// مدیریت کاربران پنل (ساخت/حذف/تغییرِ دسترسیِ ادمین‌های دیگه) همیشه فقط برای
// super_admin مجازه — حتی اگه یه‌جوری کلید 'user-management' به یه staff داده بشه،
// این جلوی افزایشِ خودسرانه‌ی دسترسی (privilege escalation) رو می‌گیره
module.exports = function requireSuperAdmin(req, res, next) {
  if (req.admin?.role !== 'super_admin') {
    return res.status(403).send({
      status: 'error',
      code: 403,
      message: 'فقط سوپرادمین به این بخش دسترسی دارد'
    })
  }
  next()
}