chore: bump version to v0.1.64

feat(front) : i18n + cles M1 repertoire clients (#43 )
ERP-61 (1.8) — Socle i18n du module M1 Repertoire clients. ## Perimetre - Ajout du sous-objet `commercial.clients` dans `frontend/i18n/locales/fr.json` : title, add, export, empty, column.* (6), tab.* (8), action.* (3), toast.* (5), validation.* (9 messages miroirs RG-1.04/1.10/1.11/1.12/1.13/1.14/1.20/1.21/1.29). - Item sidebar deja porte par le back (`config/sidebar.php`, route /clients, permission commercial.clients.view) — aucun code front en dur. Usine sans `view` => item masque automatiquement. - Cles existantes (sidebar.commercial.clients, commercial.title/welcome) non dupliquees. ## Verifications - JSON valide, indentation 4 espaces, aucune cle dupliquee. - `make nuxt-test` : 103/103 OK (usePermissions / useSidebar verts). - Pas de E2E (regle n7). Pre-requis de 1.9 (ERP-62). Reviewed-on: #43 Co-authored-by: tristan <tristan@yuno.malio.fr> Co-committed-by: tristan <tristan@yuno.malio.fr>
2026-06-02 09:37:59 +00:00 · 2026-06-02 09:37:49 +00:00 · 2026-06-02 08:00:51 +00:00 · 2026-06-02 08:00:42 +00:00 · 2026-06-01 22:14:34 +00:00 · 2026-06-01 22:14:23 +00:00
72 changed files with 6126 additions and 301 deletions
@@ -3,7 +3,7 @@
 ## Contexte
 CRM/ERP en architecture **modular monolith DDD**. Le backend est la source de verite unique (modules actifs, sidebar). Le frontend scanne `frontend/modules/*/` comme layers Nuxt et consomme l'API pour la navigation. Multi-tenant : chaque module est activable/desactivable.
-Doc humaine : @README.md — Spec audit : @doc/audit-log.md
+Doc humaine : `README.md` — Spec audit : `doc/audit-log.md` (à lire à la demande, non chargés en permanence).
 ## Stack
 - Backend : PHP 8.4, Symfony 8, API Platform 4, Doctrine ORM, PostgreSQL 16 (port 5437)
@@ -37,7 +37,7 @@ Doc humaine : @README.md — Spec audit : @doc/audit-log.md
@.claude/rules/git.md
@.claude/rules/workflow.md
-## Commandes (liste complete dans @README.md)
+## Commandes (liste complete dans `README.md`)
 - Demarrer : `make start`
 - Dev front (hot reload) : `make dev-nuxt` (port 3004)
@@ -70,3 +70,5 @@ Editer uniquement `config/modules.php` (commenter la ligne). Cascade automatique
 ## Credentials (dev)
 `admin` / `admin` (ROLE_ADMIN) ; `alice` / `alice`, `bob` / `bob` (ROLE_USER).
 Comptes demo des roles metier (seedes par `RbacDemoFixtures` / `app:seed-rbac --with-demo-users`, mot de passe `demo`) : `bureau` / `demo`, `compta` / `demo`, `commerciale` / `demo`, `usine` / `demo`. Matrice RBAC § 2.7 (M1 Clients) attachee aux roles correspondants.
@@ -169,13 +169,41 @@ Secrets requis dans Gitea :
 - `RELEASE_TOKEN` — PAT avec droits `write:repository`
 - `REGISTRY_TOKEN` — token pour le registry Docker
 ## Déploiement — seed RBAC (recette / prod)
 Le RBAC métier (rôles `bureau` / `compta` / `commerciale` / `usine` + matrice § 2.7)
 est seedé par une **commande applicative idempotente** (présente dans le build prod,
 contrairement aux fixtures Doctrine en `require-dev`). À jouer dans l'étape de release,
 **après** les migrations et la synchronisation des permissions :
 ```bash
 php bin/console doctrine:migrations:migrate --no-interaction
 php bin/console app:sync-permissions          # pose les permissions commercial.clients.*
 php bin/console app:seed-rbac                  # PROD : rôles + matrice § 2.7 (sans comptes démo)
 ```
 En **recette / staging**, ajouter le flag pour disposer de logins de test (mot de passe
 fourni explicitement, jamais en dur) :
 ```bash
 php bin/console app:seed-rbac --with-demo-users --password='<mot-de-passe>'
 # ou via la variable d'env RBAC_DEMO_PASSWORD
 ```
 La commande est rejouable sans effet de bord (aucun doublon de rôle, de lien ou de compte).
 En dev, `make db-reset` produit le même résultat (rôles + matrice + comptes démo).
 ## Credentials (dev)
-| Username | Password | Role |
+| Username | Password | Role | RBAC métier |
-|----------|----------|------|
+|----------|----------|------|-------------|
-| admin | admin | ROLE_ADMIN |
+| admin | admin | ROLE_ADMIN | bypass (is_admin) |
-| alice | alice | ROLE_USER |
+| alice | alice | ROLE_USER | — |
-| bob | bob | ROLE_USER |
+| bob | bob | ROLE_USER | — |
 | bureau | demo | ROLE_USER | clients : view + manage |
 | compta | demo | ROLE_USER | clients : view + accounting.view/manage |
 | commerciale | demo | ROLE_USER | clients : view + manage (Information obligatoire — RG-1.04) |
 | usine | demo | ROLE_USER | aucun accès clients |
 ## Conventions
@@ -16,6 +16,7 @@
        "nelmio/cors-bundle": "^2.6",
        "nyholm/psr7": "^1.8",
        "phpdocumentor/reflection-docblock": "^5.6|^6.0",
        "phpoffice/phpspreadsheet": "^5.7",
        "phpstan/phpdoc-parser": "^2.3",
        "symfony/asset": "8.0.*",
        "symfony/console": "8.0.*",
@@ -23,6 +24,7 @@
        "symfony/expression-language": "8.0.*",
        "symfony/flex": "^2",
        "symfony/framework-bundle": "8.0.*",
        "symfony/intl": "8.0.*",
        "symfony/mime": "8.0.*",
        "symfony/monolog-bundle": "^4.0",
        "symfony/property-access": "8.0.*",
@@ -4,7 +4,7 @@
        "Read more about it at https://getcomposer.org/doc/01-basic-usage.md#installing-dependencies",
        "This file is @generated automatically"
    ],
-    "content-hash": "d65a546151abb6b977fbf7f1c86d14fe",
+    "content-hash": "aada2e60fd7563f1498b5505b37e3f4b",
    "packages": [
        {
            "name": "api-platform/doctrine-common",
@@ -1160,6 +1160,85 @@
            },
            "time": "2026-03-17T15:23:21+00:00"
        },
        {
            "name": "composer/pcre",
            "version": "3.3.2",
            "source": {
                "type": "git",
                "url": "https://github.com/composer/pcre.git",
                "reference": "b2bed4734f0cc156ee1fe9c0da2550420d99a21e"
            },
            "dist": {
                "type": "zip",
                "url": "https://api.github.com/repos/composer/pcre/zipball/b2bed4734f0cc156ee1fe9c0da2550420d99a21e",
                "reference": "b2bed4734f0cc156ee1fe9c0da2550420d99a21e",
                "shasum": ""
            },
            "require": {
                "php": "^7.4 || ^8.0"
            },
            "conflict": {
                "phpstan/phpstan": "<1.11.10"
            },
            "require-dev": {
                "phpstan/phpstan": "^1.12 || ^2",
                "phpstan/phpstan-strict-rules": "^1 || ^2",
                "phpunit/phpunit": "^8 || ^9"
            },
            "type": "library",
            "extra": {
                "phpstan": {
                    "includes": [
                        "extension.neon"
                    ]
                },
                "branch-alias": {
                    "dev-main": "3.x-dev"
                }
            },
            "autoload": {
                "psr-4": {
                    "Composer\\Pcre\\": "src"
                }
            },
            "notification-url": "https://packagist.org/downloads/",
            "license": [
                "MIT"
            ],
            "authors": [
                {
                    "name": "Jordi Boggiano",
                    "email": "j.boggiano@seld.be",
                    "homepage": "http://seld.be"
                }
            ],
            "description": "PCRE wrapping library that offers type-safe preg_* replacements.",
            "keywords": [
                "PCRE",
                "preg",
                "regex",
                "regular expression"
            ],
            "support": {
                "issues": "https://github.com/composer/pcre/issues",
                "source": "https://github.com/composer/pcre/tree/3.3.2"
            },
            "funding": [
                {
                    "url": "https://packagist.com",
                    "type": "custom"
                },
                {
                    "url": "https://github.com/composer",
                    "type": "github"
                },
                {
                    "url": "https://tidelift.com/funding/github/packagist/composer/composer",
                    "type": "tidelift"
                }
            ],
            "time": "2024-11-12T16:29:46+00:00"
        },
        {
            "name": "composer/semver",
            "version": "3.4.4",
@@ -2630,6 +2709,191 @@
            ],
            "time": "2025-12-20T17:47:00+00:00"
        },
        {
            "name": "maennchen/zipstream-php",
            "version": "3.2.2",
            "source": {
                "type": "git",
                "url": "https://github.com/maennchen/ZipStream-PHP.git",
                "reference": "77bebeb4c6c340bb3c11c843b2cffd8bbfde4d5e"
            },
            "dist": {
                "type": "zip",
                "url": "https://api.github.com/repos/maennchen/ZipStream-PHP/zipball/77bebeb4c6c340bb3c11c843b2cffd8bbfde4d5e",
                "reference": "77bebeb4c6c340bb3c11c843b2cffd8bbfde4d5e",
                "shasum": ""
            },
            "require": {
                "ext-mbstring": "*",
                "ext-zlib": "*",
                "php-64bit": "^8.3"
            },
            "require-dev": {
                "brianium/paratest": "^7.7",
                "ext-zip": "*",
                "friendsofphp/php-cs-fixer": "^3.86",
                "guzzlehttp/guzzle": "^7.5",
                "mikey179/vfsstream": "^1.6",
                "php-coveralls/php-coveralls": "^2.5",
                "phpunit/phpunit": "^12.0",
                "vimeo/psalm": "^6.0"
            },
            "suggest": {
                "guzzlehttp/psr7": "^2.4",
                "psr/http-message": "^2.0"
            },
            "type": "library",
            "autoload": {
                "psr-4": {
                    "ZipStream\\": "src/"
                }
            },
            "notification-url": "https://packagist.org/downloads/",
            "license": [
                "MIT"
            ],
            "authors": [
                {
                    "name": "Paul Duncan",
                    "email": "pabs@pablotron.org"
                },
                {
                    "name": "Jonatan Männchen",
                    "email": "jonatan@maennchen.ch"
                },
                {
                    "name": "Jesse Donat",
                    "email": "donatj@gmail.com"
                },
                {
                    "name": "András Kolesár",
                    "email": "kolesar@kolesar.hu"
                }
            ],
            "description": "ZipStream is a library for dynamically streaming dynamic zip files from PHP without writing to the disk at all on the server.",
            "keywords": [
                "stream",
                "zip"
            ],
            "support": {
                "issues": "https://github.com/maennchen/ZipStream-PHP/issues",
                "source": "https://github.com/maennchen/ZipStream-PHP/tree/3.2.2"
            },
            "funding": [
                {
                    "url": "https://github.com/maennchen",
                    "type": "github"
                }
            ],
            "time": "2026-04-11T18:38:28+00:00"
        },
        {
            "name": "markbaker/complex",
            "version": "3.0.2",
            "source": {
                "type": "git",
                "url": "https://github.com/MarkBaker/PHPComplex.git",
                "reference": "95c56caa1cf5c766ad6d65b6344b807c1e8405b9"
            },
            "dist": {
                "type": "zip",
                "url": "https://api.github.com/repos/MarkBaker/PHPComplex/zipball/95c56caa1cf5c766ad6d65b6344b807c1e8405b9",
                "reference": "95c56caa1cf5c766ad6d65b6344b807c1e8405b9",
                "shasum": ""
            },
            "require": {
                "php": "^7.2 || ^8.0"
            },
            "require-dev": {
                "dealerdirect/phpcodesniffer-composer-installer": "dev-master",
                "phpcompatibility/php-compatibility": "^9.3",
                "phpunit/phpunit": "^7.0 || ^8.0 || ^9.0",
                "squizlabs/php_codesniffer": "^3.7"
            },
            "type": "library",
            "autoload": {
                "psr-4": {
                    "Complex\\": "classes/src/"
                }
            },
            "notification-url": "https://packagist.org/downloads/",
            "license": [
                "MIT"
            ],
            "authors": [
                {
                    "name": "Mark Baker",
                    "email": "mark@lange.demon.co.uk"
                }
            ],
            "description": "PHP Class for working with complex numbers",
            "homepage": "https://github.com/MarkBaker/PHPComplex",
            "keywords": [
                "complex",
                "mathematics"
            ],
            "support": {
                "issues": "https://github.com/MarkBaker/PHPComplex/issues",
                "source": "https://github.com/MarkBaker/PHPComplex/tree/3.0.2"
            },
            "time": "2022-12-06T16:21:08+00:00"
        },
        {
            "name": "markbaker/matrix",
            "version": "3.0.1",
            "source": {
                "type": "git",
                "url": "https://github.com/MarkBaker/PHPMatrix.git",
                "reference": "728434227fe21be27ff6d86621a1b13107a2562c"
            },
            "dist": {
                "type": "zip",
                "url": "https://api.github.com/repos/MarkBaker/PHPMatrix/zipball/728434227fe21be27ff6d86621a1b13107a2562c",
                "reference": "728434227fe21be27ff6d86621a1b13107a2562c",
                "shasum": ""
            },
            "require": {
                "php": "^7.1 || ^8.0"
            },
            "require-dev": {
                "dealerdirect/phpcodesniffer-composer-installer": "dev-master",
                "phpcompatibility/php-compatibility": "^9.3",
                "phpdocumentor/phpdocumentor": "2.*",
                "phploc/phploc": "^4.0",
                "phpmd/phpmd": "2.*",
                "phpunit/phpunit": "^7.0 || ^8.0 || ^9.0",
                "sebastian/phpcpd": "^4.0",
                "squizlabs/php_codesniffer": "^3.7"
            },
            "type": "library",
            "autoload": {
                "psr-4": {
                    "Matrix\\": "classes/src/"
                }
            },
            "notification-url": "https://packagist.org/downloads/",
            "license": [
                "MIT"
            ],
            "authors": [
                {
                    "name": "Mark Baker",
                    "email": "mark@demon-angel.eu"
                }
            ],
            "description": "PHP Class for working with matrices",
            "homepage": "https://github.com/MarkBaker/PHPMatrix",
            "keywords": [
                "mathematics",
                "matrix",
                "vector"
            ],
            "support": {
                "issues": "https://github.com/MarkBaker/PHPMatrix/issues",
                "source": "https://github.com/MarkBaker/PHPMatrix/tree/3.0.1"
            },
            "time": "2022-12-02T22:17:43+00:00"
        },
        {
            "name": "monolog/monolog",
            "version": "3.10.0",
@@ -3052,6 +3316,115 @@
            },
            "time": "2026-01-06T21:53:42+00:00"
        },
        {
            "name": "phpoffice/phpspreadsheet",
            "version": "5.7.0",
            "source": {
                "type": "git",
                "url": "https://github.com/PHPOffice/PhpSpreadsheet.git",
                "reference": "9f55d3b9b7bcb1084fda8340e4b7ce4ed10cd0c8"
            },
            "dist": {
                "type": "zip",
                "url": "https://api.github.com/repos/PHPOffice/PhpSpreadsheet/zipball/9f55d3b9b7bcb1084fda8340e4b7ce4ed10cd0c8",
                "reference": "9f55d3b9b7bcb1084fda8340e4b7ce4ed10cd0c8",
                "shasum": ""
            },
            "require": {
                "composer/pcre": "^1||^2||^3",
                "ext-ctype": "*",
                "ext-dom": "*",
                "ext-fileinfo": "*",
                "ext-filter": "*",
                "ext-gd": "*",
                "ext-iconv": "*",
                "ext-libxml": "*",
                "ext-mbstring": "*",
                "ext-simplexml": "*",
                "ext-xml": "*",
                "ext-xmlreader": "*",
                "ext-xmlwriter": "*",
                "ext-zip": "*",
                "ext-zlib": "*",
                "maennchen/zipstream-php": "^2.1 || ^3.0",
                "markbaker/complex": "^3.0",
                "markbaker/matrix": "^3.0",
                "php": "^8.1",
                "psr/simple-cache": "^1.0 || ^2.0 || ^3.0"
            },
            "require-dev": {
                "dealerdirect/phpcodesniffer-composer-installer": "dev-main",
                "dompdf/dompdf": "^2.0 || ^3.0",
                "ext-intl": "*",
                "friendsofphp/php-cs-fixer": "^3.2",
                "mitoteam/jpgraph": "^10.5",
                "mpdf/mpdf": "^8.1.1",
                "phpcompatibility/php-compatibility": "^9.3",
                "phpstan/phpstan": "^1.1 || ^2.0",
                "phpstan/phpstan-deprecation-rules": "^1.0 || ^2.0",
                "phpstan/phpstan-phpunit": "^1.0 || ^2.0",
                "phpunit/phpunit": "^10.5",
                "squizlabs/php_codesniffer": "^3.7",
                "tecnickcom/tcpdf": "^6.5"
            },
            "suggest": {
                "dompdf/dompdf": "Option for rendering PDF with PDF Writer",
                "ext-intl": "PHP Internationalization Functions, required for NumberFormat Wizard and StringHelper::setLocale()",
                "mitoteam/jpgraph": "Option for rendering charts, or including charts with PDF or HTML Writers",
                "mpdf/mpdf": "Option for rendering PDF with PDF Writer",
                "tecnickcom/tcpdf": "Option for rendering PDF with PDF Writer"
            },
            "type": "library",
            "autoload": {
                "psr-4": {
                    "PhpOffice\\PhpSpreadsheet\\": "src/PhpSpreadsheet"
                }
            },
            "notification-url": "https://packagist.org/downloads/",
            "license": [
                "MIT"
            ],
            "authors": [
                {
                    "name": "Maarten Balliauw",
                    "homepage": "https://blog.maartenballiauw.be"
