mock login e-Court หน้า /login + identity จาก cookie oacCase แทน localStorage — dropdown ผู้ใช้ MOCK_USERS (user1–user5, utils/user.ts pure module ให้ client+server ใช้ร่วม) รหัสผ่านกลาง Demo1234 ผ่าน server action login (เช็ครายชื่อฝั่ง server เป็น defense กัน hand-craft + delay 500ms ให้เห็น "กำลังตรวจสอบ…") ตั้ง cookie oacCase ตาม format จริงของระบบศาล 16 field — u_userid/u_userlogin ต่างกันต่อคน (= ชื่อผู้ใช้) เพื่อให้สิทธิ์ "แก้ไขได้เฉพาะของตัวเอง" (guard ด้วย userId) แยกกันจริงทั้ง 5 คน httpOnly/sameSite lax/8 ชม. + middleware.ts บังคับ login ทุกหน้า (parse จริงด้วย parseOacCase ไม่ใช่แค่มี cookie — ขยะ/ว่าง/ขาด field = redirect /login; matcher ยกเว้น /login, /api/*, /uploads/*, _next และ static ใน public/ — SSE/export จึงไม่โดน 302) + lib/session.ts getSessionUser อ่าน identity ฝั่ง server ใช้ในทุกหน้า (defense ซ้อน middleware) + PDFViewer รับ user เป็น prop จาก annotate page ตั้งแต่ first paint (หมดช่วง null user ที่เคยสร้าง annotation ด้วย userId="" ได้ + ไม่มี hydration mismatch; Server Actions ไม่ต้องแก้ — vString รับ userId ใหม่อยู่แล้ว) + SessionBar แสดง "เข้าสู่ระบบเป็น <user>" + ปุ่มออกจากระบบ (ลบ cookie ด้วย path "/" ตรงตอน set + redirect ใน action เอง — client router.replace เองชนกับ re-render ของหน้าที่เพิ่งเสีย session จน navigation ไม่เกิด) แทน UserPicker mock 10 คน (ลบไฟล์พร้อม MOCK_USERS/localStorage/getLocalUser ทั้งชุด) + LoginForm การ์ด max-w-sm กลางจอ reuse brand lockup และปุ่ม primary เดิม, input text-base 16px กัน iOS zoom บน iPad, dropdown placeholder "เลือกผู้ใช้" บังคับเลือก (ไม่ preselect กัน login ผิดคนโดยไม่ตั้งใจ), error แถบเดียว role=alert "รหัสผ่านไม่ถูกต้อง" (dropdown เลือกผิดไม่ได้แล้ว), ตอนผิดล้าง password คงผู้ใช้ที่เลือกไว้ + focus+select + tests/utils/user.test.ts ล็อก format จริงของ e-Court (parse ตัวอย่าง cookie จริง 235821/tu_2, garbage/empty/ขาด field → null, round-trip, buildOacCaseCookie ครบ 16 field) + sync CLAUDE.md/PLAN.md §0 A4/README — annotation สมัย mock-user-01/UUID ไม่ใช่ของตัวเองอีก (auth จริงเทียบระบบศาล + roles ยัง out of scope; /api/* และ /uploads/* ยังไม่ต้อง login ตามขอบเขต mock)

Co-Authored-By: Claude Code <noreply@anthropic.com>

app/actions/auth.ts

@@ -0,0 +1,41 @@
+"use server";
+
+// mock login e-Court: รับเฉพาะผู้ใช้ใน MOCK_USERS (user1–user5) + Demo1234
+// → ตั้ง cookie oacCase ตาม format จริง (identity ของแอปอ่านผ่าน lib/session.ts
+// — บังคับด้วย middleware.ts)
+import { cookies } from "next/headers";
+import { redirect } from "next/navigation";
+
+import { buildOacCaseCookie, MOCK_USERS, OAC_CASE_COOKIE } from "@/utils/user";
+
+const MOCK_PASSWORD = "Demo1234";
+
+export async function login(
+  username: string,
+  password: string,
+): Promise<{ ok: true } | { ok: false; error: string }> {
+  // mock ตอบเร็วกว่าตา — หน่วงเล็กน้อยให้เห็นสถานะ "กำลังตรวจสอบ…"
+  await new Promise((resolve) => setTimeout(resolve, 500));
+  const name = username.trim();
+  // username มาจาก dropdown เลือกผิดไม่ได้ — เช็ครายชื่อฝั่ง server เป็น defense กัน hand-craft
+  if (!MOCK_USERS.includes(name) || password !== MOCK_PASSWORD) {
+    return { ok: false, error: "รหัสผ่านไม่ถูกต้อง" };
+  }
+  // u_userid ต่างกันต่อคน (= u_userlogin) — สิทธิ์ "แก้ไขได้เฉพาะของตัวเอง" (guard ด้วย
+  // userId) ต้องแยกกันจริงทั้ง 5 คน ห้ามแชร์ค่าเดียว
+  cookies().set(OAC_CASE_COOKIE, buildOacCaseCookie(name, name), {
+    httpOnly: true,
+    sameSite: "lax",
+    path: "/",
+    maxAge: 8 * 60 * 60,
+  });
+  return { ok: true };
+}
+
+export async function logout(): Promise<void> {
+  // ลบ cookie ด้วย path "/" เท่านั้น (ตรงกับตอน set) ไม่งั้น browser ไม่ลบให้
+  cookies().set(OAC_CASE_COOKIE, "", { path: "/", maxAge: 0 });
+  // redirect ใน action เอง — ให้ Next จัดการ navigation กลไกเดียว
+  // (ถ้าให้ client router.replace เอง จะชนกับ re-render ของหน้า "/" ที่เพิ่งเสีย session จน navigation ไม่เกิด)
+  redirect("/login");
+}

