Vælg hvilke tags en aftale dækker. Gemte ændringer bevares i historikken.
{% include "workflows/frontend/_nav.html" %}
Henter aftaler og klippekort…
{% endblock %}
{% block extra_js %}{% endblock %}
diff --git a/app/workflows/ui_access.py b/app/workflows/ui_access.py
new file mode 100644
index 0000000..9eef1d2
--- /dev/null
+++ b/app/workflows/ui_access.py
@@ -0,0 +1,11 @@
+"""Page controls follow the same effective permissions as the API guards."""
+
+def page_permissions(user):
+ permissions = set(user.get('permissions') or [])
+ admin = bool(user.get('is_superadmin'))
+ result = {key: admin or 'workflows.' + key in permissions
+ for key in ('view', 'manage', 'activate', 'override', 'settle')}
+ result['decisions_view'] = admin or 'workflows.decisions.view' in permissions
+ result['system_admin'] = admin or 'system.admin' in permissions
+ result['economic_export'] = admin or 'economic.documents.export' in permissions
+ return result
diff --git a/app/workflows/views.py b/app/workflows/views.py
index 0dd448e..cf61f75 100644
--- a/app/workflows/views.py
+++ b/app/workflows/views.py
@@ -2,21 +2,24 @@ from fastapi import APIRouter, Depends, Request
from fastapi.responses import HTMLResponse
from fastapi.templating import Jinja2Templates
from app.workflows.router import view_access
+from app.core.auth_dependencies import require_all_permissions
+from app.workflows.ui_access import page_permissions
router = APIRouter()
templates = Jinja2Templates(directory='app')
+resource_access = require_all_permissions('workflows.view', 'workflows.manage')
@router.get('/workflows', response_class=HTMLResponse)
def workflow_page(request: Request, user=Depends(view_access)):
- return templates.TemplateResponse('workflows/frontend/builder.html', {'request': request})
+ return templates.TemplateResponse('workflows/frontend/builder.html', {'request': request, 'workflow_permissions': page_permissions(user)})
@router.get('/workflows/resources', response_class=HTMLResponse)
-def resource_page(request: Request, user=Depends(view_access)):
- return templates.TemplateResponse('workflows/frontend/resources.html', {'request': request})
+def resource_page(request: Request, user=Depends(resource_access)):
+ return templates.TemplateResponse('workflows/frontend/resources.html', {'request': request, 'workflow_permissions': page_permissions(user)})
@router.get('/workflows/operations', response_class=HTMLResponse)
def operations_page(request: Request, user=Depends(view_access)):
- return templates.TemplateResponse('workflows/frontend/operations.html', {'request': request})
+ return templates.TemplateResponse('workflows/frontend/operations.html', {'request': request, 'workflow_permissions': page_permissions(user)})
diff --git a/docs/workflow-manuel-testplan.md b/docs/workflow-manuel-testplan.md
new file mode 100644
index 0000000..eef78a1
--- /dev/null
+++ b/docs/workflow-manuel-testplan.md
@@ -0,0 +1,347 @@
+# Manuel testplan – workflows, tags og afregning
+
+Dato: 8. oktober 2026. Grundlag: lokal implementering `b398278` og [implementeringsstatus](workflow-status.md).
+
+Planen er til manuel accepttest; nedenstående resultater er forventninger, ikke allerede udførte manuelle tests. Kør i rækkefølge. Sæt hver test til **Bestået / Fejlet / Ikke testet**, og notér ID'er og observationer i skemaet nederst.
+
+## Nye sider
+
+Links bruger standardporten 8001. Log ind på den lokale Hub først.
+
+De nye administrationssider findes i hovedmenuen **Automatisering**. Menupunkterne følger brugergruppernes rettigheder: Workflows og Workflowdrift kræver `workflows.view`; Aftaledækning kræver både `workflows.view` og `workflows.manage`; Tagklassifikation kræver `system.admin`. Personlige menuindstillinger kan desuden skjule et tilladt punkt. Hvorfor åbnes fortsat fra den konkrete tid.
+
+| Side | Lokalt link | Indhold |
+|---|---|---|
+| Workflow Builder | [Åbn workflows](http://localhost:8001/workflows) | Regler, versioner, simulator, aktivering, kopiering og deaktivering |
+| Aftaler og klippekort | [Åbn aftaledækning](http://localhost:8001/workflows/resources) | Inkluderede/udelukkede tags, undertags og månedspris |
+| Workflowdrift | [Åbn drift og eksport](http://localhost:8001/workflows/operations) | Faktisk motortilstand, kø, fejlede hændelser, genforsøg og eksportafstemning |
+| Afregningsbeslutning | `http://localhost:8001/workflows/time/TIDS_ID` | Hvorfor, beslutningshistorik, manuel overstyring og genberegning. Erstat TIDS_ID med en faktisk tidsregistrerings ID; siden åbnes også via Hvorfor i økonomikøen |
+| Taghierarki og klassifikation | [Åbn klassifikation](http://localhost:8001/tags/classification) | Overtagsstruktur, nøgleordsregler, AI-forslag, godkendelse og taghistorik |
+
+Eksisterende sider, som er udvidet og også skal testes:
+
+- [Økonomikø](http://localhost:8001/economy/time-queue): workflowmetode, Hvorfor, godkendelse og valg mellem separate/samlede fakturalinjer.
+- [Tags](http://localhost:8001/tags): oprettelse af tags og link til klassifikation.
+- [Fastprisrapporter](http://localhost:8001/fixed-price-agreements/reports/dashboard): pris-/kostprisestimater og det eksisterende forbrugsgrundlag.
+- Sagsvisning, tidscomposer og bundbar: eksisterende sider/komponenter, hvor medarbejderens afregningsvalg skjules for aktive workflowkunder.