                },
                {
                    "name": "Mark Baker",
                    "homepage": "https://markbakeruk.net"
                },
                {
                    "name": "Franck Lefevre",
                    "homepage": "https://rootslabs.net"
                },
                {
                    "name": "Erik Tilt"
                },
                {
                    "name": "Adrien Crivelli"
                },
                {
                    "name": "Owen Leibman"
                }
            ],
            "description": "PHPSpreadsheet - Read, Create and Write Spreadsheet documents in PHP - Spreadsheet engine",
            "homepage": "https://github.com/PHPOffice/PhpSpreadsheet",
            "keywords": [
                "OpenXML",
                "excel",
                "gnumeric",
                "ods",
                "php",
                "spreadsheet",
                "xls",
                "xlsx"
            ],
            "support": {
                "issues": "https://github.com/PHPOffice/PhpSpreadsheet/issues",
                "source": "https://github.com/PHPOffice/PhpSpreadsheet/tree/5.7.0"
            },
            "time": "2026-04-20T02:42:17+00:00"
        },
        {
            "name": "phpstan/phpdoc-parser",
            "version": "2.3.2",
@@ -3513,6 +3886,57 @@
            },
            "time": "2024-09-11T13:17:53+00:00"
        },
        {
            "name": "psr/simple-cache",
            "version": "3.0.0",
            "source": {
                "type": "git",
                "url": "https://github.com/php-fig/simple-cache.git",
                "reference": "764e0b3939f5ca87cb904f570ef9be2d78a07865"
            },
            "dist": {
                "type": "zip",
                "url": "https://api.github.com/repos/php-fig/simple-cache/zipball/764e0b3939f5ca87cb904f570ef9be2d78a07865",
                "reference": "764e0b3939f5ca87cb904f570ef9be2d78a07865",
                "shasum": ""
            },
            "require": {
                "php": ">=8.0.0"
            },
            "type": "library",
            "extra": {
                "branch-alias": {
                    "dev-master": "3.0.x-dev"
                }
            },
            "autoload": {
                "psr-4": {
                    "Psr\\SimpleCache\\": "src/"
                }
            },
            "notification-url": "https://packagist.org/downloads/",
            "license": [
                "MIT"
            ],
            "authors": [
                {
                    "name": "PHP-FIG",
                    "homepage": "https://www.php-fig.org/"
                }
            ],
            "description": "Common interfaces for simple caching",
            "keywords": [
                "cache",
                "caching",
                "psr",
                "psr-16",
                "simple-cache"
            ],
            "support": {
                "source": "https://github.com/php-fig/simple-cache/tree/3.0.0"
            },
            "time": "2021-10-29T13:26:27+00:00"
        },
        {
            "name": "symfony/asset",
            "version": "v8.0.8",
@@ -5172,6 +5596,95 @@
            ],
            "time": "2026-03-31T21:14:05+00:00"
        },
        {
            "name": "symfony/intl",
            "version": "v8.0.8",
            "source": {
                "type": "git",
                "url": "https://github.com/symfony/intl.git",
                "reference": "604a1dbbd67471e885e93274379cadd80dc33535"
            },
            "dist": {
                "type": "zip",
                "url": "https://api.github.com/repos/symfony/intl/zipball/604a1dbbd67471e885e93274379cadd80dc33535",
                "reference": "604a1dbbd67471e885e93274379cadd80dc33535",
                "shasum": ""
            },
            "require": {
                "php": ">=8.4"
            },
            "conflict": {
                "symfony/string": "<7.4"
            },
            "require-dev": {
                "symfony/filesystem": "^7.4|^8.0",
                "symfony/var-exporter": "^7.4|^8.0"
            },
            "type": "library",
            "autoload": {
                "psr-4": {
                    "Symfony\\Component\\Intl\\": ""
                },
                "exclude-from-classmap": [
                    "/Tests/",
                    "/Resources/data/"
                ]
            },
            "notification-url": "https://packagist.org/downloads/",
            "license": [
                "MIT"
            ],
            "authors": [
                {
                    "name": "Bernhard Schussek",
                    "email": "bschussek@gmail.com"
                },
                {
                    "name": "Eriksen Costa",
                    "email": "eriksen.costa@infranology.com.br"
                },
                {
                    "name": "Igor Wiedler",
                    "email": "igor@wiedler.ch"
                },
                {
                    "name": "Symfony Community",
                    "homepage": "https://symfony.com/contributors"
                }
            ],
            "description": "Provides access to the localization data of the ICU library",
            "homepage": "https://symfony.com",
            "keywords": [
                "i18n",
                "icu",
                "internationalization",
                "intl",
                "l10n",
                "localization"
            ],
            "support": {
                "source": "https://github.com/symfony/intl/tree/v8.0.8"
            },
            "funding": [
                {
                    "url": "https://symfony.com/sponsor",
                    "type": "custom"
                },
                {
                    "url": "https://github.com/fabpot",
                    "type": "github"
                },
                {
                    "url": "https://github.com/nicolas-grekas",
                    "type": "github"
                },
                {
                    "url": "https://tidelift.com/funding/github/packagist/symfony/symfony",
                    "type": "tidelift"
                }
            ],
            "time": "2026-03-30T15:14:47+00:00"
        },
        {
            "name": "symfony/mime",
            "version": "v8.0.8",
@@ -8263,85 +8776,6 @@
            ],
            "time": "2022-12-23T10:58:28+00:00"
        },
        {
            "name": "composer/pcre",
            "version": "3.3.2",
            "source": {
                "type": "git",
                "url": "https://github.com/composer/pcre.git",
                "reference": "b2bed4734f0cc156ee1fe9c0da2550420d99a21e"
            },
            "dist": {
                "type": "zip",
                "url": "https://api.github.com/repos/composer/pcre/zipball/b2bed4734f0cc156ee1fe9c0da2550420d99a21e",
                "reference": "b2bed4734f0cc156ee1fe9c0da2550420d99a21e",
                "shasum": ""
            },
            "require": {
                "php": "^7.4 || ^8.0"
            },
            "conflict": {
                "phpstan/phpstan": "<1.11.10"
            },
            "require-dev": {
                "phpstan/phpstan": "^1.12 || ^2",
                "phpstan/phpstan-strict-rules": "^1 || ^2",
                "phpunit/phpunit": "^8 || ^9"
            },
            "type": "library",
            "extra": {
                "phpstan": {
                    "includes": [
                        "extension.neon"
                    ]
                },
                "branch-alias": {
                    "dev-main": "3.x-dev"
                }
            },
            "autoload": {
                "psr-4": {
                    "Composer\\Pcre\\": "src"
                }
            },
            "notification-url": "https://packagist.org/downloads/",
            "license": [
                "MIT"
            ],
            "authors": [
                {
                    "name": "Jordi Boggiano",
                    "email": "j.boggiano@seld.be",
                    "homepage": "http://seld.be"
                }
            ],
            "description": "PCRE wrapping library that offers type-safe preg_* replacements.",
            "keywords": [
                "PCRE",
                "preg",
                "regex",
                "regular expression"
            ],
            "support": {
                "issues": "https://github.com/composer/pcre/issues",
                "source": "https://github.com/composer/pcre/tree/3.3.2"
            },
            "funding": [
                {
                    "url": "https://packagist.com",
                    "type": "custom"
                },
                {
                    "url": "https://github.com/composer",
                    "type": "github"
                },
                {
                    "url": "https://tidelift.com/funding/github/packagist/composer/composer",
                    "type": "tidelift"
                }
            ],
            "time": "2024-11-12T16:29:46+00:00"
        },
        {
            "name": "composer/xdebug-handler",
            "version": "3.0.5",
@@ -103,6 +103,13 @@ return [
        'label' => 'sidebar.commercial.section',
        'icon'  => 'mdi:account-arrow-left-outline',
        'items' => [
            [
                'label'      => 'sidebar.commercial.clients',
                'to'         => '/clients',
                'icon'       => 'mdi:account-group-outline',
                'module'     => 'commercial',
                'permission' => 'commercial.clients.view',
            ],
            [
                'label'  => 'sidebar.commercial.suppliers',
                'to'     => '/suppliers',
@@ -1,2 +1,2 @@
 parameters:
-    app.version: '0.1.59'
+    app.version: '0.1.64'
@@ -118,6 +118,8 @@ Aucun pattern soft delete existant dans Starseed (vérifié, aucune entité ne p
 Index unique partiel sur `(LOWER(name), category_type_id) WHERE deleted_at IS NULL`. Permet de recréer une catégorie avec le même `(name, type)` après suppression logique. Postgres supporte nativement (`CREATE UNIQUE INDEX ... WHERE`). Pattern propre, pas besoin de validator applicatif maison côté unicité — la contrainte SQL fait le job.
 > **🔗 Évolution ERP-78 (refonte taxonomie M1)** : `Category` porte désormais une colonne **`code`** (`VARCHAR(50)`, NOT NULL), slug MAJUSCULE auto-généré du nom (figé à la création, lecture seule via l'API), avec un **second index unique partiel** `uq_category_code (code) WHERE deleted_at IS NULL`. Ce code est la clé métier stable utilisée par le M1 Commercial (RG-1.03 / RG-1.29). Détail : `docs/specs/M1-clients/spec-back.md` § 3.3.
 ### 2.5 Audit & traces temporelles — deux niveaux complémentaires
 Deux mécanismes **indépendants** cohabitent :
@@ -0,0 +1,80 @@
 # Cahier de test back — M1 Répertoire clients (ticket ERP-60 / #478)
 Mapping **toutes les RG (§ 7) → test(s) PHPUnit**, à jour après ERP-60.
 Légende source : `ERP-55` `ERP-56` `ERP-57` `ERP-58` = tests écrits par les wagons
 précédents ; **`ERP-60`** = tests ajoutés par ce ticket (stratégie « combler les
 trous, zéro duplication »).
 ## Stratégie
 ERP-60 n'écrit QUE les tests des RG non déjà couvertes par la stack, et mappe ici
 l'intégralité des RG (existantes + nouvelles + déléguées). Les tests dépendants
 des **rôles métier** (matrice RBAC bureau/compta/commerciale/usine + RG-1.04
 fonctionnel) sont **délégués à ERP-74 (#493)** : ces rôles n'existent qu'après le
 merge de la stack.
 ## Mapping RG → test
 | RG | Intitulé | Test(s) | Source |
 |----|----------|---------|--------|
 | RG-1.01 | Prénom OU nom obligatoire → 422 | `ClientApiTest::testPostWithoutFirstOrLastNameReturns422` ; `ClientProcessorTest` (unit) | ERP-55 |
 | RG-1.02 | phoneSecondary persisté ; max 2 téléphones | `ClientFormulaireMainTest::testPostPersistsSecondaryPhoneNormalized` ; `::testThirdPhoneFieldIsIgnored` | **ERP-60** |
 | RG-1.03 | distributor/broker exclusifs + type catégorie | `ClientApiTest::testPostWithDistributorAndBrokerReturns422` ; `::testPostDistributorReferencingNonDistributorReturns422` ; `::testPostValidDistributorReturns201` ; `ClientProcessorTest` (unit) | ERP-55 |
 | RG-1.04 | Onglet Information obligatoire pour rôle Commerciale | `ClientProcessorTest::testCommercialeIncompleteInformationIsUnprocessable` ; `::testNonCommercialeSkipsInformationCompleteness` (unit, dormant). **Test fonctionnel + durcissement → ERP-74** | ERP-55 / **ERP-74** |
 | RG-1.05 | Contact : prénom OU nom → 422 (CHECK) | `ClientSubResourceApiTest::testPostContactWithoutNameReturns422` | ERP-57 |
 | RG-1.06/07/08 | Adresse prospect exclusive de livraison/facturation → 422 (Assert\Callback + CHECK filet) | `ClientAddressTest::testProspectAddressCannotBeDelivery` ; `::testProspectAddressCannotBeBilling` | ERP-60 / **ERP-76** |
 | RG-1.09 | Code postal `^[0-9]{4,5}$` → 422 | `ClientSubResourceApiTest::testPostAddressWithInvalidPostalCodeReturns422` | ERP-57 |
 | RG-1.10 | ≥ 1 site sur adresse → 422 | `ClientSubResourceApiTest::testPostAddressWithoutSiteReturns422` | ERP-57 |
 | RG-1.11 | billingEmail obligatoire ssi isBilling → 422 (Assert\Callback + CHECK filet) | `ClientAddressTest::testBillingAddressRequiresBillingEmail` ; `::testNonBillingAddressRejectsBillingEmail` | ERP-60 / **ERP-76** |
 | RG-1.12 | Virement → banque obligatoire → 422 | `ClientProcessorTest::testVirementWithoutBankIsUnprocessable` ; `::testVirementWithBankPasses` (unit) | ERP-55 |
 | RG-1.13 | LCR → ≥ 1 RIB ; DELETE dernier RIB en LCR → 409 | `ClientProcessorTest::testLcrWithoutRibIsUnprocessable` / `::testLcrWithRibPasses` (unit) ; `ClientSubResourceApiTest::testDeleteLastRibUnderLcrReturns409` / `::testDeleteRibNonLcrReturns204` | ERP-55 / ERP-57 |
 | RG-1.14 | ≥ 1 bloc Contact pour finaliser l'onglet | **Front-driven (pas de state machine back).** Back voisin : `ClientSubResourceApiTest::testDeleteLastContactReturns409` | ERP-57 |
 | RG-1.15 | ~~Unicité SIREN~~ supprimée (Q4) — SIREN partageable | `ClientUniquenessTest::testDuplicateSirenIsAllowed` ; `ClientMigrationTest::testNoSirenOrEmailUniqueIndex` | **ERP-60** |
 | RG-1.16 | companyName unique (case-insensitive) parmi actifs → 409 | `ClientApiTest::testPostDuplicateCompanyNameReturns409` ; `ClientMigrationTest::testCompanyNameActivePartialIndexExistsExactlyOnce` | ERP-55 / **ERP-60** |
 | RG-1.17 | ~~Unicité email~~ supprimée (Q4) — email partageable | `ClientUniquenessTest::testDuplicateEmailIsAllowed` ; `ClientMigrationTest::testNoSirenOrEmailUniqueIndex` | **ERP-60** |
 | RG-1.18 | companyName upper-cased serveur | `ClientApiTest::testPostNormalizesTextFields` ; `ClientFieldNormalizerTest::testCompanyNameIsUppercased` (unit) | ERP-55 |
 | RG-1.19 | firstName/lastName capitalize serveur | `ClientApiTest::testPostNormalizesTextFields` ; `ClientFieldNormalizerTest::testPersonNameIsTitleCased` (unit) ; `ClientSubResourceApiTest::testPostContactNormalizesFields` | ERP-55 / ERP-57 |
 | RG-1.20 | Téléphones chiffres-seuls serveur | `ClientApiTest::testPostNormalizesTextFields` ; `ClientFieldNormalizerTest::testPhoneKeepsOnlyDigits` (unit) ; `ClientFormulaireMainTest::testPostPersistsSecondaryPhoneNormalized` (secondary) | ERP-55 / **ERP-60** |
 | RG-1.21 | email lowercase serveur | `ClientApiTest::testPostNormalizesTextFields` ; `ClientFieldNormalizerTest::testEmailIsLowercased` (unit) ; `ClientSubResourceApiTest::testPostContactNormalizesFields` / `::testPostAddressNormalizesBillingEmail` | ERP-55 / ERP-57 |
 | RG-1.22 | Archive : permission `archive` + archivedAt + aucun autre champ | `ClientApiTest::testPatchArchiveSetsArchivedAtThenRestore` ; `::testPatchArchiveWithOtherFieldReturns422` ; `ClientProcessorTest` (unit, gating archive) | ERP-55 |
 | RG-1.23 | Restauration : archivedAt=null ; **409 si conflit d'unicité** | `ClientApiTest::testPatchArchiveSetsArchivedAtThenRestore` (cas nominal) ; **`ClientArchiveTest::testRestoreConflictReturns409`** (409 restauration, gap P1) | ERP-55 / **ERP-60** |
 | RG-1.24 | Liste exclut les archivés par défaut | `ClientApiTest::testListSortedByCompanyNameAscAndExcludesArchived` | ERP-55 |
 | RG-1.25 | `?includeArchived=true` inclut les archivés | `ClientApiTest::testListIncludeArchivedReturnsArchived` | ERP-55 |
 | RG-1.26 | Tri par défaut companyName ASC | `ClientApiTest::testListSortedByCompanyNameAscAndExcludesArchived` | ERP-55 |
 | RG-1.27 | Timestampable/Blamable : created* figés, updated* mis à jour | `ClientAuditTest::testCreatedFrozenAndUpdatedByReflectsModifier` | **ERP-60** |
 | RG-1.28 | PATCH multi-groupes sans permission → 403 strict (tout le payload) | `ClientProcessorTest::testStrictMixWithAccountingFieldIsForbidden` / `::testAccountingFieldWithoutPermissionIsForbidden` (unit) ; **`ClientPatchStrictTest::testMixedGroupsPatchWithoutAccountingPermissionIsForbidden`** (fonctionnel) | ERP-55 / **ERP-60** |
 | RG-1.29 | Catégorie d'adresse limitée aux types SECTEUR/AUTRE | **Filtrage LECTURE = front-driven** (SearchFilter `GET /api/categories?categoryType.code[]=…`). **Validation ÉCRITURE** : `ClientAddress::validateCategoryTypes` (Assert\Callback) rejette une catégorie DISTRIBUTEUR/COURTIER en 422 (violation `categories`). Tests : `ClientAddressTest::testAddressRejectsDistributorCategory` / `::testAddressRejectsBrokerCategory` / `::testAddressAcceptsSectorCategory` / `::testAddressAcceptsOtherCategory` | **ERP-76** |
 ## Couvertures transverses
 | Sujet | Test(s) | Source |
 |-------|---------|--------|
 | Audit iban/bic présents dans le diff (pas d'`#[AuditIgnore]`) | `ClientAuditTest::testRibCreateAuditIncludesIbanAndBic` | **ERP-60** |
 | Sécurité générique : 401 anonyme + 403 sans `commercial.clients.view` | `ClientSecurityTest` (collection + détail) ; `ClientExportControllerTest::testForbiddenWithoutClientsViewPermission` / `::testUnauthorizedWhenAnonymous` | **ERP-60** / ERP-58 |
 | Migration : index partiel unique présent (1 seul), pas de siren/email unique | `ClientMigrationTest` | **ERP-60** |
 | Référentiels comptables read-only (405 écriture, 401/403) | `ReferentialApiTest` | ERP-56 |
 | Export XLSX (colonnes accounting selon permission, 401/403) | `ClientExportControllerTest` | ERP-58 |
 ## Délégué à ERP-74 (#493) — NE PAS faire dans ERP-60
 - **Matrice RBAC différenciée** par rôle métier (Bureau / Compta / Commerciale /
  Usine) : 200/403 par verbe et par onglet selon le rôle.
