[CLAUDE] PurchaseEvaluation Tests: Chunk O1-O5 — HOTFIX 4 lookup sites cùng pattern per-NV (Plan N point 9 cascade)

Bro UAT 2026-05-15 sau Plan N deploy phát hiện 2 bug mới:
1. Actor NV Test trong OR-of-N slot click "Trả lại Người chỉ định" → toast
   "Không phải lượt bạn — chỉ NV Cấp duyệt hiện tại mới được Trả lại / Từ
   chối phiếu" mặc dù NV Test đúng trong slot.
2. F2 Duyệt thẳng Cấp cuối → trỏ đến Phan Văn Chương Bước 2 Cấp 2 thay vì
   Nguyễn Văn Trường Bước 3 Cấp 1 (BOD) — defer follow-up vì F2 logic line
   483-524 đã đúng (lastStepIdx + lastLevelMaxOrder), cần verify workflow
   v14 DB structure.

Audit em main: Plan N chỉ fix 1/5 lookup sites — còn 4 sites cùng bug pattern:
  1. Service.cs:201 EnsureCanRejectV2Async — bug bro UAT 1 ROOT CAUSE
  2. Service.cs:248 ApplyReturnModeAsync — read Allow flag từ row đầu
  3. DetailFeatures.cs:72 F3 EnsureEditableForDetailsAsync — cùng bug
  4. Features.cs:311 F4 AdjustBudgetCommand — cùng bug

4 fix surgical (~30 LOC BE total):

**Site 1** (`PurchaseEvaluationWorkflowService.cs:201`):
```diff
- var currentLevel = step.Levels.FirstOrDefault(l => l.Order == curLvl);
- if (currentLevel?.ApproverUserId != actorId)
+ var currentLevel = step.Levels.FirstOrDefault(l =>
+     l.Order == curLvl && l.ApproverUserId == actorId);
+ if (currentLevel is null)
    throw new ForbiddenException("Không phải lượt bạn — ...");
```

**Site 2** (`PurchaseEvaluationWorkflowService.cs:248`): ApplyReturnModeAsync
+`Guid? actorUserId` param 4th + caller TransitionAsync:94 update. Filter
`l.ApproverUserId == actorUserId` trong FirstOrDefault. Non-admin actor
KHÔNG match slot → currentLevel=null → validation skip (mode logic switch
KHÔNG dùng currentLevel object — chỉ dùng curStepIdx + curLevel int values).
Admin bypass validation existing line 252.

**Site 3** (`PurchaseEvaluationDetailFeatures.cs:72`):
```diff
- var level = step?.Levels.FirstOrDefault(lv => lv.Order == levelOrder);
- if (level is null) throw ConflictException("schema lỗi");
- if (!level.AllowApproverEditDetails) throw ConflictException(...);
- if (level.ApproverUserId != actorUserId) throw ForbiddenException(...);
+ var level = step?.Levels.FirstOrDefault(lv =>
+     lv.Order == levelOrder && lv.ApproverUserId == actorUserId);
+ if (level is null) throw ForbiddenException(...);
+ if (!level.AllowApproverEditDetails) throw ConflictException(...);
```

**Site 4** (`PurchaseEvaluationFeatures.cs:311`):
```diff
- var level = step.Levels.FirstOrDefault(l => l.Order == curLvl);
- if (level is null) throw ConflictException("schema lỗi");
- if (!level.AllowApproverEditBudget) throw ConflictException(...);
- if (level.ApproverUserId != actorId) throw ForbiddenException(...);
+ var level = step.Levels.FirstOrDefault(l =>
+     l.Order == curLvl && l.ApproverUserId == actorId);
+ if (level is null) throw ForbiddenException(...);
+ if (!level.AllowApproverEditBudget) throw ConflictException(...);
```

**Regression test** (`PurchaseEvaluationPerNvLookupRegressionTests.cs` 3 test):
1. `TransitionReject_ActorD_LastInSlot_AllowsRejectViaDrafterMode` —
   Actor D (non-first-row trong OR-of-N) trả lại Drafter mode → no throw.
   Pre-fix: throw "Không phải lượt bạn" vì handler check row đầu A.
2. `TransitionReject_Outsider_NotInSlot_ThrowsForbidden` — Outsider không
   trong slot → throw đúng intent (verify fix KHÔNG over-permissive).
3. `TransitionRejectOneLevel_ActorC_HasFlagWhileOthersDont_AllowsMode` —
   Actor C only tick AllowReturnOneLevel, 3 NV khác KHÔNG. Actor C click
   "Trả lại 1 Cấp" → mode allowed. Pre-fix: read flag từ row A (false) →
   throw ConflictException "không bật mode OneLevel".