+
+## 1. Miljø og startpunkt
+
+Brug kun den lokale udviklingsinstallation, normalt `http://localhost:8001`. Hvis lokalporten er ændret, brug den faktiske lokale port. Brug ikke produktionsadressen. Migrationerne 1062–1066 er installeret lokalt; motoren er som udgangspunkt slukket.
+
+- Brug en særskilt testkunde, fx `WF TEST – må ikke faktureres`, og nye testsager med præfikset `WF TEST`. Brug **ikke kunde 24**, medmindre den faktisk er en isoleret testkunde.
+- En gendannet testdatabase kan indeholde rigtige kunder og integrationer. Kontrollér, at øvrige lokale schedulerjobs og integrationer ikke sender til produktion. Workflowflagene styrer kun den nye motor.
+- Brug en administrator til opsætning, en almindelig medarbejder til tidsregistrering og en bogholder med workflowrettigheder til godkendelse. Administratoren kan gennemføre første runde alene; gentag rettighedstesten med separate brugere.
+- Workflowrettigheder: `workflows.view`, `workflows.manage`, `workflows.activate`, `workflows.decisions.view`, `workflows.override`, `workflows.settle`. Tagadministration kræver `system.admin`. Roller får ikke automatisk de nye rettigheder.
+- Tag et nyt lokalt checkpoint før aktive tests. Kommandoerne nedenfor ændrer ikke konfiguration automatisk.
+
+I **zsh**, fra `/Users/christianthomas/DEV/bmc_hub_dev`, vis først backuphandlingen:
+
+```zsh
+./.venv/bin/python scripts/workflow_backup.py backup
+```
+
+Opret derefter backuppen:
+
+```zsh
+./.venv/bin/python scripts/workflow_backup.py backup --apply --confirm BACKUP-LOCAL-BMC
+```
+
+Notér den udskrevne mappe. `/private/tmp` er midlertidig opbevaring; bevar en privat kopi varigt. [Tilbageførsel](workflow-rollback.md) beskriver de forskellige muligheder.
+
+### Skift testtilstand
+
+Ret kun de nedenstående nøgler i den **lokale `.env`**; bevar resten af filen og eventuelle eksisterende værdier til senere gendannelse. Kundelisten er JSON med testkundens **Hub-kunde-ID**, ikke et vTiger-ID.
+
+| Nøgle | Slukket | Skyggetilstand | Aktiv test |
+|---|---|---|---|
+| `WORKFLOWS_ENABLED` | `false` | `true` | `true` |
+| `WORKFLOWS_MODE` | `shadow` | `shadow` | `active` |
+| `WORKFLOWS_CUSTOMER_IDS` | `[]` | `[TESTKUNDE_ID]` | `[TESTKUNDE_ID]` |
+| `WORKFLOWS_INTERNAL_ENABLED` | `false` | `false` | `false` |
+| `WORKFLOW_AI_ENABLED` | `false` | `false` | `false` |
+
+Erstat `TESTKUNDE_ID` med et tal, fx `[123]`. En aktiveret workflowversion og en aktiveret motor er to forskellige ting; begge skal være sat korrekt.
+
+Efter ændringer til `.env` skal Docker-servicen genskabes, fordi `env_file` indlæses ved oprettelse. En almindelig restart er ikke tilstrækkelig til at erstatte containerens gamle miljøvariabler.
+
+Kontrollér først Compose-filen i zsh:
+
+```zsh
+docker compose -f docker-compose.yml config --quiet
+```
+
+Hvis den består, genopret kun den lokale API-service:
+
+```zsh
+docker compose -f docker-compose.yml up -d --no-deps --force-recreate api
+```
+
+Kontrollér derefter den faktiske tilstand på `/workflows/operations`. Fortsæt kun, når banneret viser den forventede tilstand og kundeliste. Ved brug af lokal uvicorn i stedet for Docker: stop og start den samme lokale proces med den opdaterede konfiguration.
+
+## 2. Testdata
+
+Opret via de eksisterende kunde-, aftale-, kort-, tag- og sagsskærme. Brug samme testkunde til alle finansielle tests og en anden testkunde uden for kundelisten til kontrol.
+
+| Data | Opsætning / ID, du skal notere |
+|---|---|
+| Kunde A | Workflowtestkunde, Hub-ID: ______ |
+| Kunde B | Kontrolkunde uden for kundelisten, Hub-ID: ______ |
+| Tags | `WF TEST Microsoft` → `WF TEST Office` → `WF TEST Excel`; desuden `WF TEST Mobiltelefoni` og `WF TEST IT-support` |
+| Excel-nøgleord | Hele ord: `Excel`; alternativer `regneark`; særskilt Indeholder-regel: `.xlsx`; negativt ord `uden Excel`; prioritet 10 |
+| Fastprisaftale A | Aktiv for kunde A, gældende i testperioden; fx 20 timer og intern kostpris 300 kr./time; notér ID |
+| Klippekort A | Aktivt for kunde A, 2 timer til rådighed, afrunding 30 minutter; notér ID og startsaldo |
+| Sag A1 | Kunde A, titel `WF TEST Excel`, manuel tagtildeling Excel |
+| Sag A2 | Kunde A, titel `WF TEST Mobil`, tag Mobiltelefoni |
+| Sag A3 | Kunde A, titel `WF TEST Kort`, tag IT-support |
+| Sag B1 | Kunde B, titel `WF TEST Kontrol` |
+| Fakturavare | Et eksisterende aktivt Hub-varenummer med korrekt e-conomic-tilknytning; notér nummeret. Ellers test lokal standardvare og spring specifik varetest over |
+
+Tags oprettes på `/tags`; overtag og nøgleord vedligeholdes på `/tags/classification`. Markér de tags, som bruges til afregning, med **Kan påvirke afregning**. Brug testtags i en gruppe, der tillader flere tags, så eksisterende enkeltvalgsregler ikke forstyrrer testen.