 - **RG-1.04 fonctionnel** : PATCH onglet Information par une Commerciale avec
  champs incomplets → 422 ; même PATCH par Admin → 200 (+ durcissement code/spec).
 - Raison : ces rôles métier ne sont seedés qu'après le merge de la stack M1.
 ## Gaps & suivi
 - ~~**RG-1.29 (validation écriture)**~~ — **résolu en ERP-76**. La validation
  d'écriture refuse désormais une catégorie de type `DISTRIBUTEUR`/`COURTIER` sur
  une `ClientAddress` (→ 422, violation `categories`) via l'Assert\Callback
  `ClientAddress::validateCategoryTypes`. Le filtrage de lecture reste
  front-driven (SearchFilter). Couvert par `ClientAddressTest`.
 - ~~**Violations CHECK → statut HTTP**~~ — **résolu en ERP-76**. Les règles
  d'adresse RG-1.06/07/08/11 sont désormais rejetées en **422** par des
  Assert\Callback applicatifs (`validateProspectExclusivity` /
  `validateBillingEmailPresence`) qui s'exécutent AVANT la base. Les CHECK
  Postgres (`chk_client_address_prospect_exclusive` /
  `chk_client_address_billing_email`) restent en filet de sécurité. Les tests
  `ClientAddressTest` assertent maintenant le 422 explicite (et non plus ≥ 400).
@@ -465,26 +465,32 @@ CREATE TABLE client_rib (
 CREATE INDEX idx_client_rib_client ON client_rib(client_id);
 ```
-### 3.3 Seed `CategoryType` (extension du M0)
+### 3.3 Seed taxonomie — type unique `CLIENT` + `Category.code` (refonte ERP-78)
-Au M0, la table `category_type` a été créée mais reste vide (HP-1 du M0). Le M1 lève cette restriction avec un seed initial des **types métier** dont le module Tiers a besoin :
+> **⚠ Refonte ERP-78 (décision produit 01/06) — le modèle ci-dessous remplace l'ancien.**
 > Historique : à l'origine (#38), `DISTRIBUTEUR` / `COURTIER` / `SECTEUR` / `AUTRE` étaient des **`category_type`**. Le modèle a été **inversé** :
 >
 > - **UN SEUL `category_type` : `CLIENT`** (code `CLIENT`, label « Client »).
 > - `Distributeur` / `Courtier` / `Secteur` / `Autre` (+ catégories métier fines) sont désormais des **`Category`** rattachées au type `CLIENT`.
 > - Le filtrage métier ne se fait plus sur le **type** mais sur un **`code` stable porté par la `Category`** (NOT NULL, unique parmi les actifs — index partiel `uq_category_code`). Le code est un **slug MAJUSCULE auto-généré du nom** (`CategoryCodeGenerator`), figé à la création, et exposé en **lecture seule** (groupe `category:read`). Les codes `DISTRIBUTEUR` / `COURTIER` (anciennement portés par le type) sont reportés sur les `Category` correspondantes.
 Seed cible (migration corrective `Version20260602100000`, namespace racine) :
 ```sql
-INSERT INTO category_type (code, label, position) VALUES
+-- Type unique
-    ('DISTRIBUTEUR', 'Distributeur', 10),
+INSERT INTO category_type (code, label) VALUES ('CLIENT', 'Client') ON CONFLICT (code) DO NOTHING;
-    ('COURTIER',     'Courtier',     20),
+-- Catégories système sous CLIENT (codes stables pilotant les RG)
-    ('SECTEUR',      'Secteur',      30),
+-- Distributeur -> DISTRIBUTEUR, Courtier -> COURTIER, Secteur -> SECTEUR, Autre -> AUTRE
    ('AUTRE',        'Autre',        99);
 ```
-> **Note** : le CRUD admin de `CategoryType` reste HP (cf. M0).
+> **Note** : le CRUD admin de `CategoryType` reste HP (cf. M0). Le `code` de `Category` n'est PAS saisissable via l'API (auto-généré côté serveur).
 >
-> **Seed en DEUX endroits (décision 29/05, vérifiée empiriquement)** : le `make db-reset` lance les fixtures, dont le purger Doctrine **vide `category_type`** (entité M0 mappée) avant `load()` → un seed posé uniquement en migration disparaît en dev/test. Donc :
+> **Seed en DEUX endroits (décision 29/05, vérifiée empiriquement)** : le `make db-reset` lance les fixtures, dont le purger Doctrine **vide `category` / `category_type`** (entités M0 mappées) avant `load()` → un seed posé uniquement en migration disparaît en dev/test. Donc :
-> 1. **Migration** (`ON CONFLICT (code) DO NOTHING`) → sert en **prod** (pas de fixtures).
+> 1. **Migration** (`ON CONFLICT` / guards `NOT EXISTS`) → sert en **prod** (pas de fixtures).
-> 2. **Fixture Commercial idempotente** (ex. `CommercialReferentialFixtures`) re-seedant les 4 types → survit au `db-reset`, satisfait le critère « 4 types présents après db-reset ».
+> 2. **Fixtures idempotentes** (`CategoryTypeFixtures` → type CLIENT ; `CategoryFixtures` → catégories codées sous CLIENT) → survivent au `db-reset`.
 >
 > ⚠ **À venir en ERP-54** : `tva_mode` / `payment_delay` / `payment_type` / `bank` ne sont pas encore des entités mappées au M1.0 → le purger ne les touche pas, leur seed migration survit. **Dès qu'ERP-54 crée leurs entités, ils seront purgés au db-reset** → il faudra les ajouter à la même fixture référentielle.
-> 🔗 **Coordination ERP-68** : ERP-53 pose la fixture référentielle minimale (4 category_types). ERP-68 l'**étend** (clients de démo, ~12-15) sans la dupliquer.
+> 🔗 **Coordination ERP-68** : ERP-78 (cette refonte) atterrit avant ERP-68. `CategoryFixtures` / `ClientFixtures` ont été adaptées au type unique CLIENT + codes (les tiers distributeur/courtier portent les `Category` de code DISTRIBUTEUR/COURTIER).
 ### 3.4 Entité `Client` — squelette
@@ -742,7 +748,7 @@ class Client implements TimestampableInterface, BlamableInterface
 - **Security** : `is_granted('commercial.clients.view')`
 - **Query params** :
  - `includeArchived=true|false` (default `false`)
-  - `categoryType=<code>` (filtre par type de catégorie via `SearchFilter`)
+  - `categoryCode=<code>` (filtre les clients ayant ≥ 1 `Category` de ce code stable — ERP-78 ; ex. `DISTRIBUTEUR`, `COURTIER`)
  - `search=<text>` (recherche fuzzy sur companyName + lastName + email)
 - **Tri par défaut** : `companyName ASC`
 - **Pagination** : front via `<MalioDataTable>` (volumétrie cible faible). Pas de pagination serveur au M1.
@@ -881,11 +887,12 @@ Cf. § 2.6. Pattern Shared standard.
 - **RG-1.01** : Au moins l'un des champs `firstName` (Prénom du contact principal) ou `lastName` (Nom du contact principal) doit être renseigné. Sinon → 422.
 - **RG-1.02** : Le champ `phoneSecondary` est optionnel et apparaît au clic sur un bouton `+` côté front. Maximum 2 téléphones (primary + secondary). Comportement purement front au niveau UI ; côté serveur, les 2 colonnes existent et sont distinctes.
- **RG-1.03** : Les champs `distributor` et `broker` sont **mutuellement exclusifs** (au plus une seule des deux est renseignée). Tentative d'envoyer les deux → 422. Contrainte CHECK en base également : `NOT (distributor_id IS NOT NULL AND broker_id IS NOT NULL)`. La liste front de `distributor` = clients ayant au moins une catégorie de type `DISTRIBUTEUR` ; idem pour `broker` avec `COURTIER`.
+- **RG-1.03** : Les champs `distributor` et `broker` sont **mutuellement exclusifs** (au plus une seule des deux est renseignée). Tentative d'envoyer les deux → 422. Contrainte CHECK en base également : `NOT (distributor_id IS NOT NULL AND broker_id IS NOT NULL)`. Un `distributor` référencé doit porter une **`Category` de code `DISTRIBUTEUR`** ; un `broker` une **`Category` de code `COURTIER`** — sinon 422. _(Refonte ERP-78 : le filtrage se fait sur le `code` de la `Category`, plus sur le type — `ClientProcessor::hasCategoryCode`.)_ La liste front de `distributor` = clients ayant une catégorie de code `DISTRIBUTEUR`, via `GET /api/clients?categoryCode=DISTRIBUTEUR` ; idem `broker` avec `COURTIER`.
 ### Onglet Information
- **RG-1.04** : Pour un utilisateur portant le rôle métier **Commerciale**, **tous** les champs de l'onglet Information (`description`, `competitors`, `foundedAt`, `employeesCount`, `revenueAmount`, `directorName`, `profitAmount`) deviennent obligatoires lors d'un PATCH sur le groupe `client:write:information`. Pour les autres rôles, ces champs restent optionnels. Implémenté via un validator custom `ClientInformationCompletenessValidator` invoqué par le `ClientProcessor` quand le user porte le rôle Commerciale.
+- **RG-1.04** _(durcie — ERP-74)_ : Pour un utilisateur portant le rôle métier **Commerciale**, **tous** les champs de l'onglet Information (`description`, `competitors`, `foundedAt`, `employeesCount`, `revenueAmount`, `directorName`, `profitAmount`) sont obligatoires sur **POST et sur tout PATCH**, **indépendamment des champs réellement envoyés** (la condition d'intersection avec `client:write:information` a été retirée). Pour les autres rôles, ces champs restent optionnels. Implémenté via un validator custom `ClientInformationCompletenessValidator` invoqué systématiquement par le `ClientProcessor` quand le user porte le rôle Commerciale.
  - **Conséquence** : le POST n'exposant que le groupe `client:write:main`, l'onglet Information n'y est pas renseignable → une Commerciale obtient **422** sur tout POST (cf. § 8.1). La complétude se fait donc via les PATCH `client:write:information` ultérieurs. Un Admin (non gaté) crée normalement (201).
 ### Onglet Contact
@@ -945,9 +952,9 @@ Cf. § 2.6. Pattern Shared standard.
 - **RG-1.28** : Si un PATCH contient des champs de **plusieurs groupes** de sérialisation et que l'utilisateur **n'a pas toutes les permissions** correspondantes, le `ClientProcessor` renvoie **403 Forbidden sur l'ensemble du payload** (mode strict — pas de filtrage silencieux). Le front est responsable de ne JAMAIS envoyer de champs hors-permission (les onglets masqués via `usePermissions()` ne génèrent pas de payload). Cette règle protège contre les appels API directs malveillants. Exemple : un Bureau qui envoie `{ "companyName": "...", "siren": "..." }` → 403, le message d'erreur précise « Champ `siren` requiert la permission `commercial.clients.accounting.manage` ».
-### Catégorie sur ClientAddress (filtrage par type)
+### Catégorie sur ClientAddress (filtrage par code)
- **RG-1.29** : Le `<MalioSelectCheckbox>` Catégorie de l'onglet Adresse n'expose **que** les `Category` dont `categoryType.code IN ('SECTEUR', 'AUTRE')`. Les types `DISTRIBUTEUR` et `COURTIER` qualifient une **relation entre clients** (cf. RG-1.03) et n'ont pas de sens sur une adresse physique. Implémentation : `ClientAddressProvider` filtre côté serveur via paramètre de requête à l'endpoint `GET /api/categories?categoryType.code[]=SECTEUR&categoryType.code[]=AUTRE` (SearchFilter API Platform). Côté validation du POST/PATCH : si l'utilisateur tente de poster une catégorie de type DISTRIBUTEUR ou COURTIER sur une adresse → **422** avec violation `categories: "Type de catégorie non autorisé sur une adresse."`.
+- **RG-1.29** _(refonte ERP-78)_ : sur une adresse, les `Category` de **code `DISTRIBUTEUR` ou `COURTIER`** sont **interdites** — elles qualifient une **relation entre clients** (cf. RG-1.03) et n'ont pas de sens sur une adresse physique. **Toute autre** catégorie (type unique CLIENT) est autorisée. Validation du POST/PATCH : poster une catégorie de code DISTRIBUTEUR/COURTIER sur une adresse → **422** avec violation `categories: "Type de catégorie non autorisé sur une adresse."` (`ClientAddress::validateCategoryCodes`). Côté front, le `<MalioSelectCheckbox>` Catégorie de l'onglet Adresse exclut les `Category` de code `DISTRIBUTEUR` / `COURTIER` (le `code` est exposé en lecture sur `/api/categories`).
 ## 8. Tests à automatiser
@@ -956,7 +963,7 @@ Cf. § 2.6. Pattern Shared standard.
 - [ ] **RG-1.01** : POST sans firstName ni lastName → 422
 - [ ] **RG-1.02** : POST avec phoneSecondary rempli → persistance OK ; PATCH ajoutant un 3e téléphone → côté API, 2 colonnes uniquement (test que le payload ne peut pas créer un 3e)
 - [ ] **RG-1.03** : POST avec distributor ET broker → 422 ; POST distributor seul → 201
- [ ] **RG-1.03** : POST distributor référençant un client SANS catégorie de type DISTRIBUTEUR → 422 (validation custom)
+- [ ] **RG-1.03** : POST distributor référençant un client SANS catégorie de code DISTRIBUTEUR → 422 (validation custom `ClientProcessor::hasCategoryCode`)
 - [ ] **RG-1.04** : PATCH onglet Information par un user Commerciale avec champs incomplets → 422 ; même PATCH par Admin → 200
 - [ ] **RG-1.05** : POST contact sans firstName ni lastName → 422 (BDD CHECK lève une exception)
 - [ ] **RG-1.06/07/08** : POST adresse avec isProspect=true ET isDelivery=true → 422 / CHECK
@@ -96,8 +96,8 @@ C'est le 1er bloc à remplir. Sans validation de ce formulaire, les onglets ne s
 | **Téléphone secondaire** | `<MalioInputText>` (masque tel) | Non | Apparaît au clic sur le bouton `+` (RG-1.02). Max 2 — bouton `+` disparaît une fois rempli. |
 | **Email** | `<MalioInputText>` type email | Oui | RG-1.21 (lowercase) |
 | **Distributeur / Courtier** | `<MalioSelect>` | Non | Valeurs : `Dépend du distributeur` / `Dépend du courtier` / `Aucun`. RG-1.03 conditionne les 2 champs suivants. |
-| **Nom du distributeur** | `<MalioSelect>` | Conditionnel | Visible si « Dépend du distributeur ». Liste = clients ayant ≥ 1 catégorie de type `DISTRIBUTEUR`. RG-1.03. |
+| **Nom du distributeur** | `<MalioSelect>` | Conditionnel | Visible si « Dépend du distributeur ». Liste = clients ayant ≥ 1 catégorie de **code** `DISTRIBUTEUR` (ERP-78), via `GET /api/clients?categoryCode=DISTRIBUTEUR`. RG-1.03. |
-| **Nom du courtier** | `<MalioSelect>` | Conditionnel | Visible si « Dépend du courtier ». Liste = clients ayant ≥ 1 catégorie de type `COURTIER`. RG-1.03. |
+| **Nom du courtier** | `<MalioSelect>` | Conditionnel | Visible si « Dépend du courtier ». Liste = clients ayant ≥ 1 catégorie de **code** `COURTIER` (ERP-78), via `GET /api/clients?categoryCode=COURTIER`. RG-1.03. |
 | **Prestation de triage** | `<MalioCheckbox>` | Non | — |
 **Action** : « Valider » (`<MalioButton>`) → POST `/api/clients` ([`spec-back.md` § 4.3](./spec-back.md)). Si succès, on passe automatiquement à l'onglet « Information ».
@@ -150,7 +150,7 @@ Saisir une ou plusieurs adresses du client, rattachées à un ou plusieurs sites
 | **Prospect** | `<MalioCheckbox>` | Non | RG-1.06 — masque Adresse de livraison + Facturation si coché |
 | **Adresse de livraison** | `<MalioCheckbox>` | Non | RG-1.07 — masque Prospect si coché |
 | **Facturation** | `<MalioCheckbox>` | Non | RG-1.08 — masque Prospect si coché ; affiche le champ Email (RG-1.11) |
-| **Catégorie** | `<MalioSelectCheckbox>` (multi) | Oui | Liste des `Category` de **type SECTEUR + AUTRE** uniquement (cf. décision Q5 — DISTRIBUTEUR et COURTIER qualifient une relation entre clients, pas un lieu) |
+| **Catégorie** | `<MalioSelectCheckbox>` (multi) | Oui | Liste des `Category` **hors codes `DISTRIBUTEUR` / `COURTIER`** (ERP-78 — ces codes qualifient une relation entre clients, pas un lieu). Le front exclut ces 2 codes du select (le `code` est exposé en lecture sur `/api/categories`). |
 | **Pays** | `<MalioSelect>` | Oui | Préremplie « France » |
 | **Code postal** | `<MalioInputText>` (masque numérique) | Oui | RG-1.09 — déclenche autocomplete ville via BAN |
 | **Ville** | `<MalioSelect>` | Oui | RG-1.09 — alimentée par api-adresse.data.gouv.fr suivant le CP |
@@ -268,7 +268,7 @@ Le composant `Code postal` + `Ville` + `Adresse` est branché sur **api-adresse.
 | # | Zone d'ombre V0 | Résolution (cf. `spec-back.md`) |
 |---|---|---|
-| 1 | Catégorie en multi-select non clarifiée (1 ou n par client) | **M2M `client_category`** validée. CategoryType seedé avec `DISTRIBUTEUR`, `COURTIER`, `SECTEUR`, `AUTRE` (HP-3 du M0 levé). |
+| 1 | Catégorie en multi-select non clarifiée (1 ou n par client) | **M2M `client_category`** validée. Refonte ERP-78 : type unique `CLIENT` ; `Distributeur`/`Courtier`/`Secteur`/`Autre` (+ catégories métier) sont des `Category` portant un `code` stable (HP-3 du M0 levé). |
 | 2 | Distributeur / Courtier : liste de quoi ? | **Auto-référence Client** via 2 FK nullables `distributor_id` et `broker_id` (cf. RG-1.03). Une seule des deux est remplie à la fois. |
 | 3 | Onglet « Comptabilité » : qui édite ? | **Admin et Compta** peuvent éditer l'onglet Comptabilité (`commercial.clients.accounting.manage`). Bureau / Commerciale ne voient pas l'onglet. Compta ne peut pas créer un client (pas de `manage` global), mais peut éditer la partie comptable d'un client existant. |
 | 4 | Workflow par onglet | **Sauvegarde incrémentale**. POST formulaire principal crée le `Client` (status implicite « actif »). Chaque onglet validé = PATCH partiel par groupe de sérialisation dédié. Pas d'état « draft ». |
@@ -23,6 +23,7 @@
        },
        "commercial": {
            "section": "Commercial",
            "clients": "Répertoire clients",
            "suppliers": "Répertoire fournisseurs"
        },
        "core": {
@@ -43,7 +44,54 @@
    },
    "commercial": {
        "title": "Commercial",
-        "welcome": "Module Commercial"
+        "welcome": "Module Commercial",
        "clients": {
            "title": "Répertoire clients",
            "add": "Ajouter",
            "export": "Exporter",
            "empty": "Aucun client pour l'instant.",
            "column": {
                "companyName": "Nom entreprise",
                "contact": "Contact principal",
                "phone": "Téléphone principal",
                "email": "Email principal",
                "categories": "Catégories",
                "sites": "Site(s)"
            },
            "tab": {
                "information": "Information",
                "contact": "Contact",
                "address": "Adresse",
                "transport": "Transport",
                "accounting": "Comptabilité",
                "statistics": "Statistiques",
                "reports": "Rapports",
                "exchanges": "Échanges"
            },
            "action": {
                "edit": "Modifier",
                "archive": "Archiver",
                "restore": "Restaurer"
            },
            "toast": {
                "createSuccess": "Client créé avec succès",
                "updateSuccess": "Client mis à jour avec succès",
                "archiveSuccess": "Client archivé avec succès",
                "restoreSuccess": "Client restauré avec succès",
                "error": "Une erreur est survenue. Réessayez."