app/annotate/[id]/page.tsx

@@ -1,5 +1,5 @@
 import { asc, eq, inArray } from "drizzle-orm";
-import { notFound } from "next/navigation";
+import { notFound, redirect } from "next/navigation";
 
 import { db } from "@/db";
 import {
@@ -13,6 +13,7 @@ import {
 } from "@/db/schema";
 import PDFViewer from "@/components/pdf/PDFViewer";
 import DebugConsole from "@/components/DebugConsole"; // TEMP-DEBUG (ลบพร้อมไฟล์)
+import { getSessionUser } from "@/lib/session";
 
 const UUID_RE =
   /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$/i;
@@ -27,6 +28,10 @@ export default async function AnnotatePage({
   const { id } = params;
   if (!UUID_RE.test(id)) notFound();
 
+  // defense ซ้อน middleware — identity จาก cookie oacCase ส่งเข้า viewer ตั้งแต่ first paint
+  const user = getSessionUser();
+  if (!user) redirect("/login");
+
   const [file] = await db.select().from(files).where(eq(files.id, id));
   if (!file) notFound();
 
@@ -62,6 +67,7 @@ export default async function AnnotatePage({
       initialAnnotations={annotationRows.map(toAnnotationDTO)}
       initialBookmarks={bookmarkRows.map(toBookmarkDTO)}
       initialReplies={replyRows.map(toReplyDTO)}
+      user={user}
       />
     </>
   );

app/login/page.tsx

@@ -0,0 +1,21 @@
+import type { Metadata } from "next";
+import { redirect } from "next/navigation";
+
+import LoginForm from "@/components/LoginForm";
+import { getSessionUser } from "@/lib/session";
+
+export const dynamic = "force-dynamic";
+
+export const metadata: Metadata = { title: "เข้าสู่ระบบ | Judge's Note" };
+
+export default function LoginPage() {
+  // เข้าสู่ระบบอยู่แล้ว (cookie ครบ) → ไม่ต้องเห็นฟอร์มอีก
+  const user = getSessionUser();
+  if (user) redirect("/");
+
+  return (
+    <main className="flex min-h-dvh items-center justify-center px-4 py-10">
+      <LoginForm />
+    </main>
+  );
+}

app/page.tsx

@@ -1,12 +1,14 @@
 import Link from "next/link";
+import { redirect } from "next/navigation";
 import { asc } from "drizzle-orm";
 import { FileImage, FileText } from "lucide-react";
 
 import { db } from "@/db";
 import { files } from "@/db/schema";
-import UserPicker from "@/components/UserPicker";
+import SessionBar from "@/components/SessionBar";
 import UploadFileForm from "@/components/UploadFileForm";
 import { imageFormatFromUrl } from "@/utils/file-kind";
+import { getSessionUser } from "@/lib/session";
 
 export const dynamic = "force-dynamic";
 
@@ -25,6 +27,10 @@ function kindBadge(pdfUrl: string): string {
 }
 
 export default async function HomePage() {
+  // defense ซ้อน middleware — หน้านี้อ่าน cookie อยู่ดีจึงกันซ้ำไม่ให้ render รายการให้คนไม่มี session
+  const user = getSessionUser();
+  if (!user) redirect("/login");
+
   const rows = await db.select().from(files).orderBy(asc(files.createdAt));
 
   return (
@@ -43,7 +49,7 @@ export default async function HomePage() {
         </div>
       </header>
 
-      <UserPicker />
+      <SessionBar userName={user.userName} />
 
       <section className="mt-8">
         <h2 className="text-sm font-semibold text-slate-700">เพิ่มเอกสาร</h2>