+
+På `/workflows/resources`: sæt aftale A til at dække Microsoft inklusive undertags, udelukke Mobiltelefoni og have månedspris 15.000 kr. Sæt kort A til kun at dække IT-support. Gem og genåbn for at kontrollere værdierne. Ændr kun testressourcer.
+
+### Testworkflows
+
+Opret på `/workflows`. Felter og handlinger har danske navne: `tag_ids` vises som Tags, `contains` som Indeholder og `hours` som Timer. Sæt **Kunde** til kunde A. Brug Tags + Indeholder til tagbetingelser.
+
+| Navn | Prioritet | IF | Handling | Stop efter match |
+|---|---:|---|---|---|
+| WF TEST Mobil | 10 | Tag indeholder Mobiltelefoni | Vælg afregning → Faktura, evt. testvarenummer | Ja |
+| WF TEST Kort | 20 | Tag indeholder IT-support | Vælg afregning → Klippekort, vælg kort A | Ja |
+| WF TEST Office | 30 | Tag indeholder Microsoft, Medtag undertags = ja | Vælg afregning → Fastpris, vælg aftale A | Ja |
+| WF TEST Standard | 100 | `hours` `gt` `0` | Send til manuel vurdering, begrundelse `Ingen testregel dækkede arbejdet` | Ja |
+
+Trigger skal være **Tid oprettet** (`time.created`). Gem, test den gemte version med en relevant sag, og aktivér den testede version. Lav derefter kopier med trigger **Tid ændret** (`time.updated`), gem, test og aktivér dem. Oprettelsesregler matcher ikke automatisk ændringshændelser; begge sæt er nødvendige til genberegningstests.
+
+Aktivér kun testreglerne. Eksisterende aktive regler kan påvirke resultatet; notér dem og gennemgå deres scope før testen. Simulatoren tester den valgte definition, mens køen evaluerer alle relevante aktive workflows.
+
+## 3. Slukket motor og simulator
+
+### T01 – Eksisterende arbejdsgang
+
+1. Sæt slukket tilstand og kontrollér banneret.
+2. Registrér almindelig tid på sag B1 gennem den normale medarbejderskærm.
+3. Åbn økonomikøen `/economy/time-queue` og kontrollér den eksisterende afregningsarbejdsgang.
+
+**Forventet:** ingen ny automatisk workflowbeslutning og ingen ændring af de hidtidige valg. Sammenlign med arbejdsgangen fra før ændringen. Undlad afregning af kontroltiden.
+
+### T02 – Hierarki, søgning og cyklus
+
+1. Find Excel på `/tags/classification`. Kontrollér stien Microsoft / Office / Excel.
+2. Søg på `Excel`, derefter `Microsoft`. Kontrollér også tagvælgeren på en testsag.
+3. Forsøg at sætte Microsofts overtag til Excel.
+
+**Forventet:** søgning og tagvalg virker; cyklusforsøget afvises og det oprindelige hierarki bevares efter genindlæsning.
+
+### T03 – Simulator og undertags
+
+1. Åbn Office-workflowet og vælg **Eksisterende data → Sag**, ID A1.
+2. Klik **Test gemt version**. Kontrollér Fastpris og match på Microsoft med undertags.
+3. Notér kortsaldo, aftaleforbrug og antal testordrekladder. Gentag testen tre gange.
+4. Gem en ny version med Medtag undertags = nej, og test samme sag.
+
+**Forventet:** den første version matcher Excel gennem Microsoft. Den anden matcher ikke Microsoft, når kun Excel er tildelt. Simulatoren ændrer hverken tags, saldo, forbrug eller kladder. Gem en tredje version med undertags aktiveret igen til de følgende tests.
+
+### T04 – Versioner, kopiering og tilbagevalg
+
+1. Kontrollér at **Aktivér testet version** er deaktiveret før test.
+2. Test, og ændr derefter en betingelse uden at gemme. Aktivér må igen være deaktiveret.
+3. Gem en ny version; kontrollér at den gamle version stadig kan vælges og indeholder den gamle regel.
+4. Kopiér workflowet; kopien må være inaktiv. Deaktivér kopien.
+5. Vælg en tidligere version, test og aktivér den. Kontrollér aktiveringshistorikken.
+
+**Forventet:** aktivering kræver test af den gemte version; gamle versioner bevares. Gendan og aktivér de tilsigtede testversioner før næste fase.
+
+### T05 – AND, OR og ELSE IF
+
+1. Lav et særskilt inaktivt simulatorworkflow: kunde A **AND** (beskrivelse indeholder `Excel` **OR** `regneark`) → Faktura.
+2. Tilføj ELSE IF beskrivelse indeholder `intern test` → Ikke fakturerbar; ELSE → manuel vurdering.
+3. Test indtastede data: kunde A + `Hjælp med Excel`; kunde A + `Hjælp med regneark`; kunde B + `Excel`; kunde A + `intern test`.
+
+**Forventet:** henholdsvis Faktura, Faktura, manuel vurdering og Ikke fakturerbar. Sporet viser både match og ikke-match. Hold dette workflow inaktivt.
+
+## 4. Skyggetilstand
+
+### T06 – Analyse uden forretningsændringer
+
+1. Sæt skyggetilstand; lad AI være slukket. Kontrollér banneret.
+2. Registrér 45 minutter på A1 med beskrivelse `Hjulpet med Excel` og notér tids-ID.
+3. Vent op til 60 sekunder, og genindlæs økonomikøen. Jobbet kører normalt hvert 15. sekund; større køer kan tage længere.
