProject();
   const topics = useAppStore((s) => s.topics);
+  const user = useAuthStore((s) => s.user);
+  const canManage = user?.role === "admin" || user?.role === "procurement_manager";
 
   const store: Store = { quotes, suppliers, materials, projects, standardConversions, topics };
 
   const [openProject, setOpenProject] = useState<string | null>(null);
-  const [newName, setNewName] = useState("");
+  const [showAddModal, setShowAddModal] = useState(false);
 
-  const addProj = () => {
-    const name = newName.trim();
-    if (!name) return;
-    const dup = projects.some((p) => normalize(p.name) === normalize(name));
-    if (dup) {
-      toast.error("این پروژه قبلاً ثبت شده است.");
-      return;
+  const handleAddProject = async (data: Omit<Project, "id">) => {
+    const dup = projects.some((p) => normalize(p.name) === normalize(data.name));
+    if (dup) { toast.error("این پروژه قبلاً ثبت شده است."); return; }
+    try {
+      await addProject.mutateAsync({ id: "", ...data });
+      setShowAddModal(false);
+      setOpenProject(data.name);
+      toast.success("پروژه با موفقیت اضافه شد.");
+    } catch {
+      toast.error("خطا در ثبت پروژه");
+    }
+  };
+
+  const handleDeleteProject = async (p: Project, e: React.MouseEvent) => {
+    e.stopPropagation();
+    if (!confirm(`آیا از حذف پروژه «${p.name}» مطمئن هستید؟`)) return;
+    try {
+      await deleteProject.mutateAsync(p.id);
+      toast.success("پروژه حذف شد.");
+      if (openProject === p.name) setOpenProject(null);
+    } catch (err: any) {
+      toast.error(err?.message || "این پروژه دارای پیشنهاد است و قابل حذف نیست");
     }
-    const p: Project = { id: nextId("p", projects), name };
-    void addProject.mutateAsync(p);
-    setNewName("");
-    setOpenProject(name);
-    toast.success("پروژه افزوده شد.");
   };
 
   return (
     <div className="min-h-screen">
-      <Header title="پروژه‌ها" sub="روی یک پروژه کلیک کنید تا جزئیات آن باز شود" backTo="/" backLabel="بازگشت به دفتر" />
+      <Header title="پروژه‌ها" sub="مدیریت پروژه‌های مشترک سامانه" backTo="/" backLabel="بازگشت به دفتر" />
       <PageLayout className="flex flex-col gap-4">
-        <div className="add-panel">
-          <h4>＋ افزودن پروژه‌ی جدید</h4>
-          <div className="grid max-w-md grid-cols-[1fr_auto] items-end gap-2">
-            <div className="field">
-              <label>نام پروژه *</label>
-              <input
-                type="text"
-                className="h-9 w-full rounded-lg border border-line bg-panel px-3 text-sm shadow-sm focus-visible:outline-none focus-visible:ring-2 focus-visible:ring-accent/40"
-                placeholder="مثلاً برج آیتا - فاز ۳"
-                autoComplete="off"
-                value={newName}
-                onChange={(e) => setNewName(e.target.value)}
-                onKeyDown={(e) => {
-                  if (e.key === "Enter") {
-                    e.preventDefault();
-                    addProj();
-                  }
-                }}
-              />
-            </div>
-            <Button onClick={addProj}>افزودن پروژه</Button>
-          </div>
+        <div className="add-panel flex items-center justify-between">
+          <h4>پروژه‌های سامانه</h4>
+          {canManage && (
+            <Button onClick={() => setShowAddModal(true)} className="flex items-center gap-1.5">
+              <Plus size={15} />
+              افزودن پروژه
+            </Button>
+          )}
         </div>
 