            },
            "validation": {
                "informationRequiredForCommercial": "Les informations de l'entreprise sont obligatoires pour le rôle Commerciale.",
                "contactRequired": "Au moins un contact (nom ou prénom) est obligatoire.",
                "siteRequired": "Au moins un site Starseed doit être rattaché à l'adresse.",
                "billingEmailRequired": "L'email de facturation est obligatoire pour une adresse de facturation.",
                "bankRequiredForTransfer": "La banque est obligatoire pour un règlement par virement.",
                "ribRequiredForLcr": "Au moins un RIB complet est obligatoire pour un règlement par LCR.",
                "phoneFormat": "Format de téléphone invalide (attendu : XX XX XX XX XX).",
                "emailFormat": "Format d'email invalide.",
                "addressCategoryForbidden": "Une catégorie « Distributeur » ou « Courtier » ne peut pas qualifier une adresse."
            }
        }
    },
    "auth": {
        "login": "Connexion",
@@ -65,6 +65,16 @@ export const personas: Record<PersonaKey, Persona> = {
            'sites.bypass_scope',
            'catalog.categories.view',
            'catalog.categories.manage',
            // Commercial — Repertoire clients (M1). Mappe ici sur le persona
            // "tout" en attendant les vrais roles metier (bureau/compta/
            // commerciale/usine) seedes par ERP-74. Pas de nouveau persona
            // (regle ABSOLUE n°7). commercial.clients.view n'ajoute pas de lien
            // dans la section Administration, donc expectedAdminLinks reste inchange.
            'commercial.clients.view',
            'commercial.clients.manage',
            'commercial.clients.accounting.view',
            'commercial.clients.accounting.manage',
            'commercial.clients.archive',
        ],
        expectedAdminLinks: ['users', 'roles', 'sites', 'categories', 'audit-log'],
    },
@@ -198,13 +198,18 @@ migration-migrate:
 #     doctrine:fixtures:load essaie de DELETE toutes les tables connues
 #     via les mappings — si fake_site_aware_entity est mappe mais absent
 #     en DB, le purger crash.
-#  3. fixtures -> sync-permissions : fixtures:load purge la table permission,
+#  3. fixtures -> sync-permissions -> seed-rbac : fixtures:load purge la table
-#     donc sync doit passer apres.
+#     permission, donc sync doit passer apres. seed-rbac (matrice RBAC § 2.7)
 #     passe ensuite, car attachMatrix() exige les permissions en base. Les
 #     comptes demo sont crees par RbacDemoFixtures au load (sans la matrice,
 #     attachee ici). Cf. ERP-74.
 #  4. recreation des index partiels uniques : schema:update drop les index
 #     orphelins du mapping ORM. Les index partiels (LOWER + WHERE) ne sont pas
 #     exprimables via les attributs Doctrine ORM (fonctionnel + partiel), donc
 #     ils disparaissent apres schema:update. On les recree par dbal:run-sql :
 #       - `uq_category_name_type_active` (M0 Catalog) : tests RG-1.07.
 #       - `uq_category_code` (Catalog ERP-78) : unicite du code categorie parmi
 #         les actifs (slug du nom), pilote RG-1.03/1.29.
 #       - `uq_client_company_name_active` (M1 Commercial) : unicite nom societe
 #         parmi actifs non archives/non supprimes (RG-1.16), tests ERP-55.
 #     Sans ces restores, les POST doublons remontent 201 au lieu de 409.
@@ -220,7 +225,9 @@ test-db-setup:
 	$(SYMFONY_CONSOLE) --env=test --no-interaction app:apply-column-comments
 	$(SYMFONY_CONSOLE) --env=test --no-interaction doctrine:fixtures:load
 	$(SYMFONY_CONSOLE) --env=test --no-interaction app:sync-permissions
 	$(SYMFONY_CONSOLE) --env=test --no-interaction app:seed-rbac
 	$(SYMFONY_CONSOLE) --env=test dbal:run-sql "CREATE UNIQUE INDEX IF NOT EXISTS uq_category_name_type_active ON category (LOWER(name), category_type_id) WHERE deleted_at IS NULL"
 	$(SYMFONY_CONSOLE) --env=test dbal:run-sql "CREATE UNIQUE INDEX IF NOT EXISTS uq_category_code ON category (code) WHERE deleted_at IS NULL"
 	$(SYMFONY_CONSOLE) --env=test dbal:run-sql "CREATE UNIQUE INDEX IF NOT EXISTS uq_client_company_name_active ON client (LOWER(company_name)) WHERE is_archived = FALSE AND deleted_at IS NULL"
 fixtures:
@@ -231,6 +238,15 @@ fixtures:
 sync-permissions:
 	$(SYMFONY_CONSOLE) --no-interaction app:sync-permissions
 # Seed RBAC metier : roles (bureau/compta/commerciale/usine) + matrice § 2.7
 # (+ comptes demo en dev). Idempotent et NON destructif. A lancer APRES
 # sync-permissions (attachMatrix exige les permissions en base). Les comptes
 # demo dev sont deja crees par RbacDemoFixtures (make fixtures) ; ici on attache
 # la matrice (les permissions etaient purgees au moment du load fixtures).
 # En recette/prod, c'est cette commande (avec/sans --with-demo-users) qui seede.
 seed-rbac:
 	$(SYMFONY_CONSOLE) --no-interaction app:seed-rbac
 # Attention, supprime votre bdd local
 db-reset:
 	$(DOCKER_COMPOSE) down -v
@@ -240,6 +256,7 @@ db-reset:
 	$(MAKE) migration-migrate
 	$(MAKE) fixtures
 	$(MAKE) sync-permissions
 	$(MAKE) seed-rbac
 	$(MAKE) test-db-setup
 # Restart la bdd
@@ -39,20 +39,40 @@ final class Version20260528120000 extends AbstractMigration
    public function up(Schema $schema): void
    {
-        // Ne commente que les tables deja presentes a ce stade de la chaine de
+        // Ne commente que les tables ET colonnes deja presentes a ce stade de la
-        // migrations. Les modules crees plus tard (ex: M1 Commercial, 06-01)
+        // chaine de migrations. Les tables des modules crees plus tard (M1
-        // figurent desormais dans le catalogue partage mais leurs tables
+        // Commercial, 06-01) ET les colonnes ajoutees ensuite sur une table
-        // n'existent pas encore ici : elles posent leurs propres COMMENT dans
+        // existante (ex: category.code, ERP-78 06-02) figurent desormais dans le
-        // leur migration dediee (regle ABSOLUE n°12). Garde-fou indispensable,
+        // catalogue partage mais n'existent pas encore ici : elles posent leur
-        // sinon l'ajout d'un module au catalogue casse ce retrofit avec un
+        // propre COMMENT dans leur migration dediee (regle ABSOLUE n°12). Garde-fou
-        // "relation X does not exist".
+        // indispensable (table + colonne), sinon enrichir le catalogue casse ce
-        $existingTables = array_values(array_filter(
+        // retrofit avec un "relation/column X does not exist".
-            array_keys(ColumnCommentsCatalog::comments()),
+        foreach (ColumnCommentsCatalog::comments() as $table => $entries) {
-            static fn (string $table): bool => $schema->hasTable($table),
+            if (!$schema->hasTable($table)) {
-        ));
+                continue;
            }
-        foreach (ColumnCommentsCatalog::toSqlStatements($existingTables) as $sql) {
+            $dbTable     = $schema->getTable($table);
-            $this->addSql($sql);
+            $quotedTable = '"'.str_replace('"', '""', $table).'"';
            foreach ($entries as $column => $description) {
                if ('_table' === $column) {
                    $this->addSql(sprintf('COMMENT ON TABLE %s IS $_$%s$_$', $quotedTable, $description));
                    continue;
                }
                if (!$dbTable->hasColumn($column)) {
                    continue;
                }
                $this->addSql(sprintf(
                    'COMMENT ON COLUMN %s.%s IS $_$%s$_$',
                    $quotedTable,
                    '"'.str_replace('"', '""', $column).'"',
                    $description,
                ));
            }
        }
    }
@@ -0,0 +1,189 @@
 <?php
 declare(strict_types=1);
 namespace DoctrineMigrations;
 use App\Shared\Infrastructure\Database\CategoryCodeSql;
 use Doctrine\DBAL\Schema\Schema;
 use Doctrine\Migrations\AbstractMigration;
 /**
 * ERP-78 — Refonte de la taxonomie Categories (M0/M1).
 *
 * Modele AVANT (merge via Version20260527164000 + Version20260601000000) :
 * DISTRIBUTEUR / COURTIER / SECTEUR / AUTRE sont des `category_type`.
 *
 * Modele APRES (decision produit 01/06) :
 *  - UN SEUL `category_type` : CLIENT (code CLIENT, label « Client ») ;
 *  - Distributeur / Courtier / Secteur / Autre (+ categories metier fines)
 *    deviennent des `Category` rattachees au type CLIENT ;
 *  - filtrage metier sur un `code` stable porte par la `Category` (et non plus
 *    par le type) : on reporte les codes DISTRIBUTEUR / COURTIER sur la categorie
 *    correspondante. RG-1.03 (distributor/broker) et RG-1.29 (categorie interdite
 *    sur adresse) s'appuient desormais sur `category.code`.
 *
 * Migration CORRECTIVE et NOUVELLE : la migration mergee Version20260601000000
 * (qui a pu tourner en CI / chez d'autres devs) n'est PAS editee.
 *
 * Namespace racine `DoctrineMigrations` (regle ABSOLUE n°11) et NON modulaire
 * Catalog : avec plusieurs migrations_paths, Doctrine Migrations 3.x trie par
 * FQCN alphabetique (AlphabeticalComparator). Introduire la 1re migration
 * modulaire `App\Module\Catalog\...` la ferait trier AVANT toutes les
 * `DoctrineMigrations\...` sur base vide -> elle s'executerait avant la creation
 * des tables et le seed dont elle depend. Le namespace racine garantit l'ordre
 * par timestamp.
 *
 * Idempotence : `ADD COLUMN IF NOT EXISTS`, `INSERT ... ON CONFLICT` / guards
 * `NOT EXISTS`, `CREATE UNIQUE INDEX IF NOT EXISTS`. En prod la table `category`
 * est vide (aucune fixture metier) : l'ajout de `code NOT NULL` est sur. En
 * dev/test, le purger Doctrine vide `category`/`category_type` avant les
 * fixtures, qui reproduisent le meme etat final (cf. CategoryTypeFixtures /
 * CategoryFixtures).
 */
 final class Version20260602100000 extends AbstractMigration
 {
    /**
     * Categories systeme reportees depuis les anciens types : nom => code.
     * Le code est la cle metier stable (RG-1.03 / RG-1.29).
     */
    private const array SYSTEM_CATEGORIES = [
        'Distributeur' => 'DISTRIBUTEUR',
        'Courtier'     => 'COURTIER',
        'Secteur'      => 'SECTEUR',
        'Autre'        => 'AUTRE',
    ];
    /** Anciens codes de `category_type` devenus inutiles. */
    private const array LEGACY_TYPE_CODES = ['DISTRIBUTEUR', 'COURTIER', 'SECTEUR', 'AUTRE'];
    public function getDescription(): string
    {
        return 'ERP-78 : Category.code + type unique CLIENT (categories Distributeur/Courtier/Secteur/Autre codees, anciens types supprimes).';
    }
    public function up(Schema $schema): void
    {
        // 1. Colonne `code` (nullable d'abord pour pouvoir backfiller, NOT NULL ensuite).
        $this->addSql('ALTER TABLE category ADD COLUMN IF NOT EXISTS code VARCHAR(50) DEFAULT NULL');
        // 2. Type unique CLIENT (idempotent via l'index unique uq_category_type_code).
        $this->addSql(<<<'SQL'
            INSERT INTO category_type (code, label) VALUES ('CLIENT', 'Client')
            ON CONFLICT (code) DO NOTHING
            SQL);
        // 3. Re-pointer toute categorie pre-existante (rattachee a un ancien type)
        //    vers le type CLIENT, en lui donnant un code derive du nom si absent.
        //    En prod la table est vide -> no-op ; defensif pour les envs qui
        //    auraient deja seede des categories sous les anciens types. Le slug
        //    SQL est le miroir EXACT de CategoryCodeGenerator::slugify (cf.
        //    CategoryCodeSql + CategoryCodeSqlSlugTest) : un nom accentue produit
        //    le meme code que la generation applicative (« Independant » ->
        //    INDEPENDANT, et non IND_PENDANT).
        $this->addSql(
            'UPDATE category c '
            ."SET category_type_id = (SELECT id FROM category_type WHERE code = 'CLIENT'), "
            .'code = COALESCE(c.code, '.CategoryCodeSql::slugExpression('c.name').') '
            .'WHERE c.category_type_id IN (SELECT id FROM category_type WHERE code IN (:legacyCodes))',
            ['legacyCodes' => self::LEGACY_TYPE_CODES],
            ['legacyCodes' => \Doctrine\DBAL\ArrayParameterType::STRING],
        );
        // 4. Creer les 4 categories systeme sous CLIENT (si leur code est libre
        //    parmi les actifs). created_at/updated_at NOT NULL -> now() ; le blame
        //    reste null (seed hors contexte HTTP, libelle « Systeme » cote front).
        foreach (self::SYSTEM_CATEGORIES as $name => $code) {
            $this->addSql(<<<'SQL'
                INSERT INTO category (name, code, category_type_id, created_at, updated_at)
                SELECT :name, :code, ct.id, NOW(), NOW()
                FROM category_type ct
                WHERE ct.code = 'CLIENT'
                  AND NOT EXISTS (
                      SELECT 1 FROM category c WHERE c.code = :code AND c.deleted_at IS NULL
                  )
                SQL, ['name' => $name, 'code' => $code]);
        }
        // 5. Backfill defensif : toute categorie encore sans code recoit un slug
        //    de son nom (garantit que le SET NOT NULL passe). Meme expression de
        //    slug fidele au generateur applicatif (CategoryCodeSql).
        $this->addSql(
            'UPDATE category SET code = '.CategoryCodeSql::slugExpression('name').' WHERE code IS NULL',
        );
        // 6. Index unique partiel sur le code parmi les actifs (non exprimable en
        //    ORM : recree aussi dans `test-db-setup` apres schema:update).
        $this->addSql('CREATE UNIQUE INDEX IF NOT EXISTS uq_category_code ON category (code) WHERE deleted_at IS NULL');
        // 7. Code desormais obligatoire.
        $this->addSql('ALTER TABLE category ALTER COLUMN code SET NOT NULL');
        // 8. Documentation SQL (regle ABSOLUE n°12). Dollar-quoting Postgres.
        $this->addSql(<<<'SQL'
            COMMENT ON COLUMN category.code IS $_$Code technique stable (slug MAJUSCULE du nom, <= 50) — unique parmi les actifs (uq_category_code). Fige a la creation. DISTRIBUTEUR/COURTIER pilotent RG-1.03/1.29.$_$
            SQL);
        // 9. Supprimer les anciens types devenus orphelins (aucune categorie ne
        //    les reference plus apres le re-pointage de l'etape 3). Le guard
        //    NOT EXISTS evite de casser sur la FK RESTRICT category.category_type_id.
        $this->addSql(<<<'SQL'
            DELETE FROM category_type
            WHERE code IN (:legacyCodes)
              AND NOT EXISTS (
                  SELECT 1 FROM category c WHERE c.category_type_id = category_type.id
              )
            SQL, ['legacyCodes' => self::LEGACY_TYPE_CODES], ['legacyCodes' => \Doctrine\DBAL\ArrayParameterType::STRING]);
        // 10. Realigner la doc SQL de client_address_category (migration mergee
        //     Version20260601000000, non editable) sur le nouveau modele RG-1.29.
        $this->addSql(<<<'SQL'
            COMMENT ON TABLE client_address_category IS $_$Jointure M2M client_address <-> category — codes DISTRIBUTEUR/COURTIER interdits sur une adresse (RG-1.29).$_$
            SQL);
        $this->addSql(<<<'SQL'
            COMMENT ON COLUMN client_address_category.category_id IS $_$FK -> category.id, ON DELETE RESTRICT — categorie d adresse (tout code sauf DISTRIBUTEUR/COURTIER, RG-1.29).$_$
            SQL);
    }
    public function down(Schema $schema): void
    {
        // Best-effort : rollback du modele CLIENT vers les 4 anciens types.
        // 1. Retirer l'index unique sur le code.
        $this->addSql('DROP INDEX IF EXISTS uq_category_code');
        // 2. Recreer les 4 anciens types.
        $this->addSql(<<<'SQL'
            INSERT INTO category_type (code, label) VALUES
                ('DISTRIBUTEUR', 'Distributeur'),
                ('COURTIER',     'Courtier'),
                ('SECTEUR',      'Secteur'),
                ('AUTRE',        'Autre')
            ON CONFLICT (code) DO NOTHING
            SQL);
        // 3. Re-pointer les categories systeme (par code) vers leur type d'origine.
