fix(studio): wire Settings → Deployments page into router and nav

[khuepm]

Summary

apps/studio/src/modules/settings/deployments-page.tsx đã hoàn chỉnh từ lâu — list targets, "Deploy now", poll status, xem build log, gọi backend /api/v1/deployments đã mount sẵn — nhưng không ai link tới nó: router.tsx không có route, sidebar Settings không có nav entry. git grep "DeploymentsPage\|deployments-page" -- apps/studio/src chỉ khớp đúng dòng khai báo của chính nó. Tức là dead code phía client kể từ khi ship.

PR này chỉ nối dây (không đụng backend/schema/SDK):

• Route — thêm /settings/deployments + biến thể $adminPath (/$adminPath/settings/deployments), theo đúng pattern createRoute({...}) + withSuspense(lazy(...)) của các trang Integrations kề bên (webhooks, git, email, notifications, extensions, marketplace đều có cả hai cây).
• Nav — { id: 'deployments', label: 'Deployments', to: '/settings/deployments' } vào nhóm integrations của settings/layout.tsx.
• Tripwire (DoD §6) — khoá cả class thay vì chỉ trang này: source-scan bắt buộc MỌI *-page.tsx trong modules/settings/ phải được router.tsx tham chiếu và MỌI nav to: phải có route khớp; cộng test chạy cây route thật trên memory history.

Loại thay đổi

• fix — Sửa bug
• test — Thêm / sửa test
• docs — Cập nhật tài liệu

Phase / Feature liên quan

Mở rộng #28 deployment-integrations (Setup Impact Registry) — phần Studio wiring còn thiếu. Xem docs/en/features/deployment-integrations.md §8.

---

✅ Definition of Done (DoD)

Code Quality

• Không có TypeScript error — pnpm typecheck 16/16 pass
• Tất cả tests pass — Studio 353/353 (63 file); pre-commit hook chạy full CMS 2264 passed / 3 skipped + Studio
• Không có lint error
• Self-review: diff nhỏ (5 dòng wiring + test + docs), đã đọc lại từng dòng

Architecture & Docs

• architecture.md — n/a, không đổi cấu trúc hệ thống
• apps/cms/openapi.yaml — n/a, không có endpoint mới (/api/v1/deployments đã tồn tại và đã có trong spec)
• packages/sdk — n/a, client.deployments.* đã có sẵn trong rest/legacy.ts + types
• docs/en/features/deployment-integrations.md §8 ghi rõ đường dẫn route + vị trí trong sidebar

Testing

• Unit test: settings/__tests__/deployments-page.test.tsx — render trang với API mock (targets + deployments + status badge)
• Integration test: settings/__tests__/deployments-route.test.tsx — dựng routeTree thật từ router.tsx trên createMemoryHistory, khẳng định /settings/deployments resolve ra trang trong SettingsLayout, link sidebar href="/settings/deployments" + aria-current="page", và /my-admin/settings/deployments cũng resolve
• Property-based test — n/a, không có boundary logic
• Test thủ công trên Docker runtime — chưa làm được, xem "Notes for Reviewers"

Negative control: stash 2 file wiring → 6/8 test đỏ; restore → xanh. Test không phải loại "luôn pass".

Runtime Compatibility

• CF Workers / [x] Node.js — n/a theo nghĩa runtime CMS: thay đổi thuần client-side routing trong SPA, không có code chạy server.

Security

• Không hardcode secret
• Input validation — không thêm input mới; form tạo target đã có sẵn và validate ở backend
• Multi-tenant isolation — không thêm query; các endpoint /api/v1/deployments giữ nguyên guard + scope siteId sẵn có
• Token không log/plaintext — không đụng đường token của deployment target (vẫn mã hoá at-rest ở backend)

Database / Migrations

• Không có schema change → không migration, không backfill

Conventional Commits

• fix(studio): wire Settings → Deployments page into router and nav

Setup impact (DoD §2)

• Dòng fix: prevent path traversal vulnerabilities #84 trong .kiro/specs/admin-setup-wizard/setup-impact.md, trạng thái n/a — KHÔNG seed / settings key / policy DB / bước wizard / capability / backfill. pnpm registry:check → 85 dòng, số không trùng.

Desktop/mobile shell impact (DoD §2d)

• Không ảnh hưởng. Không đụng token store (C1), getApiBaseUrl() (C2), build.outDir/base (C3), port dev 2026 (C4), API webview mới (C5), luồng auth/CORS (C6), /health (C7). Không thêm endpoint SPA gọi — route mới chỉ là client-side route nên shell Tauri nhận tự động.

Out-of-scope findings (DoD §7)

• Log B9 vào .kiro/steering/out-of-scope-backlog.md: cây admin-path còn thiếu change-feed và encryption — sidebar hiện hai link đó ở mọi instance, nhưng trên instance dùng custom admin path chúng không resolve. Cùng class "quên nối dây" với PR này, để open vì ngoài scope. Tripwire hiện cố ý chỉ kiểm cây /settings để không đỏ CI vì hai route sẵn thiếu; khi vá B9 thì mở rộng tripwire kiểm cả hai cây.

---

Screenshots / Recordings

Chưa có — xem "Notes for Reviewers".

Rollback Plan

Revert commit. Không có migration, không có state ngoài; revert đưa trang về đúng trạng thái cũ (không reachable), không ảnh hưởng deployment target đã tạo (dữ liệu nằm ở backend, vẫn dùng được qua API/SDK).

Notes for Reviewers

• Chưa verify được trên browser thật. Studio + CMS dev server chạy được ở máy local (/health 200), nhưng không có instance dùng được: lumibase/lumibase_setup_test chưa migrate, còn lumibase_base/lumibase_ci ở schema trước ADR-010 (thiếu cột realm) và /api/v1/setup/state trả uninitialized. Vào được /settings/deployments phải chạy setup wizard tạo tài khoản admin rồi đăng nhập. Bù lại, test deployments-route.test.tsx chạy cây route thật nên vẫn chứng minh được URL → trang và nav link → đúng URL. Ai có instance sẵn thì xác nhận giúp bằng ảnh chụp là đủ.
• Vì sao thêm cả 2 test? Test render trang đơn lẻ vốn vẫn xanh suốt thời gian trang chết — đó chính là lý do bug lọt. Nên phần giá trị nằm ở source-scan (mọi settings page phải có route) + route-tree test, không phải ở test render.
• Command palette (lib/keybindings/commands.ts) cố ý không đụng — danh sách đó vốn chỉ chọn một phần (change-feed, materialize, domains, uploads, notifications, git… cũng không có), thêm mỗi Deployments sẽ lệch quy ước hiện tại.
• Lưu ý môi trường (không liên quan diff): test jsdom của Studio không chạy được trên Node 20.16 (ERR_REQUIRE_ESM từ html-encoding-sniffer qua jsdom 29) — lỗi này có sẵn trên main. Mình chạy test + pre-commit hook bằng Node 22.22.2.