Thêm tính năng pending khi một thành viên thêm một người khác vào

rbac.middleware.ts

@@ -7,9 +7,8 @@ export class TourRoleGuard implements CanActivate {
 
   async canActivate(context: ExecutionContext): Promise<boolean> {
     const request = context.switchToHttp().getRequest();
-    const user = request.user; // Giả sử đã qua AuthGuard (Passport/JWT)
+    const user = request.user;
     
-    // UUID không cần parseInt
     const tourId = request.params.id || request.params.tourId;
     const path = request.url;
 
@@ -17,11 +16,11 @@ export class TourRoleGuard implements CanActivate {
       throw new ForbiddenException("Thông tin xác thực hoặc mã Tour không hợp lệ.");
     }
 
-    /**
-     * TỐI ƯU: Chỉ truy vấn Database 1 lần duy nhất để lấy thông tin thành viên.
-     * Chúng ta lưu kết quả vào request object để các interceptor hoặc controller 
-     * sau này có thể dùng lại mà không cần query lại.
-     */
+    if (path.includes('/join-requests') && request.method === 'POST' && !request.params.requestId) {
+      request.tourParticipation = null;
+      return true;
+    }
+
     const participation = await this.prisma.tourParticipant.findUnique({
       where: {
         tourId_userId: {
@@ -35,14 +34,12 @@ export class TourRoleGuard implements CanActivate {
       throw new ForbiddenException("Bạn không phải là thành viên của tour này.");
     }
 
-    // Gắn thông tin vào request để sử dụng ở tầng Controller
     request.tourParticipation = participation;
 
     const role = participation.role;
     const isPlanPath = path.includes('/plans');
     const isExpensePath = path.includes('/expenses');
 
-    // Theo định nghĩa mới: MEMBER_NO_FINANCE và VIEWER_ONLY bị hạn chế
     if (
       (role === 'MEMBER_NO_FINANCE' || role === 'VIEWER_ONLY') &&
       (isPlanPath || isExpensePath)