        //    Codes inlines : constantes controlees (self::SYSTEM_CATEGORIES), pas
        //    d'entree utilisateur — evite le binding d'un parametre nomme repete.
        foreach (self::SYSTEM_CATEGORIES as $name => $code) {
            $this->addSql(sprintf(
                "UPDATE category SET category_type_id = (SELECT id FROM category_type WHERE code = '%s') WHERE code = '%s'",
                $code,
                $code,
            ));
        }
        // 4. Supprimer le type CLIENT s'il ne reference plus aucune categorie.
        $this->addSql(<<<'SQL'
            DELETE FROM category_type
            WHERE code = 'CLIENT'
              AND NOT EXISTS (
                  SELECT 1 FROM category c WHERE c.category_type_id = category_type.id
              )
            SQL);
        // 5. Retirer la colonne code (les categories libres sans type d'origine
        //    restent sous CLIENT si encore presentes — rollback uniquement
        //    pertinent en prod ou seules les 4 categories systeme existent).
        $this->addSql('ALTER TABLE category DROP COLUMN IF EXISTS code');
    }
 }
@@ -0,0 +1,77 @@
 <?php
 declare(strict_types=1);
 namespace App\Module\Catalog\Application\Service;
 use App\Module\Catalog\Domain\Repository\CategoryRepositoryInterface;
 use Symfony\Component\String\Slugger\AsciiSlugger;
 /**
 * Genere le code technique stable d'une Category a partir de son nom (ERP-78).
 *
 * Regle (decision produit 02/06) : `code` est obligatoire et auto-genere — un
 * slug MAJUSCULE du nom, sans accent, separateurs non alphanumeriques reduits a
 * `_`, borne a 50 caracteres (longueur colonne). Exemples :
 *  - « Distributeur »      -> DISTRIBUTEUR
 *  - « Agro-alimentaire »  -> AGRO_ALIMENTAIRE
 *  - « Transport/Logistique » -> TRANSPORT_LOGISTIQUE
 *
 * Le code est FIGE a la creation (jamais recalcule sur renommage) afin de rester
 * une cle deterministe stable entre environnements (RG-1.03 / RG-1.29 cote M1).
 *
 * Unicite : l'index partiel `uq_category_code` (WHERE deleted_at IS NULL) impose
 * l'unicite parmi les categories actives. Deux noms distincts peuvent produire
 * le meme slug (« Agro alimentaire » / « Agro-alimentaire ») : on suffixe alors
 * le code par `_2`, `_3`... jusqu'a obtenir un code libre.
 */
 final class CategoryCodeGenerator
 {
    /** Longueur maximale de la colonne `category.code`. */
    private const int MAX_LENGTH = 50;
    private readonly AsciiSlugger $slugger;
    public function __construct(
        private readonly CategoryRepositoryInterface $categoryRepository,
    ) {
        $this->slugger = new AsciiSlugger();
    }
    /**
     * Slug brut (sans garantie d'unicite) — utile pour les seeds deterministes.
     */
    public function slugify(string $name): string
    {
        $slug = $this->slugger->slug($name, '_')->upper()->toString();
        // Borne a la longueur colonne, puis retire un eventuel `_` terminal
        // introduit par la troncature.
        $slug = substr($slug, 0, self::MAX_LENGTH);
        $slug = trim($slug, '_');
        // Garde-fou : un nom uniquement compose de caracteres non alphanumeriques
        // (theorique, le nom est NotBlank + Length>=2) donnerait un slug vide.
        return '' === $slug ? 'CATEGORY' : $slug;
    }
    /**
     * Code unique parmi les categories actives : slug du nom, suffixe `_N` en
     * cas de collision. `$excludeId` ignore la categorie courante (PATCH).
     */
    public function generateUnique(string $name, ?int $excludeId = null): string
    {
        $base      = $this->slugify($name);
        $candidate = $base;
        $suffix    = 2;
        while ($this->categoryRepository->existsActiveByCode($candidate, $excludeId)) {
            $suffixStr = '_'.$suffix;
            // Retronque la base pour que `base + suffixe` tienne dans 50 caracteres.
            $candidate = substr($base, 0, self::MAX_LENGTH - strlen($suffixStr)).$suffixStr;
            ++$suffix;
        }
        return $candidate;
    }
 }
@@ -74,10 +74,11 @@ use Symfony\Component\Validator\Constraints as Assert;
 )]
 #[ORM\Entity(repositoryClass: DoctrineCategoryRepository::class)]
 #[ORM\Table(name: 'category')]
-// Index nommes pour matcher la migration (cf. Role/Permission/Site). L'index
+// Index nommes pour matcher la migration (cf. Role/Permission/Site). Les index
-// unique partiel `uq_category_name_type_active` (LOWER(name), category_type_id
+// uniques partiels `uq_category_name_type_active` (LOWER(name), category_type_id
-// WHERE deleted_at IS NULL) reste possede par la seule migration : Doctrine ORM
+// WHERE deleted_at IS NULL) et `uq_category_code` (code WHERE deleted_at IS NULL)
-// ne sait pas exprimer un index fonctionnel + partiel via attribut.
+// restent possedes par la seule migration : Doctrine ORM ne sait pas exprimer un
 // index partiel via attribut.
 #[ORM\Index(name: 'idx_category_deleted_at', columns: ['deleted_at'])]
 #[ORM\Index(name: 'idx_category_type_id', columns: ['category_type_id'])]
 #[ORM\Index(name: 'idx_category_created_by', columns: ['created_by'])]
@@ -109,6 +110,16 @@ class Category implements TimestampableInterface, BlamableInterface, CategoryInt
    #[Groups(['category:read', 'category:write'])]
    private ?string $name = null;
    // Code technique stable (slug MAJUSCULE du nom) — NOT NULL + unique parmi les
    // actifs (index partiel `uq_category_code` possede par la migration). Genere
    // par le CategoryProcessor a la creation puis fige (jamais recalcule sur
    // renommage) : sert de cle metier deterministe (RG-1.03 / RG-1.29). Lecture
    // seule cote API (hors groupe category:write) : le front filtre dessus mais
    // ne le saisit pas.
    #[ORM\Column(length: 50)]
    #[Groups(['category:read'])]
    private ?string $code = null;
    #[ORM\ManyToOne(targetEntity: CategoryType::class)]
    #[ORM\JoinColumn(name: 'category_type_id', referencedColumnName: 'id', nullable: false, onDelete: 'RESTRICT')]
    #[Assert\NotNull(message: 'Type de catégorie obligatoire.')]
@@ -141,6 +152,21 @@ class Category implements TimestampableInterface, BlamableInterface, CategoryInt
        return $this;
    }
    /**
     * Implemente CategoryInterface : code technique stable de la categorie.
     */
    public function getCode(): ?string
    {
        return $this->code;
    }
    public function setCode(string $code): static
    {
        $this->code = $code;
        return $this;
    }
    public function getCategoryType(): ?CategoryType
    {
        return $this->categoryType;
@@ -13,6 +13,13 @@ interface CategoryRepositoryInterface
    public function save(Category $category): void;
    /**
     * Vrai si une categorie active (deleted_at IS NULL) porte deja ce code.
     * `$excludeId` exclut une categorie precise du test (cas PATCH). Sert a
     * garantir l'unicite du code generee par le CategoryCodeGenerator (ERP-78).
     */
    public function existsActiveByCode(string $code, ?int $excludeId = null): bool;
    /**
     * Construit un QueryBuilder de liste avec filtre soft-delete et tri par defaut.
     * - $includeDeleted = false : exclut les categories soft-deleted (RG-1.08)
@@ -7,6 +7,7 @@ namespace App\Module\Catalog\Infrastructure\ApiPlatform\State\Processor;
 use ApiPlatform\Metadata\DeleteOperationInterface;
 use ApiPlatform\Metadata\Operation;
 use ApiPlatform\State\ProcessorInterface;
 use App\Module\Catalog\Application\Service\CategoryCodeGenerator;
 use App\Module\Catalog\Domain\Entity\Category;
 use DateTimeImmutable;
 use Doctrine\DBAL\Exception\UniqueConstraintViolationException;
@@ -16,10 +17,13 @@ use Symfony\Component\HttpKernel\Exception\HttpException;
 /**
 * Processor Category : applique les regles de gestion en ecriture.
 *
- * - POST / PATCH : trim du nom (RG-1.03) puis delegation au persist_processor
+ * - POST / PATCH : trim du nom (RG-1.03) ; a la CREATION, generation du `code`
- *   Doctrine ORM. Toute UniqueConstraintViolationException remontee par Postgres
+ *   technique stable (slug MAJUSCULE du nom, unique parmi les actifs — ERP-78)
- *   (collision sur l'index partiel uq_category_name_type_active) est traduite
+ *   via CategoryCodeGenerator ; puis delegation au persist_processor Doctrine
- *   en HTTP 409 avec le message attendu par la spec (RG-1.07).
+ *   ORM. Le code est FIGE a la creation (jamais recalcule sur PATCH). Toute
 *   UniqueConstraintViolationException remontee par Postgres (collision sur
 *   l'index partiel uq_category_name_type_active) est traduite en HTTP 409 avec
 *   le message attendu par la spec (RG-1.07).
 * - DELETE : soft delete (RG-1.12). On NE delegue PAS au remove_processor ;
 *   on pose deletedAt = now() puis on delegue au persist_processor pour que
 *   le UPDATE Doctrine parte et que le TimestampableBlamableSubscriber mette
@@ -32,6 +36,7 @@ final class CategoryProcessor implements ProcessorInterface
    public function __construct(
        #[Autowire(service: 'api_platform.doctrine.orm.state.persist_processor')]
        private readonly ProcessorInterface $persistProcessor,
        private readonly CategoryCodeGenerator $codeGenerator,
    ) {}
    public function process(mixed $data, Operation $operation, array $uriVariables = [], array $context = []): mixed
@@ -62,6 +67,14 @@ final class CategoryProcessor implements ProcessorInterface
            $data->setName(trim($data->getName()));
        }
        // ERP-78 : le code est genere a la CREATION puis fige. On le (re)genere
        // uniquement s'il est absent (POST, ou entite seedee sans code) — un PATCH
        // sur une categorie existante conserve son code. Genere depuis le nom
        // (NotBlank, deja trimme), unique parmi les actifs.
        if (null === $data->getCode() && null !== $data->getName()) {
            $data->setCode($this->codeGenerator->generateUnique($data->getName(), $data->getId()));
        }
        try {
            return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
        } catch (UniqueConstraintViolationException $e) {
@@ -0,0 +1,132 @@
 <?php
 declare(strict_types=1);
 namespace App\Module\Catalog\Infrastructure\DataFixtures;
 use App\Module\Catalog\Domain\Entity\Category;
 use App\Module\Catalog\Domain\Entity\CategoryType;
 use App\Module\Catalog\Domain\Repository\CategoryTypeRepositoryInterface;
 use Doctrine\Bundle\FixturesBundle\Fixture;
 use Doctrine\Common\DataFixtures\DependentFixtureInterface;
 use Doctrine\Persistence\ObjectManager;
 use RuntimeException;
 use Symfony\Component\DependencyInjection\Attribute\Autowire;
 /**
 * Fixtures dev/test du module Catalog : ~11 categories de demonstration, toutes
 * rattachees au type unique CLIENT (refonte taxonomie ERP-78). Chaque categorie
 * porte un `code` stable. Alimente le repertoire clients (ClientFixtures, module
 * Commercial) avec des donnees realistes couvrant RG-1.03 (codes DISTRIBUTEUR /
 * COURTIER) et RG-1.29 (codes interdits sur adresse).
 *
 * Depend de CategoryTypeFixtures : le type CLIENT doit etre seede avant de
 * pouvoir y rattacher des Category.
 *
 * Idempotence : lookup par `code` parmi les categories non supprimees (deletedAt
 * null), coherent avec l'index unique partiel uq_category_code (code WHERE
 * deleted_at IS NULL). Rejouable sans doublon meme si le purger Doctrine est
 * desactive.
 *
 * Audit / Blamable : persist hors contexte HTTP -> created_by / updated_by
 * restent null (« Systeme » cote front), c'est attendu.
 *
 * Portee : DONNEES DE DEMONSTRATION (dev uniquement). En environnement `test`,
 * la fixture ne charge rien : les tests seedent et nettoient leurs propres
 * categories (prefixe dedie) et comptent sur une table `category` vierge — y
 * injecter des categories de demo casserait comptages et cleanups FK
 * (client_category). Cf. ClientFixtures (meme garde-fou).
 */
 class CategoryFixtures extends Fixture implements DependentFixtureInterface
 {
    /** Code du type unique (cf. CategoryTypeFixtures, migration ERP-78). */
    private const string CLIENT_TYPE_CODE = 'CLIENT';
    /**
     * Source unique des categories de demonstration : nom => code stable. Les 4
     * premieres (Distributeur / Courtier / Secteur / Autre) sont les categories
     * « systeme » reportees des anciens types ; leurs codes pilotent les RG.
     *
     * @var array<string, string>
     */
    private const CATEGORIES = [
        'Distributeur'         => 'DISTRIBUTEUR',
        'Courtier'             => 'COURTIER',
        'Secteur'              => 'SECTEUR',
        'Autre'                => 'AUTRE',
        'BTP'                  => 'BTP',
        'Industrie'            => 'INDUSTRIE',
        'Agro-alimentaire'     => 'AGRO_ALIMENTAIRE',
        'Transport/Logistique' => 'TRANSPORT_LOGISTIQUE',
        'Services'             => 'SERVICES',
        'Association'          => 'ASSOCIATION',
        'Indépendant'          => 'INDEPENDANT',
    ];
    public function __construct(
        private readonly CategoryTypeRepositoryInterface $categoryTypeRepository,
        #[Autowire('%kernel.environment%')]
        private readonly string $environment,
    ) {}
    /**
     * @return array<int, class-string>
     */
    public function getDependencies(): array
    {
        return [CategoryTypeFixtures::class];
    }
    public function load(ObjectManager $manager): void
    {
        // Donnees de demo : dev uniquement. En test, on laisse la table vierge.
        if ('test' === $this->environment) {
            return;
        }
        $clientType = null;
        foreach ($this->categoryTypeRepository->findAllOrderedByLabel() as $type) {
            if (self::CLIENT_TYPE_CODE === $type->getCode()) {
                $clientType = $type;
                break;
            }
        }
        if (!$clientType instanceof CategoryType) {
            // Misconfiguration : CategoryTypeFixtures n'a pas tourne avant.
            throw new RuntimeException(
                'CategoryTypeFixtures doit avoir seede le type "CLIENT" avant CategoryFixtures.',
            );
        }
        foreach (self::CATEGORIES as $name => $code) {
            $this->ensureCategory($manager, $name, $code, $clientType);
        }
        $manager->flush();
    }
    /**
     * Cree la categorie (name, code) sous le type CLIENT si son code n'existe pas
     * encore parmi les categories actives, sinon la laisse en place. Lookup
     * aligne sur l'index unique partiel uq_category_code.
     */
    private function ensureCategory(ObjectManager $manager, string $name, string $code, CategoryType $type): void
    {
        $existing = $manager->getRepository(Category::class)->findOneBy([
            'code'      => $code,
            'deletedAt' => null,
        ]);
        if (null !== $existing) {
            return;
        }
        $category = new Category();
        $category->setName($name);
        $category->setCode($code);
        $category->setCategoryType($type);
        $manager->persist($category);
    }
 }
@@ -10,17 +10,19 @@ use Doctrine\Bundle\FixturesBundle\Fixture;
 use Doctrine\Persistence\ObjectManager;
 /**
- * Fixtures du module Catalog : seed des types de categorie metier (M1).
+ * Fixtures du module Catalog : seed du type de categorie (M1).
 *
- * La table `category_type` est creee vide au M0 ; le M1 la peuple avec les 4
+ * Refonte taxonomie ERP-78 : le modele n'a plus qu'UN SEUL `category_type`,
- * types DISTRIBUTEUR / COURTIER / SECTEUR / AUTRE (cf. spec M1 § 3.3).
+ * CLIENT (code CLIENT, label « Client »). Distributeur / Courtier / Secteur /
 * Autre (et les categories metier fines) sont desormais des `Category` codees
 * rattachees a ce type (cf. CategoryFixtures + migration Version20260602100000).
 *
- * Pourquoi une fixture EN PLUS du seed de la migration (Version20260601000000) :
+ * Pourquoi une fixture EN PLUS du seed de la migration : `category_type` est une
- * `category_type` est une entite managee par l ORM, donc le purger Doctrine la
+ * entite managee par l ORM, donc le purger Doctrine la vide avant chaque
- * vide avant chaque `doctrine:fixtures:load`. Sans cette fixture, les 4 types
+ * `doctrine:fixtures:load`. Sans cette fixture, le type CLIENT seede par la
- * seedes par la migration disparaitraient apres `make db-reset` / setup de test.
+ * migration disparaitrait apres `make db-reset` / setup de test. Le seed
- * Le seed migration couvre la prod (ou les fixtures ne tournent pas) ; cette
+ * migration couvre la prod (ou les fixtures ne tournent pas) ; cette fixture
- * fixture re-aligne dev et test. Les deux chemins produisent un etat identique.
+ * re-aligne dev et test. Les deux chemins produisent un etat identique.
 *
 * Idempotence : lookup par `code` parmi les types existants avant insertion,
 * sur le modele d AppFixtures::ensureSystemRole. Rejouable sans doublon meme
@@ -29,14 +31,11 @@ use Doctrine\Persistence\ObjectManager;
 class CategoryTypeFixtures extends Fixture
 {
    /**
-     * Source unique des 4 types metier : code technique => libelle FR.
+     * Source unique du type : code technique => libelle FR. Doit rester aligne
-     * Doit rester aligne sur le seed de la migration Version20260601000000.
+     * sur le seed de la migration Version20260602100000 (type unique CLIENT).