+4. Åbn **Hvorfor?**, eller `/workflows/time/TIDS_ID`.
+5. Sammenlign kortsaldo, aftaleforbrug, kladder og konkrete tags med før registreringen.
+
+**Forventet:** skyggeresultat foreslår Fastpris og viser spor/historik. Motoren har ikke ændret afregning, trukket timer eller tilføjet automatiske tags. Manuel overstyring/afregning gennem workflow kræver aktiv tilstand. Eksisterende automatisering kan stadig reagere; undersøg dens kilde ved ændringer.
+
+## 5. Aktiv test på kunde A
+
+Skift til aktiv test. Opret **nye** tidsregistreringer; tidligere hændelser, der allerede er behandlet i skyggetilstand, skal ikke forventes automatisk genafspillet.
+
+### T07 – Medarbejderen vælger kun tid og beskrivelse
+
+1. Som medarbejder: registrér 45 minutter på A1, `Hjulpet med Excel`.
+2. Kontrollér sagsskærm, tidscomposer og bundbar: afregningsvalg/direkte godkendelse må ikke være tilgængelige for denne aktive workflowkunde.
+3. Registrér tid på B1 som kontrol.
+
+**Forventet:** A-tiden går videre til bogholderiet uden medarbejdervalg af afregning. B følger eksisterende arbejdsgang. Ingen korttimer trækkes ved registrering.
+
+### T08 – Fastpris, faktura, kort og manglende regel
+
+Opret én ny tid på hver sag: A1 45 min, A2 30 min og A3 15 min. Opret også en ny sag for A uden testtags og registrér 20 min med neutral beskrivelse.
+
+**Forventet i Hvorfor:** A1 Fastpris med aftale A; A2 Faktura; A3 Klippekort med kort A; neutral tid manuel vurdering. Bogholderiet kan se de anvendte workflows og deres spor. Saldo og forbrug er uændrede før godkendelse.
+
+### T09 – Nøgleord, negative ord og manuelle tags
+
+1. Brug nye A-sager uden Excel-tag. Registrér `Excel`, `Hjælp med regneark`, `Åbnede filen budget.xlsx`, `Excelkursus` og `Arbejdet blev udført uden Excel` på forskellige tider.
+2. Se klassifikationshistorik for **Tidsregistrering** og tids-ID på `/tags/classification`. Se også Hvorfor → Tekniske detaljer for konkrete tag-ID'er.
+3. Brug ikke en sag med Excel i titel/beskrivelse til de negative prøver; klassifikationen bruger også sagens indhold.
+
+**Forventet:** de første tre giver Excel-tag via nøgleordsregler. `Excelkursus` matcher ikke Hele ord-reglen; den negative formulering matcher ikke den pågældende regel. Andre regler kan stadig matche, så gennemgå alle regelkilder. Et manuelt tildelt tag skal bevares ved senere behandling; historie skal vise kilden.
+
+### T10 – Konflikt og prioritet
+
+1. Kopiér Mobil-workflowet med samme kunde, trigger og prioritet 10, men vælg Ikke fakturerbar. Test og aktivér kopien.
+2. Registrér ny tid på A2.
+3. Kontrollér manuel vurdering og konfliktspor; der må ikke oprettes afregning automatisk.
+4. Deaktivér konfliktkopien og opret en ny A2-tid.
+
+**Forventet:** to modstridende afregningsvalg i samme prioritetsgruppe giver manuel vurdering, også med Stop efter match. Uden kopien vælges Faktura. En senere regel med højere prioritetsnummer må ikke tilsidesætte et stoppet match.
+
+### T11 – Manuel overstyring og genberegning
+
+1. Vælg en endnu ikke afregnet A2-tid. På Hvorfor: prøv overstyring uden begrundelse.
+2. Vælg Ikke fakturerbar, skriv `Manuel testaftale`, og gem overstyring.
+3. Klik **Genberegn (bevar overstyring)**. Redigér også tidsbeskrivelsen og vent på ny behandling.
+4. Kontrollér metode og historik. Som administrator: skriv en begrundelse og klik **Ophæv overstyring og genberegn**.
+
+**Forventet:** tom begrundelse afvises; historik bevarer oprindelig beslutning og overstyring. Normal genberegning bevarer overstyringen; eksplicit ophævelse anvender de aktive `time.updated`-regler. Ingen afregning udføres af disse knapper.
+
+### T12 – Bogholderiets preview og godkendelse
+
+1. Åbn `/economy/time-queue`, filtrér kunde A og derefter hver faktureringstype; kontrollér også filter for afsluttede sager.
+2. Vælg kun nye, ubehandlede A-tider med entydige beslutninger. Kontrollér at de gamle fælles metodevalg er deaktiverede.
+3. Åbn preview. Notér saldo og forbrug før og efter preview.
+4. Klik **Gennemfør afregning** én gang. Kontrollér tider og de relevante ressourcer.
+
+**Forventet:** preview ændrer intet. Faktura opretter lokal ordrekladde; Fastpris øger faktisk forbrug med 0,75 time ved A1-prøven; kortet trækker 0,5 time for A3's 15 minutter ved 30-minutters afrunding. Intern/Ikke fakturerbar opretter ingen fakturakladde. Intet sendes til e-conomic fra denne godkendelse.
+
+### T13 – Separate eller samlede fakturalinjer
+
+1. Registrér to nye A2-tider på samme sag, 30 og 45 minutter, samme vare og sats.
+2. Vælg begge, vælg separate linjer, og se preview: forvent to linjer med tilsammen 1,25 time. Gennemfør og notér kladde-ID.
+3. Opret et nyt tilsvarende par, vælg sammenlagte linjer og gennemfør.
