4.1.3

middlewares/requireSuperAdmin.js

@@ -0,0 +1,13 @@
+// مدیریت کاربران پنل (ساخت/حذف/تغییرِ دسترسیِ ادمین‌های دیگه) همیشه فقط برای
+// super_admin مجازه — حتی اگه یه‌جوری کلید 'user-management' به یه staff داده بشه،
+// این جلوی افزایشِ خودسرانه‌ی دسترسی (privilege escalation) رو می‌گیره
+module.exports = function requireSuperAdmin(req, res, next) {
+  if (req.admin?.role !== 'super_admin') {
+    return res.status(403).send({
+      status: 'error',
+      code: 403,
+      message: 'فقط سوپرادمین به این بخش دسترسی دارد'
+    })
+  }
+  next()
+}