     */
    private const TYPES = [
-        'DISTRIBUTEUR' => 'Distributeur',
+        'CLIENT' => 'Client',
        'COURTIER'     => 'Courtier',
        'SECTEUR'      => 'Secteur',
        'AUTRE'        => 'Autre',
    ];
    public function __construct(
@@ -31,6 +31,23 @@ class DoctrineCategoryRepository extends ServiceEntityRepository implements Cate
        $this->getEntityManager()->flush();
    }
    public function existsActiveByCode(string $code, ?int $excludeId = null): bool
    {
        $qb = $this->createQueryBuilder('c')
            ->select('1')
            ->andWhere('c.code = :code')
            ->andWhere('c.deletedAt IS NULL')
            ->setParameter('code', $code)
            ->setMaxResults(1)
        ;
        if (null !== $excludeId) {
            $qb->andWhere('c.id != :excludeId')->setParameter('excludeId', $excludeId);
        }
        return [] !== $qb->getQuery()->getResult();
    }
    public function createListQueryBuilder(bool $includeDeleted = false): QueryBuilder
    {
        $qb = $this->createQueryBuilder('c')
@@ -10,17 +10,15 @@ use Symfony\Component\Validator\ConstraintViolation;
 use Symfony\Component\Validator\ConstraintViolationList;
 /**
- * Validator metier RG-1.04 : pour un utilisateur portant le role metier
+ * Validator metier RG-1.04 (durcie ERP-74) : pour un utilisateur portant le
- * Commerciale, TOUS les champs de l'onglet Information deviennent obligatoires
+ * role metier Commerciale, TOUS les champs de l'onglet Information sont
- * lors d'un PATCH touchant le groupe `client:write:information`.
+ * obligatoires sur POST comme sur tout PATCH, independamment des champs
 * reellement envoyes.
 *
- * Invoque par le ClientProcessor UNIQUEMENT quand les deux conditions sont
+ * Invoque par le ClientProcessor des que l'utilisateur courant porte le role
- * reunies (role Commerciale + payload touchant l'onglet Information). Pour les
+ * Commerciale (plus de condition d'intersection avec l'onglet Information).
- * autres roles, ces champs restent optionnels — le validator n'est pas appele.
+ * Pour les autres roles, ces champs restent optionnels — le validator n'est
- *
+ * pas appele.
 * Tant qu'aucun user ne porte le role `commerciale` (seede par ERP-74,
 * cf. App\Shared\Domain\Security\BusinessRoles::COMMERCIALE), cette regle reste
 * DORMANTE : aucun appelant ne la declenche.
 *
 * Leve une ValidationException (HTTP 422) listant chaque champ manquant, par
 * coherence avec les violations Symfony rendues par API Platform.
@@ -9,4 +9,36 @@ final class CommercialModule
    public const string ID     = 'commercial';
    public const string LABEL  = 'Commercial';
    public const bool REQUIRED = false;
    /**
     * Liste declarative des permissions RBAC exposees par le module Commercial.
     *
     * Consommee par la commande `app:sync-permissions` (SyncPermissionsCommand)
     * qui se charge d'upserter ces entrees dans la table `permission`, de
     * reactiver les codes precedemment marques orphelins et de marquer comme
     * orphelins ceux qui ont disparu du code source.
     *
     * La cle `module` est auto-injectee par le sync command a partir de
     * `self::ID`, il est donc inutile de la repeter dans chaque entree.
     *
     * Convention de nommage des codes : `module.resource[.sub].action` en
     * snake_case, le prefixe module devant correspondre exactement a
     * `self::ID` (verifie par la commande de synchronisation).
     *
     * Granularite alignee sur Core/Catalog (view + manage), plus deux
     * permissions dediees a l'onglet Comptabilite et a l'archivage
     * (cf. spec-back M1 § 2.7).
     *
     * @return array<int, array{code: string, label: string}>
     */
    public static function permissions(): array
    {
        return [
            ['code' => 'commercial.clients.view', 'label' => 'Voir les clients'],
            ['code' => 'commercial.clients.manage', 'label' => 'Créer / modifier les clients (hors onglet Comptabilité)'],
            ['code' => 'commercial.clients.accounting.view', 'label' => 'Voir l\'onglet Comptabilité d\'un client'],
            ['code' => 'commercial.clients.accounting.manage', 'label' => 'Modifier l\'onglet Comptabilité d\'un client'],
            ['code' => 'commercial.clients.archive', 'label' => 'Archiver / restaurer un client'],
        ];
    }
 }
@@ -4,6 +4,9 @@ declare(strict_types=1);
 namespace App\Module\Commercial\Domain\Entity;
 use ApiPlatform\Metadata\ApiResource;
 use ApiPlatform\Metadata\Get;
 use ApiPlatform\Metadata\GetCollection;
 use App\Module\Commercial\Infrastructure\Doctrine\DoctrineBankRepository;
 use Doctrine\ORM\Mapping as ORM;
 use Symfony\Component\Serializer\Attribute\Groups;
@@ -13,10 +16,29 @@ use Symfony\Component\Serializer\Attribute\Groups;
 * CIC, Credit Agricole) : referentiel statique seede par la migration M1 et
 * re-seede en dev/test par CommercialReferentialFixtures.
 *
- * Lecture seule au M1 (HP-M2-2). Pas de Timestampable/Blamable (referentiel
+ * Lecture seule au M1 (HP-M2-2) : GetCollection + Get uniquement (ERP-56),
- * statique whiteliste dans EntitiesAreTimestampableBlamableTest::EXCLUDED). Le
+ * permission commercial.clients.view ; POST/PATCH/DELETE -> 405. Pas de
- * groupe `client:read:accounting` permet l'embarquement dans la reponse Client.
+ * Timestampable/Blamable (referentiel statique whiteliste dans
 * EntitiesAreTimestampableBlamableTest::EXCLUDED). Le groupe
 * `client:read:accounting` permet l'embarquement dans la reponse Client.
 */
 #[ApiResource(
    operations: [
        new GetCollection(
            security: "is_granted('commercial.clients.view')",
            normalizationContext: ['groups' => ['bank:read']],
            // Tri par defaut spec M1 § 4.7 : position ASC puis label ASC.
            order: ['position' => 'ASC', 'label' => 'ASC'],
            // ERP-72 : pagination serveur + toggle ?pagination=false (cf. TvaMode).
            paginationClientEnabled: true,
        ),
        new Get(
            security: "is_granted('commercial.clients.view')",
            normalizationContext: ['groups' => ['bank:read']],
        ),
    ],
    security: "is_granted('commercial.clients.view')",
 )]
 #[ORM\Entity(repositoryClass: DoctrineBankRepository::class)]
 #[ORM\Table(name: 'bank')]
 #[ORM\UniqueConstraint(name: 'uq_bank_code', columns: ['code'])]
@@ -83,11 +83,19 @@ use Symfony\Component\Validator\Constraints as Assert;
            processor: ClientProcessor::class,
        ),
        new Patch(
-            security: "is_granted('commercial.clients.manage')",
+            // Security elargie (ERP-74) : `manage` OU `accounting.manage`. Le
            // role Compta n'a pas `manage` mais doit pouvoir editer l'onglet
            // Comptabilite d'un client existant (§ 2.7). Le ClientProcessor
            // re-gate ensuite onglet par onglet :
            //  - champs accounting -> accounting.manage (guardAccounting, RG-1.28) ;
            //  - champs main/information -> manage (guardManage : empeche Compta
            //    d'editer les autres onglets) ;
            //  - isArchived -> archive (guardArchive, RG-1.22).
            security: "is_granted('commercial.clients.manage') or is_granted('commercial.clients.accounting.manage')",
            // Le ClientProcessor inspecte les champs reellement envoyes pour
            // autoriser/refuser onglet par onglet (RG-1.22 / RG-1.28) : les
            // champs accounting exigent accounting.manage, isArchived exige
-            // archive.
+            // archive, le reste (main/information) exige manage.
            normalizationContext: ['groups' => ['client:read', 'default:read']],
            denormalizationContext: ['groups' => [
                'client:write:main',
@@ -4,6 +4,13 @@ declare(strict_types=1);
 namespace App\Module\Commercial\Domain\Entity;
 use ApiPlatform\Metadata\ApiResource;
 use ApiPlatform\Metadata\Delete;
 use ApiPlatform\Metadata\Get;
 use ApiPlatform\Metadata\Link;
 use ApiPlatform\Metadata\Patch;
 use ApiPlatform\Metadata\Post;
 use App\Module\Commercial\Infrastructure\ApiPlatform\State\Processor\ClientAddressProcessor;
 use App\Module\Commercial\Infrastructure\Doctrine\DoctrineClientAddressRepository;
 use App\Shared\Domain\Attribute\Auditable;
 use App\Shared\Domain\Contract\BlamableInterface;
@@ -16,23 +23,62 @@ use Doctrine\Common\Collections\Collection;
 use Doctrine\ORM\Mapping as ORM;
 use Symfony\Component\Serializer\Attribute\Groups;
 use Symfony\Component\Validator\Constraints as Assert;
 use Symfony\Component\Validator\Context\ExecutionContextInterface;
 /**
 * Adresse d'un client (1:n) — onglet Adresse. Une adresse de prospection
 * (isProspect) est exclusive d'une adresse de livraison/facturation
- * (RG-1.06/07/08, CHECK BDD). Un email de facturation est obligatoire ssi
+ * (RG-1.06/07/08). Un email de facturation est obligatoire ssi isBilling
- * isBilling (RG-1.11, CHECK BDD). Au moins un site doit etre rattache
+ * (RG-1.11). Au moins un site doit etre rattache (RG-1.10, Assert\Count). Ces
- * (RG-1.10, Assert\Count).
+ * regles sont portees par des Assert\Callback (cf. validateProspectExclusivity /
 * validateBillingEmailPresence, ERP-76) qui remontent une 422 avant la base ;
 * les CHECK Postgres (chk_client_address_prospect_exclusive /
 * chk_client_address_billing_email) restent en filet de securite.
 *
 * Relations M2M :
 *  - sites : SiteInterface (module Sites) via resolve_target_entities
 *  - contacts : ClientContact (meme module)
 *  - categories : CategoryInterface (module Catalog) via resolve_target_entities
- *    — limitees aux types SECTEUR/AUTRE cote validation (RG-1.29, futur Processor)
+ *    — codes DISTRIBUTEUR/COURTIER interdits (RG-1.29, validateCategoryCodes, ERP-78)
 *
- * Audite (#[Auditable]) + Timestampable/Blamable. Aucun ApiResource au M1.1
+ * Audite (#[Auditable]) + Timestampable/Blamable.
- * (sous-ressources branchees a un ticket dedie).
+ *
 * Sous-ressource API (ERP-57, spec § 4.5) :
 *  - POST /api/clients/{clientId}/addresses : creation rattachee au client parent
 *    (Link toProperty 'client'), security commercial.clients.manage.
 *  - PATCH / DELETE /api/client_addresses/{id} : security commercial.clients.manage.
 *  - GET /api/client_addresses/{id} : lecture unitaire (security view) — la
 *    lecture courante reste via le parent. Pas de GET collection autonome.
 * Tout passe par le ClientAddressProcessor (normalisation RG-1.21 billingEmail).
 */
 #[ApiResource(
    operations: [
        new Get(
            security: "is_granted('commercial.clients.view')",
            normalizationContext: ['groups' => ['client_address:read']],
        ),
        new Post(
            uriTemplate: '/clients/{clientId}/addresses',
            uriVariables: [
                'clientId' => new Link(fromClass: Client::class, toProperty: 'client'),
            ],
            security: "is_granted('commercial.clients.manage')",
            normalizationContext: ['groups' => ['client_address:read']],
            denormalizationContext: ['groups' => ['client_address:write']],
            processor: ClientAddressProcessor::class,
        ),
        new Patch(
            security: "is_granted('commercial.clients.manage')",
            normalizationContext: ['groups' => ['client_address:read']],
            denormalizationContext: ['groups' => ['client_address:write']],
            processor: ClientAddressProcessor::class,
        ),
        new Delete(
            security: "is_granted('commercial.clients.manage')",
            processor: ClientAddressProcessor::class,
        ),
    ],
 )]
 #[ORM\Entity(repositoryClass: DoctrineClientAddressRepository::class)]
 #[ORM\Table(name: 'client_address')]
 #[ORM\Index(name: 'idx_client_address_client', columns: ['client_id'])]
@@ -41,6 +87,13 @@ class ClientAddress implements TimestampableInterface, BlamableInterface
 {
    use TimestampableBlamableTrait;
    /**
     * RG-1.29 (ERP-78) : ces codes de categorie decrivent une relation entre
     * clients (distributeur / courtier) et n'ont pas de sens sur une adresse.
     * Toute autre categorie du type CLIENT est autorisee.
     */
    private const array FORBIDDEN_CATEGORY_CODES = ['DISTRIBUTEUR', 'COURTIER'];
    #[ORM\Id]
    #[ORM\GeneratedValue]
    #[ORM\Column]
@@ -88,7 +141,7 @@ class ClientAddress implements TimestampableInterface, BlamableInterface
    #[Groups(['client_address:read', 'client_address:write'])]
    private ?string $streetComplement = null;
-    // RG-1.11 : obligatoire ssi isBilling (CHECK BDD + futur Processor).
+    // RG-1.11 : obligatoire ssi isBilling (validateBillingEmailPresence + CHECK BDD).
    #[ORM\Column(length: 180, nullable: true)]
    #[Assert\Email]
    #[Groups(['client_address:read', 'client_address:write'])]
@@ -116,7 +169,7 @@ class ClientAddress implements TimestampableInterface, BlamableInterface
    #[Groups(['client_address:read', 'client_address:write'])]
    private Collection $contacts;
-    // RG-1.29 : categories de type SECTEUR/AUTRE uniquement (filtre au Processor).
+    // RG-1.29 : categories de code DISTRIBUTEUR/COURTIER interdites (validateCategoryCodes).
    /** @var Collection<int, CategoryInterface> */
    #[ORM\ManyToMany(targetEntity: CategoryInterface::class)]
    #[ORM\JoinTable(name: 'client_address_category')]
@@ -132,6 +185,80 @@ class ClientAddress implements TimestampableInterface, BlamableInterface
        $this->categories = new ArrayCollection();
    }
    /**
     * RG-1.06 / RG-1.07 / RG-1.08 : une adresse de prospection est exclusive
     * d'une adresse de livraison ou de facturation. Mirror applicatif (422) du
     * CHECK chk_client_address_prospect_exclusive, joue avant la base afin de
     * remonter une violation Hydra plutot qu'une 500 DBAL.
     */
    #[Assert\Callback]
    public function validateProspectExclusivity(ExecutionContextInterface $context): void
    {
        if ($this->isProspect && ($this->isDelivery || $this->isBilling)) {
            $context->buildViolation('Une adresse de prospection ne peut pas être une adresse de livraison ni de facturation.')
                ->atPath('isProspect')
                ->addViolation()
            ;
        }
    }
    /**
     * RG-1.11 : l'email de facturation est obligatoire si l'adresse est de
     * facturation, et interdit sinon. Mirror applicatif (422) du CHECK
     * chk_client_address_billing_email.
     *
     * On raisonne sur la PRESENCE effective de l'email : null ET chaine vide
     * sont traites comme « absent », car le ClientAddressProcessor normalise une
     * chaine vide en null APRES la validation (RG-1.21). Sans ce traitement,
     * billingEmail="" passerait les callbacks (null === "" est faux) puis serait
     * persiste en null avec is_billing=true -> violation du CHECK -> 500 au lieu
     * du 422 attendu (et symetriquement, "" sur une adresse non facturable
     * serait rejete a tort).
     */
    #[Assert\Callback]
    public function validateBillingEmailPresence(ExecutionContextInterface $context): void
    {
        $hasBillingEmail = null !== $this->billingEmail && '' !== trim($this->billingEmail);
        if ($this->isBilling && !$hasBillingEmail) {
            $context->buildViolation('L\'email de facturation est obligatoire pour une adresse de facturation.')
                ->atPath('billingEmail')
                ->addViolation()
            ;
        }
        if (!$this->isBilling && $hasBillingEmail) {
            $context->buildViolation('L\'email de facturation n\'est autorisé que sur une adresse de facturation.')
                ->atPath('billingEmail')
                ->addViolation()
            ;
        }
    }
    /**
     * RG-1.29 (ERP-78) : une adresse interdit les categories de code
     * DISTRIBUTEUR / COURTIER — elles decrivent une relation entre clients
     * (RG-1.03) et n'ont pas de sens sur une adresse physique -> 422 avec
     * violation sur le champ `categories`. Toute autre categorie (type unique
     * CLIENT) est acceptee. S'appuie sur CategoryInterface::getCode() (pas
     * d'import du module Catalog — regle ABSOLUE n°1).
     */
    #[Assert\Callback]
    public function validateCategoryCodes(ExecutionContextInterface $context): void
    {
        foreach ($this->categories as $category) {
            if ($category instanceof CategoryInterface
                && in_array($category->getCode(), self::FORBIDDEN_CATEGORY_CODES, true)) {
                $context->buildViolation('Type de catégorie non autorisé sur une adresse.')
                    ->atPath('categories')
                    ->addViolation()
                ;
                return;
            }
        }
    }
    public function getId(): ?int
    {
        return $this->id;
@@ -4,6 +4,13 @@ declare(strict_types=1);
 namespace App\Module\Commercial\Domain\Entity;
 use ApiPlatform\Metadata\ApiResource;
 use ApiPlatform\Metadata\Delete;
 use ApiPlatform\Metadata\Get;
 use ApiPlatform\Metadata\Link;
 use ApiPlatform\Metadata\Patch;
 use ApiPlatform\Metadata\Post;
 use App\Module\Commercial\Infrastructure\ApiPlatform\State\Processor\ClientContactProcessor;
 use App\Module\Commercial\Infrastructure\Doctrine\DoctrineClientContactRepository;
 use App\Shared\Domain\Attribute\Auditable;
 use App\Shared\Domain\Contract\BlamableInterface;
@@ -16,13 +23,50 @@ use Symfony\Component\Validator\Constraints as Assert;
 /**
 * Contact d'un client (1:n) — onglet Contact. Au moins firstName OU lastName
 * doit etre renseigne (RG-1.05) : la contrainte est portee par un CHECK BDD
- * (chk_client_contact_name) et validee dans le futur ClientContactProcessor ;
+ * (chk_client_contact_name) et validee dans le ClientContactProcessor ;
 * l'entite reste permissive (les deux champs sont nullable).
 *
 * Audite (#[Auditable]) + Timestampable/Blamable (pattern Shared standard).
- * Les operations CRUD (sous-ressources POST/PATCH/DELETE) sont branchees au
+ *
- * ticket dedie des sous-ressources — aucun ApiResource au M1.1 (ERP-54).
+ * Sous-ressource API (ERP-57, spec § 4.5) :
 *  - POST /api/clients/{clientId}/contacts : creation rattachee au client parent
 *    (Link toProperty 'client'), security commercial.clients.manage.
 *  - PATCH / DELETE /api/client_contacts/{id} : security commercial.clients.manage.
 *    Le DELETE est physique (sous-collection, pas le client) ; le processor
 *    refuse la suppression du dernier contact (RG-1.14, 409).
 *  - GET /api/client_contacts/{id} : lecture unitaire (security view) — la
 *    lecture courante reste via le parent (client embarque ses contacts). Pas de
 *    GET collection autonome : non concernee par la pagination ERP-72.