+
+**Forventet:** andet par samles til én linje med 1,25 time, og alle tids-ID'er kan spores. Forskellige varenumre må ikke samles som samme vare. Brug nye tider til hver prøve; allerede afregnede tider kan ikke bruges igen.
+
+### T14 – Saldo, dækning og datoer
+
+1. Notér kortets aktuelle saldo. Opret korttid, der kræver flere afrundede timer end saldoen.
+2. Prøv en Fastpris-overstyring på Mobil-tid, selvom Mobil er udelukket af aftalen.
+3. Brug en separat udløbet/inaktiv testaftale eller et udløbet testkort i en regel eller overstyring.
+4. Prøv en manglende/ukendt fakturavare på en ny fakturatid, og godkend gennem køen.
+
+**Forventet:** manuel vurdering eller tydelig afvisning; ingen negativ saldo, ugyldigt aftaleforbrug eller halv oprettet kladde. En manglende vare kan først afvises ved afregning. En manuel overstyring må ikke omgå ressourcevalidering. Notér det faktiske tidspunkt og den viste fejl.
+
+### T15 – Gentagen og samtidig godkendelse
+
+1. Opret en ny A3-tid med tilstrækkelig saldo. Åbn samme valg i to browserfaner og lav preview i begge.
+2. Gennemfør i den første fane, derefter i den anden. Prøv også dobbeltklik ved en separat ny test.
+3. Kontrollér kortets transaktionshistorik og saldo, ikke kun toastbeskeden.
+
+**Forventet:** højst ét korttræk pr. tids-ID. Andet forsøg er allerede behandlet eller afvises. Gentag med Faktura: højst én kladde pr. tids-ID. Hvorfor kan stadig dokumentere den afregnede beslutning, og ændring/genberegning af den skal afvises.
+
+### T16 – Fastprisrapport og rettigheder
+
+1. Åbn eksisterende fastprisrapport `/fixed-price-agreements/reports/dashboard`; kontrollér testaftalens månedspris, budget og forbrug efter godkendelse.
+2. Kontrollér rentabilitet for den relevante periode: månedens pris og intern kostpris indgår, og brugte timer er de godkendte testtimer. Skeln mellem dashboardets estimat og faktisk perioderapport.
+3. Log ind som medarbejder uden administrationsrettigheder. Forsøg at åbne workflow-/tagadministration, overstyre og godkende.
+4. Log ind som bogholder med de tilsigtede rettigheder og kontrollér tilladte handlinger.
+5. Kontrollér Automatisering-menuen: medarbejderen uden rettigheder ser ingen nye punkter; læsebrugeren ser Workflows/Workflowdrift, men ingen redigeringsknapper eller Aftaledækning/Tagklassifikation. En systemadministrator med kun `system.admin` ser Tagklassifikation. Kontrollér også direkte URL'er.
+6. Skjul et tilladt menupunkt i Profil → menuindstillinger, genindlæs og kontrollér, at det forbliver skjult. Vis det igen. Et punkt uden adgang må ikke kunne gøres synligt gennem personlige menuvalg.
+7. Kontrollér de fem sider i lyst/mørkt tema og ved smal vinduesbredde: tekst, felter, knapper og tagstier skal kunne læses uden afskårne handlinger.
+
+**Forventet:** ingen nye skriverettigheder for medarbejderen. En synlig knap er ikke i sig selv bevis på adgang; handlingen skal afvises af serveren, hvis rettigheden mangler.
+
+### T17 – Øvrige handlinger og stop af loops
+
+1. Opret særskilt testworkflow med `case.created` for kunde A, titlen `WF TEST Handling`, og handlinger Opret opgave, Sæt felt → priority med en gyldig eksisterende prioritet, og Notifikation til testbrugeren.
+2. Test, aktivér og opret en ny testsag. Kontrollér én opgave, den valgte prioritet og frontendnotifikation; ingen workflowmail/Mattermost forventes.
+3. Test Opret reminder med fremtidigt tidspunkt og testmodtager på en ny testsag.
+4. Valgfrit: opret to testworkflows, som starter hinanden. Kontrollér at kæden stopper; følg køen på Drift og eksport. Deaktivér dem straks efter prøven.
+
+**Forventet:** handlinger knyttes til den rigtige sag. Gentagen behandling skaber ikke samme handling igen for samme event. Loop afvises eller stoppes af kædegrænsen; det må ikke fortsætte uden begrænsning. Nye, forskellige events kan legitimt udføre en regel igen.
+
+## 6. Valgfrie integrationstests
+
+### T18 – AI-forslag
+
+Kun hvis lokal Ollama-model og endpoint fungerer. Notér eksisterende værdier; ret ingen produktionsendpoint. Sæt `WORKFLOW_AI_ENABLED=true`, behold aktiv testkunde og sæt tærsklerne til `WORKFLOW_AI_AUTO_THRESHOLD=90`, `WORKFLOW_AI_SUGGEST_THRESHOLD=70`. Genopret API og kontrollér banneret.
+
+1. Lav en ny sag med neutral tekst og en ny tid: `Formlerne beregner forkert i regnearket`. Undgå konfigurerede nøgleord, hvis du vil isolere AI-delen; justér testteksten til fx `Cellerne viser forkerte beregnede tal`.
+2. Vent på AI-jobbet. På `/tags/classification`: vælg Tidsregistrering, angiv tids-ID og klik Vis.
+3. Kontrollér forslagets tag, model, forklaring og confidence i historikken. Et forslag er ikke garanteret, da modellen er variabel.
+4. Hvis Excel foreslås og påvirker afregning: prøv bogholderigodkendelse før review; godkend eller afvis derefter forslaget med begrundelse.
+5. Genindlæs Hvorfor efter ny behandling. Test også en ændret beskrivelse, mens et job endnu afventer.