Pattern reinforced: per-NV admin opt-in flag wire **5 lookup sites** đều
phải discriminate ApproverUserId. Plan N chỉ catch 1/5. Plan O catch 4/5
còn lại. Memory user-level cần update danh sách 5 sites cho future audit.

Verify:
- dotnet build SolutionErp.slnx clean (0 err, 2 warn pre-existing DocxRenderer)
- dotnet test SolutionErp.slnx **111/111 PASS** (+3 từ 108 baseline Plan N)

Pending Chunk O7: docs + memory update commit + push.
Pending Chunk O8: CICD Monitor post-deploy verify.
Pending follow-up Bug 2 F2 đến Phan Văn Chương: verify workflow v14 DB.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

src/Backend/SolutionErp.Application/PurchaseEvaluations/PurchaseEvaluationDetailFeatures.cs

@@ -69,23 +69,24 @@ internal static class PurchaseEvaluationDraftGuard
                     ?? throw new ConflictException("Workflow không tồn tại.");
 
                 var step = workflow.Steps.OrderBy(s => s.Order).Skip(stepIdx).FirstOrDefault();
-                var level = step?.Levels.FirstOrDefault(lv => lv.Order == levelOrder);
+                // Plan O S23 t5 — Per-NV lookup site MUST discriminate ApproverUserId.
+                // Schema Mig 29 OR-of-N: N rows cùng Order. Filter actor match
+                // ngay trong FirstOrDefault tránh chọn nhầm row đầu DB.
+                var level = step?.Levels.FirstOrDefault(lv =>
+                    lv.Order == levelOrder && lv.ApproverUserId == actorUserId);
                 if (level is null)
-                    throw new ConflictException("Workflow Bước/Cấp không tìm thấy — schema lỗi.");
+                    throw new ForbiddenException(
+                        $"Chỉ NV phụ trách Bước {step?.Order} / Cấp {levelOrder} " +
+                        "mới được chỉnh sửa Section 2 lúc đang duyệt.");
 
                 // Mig 29 (S21 t5) — F3 flag move xuống Level slot (per-NV). Đọc
-                // từ level.AllowApproverEditDetails thay vì workflow-level cũ.
+                // từ level.AllowApproverEditDetails của chính actor.
                 if (!level.AllowApproverEditDetails)
                     throw new ConflictException(
                         $"Cấp Approver hiện tại (Bước {step!.Order} / Cấp {levelOrder}) " +
                         "không được cấp quyền chỉnh sửa Section 2. " +
                         "Phải Trả lại Drafter sửa hoặc liên hệ Admin Designer cấp quyền slot.");
 
-                if (level.ApproverUserId != actorUserId)
-                    throw new ForbiddenException(
-                        $"Chỉ NV phụ trách Bước {step!.Order} / Cấp {levelOrder} " +
-                        "mới được chỉnh sửa Section 2 lúc đang duyệt.");
-
                 return pe;
             }
 

src/Backend/SolutionErp.Application/PurchaseEvaluations/PurchaseEvaluationFeatures.cs

@@ -308,17 +308,19 @@ public class AdjustPurchaseEvaluationBudgetCommandHandler(
                 if (csi < 0 || csi >= stepsOrdered.Count)
                     throw new ConflictException("Pointer step out of range — schema lỗi.");
                 var step = stepsOrdered[csi];
-                var level = step.Levels.FirstOrDefault(l => l.Order == curLvl);
+                // Plan O S23 t5 — Per-NV lookup site MUST discriminate ApproverUserId.
+                // Schema Mig 29 OR-of-N: N rows cùng Order. Filter actor match
+                // ngay trong FirstOrDefault tránh chọn nhầm row đầu DB.
+                var level = step.Levels.FirstOrDefault(l =>
+                    l.Order == curLvl && l.ApproverUserId == actorId);
                 if (level is null)
-                    throw new ConflictException("Cấp duyệt không tìm thấy — schema lỗi.");
+                    throw new ForbiddenException(
+                        $"Chỉ NV phụ trách Bước {step.Order} / Cấp {curLvl} mới được điều chỉnh ngân sách lúc đang duyệt.");
                 if (!level.AllowApproverEditBudget)
                     throw new ConflictException(
                         $"Cấp Approver hiện tại (Bước {step.Order} / Cấp {curLvl}) " +
                         "không được cấp quyền chỉnh sửa Section ngân sách. " +
                         "Liên hệ Admin Designer cấp quyền slot.");
-                if (level.ApproverUserId != actorId)
-                    throw new ForbiddenException(
-                        $"Chỉ NV phụ trách Bước {step.Order} / Cấp {curLvl} mới được điều chỉnh ngân sách lúc đang duyệt.");
                 actorTag = $"[Approver Bước {step.Order}/Cấp {curLvl}]";
             }
             else