 * Tout passe par le ClientContactProcessor (normalisation RG-1.19/1.20/1.21).
 */
 #[ApiResource(
    operations: [
        new Get(
            security: "is_granted('commercial.clients.view')",
            normalizationContext: ['groups' => ['client_contact:read']],
        ),
        new Post(
            uriTemplate: '/clients/{clientId}/contacts',
            uriVariables: [
                'clientId' => new Link(fromClass: Client::class, toProperty: 'client'),
            ],
            security: "is_granted('commercial.clients.manage')",
            normalizationContext: ['groups' => ['client_contact:read']],
            denormalizationContext: ['groups' => ['client_contact:write']],
            processor: ClientContactProcessor::class,
        ),
        new Patch(
            security: "is_granted('commercial.clients.manage')",
            normalizationContext: ['groups' => ['client_contact:read']],
            denormalizationContext: ['groups' => ['client_contact:write']],
            processor: ClientContactProcessor::class,
        ),
        new Delete(
            security: "is_granted('commercial.clients.manage')",
            processor: ClientContactProcessor::class,
        ),
    ],
 )]
 #[ORM\Entity(repositoryClass: DoctrineClientContactRepository::class)]
 #[ORM\Table(name: 'client_contact')]
 #[ORM\Index(name: 'idx_client_contact_client', columns: ['client_id'])]
@@ -4,6 +4,13 @@ declare(strict_types=1);
 namespace App\Module\Commercial\Domain\Entity;
 use ApiPlatform\Metadata\ApiResource;
 use ApiPlatform\Metadata\Delete;
 use ApiPlatform\Metadata\Get;
 use ApiPlatform\Metadata\Link;
 use ApiPlatform\Metadata\Patch;
 use ApiPlatform\Metadata\Post;
 use App\Module\Commercial\Infrastructure\ApiPlatform\State\Processor\ClientRibProcessor;
 use App\Module\Commercial\Infrastructure\Doctrine\DoctrineClientRibRepository;
 use App\Shared\Domain\Attribute\Auditable;
 use App\Shared\Domain\Contract\BlamableInterface;
@@ -16,7 +23,7 @@ use Symfony\Component\Validator\Constraints as Assert;
 /**
 * Coordonnees bancaires d'un client (1:n) — onglet Comptabilite. Au moins un
 * RIB est obligatoire si le type de reglement du client est LCR (RG-1.13,
- * verifie au futur Processor).
+ * verifie au ClientRibProcessor : refus du DELETE du dernier RIB sous LCR).
 *
 * Audit (#[Auditable]) : TOUS les champs sont audites, y compris `iban` et
 * `bic` — AUCUN #[AuditIgnore] (decision Matthieu en revue MR 29/05/2026 :
@@ -25,8 +32,45 @@ use Symfony\Component\Validator\Constraints as Assert;
 *
 * Validation IBAN/BIC : Assert\Iban + Assert\Bic standard Symfony au M1
 * (HP-M2-14 : pas de controle externe banque reelle). Timestampable/Blamable
- * standard. Aucun ApiResource au M1.1 (sous-ressource branchee ulterieurement).
+ * standard.
 *
 * Sous-ressource API (ERP-57, spec § 4.5) — gating comptable renforce :
 *  - POST /api/clients/{clientId}/ribs : creation rattachee au client parent
 *    (Link toProperty 'client'), security commercial.clients.accounting.manage.
 *  - PATCH / DELETE /api/client_ribs/{id} : security commercial.clients.accounting.manage.
 *  - GET /api/client_ribs/{id} : lecture unitaire, security
 *    commercial.clients.accounting.view (donnees bancaires sensibles). Pas de
 *    GET collection autonome.
 * Tout passe par le ClientRibProcessor (RG-1.13 sur DELETE).
 */
 #[ApiResource(
    operations: [
        new Get(
            security: "is_granted('commercial.clients.accounting.view')",
            normalizationContext: ['groups' => ['client_rib:read']],
        ),
        new Post(
            uriTemplate: '/clients/{clientId}/ribs',
            uriVariables: [
                'clientId' => new Link(fromClass: Client::class, toProperty: 'client'),
            ],
            security: "is_granted('commercial.clients.accounting.manage')",
            normalizationContext: ['groups' => ['client_rib:read']],
            denormalizationContext: ['groups' => ['client_rib:write']],
            processor: ClientRibProcessor::class,
        ),
        new Patch(
            security: "is_granted('commercial.clients.accounting.manage')",
            normalizationContext: ['groups' => ['client_rib:read']],
            denormalizationContext: ['groups' => ['client_rib:write']],
            processor: ClientRibProcessor::class,
        ),
        new Delete(
            security: "is_granted('commercial.clients.accounting.manage')",
            processor: ClientRibProcessor::class,
        ),
    ],
 )]
 #[ORM\Entity(repositoryClass: DoctrineClientRibRepository::class)]
 #[ORM\Table(name: 'client_rib')]
 #[ORM\Index(name: 'idx_client_rib_client', columns: ['client_id'])]
@@ -4,6 +4,9 @@ declare(strict_types=1);
 namespace App\Module\Commercial\Domain\Entity;
 use ApiPlatform\Metadata\ApiResource;
 use ApiPlatform\Metadata\Get;
 use ApiPlatform\Metadata\GetCollection;
 use App\Module\Commercial\Infrastructure\Doctrine\DoctrinePaymentDelayRepository;
 use Doctrine\ORM\Mapping as ORM;
 use Symfony\Component\Serializer\Attribute\Groups;
@@ -13,10 +16,29 @@ use Symfony\Component\Serializer\Attribute\Groups;
 * referentiel statique seede par la migration M1 et re-seede en dev/test par
 * CommercialReferentialFixtures.
 *
- * Lecture seule au M1 (HP-M2-2). Pas de Timestampable/Blamable (referentiel
+ * Lecture seule au M1 (HP-M2-2) : GetCollection + Get uniquement (ERP-56),
- * statique whiteliste dans EntitiesAreTimestampableBlamableTest::EXCLUDED). Le
+ * permission commercial.clients.view ; POST/PATCH/DELETE -> 405. Pas de
- * groupe `client:read:accounting` permet l'embarquement dans la reponse Client.
+ * Timestampable/Blamable (referentiel statique whiteliste dans
 * EntitiesAreTimestampableBlamableTest::EXCLUDED). Le groupe
 * `client:read:accounting` permet l'embarquement dans la reponse Client.
 */
 #[ApiResource(
    operations: [
        new GetCollection(
            security: "is_granted('commercial.clients.view')",
            normalizationContext: ['groups' => ['payment_delay:read']],
            // Tri par defaut spec M1 § 4.7 : position ASC puis label ASC.
            order: ['position' => 'ASC', 'label' => 'ASC'],
            // ERP-72 : pagination serveur + toggle ?pagination=false (cf. TvaMode).
            paginationClientEnabled: true,
        ),
        new Get(
            security: "is_granted('commercial.clients.view')",
            normalizationContext: ['groups' => ['payment_delay:read']],
        ),
    ],
    security: "is_granted('commercial.clients.view')",
 )]
 #[ORM\Entity(repositoryClass: DoctrinePaymentDelayRepository::class)]
 #[ORM\Table(name: 'payment_delay')]
 #[ORM\UniqueConstraint(name: 'uq_payment_delay_code', columns: ['code'])]
@@ -4,6 +4,9 @@ declare(strict_types=1);
 namespace App\Module\Commercial\Domain\Entity;
 use ApiPlatform\Metadata\ApiResource;
 use ApiPlatform\Metadata\Get;
 use ApiPlatform\Metadata\GetCollection;
 use App\Module\Commercial\Infrastructure\Doctrine\DoctrinePaymentTypeRepository;
 use Doctrine\ORM\Mapping as ORM;
 use Symfony\Component\Serializer\Attribute\Groups;
@@ -16,10 +19,29 @@ use Symfony\Component\Serializer\Attribute\Groups;
 * Le `code` porte une semantique metier : VIREMENT impose une banque (RG-1.12),
 * LCR impose au moins un RIB (RG-1.13).
 *
- * Lecture seule au M1 (HP-M2-2). Pas de Timestampable/Blamable (referentiel
+ * Lecture seule au M1 (HP-M2-2) : GetCollection + Get uniquement (ERP-56),
- * statique whiteliste dans EntitiesAreTimestampableBlamableTest::EXCLUDED). Le
+ * permission commercial.clients.view ; POST/PATCH/DELETE -> 405. Pas de
- * groupe `client:read:accounting` permet l'embarquement dans la reponse Client.
+ * Timestampable/Blamable (referentiel statique whiteliste dans
 * EntitiesAreTimestampableBlamableTest::EXCLUDED). Le groupe
 * `client:read:accounting` permet l'embarquement dans la reponse Client.
 */
 #[ApiResource(
    operations: [
        new GetCollection(
            security: "is_granted('commercial.clients.view')",
            normalizationContext: ['groups' => ['payment_type:read']],
            // Tri par defaut spec M1 § 4.7 : position ASC puis label ASC.
            order: ['position' => 'ASC', 'label' => 'ASC'],
            // ERP-72 : pagination serveur + toggle ?pagination=false (cf. TvaMode).
            paginationClientEnabled: true,
        ),
        new Get(
            security: "is_granted('commercial.clients.view')",
            normalizationContext: ['groups' => ['payment_type:read']],
        ),
    ],
    security: "is_granted('commercial.clients.view')",
 )]
 #[ORM\Entity(repositoryClass: DoctrinePaymentTypeRepository::class)]
 #[ORM\Table(name: 'payment_type')]
 #[ORM\UniqueConstraint(name: 'uq_payment_type_code', columns: ['code'])]
@@ -4,6 +4,9 @@ declare(strict_types=1);
 namespace App\Module\Commercial\Domain\Entity;
 use ApiPlatform\Metadata\ApiResource;
 use ApiPlatform\Metadata\Get;
 use ApiPlatform\Metadata\GetCollection;
 use App\Module\Commercial\Infrastructure\Doctrine\DoctrineTvaModeRepository;
 use Doctrine\ORM\Mapping as ORM;
 use Symfony\Component\Serializer\Attribute\Groups;
@@ -13,15 +16,35 @@ use Symfony\Component\Serializer\Attribute\Groups;
 * referentiel statique seede par la migration M1 (Version20260601000000) et
 * re-seede en dev/test par CommercialReferentialFixtures.
 *
- * Lecture seule au M1 : pas de POST/PATCH/DELETE (HP-M2-2). L'ApiResource
+ * Lecture seule au M1 (HP-M2-2) : seules GetCollection et Get sont exposees
- * (GetCollection + Get, tri position ASC) est branche au ticket dedie des
+ * (ERP-56), sous la permission commercial.clients.view ; aucune ecriture
- * referentiels lecture seule.
+ * declaree -> POST/PATCH/DELETE renvoient 405.
 *
 * Referentiel statique : pas de Timestampable/Blamable (whiteliste dans
 * EntitiesAreTimestampableBlamableTest::EXCLUDED, comme CategoryType). Le
 * groupe `client:read:accounting` permet d'embarquer le mode dans la reponse
 * d'un Client (onglet Comptabilite) au lieu d'un IRI.
 */
 #[ApiResource(
    operations: [
        new GetCollection(
            security: "is_granted('commercial.clients.view')",
            normalizationContext: ['groups' => ['tva_mode:read']],
            // Tri par defaut spec M1 § 4.7 : position ASC puis label ASC
            // (ordre des selecteurs comptables) — provider Doctrine par defaut.
            order: ['position' => 'ASC', 'label' => 'ASC'],
            // ERP-72 : pagination serveur sur toute collection autonome. Le
            // toggle client est desactive globalement, on l'active ici pour
            // permettre ?pagination=false (alimenter un <MalioSelect> entier).
            paginationClientEnabled: true,
        ),
        new Get(
            security: "is_granted('commercial.clients.view')",
            normalizationContext: ['groups' => ['tva_mode:read']],
        ),
    ],
    security: "is_granted('commercial.clients.view')",
 )]
 #[ORM\Entity(repositoryClass: DoctrineTvaModeRepository::class)]
 #[ORM\Table(name: 'tva_mode')]
 #[ORM\UniqueConstraint(name: 'uq_tva_mode_code', columns: ['code'])]
@@ -18,6 +18,19 @@ interface ClientRepositoryInterface
     * - Exclut toujours les clients soft-deletes (deleted_at IS NOT NULL, RG-1.24).
     * - Exclut les archives sauf si $includeArchived = true (RG-1.25).
     * - Tri par defaut : companyName ASC (RG-1.26).
     * - $search : recherche fuzzy insensible a la casse sur companyName +
     *   lastName + email (metacaracteres LIKE echappes). Ignore si null/vide.
     * - $categoryCode : restreint aux clients possedant au moins une categorie
     *   du code donne (ERP-78 : filtrage par code de Category, plus par type).
     *   Ignore si null/vide.
     *
     * Filtrage centralise ICI (et non dans les providers/controllers) pour que
     * la liste paginee (ClientProvider) et l'export (ClientExportController)
     * partagent strictement la meme logique de selection.
     */
-    public function createListQueryBuilder(bool $includeArchived = false): QueryBuilder;
+    public function createListQueryBuilder(
        bool $includeArchived = false,
        ?string $search = null,
        ?string $categoryCode = null,
    ): QueryBuilder;
 }
@@ -0,0 +1,71 @@
 <?php
 declare(strict_types=1);
 namespace App\Module\Commercial\Infrastructure\ApiPlatform\Serializer;
 use ApiPlatform\Metadata\IriConverterInterface;
 use App\Shared\Domain\Contract\SiteInterface;
 use Symfony\Component\Serializer\Exception\UnexpectedValueException;
 use Symfony\Component\Serializer\Normalizer\DenormalizerInterface;
 /**
 * Denormalise un IRI (`/api/sites/{id}`) vers le Site concret quand la propriete
 * cible est type-hintee par le contrat SiteInterface (ClientAddress::$sites).
 *
 * Meme mecanisme que CategoryReferenceDenormalizer : API Platform deduit le type
 * d'element de collection depuis le phpdoc `@var Collection<int, SiteInterface>`,
 * donc l'INTERFACE. Le serializer ne sait pas denormaliser un IRI vers une
 * interface (« Could not denormalize object of type SiteInterface[] ») ; on
 * resout l'IRI via l'IriConverter (qui retourne le Site mappe a la route) sans
 * importer la classe Site du module Sites — la regle ABSOLUE n°1 (pas d'import
 * cross-module) reste respectee : dependance au seul contrat Shared + API Platform.
 *
 * En lecture (normalisation), aucun probleme : l'objet reel EST un Site,
 * ressource a part entiere, serialise en IRI par le normalizer standard.
 */
 final class SiteReferenceDenormalizer implements DenormalizerInterface
 {
    public function __construct(
        private readonly IriConverterInterface $iriConverter,
    ) {}
    public function denormalize(mixed $data, string $type, ?string $format = null, array $context = []): ?SiteInterface
    {
        if (!is_string($data) || '' === $data) {
            return null;
        }
        // getResourceFromIri leve une exception sur IRI invalide -> 400, ce qui
        // est le comportement attendu pour une reference cassee.
        $resource = $this->iriConverter->getResourceFromIri($data);
        // IRI syntaxiquement valide mais pointant sur une autre ressource : on
        // refuse explicitement plutot que de retourner null silencieusement.
        if (!$resource instanceof SiteInterface) {
            throw new UnexpectedValueException(sprintf(
                'L\'IRI "%s" ne référence pas un site.',
                $data,
            ));
        }
        return $resource;
    }
    public function supportsDenormalization(mixed $data, string $type, ?string $format = null, array $context = []): bool
    {
        // Support base sur le seul type cible : l'ArrayDenormalizer (collection
        // `SiteInterface[]`) interroge le support en passant le TABLEAU complet
        // comme $data avant de deleguer element par element. Tester
        // is_string($data) ici casserait la chaine pour les collections.
        return SiteInterface::class === $type;
    }
    /**
     * @return array<class-string|string, bool>
     */
    public function getSupportedTypes(?string $format): array
    {
        return [SiteInterface::class => true];
    }
 }
@@ -0,0 +1,92 @@
 <?php
 declare(strict_types=1);
 namespace App\Module\Commercial\Infrastructure\ApiPlatform\State\Processor;
 use ApiPlatform\Metadata\DeleteOperationInterface;
 use ApiPlatform\Metadata\Operation;
 use ApiPlatform\State\ProcessorInterface;
 use App\Module\Commercial\Application\Service\ClientFieldNormalizer;
 use App\Module\Commercial\Domain\Entity\Client;
 use App\Module\Commercial\Domain\Entity\ClientAddress;
 use Doctrine\ORM\EntityManagerInterface;
 use Symfony\Component\DependencyInjection\Attribute\Autowire;
 /**
 * Processor d'ecriture de la sous-ressource Adresse d'un client (M1, § 4.5).
 *
 * Sequence :
 *  - POST / PATCH : normalisation serveur du billingEmail en lowercase (RG-1.21)
 *    via le ClientFieldNormalizer partage. Les autres regles de l'onglet Adresse
 *    sont deja garanties en amont : RG-1.09 (code postal) et RG-1.10 (>= 1 site)
 *    par des contraintes Assert sur l'entite, RG-1.06/07/08/11 par des CHECK BDD.
 *  - DELETE : aucune regle metier specifique (suppression physique directe).
 *
 * La security de l'operation (commercial.clients.manage) est deja appliquee par
 * API Platform, de meme que la validation Symfony des contraintes d'attribut.
 *
 * @implements ProcessorInterface<ClientAddress, null|ClientAddress>
 */
 final class ClientAddressProcessor implements ProcessorInterface
 {
    public function __construct(
        #[Autowire(service: 'api_platform.doctrine.orm.state.persist_processor')]
        private readonly ProcessorInterface $persistProcessor,
        #[Autowire(service: 'api_platform.doctrine.orm.state.remove_processor')]
        private readonly ProcessorInterface $removeProcessor,
        private readonly ClientFieldNormalizer $normalizer,
        private readonly EntityManagerInterface $em,
    ) {}
    public function process(mixed $data, Operation $operation, array $uriVariables = [], array $context = []): mixed
    {
        if (!$data instanceof ClientAddress) {
            return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
        }
        if ($operation instanceof DeleteOperationInterface) {
            return $this->removeProcessor->process($data, $operation, $uriVariables, $context);
        }
        $this->linkParent($data, $uriVariables);
        $this->normalize($data);
        return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
    }
    /**
     * Rattache l'adresse au client parent de la sous-ressource POST
     * (/clients/{clientId}/addresses) : la relation n'est pas peuplee
     * automatiquement par le Link sur une ecriture. Sur PATCH, no-op.