+
+**Forventet:** afregningsrelevante AI-tags kræver review selv ved høj confidence og blokerer afregning, mens relevante forslag/job er uafklarede. Gamle resultater må ikke anvendes på ændret tekst. AI-confidence er modellens vurdering. Hvis modellen ikke foreslår et relevant tag, markér reviewprøven Ikke testet; det er ikke bevis på fungerende review. Ved utilgængelig AI: undersøg jobstatus/teknisk log og markér integrationen fejlet eller blokeret.
+
+Slå AI fra igen efter testen. Automatisk AI-kø er implementeret for tidsregistrering; antag ikke, at oprettelse af en vilkårlig mail alene starter denne AI-kø.
+
+### T19 – e-conomic
+
+Spring denne prøve over, hvis der ikke er en verificeret særskilt e-conomic-testaftale med testkunde og testvare. En lokal Hub er ikke garanti for, at e-conomic-forbindelsen er test. Denne prøve opretter en ekstern ordre via den eksisterende ordreeksport.
+
+1. Vælg én workflowoprettet fakturakladde. Kontrollér kunde, vare, timer og beløb samt eksportbrugerens eksisterende rettighed `economic.documents.export`.
+2. Overfør gennem den eksisterende ordreskærm. Notér ekstern ordre og eksportreference på `/workflows/operations`.
+3. Forsøg samme eksport igen; kontrollér i e-conomic, at der ikke er en ekstra ordre.
+4. Ved reelt uafklaret svar: brug **Kontrollér og afstem eksisterende ordre** med den eksisterende ordres nummer. Prøv ikke blind geneksport.
+
+**Forventet:** én ekstern ordre, stabil reference og bevaret tids-/linjespor. Afstemning kontrollerer kunde, varer og beløb og opretter ikke en ny ordre. En forkert ordres nummer afvises. Fremprovokér ikke en timeout ved at slukke produktion/netværk; fejl-/timeoutprøven kan markeres Ikke testet, hvis et kontrolleret testsetup mangler.
+
+## 7. Sluk igen og kontrollér tilbagevejen
+
+### T20 – Deaktivering uden tab af data
+
+1. Notér sidste afregning, kortsaldo, forbrug og kladde-ID'er.
+2. Sæt `WORKFLOWS_ENABLED=false`, `WORKFLOW_AI_ENABLED=false`, `WORKFLOWS_INTERNAL_ENABLED=false`; genopret API.
+3. Kontrollér Slukket på `/workflows/operations`.
+4. Opret en ny kontroltid og kontrollér den gamle arbejdsgang.
+5. Kontrollér at tidligere beslutninger og gennemførte afregninger stadig kan dokumenteres.
+
+**Forventet:** ny workflowbehandling ophører. Slukning tilbagefører ikke gennemførte korttræk eller sletter kladder; historik bevares. Deaktivér testworkflows, og arkivér testdata gennem eksisterende funktioner. Ret gennemførte testafregninger gennem den normale økonomiproces.
+
+Permanent afinstallation og fuld databasegendannelse indgår **ikke** i den almindelige manuelle test. Afprøv kun dette i en separat disposable database efter [rollbackvejledningen](workflow-rollback.md). En fuld restore fjerner også senere data.
+
+## 8. Fejlrapport og accept
+
+Hvis der er uventet korttræk, dobbelt kladde, forkert kunde, manglende historik eller ændringer i skyggetilstand: stop den aktive test, slå motor/AI fra og bevar data til fejlsøgning. Fortsæt ikke med flere afregninger.
+
+Notér ved fejl: testnummer, lokal URL, tidspunkt, brugerrolle, kunde-/sag-/tids-ID, workflow og version, tilstand, forventet/faktisk resultat og eventuel fejltekst. Gem gerne et skærmbillede og Hvorfor-detaljer; del ingen tokens, passwords eller `.env`-indhold.
+
+| Test | Bestået / Fejlet / Ikke testet | ID'er og observationer |
+|---|---|---|
+| T01 Eksisterende adfærd | | |
+| T02 Hierarki | | |
+| T03 Simulator/undertags | | |
+| T04 Versioner | | |
+| T05 AND/OR/ELSE IF | | |
+| T06 Skyggetilstand | | |
+| T07 Medarbejderflow | | |
+| T08 Afregningsvalg | | |
+| T09 Nøgleord | | |
+| T10 Konflikter | | |
+| T11 Overstyring | | |
+| T12 Godkendelse | | |
+| T13 Fakturalinjer | | |
+| T14 Ressourcekontrol | | |
+| T15 Dobbeltbehandling | | |
+| T16 Rapporter/rettigheder | | |
+| T17 Handlinger/loops | | |
+| T18 AI (valgfri) | | |
+| T19 e-conomic (valgfri) | | |
+| T20 Deaktivering | | |
+
+Grundforløbet er manuelt accepteret, når T01–T17 og T20 består, og ingen alvorlige fejl står åbne. AI og e-conomic kan kun accepteres særskilt efter deres egne tests. Slukket standard er ikke i sig selv godkendelse til produktion.
+
+Automatisk SLA/eskalering, aftaleudløb samt eventkilder til `reminder.due` og `notification.created` er endnu ikke tilkoblet og kan ikke accepteres med denne plan. Registrér dem som **Ikke implementeret**, ikke Bestået. Sagoprettelse via workflow er heller ikke implementeret. Se [status](workflow-status.md).
diff --git a/docs/workflow-status.md b/docs/workflow-status.md
index 0d57f5b..b95c7a3 100644
--- a/docs/workflow-status.md
+++ b/docs/workflow-status.md
@@ -33,3 +33,11 @@ Migrationerne 1062–1066 er installeret i den lokale `bmc_hub` i én transaktio
149 fokuserede Python-tests består; de 15 databasecases, som normalt springes over, er afprøvet særskilt mod `bmc_workflow_test_20261008`. De dækker samtidighed, rollback, gentagen behandling, manuel overstyring, eksport og afinstallation. 21 eksisterende JavaScript-tests består. Skabeloner, JavaScript og Python er kontrolleret; visuel browserkontrol var ikke tilgængelig.