         {!projects.length && !quotes.length ? (
@@ -141,16 +223,37 @@ export function ProjectsPage() {
               const open = openProject === p.name;
               return (
                 <div key={p.id} className="flex flex-col gap-1.5">
-                  <button
-                    type="button"
-                    className={`proj-item ${open ? "open" : ""}`}
-                    onClick={() => setOpenProject(open ? null : p.name)}
-                  >
-                    <span className={open ? "text-accent" : "text-muted"}>{open ? "▾" : "▸"}</span>
-                    <span className="font-medium">{p.name}</span>
-                    <span className="proj-count">{faNum(count)} پیشنهاد</span>
-                  </button>
-                  {/* جزئیات دقیقاً زیر همان پروژه باز می‌شود */}
+                  <div className={`proj-item flex items-center gap-2 ${open ? "open" : ""}`}>
+                    <button
+                      type="button"
+                      className="flex flex-1 items-center gap-2 min-w-0 text-right"
+                      onClick={() => setOpenProject(open ? null : p.name)}
+                    >
+                      <span className={open ? "text-accent" : "text-muted"}>{open ? "▾" : "▸"}</span>
+                      <span className="font-medium truncate">{p.name}</span>
+                      {p.location && (
+                        <span className="flex items-center gap-0.5 text-[11px] text-muted shrink-0">
+                          <MapPin size={10} />{p.location}
+                        </span>
+                      )}
+                      {p.project_manager && (
+                        <span className="flex items-center gap-0.5 text-[11px] text-muted shrink-0">
+                          <UserCircle2 size={10} />{p.project_manager}
+                        </span>
+                      )}
+                      <span className="proj-count ms-auto shrink-0">{faNum(count)} پیشنهاد</span>
+                    </button>
+                    {canManage && (
+                      <button
+                        type="button"
+                        onClick={(e) => handleDeleteProject(p, e)}
+                        title="حذف پروژه"
+                        className="text-muted hover:text-red-600 transition-colors p-1 rounded shrink-0"
+                      >
+                        <Trash2 size={13} />
+                      </button>
+                    )}
+                  </div>
                   {open && <div className="ms-2">{renderProjectDetail(store, p.name)}</div>}
                 </div>
               );
@@ -158,6 +261,13 @@ export function ProjectsPage() {
           </div>
         )}
       </PageLayout>
+
+      <AddProjectModal
+        open={showAddModal}
+        onClose={() => setShowAddModal(false)}
+        onSubmit={handleAddProject}
+        loading={addProject.isPending}
+      />
     </div>
   );
 }
@@ -166,7 +276,6 @@ export function ProjectsPage() {
 function renderProjectDetail(store: Store, name: string): React.ReactElement {
   const quotes = projectQuotes(store.quotes, name);
 
-  // جمع مبلغ هر ستون فقط روی اقلامِ همین پروژه
   const itemsTotal = (q: Quote) =>
     itemsForProject(q, name).reduce((s, li) => s + (lineItemTotal(li) || 0), 0);
   const sumBy = (list: Quote[]) => list.reduce((s, q) => s + itemsTotal(q), 0);
@@ -196,10 +305,6 @@ function renderProjectDetail(store: Store, name: string): React.ReactElement {
     );
   };
 
-  // دسته‌بندی ایزوله per-project:
-  // - پذیرفته/رسیده فقط وقتی حداقل یک قلمِ غیرردشده برای «این» پروژه پذیرفته شده باشد؛
-  // - پیشنهادی که صرفاً کاندیداست (یا فقط برای پروژه‌ی دیگری پذیرفته شده) → پیشنهاد شده.
-  // - پیشنهادهای قدیمیِ بدون پروژه‌ی هدف، طبق وضعیت سراسری می‌مانند.
   const offered = quotes
     .filter(
       (q) =>

frontend/src/pages/Suppliers/CategoryPage.tsx

@@ -14,6 +14,7 @@ import { Combobox } from "../../components/Combobox";
 import { SupplierCard, suppliersOfCategory } from "./supplierUtils";
 import { materialLabel } from "../../lib/quoteUtils";
 import { Button } from "../../components/ui/button";
+import { useAuthStore } from "../../store/auth";
 