Den oprindelige databasebackup er gendannet i testdatabasen. Baselinebackup ligger i `/private/tmp/bmc-workflow-backup-20261008`; et ekstra checkpoint med kildekode og manifest ligger i `/private/tmp/bmc-workflow-backup-6i_a037k`. Disse mapper er private, men `/private/tmp` er ikke permanent backupopbevaring.
+
+## Sider og menu – 8. oktober 2026
+
+De fem nye sider bruger Hub’ens fælles layout, kort og temafarver med kompakte, responsive felter og tydelige tomme/indlæsnings-/fejltilstande. Hovedmenuen Automatisering følger de eksisterende effektive grupperettigheder og personlige menuvalg. Der er ikke tildelt nye rettigheder til nogen grupper.
+
+Workflows/Workflowdrift kræver `workflows.view`; Aftaledækning kræver `workflows.view` og `workflows.manage`; Tagklassifikation kræver `system.admin`. Hvorfor kræver `workflows.decisions.view` og åbnes via tidsregistreringen. Skriveknapper følger de tilsvarende API-rettigheder. Klassifikations- og ressourceeditoren har også adgangskontrol ved direkte sideåbning.
+
+Render-, syntaks- og rettighedstests er udført lokalt. Visuel kontrol i en browser er ikke udført i denne session. Se [manuel testplan](workflow-manuel-testplan.md) for menu-, rolle- og temakontrol.
diff --git a/static/js/menu-access.js b/static/js/menu-access.js
new file mode 100644
index 0000000..2330eff
--- /dev/null
+++ b/static/js/menu-access.js
@@ -0,0 +1,20 @@
+/* Effective group permissions supplement personal menu preferences. */
+(function (root) {
+ 'use strict';
+ function allowed(user, required) {
+ if (!user) return false;
+ if (user.is_superadmin === true) return true;
+ const permissions = new Set(Array.isArray(user.permissions) ? user.permissions : []);
+ return required.split('|').some(group => {
+ const codes = group.split(',').map(value => value.trim()).filter(Boolean);
+ return codes.length > 0 && codes.every(permission => permissions.has(permission));
+ });
+ }
+ function apply(user, document) {
+ document.querySelectorAll('[data-menu-permission]').forEach(node => {
+ node.toggleAttribute('data-access-denied', !allowed(user, node.dataset.menuPermission));
+ });
+ }
+ root.BmcMenuAccess = {allowed, apply};
+ if (typeof module !== 'undefined' && module.exports) module.exports = root.BmcMenuAccess;
+})(typeof window !== 'undefined' ? window : globalThis);
diff --git a/tests/test_menu_access.cjs b/tests/test_menu_access.cjs
new file mode 100644
index 0000000..9d41fd6
--- /dev/null
+++ b/tests/test_menu_access.cjs
@@ -0,0 +1,27 @@
+const test = require('node:test');
+const assert = require('node:assert/strict');
+const {allowed, apply} = require('../static/js/menu-access.js');
+
+test('group permissions show only accessible workflow sections', () => {
+ const reader = {permissions: ['workflows.view']};
+ assert.equal(allowed(reader, 'workflows.view'), true);
+ assert.equal(allowed(reader, 'workflows.view,workflows.manage'), false);
+ assert.equal(allowed(reader, 'system.admin'), false);
+ assert.equal(allowed(reader, 'workflows.view|system.admin'), true);
+ assert.equal(allowed({permissions: ['system.admin']}, 'workflows.view|system.admin'), true);
+ assert.equal(allowed({is_superadmin: true}, 'workflows.manage'), true);
+ assert.equal(allowed(null, 'workflows.view'), false);
+});
+
+test('permission updates do not overwrite personal menu preferences', () => {
+ const node = {dataset: {menuPermission: 'workflows.view'}, hidden: true,
+ attributes: new Set(['data-access-denied']),
+ toggleAttribute(name, enabled) { enabled ? this.attributes.add(name) : this.attributes.delete(name); }};
+ const document = {querySelectorAll: () => [node]};
+ apply({permissions: ['workflows.view']}, document);
+ assert.equal(node.attributes.has('data-access-denied'), false);
+ assert.equal(node.hidden, true);
+ apply({permissions: []}, document);
+ assert.equal(node.attributes.has('data-access-denied'), true);
+ assert.equal(node.hidden, true);
+});
diff --git a/tests/test_workflow_design.py b/tests/test_workflow_design.py
new file mode 100644
index 0000000..8bbb9a6
--- /dev/null
+++ b/tests/test_workflow_design.py
@@ -0,0 +1,91 @@
+"""Render real workflow templates to verify permissions and common page structure."""
+from html.parser import HTMLParser
+from types import SimpleNamespace
+from jinja2 import ChoiceLoader, DictLoader, Environment, FileSystemLoader
+
+
+class Elements(HTMLParser):
+ def __init__(self, html):
+ super().__init__()
+ self.ids = {}
+ self.links = []
+ self.fieldsets = []
+ self.fieldset_stack = []
+ self.disabled_ancestors = {}
+ self.feed(html)
+ def handle_starttag(self, tag, attributes):
+ attrs = dict(attributes)
+ if 'id' in attrs:
+ self.ids[attrs['id']] = attrs
+ self.disabled_ancestors[attrs['id']] = any('disabled' in parent for parent in self.fieldset_stack)
+ if tag == 'a':
+ self.links.append(attrs.get('href'))
+ if tag == 'fieldset':
+ self.fieldsets.append(attrs)
+ self.fieldset_stack.append(attrs)
+
+ def handle_endtag(self, tag):
+ if tag == 'fieldset' and self.fieldset_stack:
+ self.fieldset_stack.pop()
+
+
+def render(name, permissions=None):
+ env = Environment(loader=ChoiceLoader([
+ DictLoader({'shared/frontend/base.html': '{% block extra_css %}{% endblock %}{% block content %}{% endblock %}{% block extra_js %}{% endblock %}'}),
+ FileSystemLoader('app'),
+ ]), autoescape=True)
+ return env.get_template('workflows/frontend/'+name+'.html').render(
+ workflow_permissions=permissions or {}, time_id=12,
+ request=SimpleNamespace(url=SimpleNamespace(path='/workflows')))
+
+
+def test_viewer_can_browse_without_write_controls_or_admin_links():
+ html = render('builder', {'view': True})
+ page = Elements(html)
+ assert 'disabled' in page.fieldsets[0]
+ for key in ('new', 'save', 'copy', 'disable', 'test', 'activate'):
+ assert 'hidden' in page.ids['wf-'+key]
+ assert '/workflows/operations' in page.links
+ assert '/workflows/resources' not in page.links
+ assert '/tags/classification' not in page.links
+ assert 'Henter workflows' in html
+
+
+def test_manage_and_activation_are_separate_from_system_admin_navigation():
+ html = render('builder', {'view': True, 'manage': True, 'activate': True})
+ page = Elements(html)
+ assert 'disabled' not in page.fieldsets[0]
+ assert 'hidden' not in page.ids['wf-save']
+ assert 'hidden' not in page.ids['wf-activate']
+ assert '/workflows/resources' in page.links
+ assert '/tags/classification' not in page.links
+ assert '/tags/classification' in Elements(render('builder', {'system_admin': True})).links
+
+
+def test_override_does_not_expose_reset_without_activation_permission():
+ page = Elements(render('decision', {'override': True}))
+ assert 'hidden' in page.ids['decision-reset']
+ assert 'hidden' not in Elements(render('decision', {'override': True, 'activate': True})).ids['decision-reset']
+
+
+def test_activation_only_user_can_deactivate_without_editing_definition():
+ page = Elements(render('builder', {'view': True, 'activate': True}))
+ assert 'hidden' not in page.ids['wf-disable']
+ assert not page.disabled_ancestors['wf-disable']
+ assert 'hidden' in page.ids['wf-save']
+
+
+def test_ops_permission_flags_are_rendered_as_booleans_for_dynamic_buttons():
+ readonly = render('operations', {'view': True})
+ assert 'const canManage=false,canExport=false;' in readonly
+ assert 'const canManage=true,canExport=true;' in render('operations', {'manage': True, 'economic_export': True})
+
+
+def test_pages_share_theme_tokens_and_responsive_scope():
+ for name in ('builder', 'decision', 'resources', 'operations'):
+ html = render(name, {'view': True})
+ assert 'container-fluid workflow-page' in html
+ assert 'workflow-heading' in html
+ assert 'var(--bg-card' in html
+ assert 'var(--text-secondary' in html
+ assert '@media(max-width:576px)' in html
diff --git a/tests/test_workflow_page_access.py b/tests/test_workflow_page_access.py
new file mode 100644
index 0000000..65dd43d
--- /dev/null
+++ b/tests/test_workflow_page_access.py
@@ -0,0 +1,46 @@
+import pytest
+from fastapi import FastAPI
+from fastapi.testclient import TestClient
+from fastapi.staticfiles import StaticFiles
+from app.core.auth_dependencies import get_current_user
+from app.core.auth_service import AuthService
+from app.workflows import views, decisions
+from app.tags.backend import views as tag_views
+
+
+def client(monkeypatch, permissions=(), admin=False):
+ app = FastAPI()
+ app.mount('/static', StaticFiles(directory='static'), name='static')
+ app.include_router(views.router)
+ app.include_router(decisions.views)
+ app.include_router(tag_views.router)
+ user = {'id': 1, 'username': 'test', 'permissions': list(permissions), 'is_superadmin': admin}
+ app.dependency_overrides[get_current_user] = lambda: user
+ monkeypatch.setattr(AuthService, 'user_has_permission', lambda _, code: code in permissions)
+ return TestClient(app)
+
+
+@pytest.mark.parametrize('path', ['/workflows', '/workflows/resources', '/workflows/operations', '/workflows/time/1', '/tags/classification'])
+def test_pages_reject_users_without_group_access(monkeypatch, path):
+ assert client(monkeypatch).get(path).status_code == 403
+
+
+@pytest.mark.parametrize('permissions,path', [
+ (['workflows.view'], '/workflows'),
+ (['workflows.view'], '/workflows/operations'),
+ (['workflows.view', 'workflows.manage'], '/workflows/resources'),
+ (['workflows.decisions.view'], '/workflows/time/1'),
+ (['system.admin'], '/tags/classification'),
+])
+def test_pages_render_for_matching_group_access(monkeypatch, permissions, path):
+ assert client(monkeypatch, permissions).get(path).status_code == 200
+
+
+def test_reader_cannot_open_resource_editor(monkeypatch):
+ assert client(monkeypatch, ['workflows.view']).get('/workflows/resources').status_code == 403
+
+
+def test_superadmin_can_open_all_pages(monkeypatch):
+ browser = client(monkeypatch, admin=True)
+ for path in ['/workflows', '/workflows/resources', '/workflows/operations', '/workflows/time/1', '/tags/classification']:
+ assert browser.get(path).status_code == 200