 // صفحه‌ی تأمین‌کننده‌های یک دسته + فرم افزودن تأمین‌کننده
 export function CategoryPage() {
@@ -26,6 +27,8 @@ export function CategoryPage() {
   const addSupplier = useAddSupplier();
   const removeSupplier = useRemoveSupplier();
   const topics = useAppStore((s) => s.topics);
+  const user = useAuthStore((s) => s.user);
+  const canManage = user?.role === "admin" || user?.role === "procurement_manager";
 
   const cat = useMemo(() => topicByName(catParam, topics)?.name ?? null, [catParam, topics]);
 
@@ -121,7 +124,7 @@ export function CategoryPage() {
                 key={s.id}
                 s={s}
                 topic={cat}
-                deletable
+                deletable={canManage}
                 onDelete={removeSup}
                 materials={supMats.get(s.id) || []}
                 avgLeadTime={supLeadTimes.get(s.id)}
@@ -130,10 +133,11 @@ export function CategoryPage() {
           </div>
         )}
 
-        <div className="add-panel">
-          <h4>
-            <Plus className="me-1 inline h-4 w-4 text-accent" /> افزودن تأمین‌کننده‌ی جدید
-          </h4>
+        {canManage && (
+          <div className="add-panel">
+            <h4>
+              <Plus className="me-1 inline h-4 w-4 text-accent" /> افزودن تأمین‌کننده‌ی جدید
+            </h4>
           <div className="grid max-w-2xl grid-cols-2 gap-3 max-md:grid-cols-1">
             <div className="field">
               <label>نام تأمین‌کننده *</label>
@@ -182,6 +186,7 @@ export function CategoryPage() {
             ذخیره تأمین‌کننده
           </Button>
         </div>
+        )}
       </PageLayout>
     </div>
   );

frontend/src/pages/Suppliers/SupplierDetailPage.tsx

@@ -14,6 +14,7 @@ import { MultiSelectCombobox } from "../../components/MultiSelectCombobox";
 import { ConfirmDeleteDialog } from "../../components/ConfirmDeleteDialog";
 import { normalize } from "../../lib/normalize";
 import { PurchaseHistory } from "./PurchaseHistory";
+import { useAuthStore } from "../../store/auth";
 
 // تمیزکاری و استانداردسازی شماره برای شماره‌گیر خودکار موبایل (اندروید و iOS)
 function cleanPhoneForTel(phone?: string | null): string {
@@ -32,6 +33,8 @@ export function SupplierDetailPage() {
   const quotes = useQuotes();
   const materials = useMaterials();
   const topics = useAppStore((s) => s.topics);
+  const user = useAuthStore((s) => s.user);
+  const canManage = user?.role === "admin" || user?.role === "procurement_manager";
 
   const s = useMemo(() => suppliers.find((x) => x.id === id) || null, [suppliers, id]);
   const [pendingRemove, setPendingRemove] = useState<string | null>(null);
@@ -184,13 +187,15 @@ export function SupplierDetailPage() {
           </div>
 
           <div className="mt-4 flex items-center gap-2">
-            <Link
-              to={`/wizard?topic=${encodeURIComponent(topicName)}&supplier=${encodeURIComponent(s.id)}`}
-              className="btn-line-file no-underline bg-accent text-white hover:bg-accent-dark"
-            >
-              <Plus className="h-3.5 w-3.5" />
-              پیشنهاد جدید
-            </Link>
+            {canManage && (
+              <Link
+                to={`/wizard?topic=${encodeURIComponent(topicName)}&supplier=${encodeURIComponent(s.id)}`}
+                className="btn-line-file no-underline bg-accent text-white hover:bg-accent-dark"
+              >
+                <Plus className="h-3.5 w-3.5" />
+                پیشنهاد جدید
+              </Link>
+            )}
             {firstCat ? (
               <Link to={`/suppliers/category/${encodeURIComponent(firstCat)}`} className="btn-line-file no-underline">
                 ‹ بازگشت به دسته
@@ -216,19 +221,23 @@ export function SupplierDetailPage() {
               {linked.map((c) => (
                 <span key={c} className="spec-chip">
                   {c}
-                  <button type="button" className="spec-chip-x" title="حذف متریال" onClick={() => setPendingRemove(c)}>
-                    <X className="h-3 w-3" />
-                  </button>
+                  {canManage && (
+                    <button type="button" className="spec-chip-x" title="حذف متریال" onClick={() => setPendingRemove(c)}>
+                      <X className="h-3 w-3" />
+                    </button>
+                  )}
                 </span>
               ))}
             </div>
           )}
-          <MultiSelectCombobox
-            values={[]}
-            onChange={(cats) => saveCategories(cats)}
-            options={materialOptions}
-            placeholder="افزودن متریال..."
-          />
+          {canManage && (
+            <MultiSelectCombobox
+              values={[]}
+              onChange={(cats) => saveCategories(cats)}
+              options={materialOptions}
+              placeholder="افزودن متریال..."
+            />
+          )}
           {purchased.length > 0 && (
             <div className="mt-3 border-t border-line pt-2">
               <div className="mb-1 text-[11px] font-semibold text-muted">متریال‌های خریداری‌شده (از پیشنهادها):</div>

frontend/src/store/auth.ts

@@ -11,10 +11,11 @@ import { persist } from "zustand/middleware";
 export interface AuthUser {
   id: string;
   casdoor_id: string;
+  username?: string;
   first_name: string;
   last_name: string;
   phone: string | null;
-  role: "pm" | "procurement_manager" | "admin" | null;
+  role: "pm" | "procurement_manager" | "admin" | "supervisor" | null;
   role_label: string | null;
   project_id: string | null; // پروژه‌ی فعال (PM) — با سوییچر عوض می‌شود
   project_name: string | null;

frontend/src/store/index.ts

@@ -41,6 +41,7 @@ interface AppStore {
   deleteSupplier: (id: string) => void;
   addMaterial: (m: Material) => void;
   addProject: (p: Project) => void;
+  deleteProject: (id: string) => void;
   setStandardConversion: (sc: StandardConversion) => void;
   deleteStandardConversion: (id: string) => void;
 
@@ -85,6 +86,7 @@ export const useAppStore = create<AppStore>()((set) => ({
   deleteSupplier: (id) => set((s) => ({ suppliers: s.suppliers.filter((x) => x.id !== id) })),
   addMaterial: (m) => set((s) => ({ materials: [...s.materials, m] })),
   addProject: (p) => set((s) => ({ projects: [...s.projects, p] })),
+  deleteProject: (id) => set((s) => ({ projects: s.projects.filter((p) => p.id !== id) })),
   setStandardConversion: (sc) =>
     set((s) => {
       const idx = s.standardConversions.findIndex((x) => x.id === sc.id);

sql/migration.sql

@@ -677,4 +677,16 @@ CREATE TABLE IF NOT EXISTS bot_drafts (
 CREATE INDEX IF NOT EXISTS ix_bot_drafts_chat_id ON bot_drafts(chat_id);
 CREATE INDEX IF NOT EXISTS ix_bot_drafts_chat_status ON bot_drafts(chat_id, status);
 
+-- ---------- UNIFIED PROJECTS (PM & PROCUREMENT SHARED SCHEMA) ----------
+ALTER TABLE projects ADD COLUMN IF NOT EXISTS location TEXT DEFAULT '';
+ALTER TABLE projects ADD COLUMN IF NOT EXISTS project_manager TEXT DEFAULT '';
+ALTER TABLE projects ADD COLUMN IF NOT EXISTS planned_start DATE;
+ALTER TABLE projects ADD COLUMN IF NOT EXISTS planned_end DATE;
+ALTER TABLE projects ADD COLUMN IF NOT EXISTS actual_start DATE;
+ALTER TABLE projects ADD COLUMN IF NOT EXISTS actual_end DATE;
+ALTER TABLE projects ADD COLUMN IF NOT EXISTS status TEXT DEFAULT 'ACTIVE';
+ALTER TABLE projects ADD COLUMN IF NOT EXISTS progress DOUBLE PRECISION DEFAULT 0.0;
+ALTER TABLE projects ADD COLUMN IF NOT EXISTS updated_at TIMESTAMPTZ DEFAULT now();
+ (revert: restore production to the state before 730d0bd (PM/RBAC work moved to 'pm'))
+
 COMMIT;