     */
    private function linkParent(ClientAddress $address, array $uriVariables): void
    {
        if (null !== $address->getClient()) {
            return;
        }
        $clientId = $uriVariables['clientId'] ?? null;
        if (null === $clientId) {
            return;
        }
        $client = $clientId instanceof Client
            ? $clientId
            : $this->em->getRepository(Client::class)->find($clientId);
        if ($client instanceof Client) {
            $address->setClient($client);
        }
    }
    /**
     * Normalisation serveur (RG-1.21) : email de facturation en minuscules. La
     * methode est null-safe — une adresse non facturable (billingEmail null)
     * reste null.
     */
    private function normalize(ClientAddress $address): void
    {
        $address->setBillingEmail($this->normalizer->normalizeEmail($address->getBillingEmail()));
    }
 }
@@ -0,0 +1,151 @@
 <?php
 declare(strict_types=1);
 namespace App\Module\Commercial\Infrastructure\ApiPlatform\State\Processor;
 use ApiPlatform\Metadata\DeleteOperationInterface;
 use ApiPlatform\Metadata\Operation;
 use ApiPlatform\State\ProcessorInterface;
 use ApiPlatform\Validator\Exception\ValidationException;
 use App\Module\Commercial\Application\Service\ClientFieldNormalizer;
 use App\Module\Commercial\Domain\Entity\Client;
 use App\Module\Commercial\Domain\Entity\ClientContact;
 use Doctrine\ORM\EntityManagerInterface;
 use Symfony\Component\DependencyInjection\Attribute\Autowire;
 use Symfony\Component\HttpKernel\Exception\ConflictHttpException;
 use Symfony\Component\Validator\ConstraintViolation;
 use Symfony\Component\Validator\ConstraintViolationList;
 /**
 * Processor d'ecriture de la sous-ressource Contact d'un client (M1, § 4.5).
 *
 * Sequence :
 *  - POST / PATCH : normalisation serveur (RG-1.19 prenom/nom capitalize,
 *    RG-1.20 telephones reduits aux chiffres, RG-1.21 email lowercase) via le
 *    ClientFieldNormalizer partage (reutilise d'ERP-55), puis validation RG-1.05
 *    (au moins prenom OU nom) avant persistance.
 *  - DELETE : RG-1.14 — la suppression du DERNIER contact d'un client est
 *    refusee (409). Au M1, la completude de l'onglet Contact est purement front
 *    (pas de state machine back) : on garantit seulement qu'un client deja dote
 *    d'un contact n'en soit jamais vide via l'API.
 *
 * La security de l'operation (commercial.clients.manage) est deja appliquee par
 * API Platform en amont. La validation Symfony des contraintes d'attribut
 * (Assert\Email, Assert\Length...) est jouee avant ce processor.
 *
 * @implements ProcessorInterface<ClientContact, null|ClientContact>
 */
 final class ClientContactProcessor implements ProcessorInterface
 {
    public function __construct(
        #[Autowire(service: 'api_platform.doctrine.orm.state.persist_processor')]
        private readonly ProcessorInterface $persistProcessor,
        #[Autowire(service: 'api_platform.doctrine.orm.state.remove_processor')]
        private readonly ProcessorInterface $removeProcessor,
        private readonly ClientFieldNormalizer $normalizer,
        private readonly EntityManagerInterface $em,
    ) {}
    public function process(mixed $data, Operation $operation, array $uriVariables = [], array $context = []): mixed
    {
        if (!$data instanceof ClientContact) {
            return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
        }
        if ($operation instanceof DeleteOperationInterface) {
            $this->guardLastContactDeletion($data);
            return $this->removeProcessor->process($data, $operation, $uriVariables, $context);
        }
        $this->linkParent($data, $uriVariables);
        $this->normalize($data);
        $this->validateName($data);
        return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
    }
    /**
     * Rattache le contact au client parent de la sous-ressource POST
     * (/clients/{clientId}/contacts). La relation n'est pas peuplee
     * automatiquement par le Link sur une operation d'ecriture : on resout donc
     * le parent depuis l'uri variable. Sur PATCH (entite existante), le client
     * est deja present -> no-op.
     */
    private function linkParent(ClientContact $contact, array $uriVariables): void
    {
        if (null !== $contact->getClient()) {
            return;
        }
        $clientId = $uriVariables['clientId'] ?? null;
        if (null === $clientId) {
            return;
        }
        $client = $clientId instanceof Client
            ? $clientId
            : $this->em->getRepository(Client::class)->find($clientId);
        if ($client instanceof Client) {
            $contact->setClient($client);
        }
    }
    /**
     * Normalisation serveur (RG-1.19 / 1.20 / 1.21). Toutes les methodes du
     * normalizer sont null-safe : une chaine vide apres trim devient null.
     */
    private function normalize(ClientContact $contact): void
    {
        $contact->setFirstName($this->normalizer->normalizePersonName($contact->getFirstName()));
        $contact->setLastName($this->normalizer->normalizePersonName($contact->getLastName()));
        $contact->setPhonePrimary($this->normalizer->normalizePhone($contact->getPhonePrimary()));
        $contact->setPhoneSecondary($this->normalizer->normalizePhone($contact->getPhoneSecondary()));
        $contact->setEmail($this->normalizer->normalizeEmail($contact->getEmail()));
    }
    /**
     * RG-1.05 : au moins le prenom OU le nom est obligatoire (double garde avec
     * le CHECK BDD chk_client_contact_name — leve un 422 propre plutot qu'une
     * erreur SQL). Joue apres normalisation, donc les chaines vides sont deja
     * ramenees a null.
     */
    private function validateName(ClientContact $contact): void
    {
        if (null === $contact->getFirstName() && null === $contact->getLastName()) {
            $violations = new ConstraintViolationList();
            $violations->add(new ConstraintViolation(
                'Le prénom ou le nom du contact est obligatoire.',
                null,
                [],
                $contact,
                'firstName',
                null,
            ));
            throw new ValidationException($violations);
        }
    }
    /**
     * RG-1.14 : refuse la suppression du dernier contact d'un client (409). La
     * collection inclut le contact en cours de suppression : un effectif <= 1
     * signifie qu'il ne resterait aucun contact. Sans client rattache (cas
     * theorique), on laisse passer.
     */
    private function guardLastContactDeletion(ClientContact $contact): void
    {
        $client = $contact->getClient();
        if (null === $client) {
            return;
        }
        if ($client->getContacts()->count() <= 1) {
            throw new ConflictHttpException(
                'Impossible de supprimer le dernier contact du client : au moins un contact est requis.',
            );
        }
    }
 }
@@ -16,6 +16,7 @@ use App\Shared\Domain\Security\BusinessRoles;
 use DateTimeImmutable;
 use Doctrine\DBAL\Exception\UniqueConstraintViolationException;
 use Doctrine\ORM\EntityManagerInterface;
 use Doctrine\ORM\PersistentCollection;
 use JsonException;
 use Symfony\Bundle\SecurityBundle\Security;
 use Symfony\Component\DependencyInjection\Attribute\Autowire;
@@ -31,16 +32,19 @@ use Symfony\Component\Validator\ConstraintViolationList;
 * § 2.9 / § 4.3 / § 4.4 + RG-1.01 a RG-1.28.
 *
 * Sequence (POST / PATCH) :
- *  1. Autorisation additionnelle par groupe d'onglet (le `security` de
+ *  1. Autorisation additionnelle par groupe d'onglet. La security d'operation
- *     l'operation a deja exige commercial.clients.manage) :
+ *     du PATCH a ete elargie (ERP-74) a `manage` OU `accounting.manage` pour
- *     - champ comptable dans le payload -> exige accounting.manage (RG-1.28, 403) ;
+ *     laisser entrer le role Compta ; ce processor re-gate alors finement :
 *     - champ comptable modifie dans le payload -> exige accounting.manage (RG-1.28, 403) ;
 *     - champ main/information modifie -> exige manage (guardManage, 403) : empeche
 *       Compta d'editer un autre onglet que la Comptabilite (§ 2.7) ;
 *     - champ isArchived dans le payload -> exige archive (RG-1.22, 403) et
 *       interdit toute autre modification dans la meme requete (RG-1.22, 422).
 *  2. Normalisation serveur (RG-1.18 a 1.21) via ClientFieldNormalizer.
 *  3. Regles metier : RG-1.01 (prenom/nom), RG-1.03 (distributor/broker
 *     exclusifs + type de categorie), RG-1.12 (Virement -> banque),
- *     RG-1.13 (LCR -> >= 1 RIB), RG-1.04 (completude Information pour le role
+ *     RG-1.13 (LCR -> >= 1 RIB), RG-1.04 (completude Information exigee sur POST
- *     Commerciale).
+ *     et tout PATCH pour le role Commerciale).
 *  4. Pose / retrait de archivedAt (RG-1.22 true=now, RG-1.23 false=null).
 *  5. Persistance via le persist_processor Doctrine, avec traduction des
 *     collisions d'unicite en 409 (RG-1.16 doublon de nom ; RG-1.23 conflit de
@@ -75,9 +79,23 @@ final class ClientProcessor implements ProcessorInterface
    /** Champ d'archivage (groupe client:write:archive). */
    private const string ARCHIVE_FIELD = 'isArchived';
    private const string PERM_MANAGE            = 'commercial.clients.manage';
    private const string PERM_ACCOUNTING_MANAGE = 'commercial.clients.accounting.manage';
    private const string PERM_ARCHIVE           = 'commercial.clients.archive';
    /**
     * Memoisation du dernier corps de requete decode, clos par le contenu brut.
     * payloadKeys() est appele plusieurs fois par requete (writablePayloadKeys,
     * categoriesChanged...) : on evite de rejouer json_decode a chaque appel. La
     * cle etant le contenu lui-meme et le calcul une fonction pure de ce contenu,
     * aucune fuite n'est possible entre requetes sur ce service partage (un meme
     * corps redonne les memes cles).
     */
    private ?string $decodedContent = null;
    /** @var list<string> Cles de premier niveau correspondant au corps memoise. */
    private array $decodedPayloadKeys = [];
    public function __construct(
        #[Autowire(service: 'api_platform.doctrine.orm.state.persist_processor')]
        private readonly ProcessorInterface $persistProcessor,
@@ -101,10 +119,15 @@ final class ClientProcessor implements ProcessorInterface
        $this->normalize($data);
        // guardManage apres normalize : la comparaison « change vs etat
        // persiste » des champs texte (companyName, email...) se fait sur des
        // valeurs normalisees des deux cotes (l'etat persiste l'a deja ete).
        $this->guardManage($data);
        $this->validateMainContact($data);
        $this->validateDistributorBroker($data);
        $this->validateAccountingConsistency($data);
-        $this->validateInformationCompleteness($data, $writableKeys);
+        $this->validateInformationCompleteness($data);
        try {
            return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
@@ -199,6 +222,145 @@ final class ClientProcessor implements ProcessorInterface
        }
    }
    /**
     * § 2.7 / RG-1.28 (ERP-74) : la modification effective d'un champ « metier »
     * (onglets principal ou Information) exige `commercial.clients.manage`. Sans
     * cette permission -> 403 sur l'ensemble du payload (mode strict, miroir de
     * guardAccounting). C'est ce qui empeche le role Compta — qui entre dans le
     * PATCH via `accounting.manage` (security d'operation elargie) — d'editer
     * autre chose que l'onglet Comptabilite.
     *
     * Ne s'applique qu'aux mises a jour (entite geree) : la creation (POST) est
     * deja gardee par la security d'operation `manage`, donc inutile de la
     * re-gater ici (et un POST par un porteur de `manage` passerait de toute
     * facon).
     */
    private function guardManage(Client $data): void
    {
        if (!$this->em->contains($data)) {
            return;
        }
        $changed = $this->changedBusinessFields($data);
        if ([] === $changed) {
            return;
        }
        if (!$this->security->isGranted(self::PERM_MANAGE)) {
            throw new AccessDeniedHttpException(sprintf(
                'Le champ "%s" requiert la permission "%s".',
                $changed[0],
                self::PERM_MANAGE,
            ));
        }
    }
    /**
     * Champs « metier » (onglets principal + Information, hors comptabilite et
     * archivage) dont la valeur courante differe de l'etat persiste. Memes
     * regles de comparaison que changedAccountingFields (scalaires par valeur,
     * relations ManyToOne distributor/broker par identite via l'identity map).
     *
     * Cas particulier `categories` (M2M) : non trace par getOriginalEntityData,
     * compare par valeur via le snapshot de la PersistentCollection (cf.
     * categoriesChanged) — la simple presence dans le payload ne suffit pas, sous
     * peine de 403 parasite sur un PATCH representation complete reincluant des
     * categories inchangees.
     *
     * @return list<string>
     */
    private function changedBusinessFields(Client $data): array
    {
        $newValues = [
            'companyName'    => $data->getCompanyName(),
            'firstName'      => $data->getFirstName(),
            'lastName'       => $data->getLastName(),
            'phonePrimary'   => $data->getPhonePrimary(),
            'phoneSecondary' => $data->getPhoneSecondary(),
            'email'          => $data->getEmail(),
            'distributor'    => $data->getDistributor(),
            'broker'         => $data->getBroker(),
            'triageService'  => $data->isTriageService(),
            'description'    => $data->getDescription(),
            'competitors'    => $data->getCompetitors(),
            'foundedAt'      => $data->getFoundedAt(),
            'employeesCount' => $data->getEmployeesCount(),
            'revenueAmount'  => $data->getRevenueAmount(),
            'directorName'   => $data->getDirectorName(),
            'profitAmount'   => $data->getProfitAmount(),
        ];
        $changed = [];
        foreach ($newValues as $field => $newValue) {
            if ($this->fieldChanged($data, $field, $newValue)) {
                $changed[] = $field;
            }
        }
        if ($this->categoriesChanged($data)) {
            $changed[] = 'categories';
        }
        return $changed;
    }
    /**
     * Vrai si l'ensemble des categories (M2M) differe reellement de l'etat
     * persiste. La collection n'etant pas tracee par getOriginalEntityData, on
     * compare par identifiants (independamment de l'ordre) le snapshot de la
     * PersistentCollection (etat charge depuis la base) a l'etat courant (apres
     * application du payload). Symetrique de changedAccountingFields : seul un
     * changement effectif compte, pas la simple presence dans le payload.
     *
     * - POST / entite non geree : fournir des categories est un acte metier
     *   (comportement historique conserve) — branche defensive, guardManage ne
     *   s'execute de toute facon que sur entite geree.
     * - categories absent du payload (PATCH partiel) : aucun changement.
     */
    private function categoriesChanged(Client $data): bool
    {
        if (!$this->em->contains($data)) {
            return true;
        }
        if (!in_array('categories', $this->payloadKeys(), true)) {
            return false;
        }
        $collection = $data->getCategories();
        // Hors PersistentCollection (cas limite hors flux PATCH reel) : faute
        // d'etat persiste comparable, on se rabat sur la presence payload.
        if (!$collection instanceof PersistentCollection) {
            return true;
        }
        return $this->categoryIdSet($collection->toArray())
            !== $this->categoryIdSet($collection->getSnapshot());
    }
    /**
     * Ensemble trie des identifiants d'une liste de categories — pour une
     * comparaison par valeur independante de l'ordre.
     *
     * @param array<int, object> $categories
     *
     * @return list<mixed>
     */
    private function categoryIdSet(array $categories): array
    {
        $ids = array_map(
            static fn (object $category): mixed => method_exists($category, 'getId')
                ? $category->getId()
                : spl_object_id($category),
            array_values($categories),
        );
        sort($ids);
        return $ids;
    }
    /**
     * Champs comptables dont la valeur courante differe de l'etat persiste. Les
     * relations (tvaMode, paymentDelay, paymentType, bank) sont comparees par
@@ -295,8 +457,9 @@ final class ClientProcessor implements ProcessorInterface
    /**
     * RG-1.03 : distributor et broker mutuellement exclusifs ; un distributor
-     * doit referencer un client de categorie DISTRIBUTEUR (idem broker ->
+     * doit referencer un client portant la categorie de code DISTRIBUTEUR (idem
-     * COURTIER).
+     * broker -> COURTIER). Depuis ERP-78, le filtrage se fait sur le code de la
     * Category (et non plus sur le type, devenu unique CLIENT).
     */
    private function validateDistributorBroker(Client $data): void
    {
@@ -311,7 +474,7 @@ final class ClientProcessor implements ProcessorInterface
            );
        }
-        if (null !== $distributor && !$this->hasCategoryType($distributor, 'DISTRIBUTEUR')) {
+        if (null !== $distributor && !$this->hasCategoryCode($distributor, 'DISTRIBUTEUR')) {
            $this->throwViolation(
                'distributor',
                'Le distributeur référencé doit être un client de catégorie DISTRIBUTEUR.',
@@ -319,7 +482,7 @@ final class ClientProcessor implements ProcessorInterface
            );
        }
-        if (null !== $broker && !$this->hasCategoryType($broker, 'COURTIER')) {
+        if (null !== $broker && !$this->hasCategoryCode($broker, 'COURTIER')) {
            $this->throwViolation(
                'broker',
                'Le courtier référencé doit être un client de catégorie COURTIER.',
@@ -353,29 +516,28 @@ final class ClientProcessor implements ProcessorInterface
    }
    /**
-     * RG-1.04 : si l'utilisateur porte le role metier Commerciale ET que le
+     * RG-1.04 (durcie ERP-74) : si l'utilisateur porte le role metier
-     * payload touche l'onglet Information, tous les champs Information sont
+     * Commerciale, TOUS les champs de l'onglet Information sont obligatoires sur
-     * obligatoires. Dormant tant qu'aucun user ne porte le role `commerciale`.
+     * POST comme sur TOUT PATCH — independamment des champs reellement envoyes
-     *
+     * (plus de condition d'intersection avec INFORMATION_FIELDS). Garantit qu'un
-     * @param list<string> $payloadKeys
+     * client cree/edite par une Commerciale ne reste jamais avec un onglet
     * Information incomplet.
     */
-    private function validateInformationCompleteness(Client $data, array $payloadKeys): void
+    private function validateInformationCompleteness(Client $data): void
    {
-        $touchesInformation = [] !== array_intersect($payloadKeys, self::INFORMATION_FIELDS);
+        if ($this->currentUserIsCommerciale()) {
        if ($touchesInformation && $this->currentUserIsCommerciale()) {
            $this->informationValidator->validate($data);
        }
    }
    /**
-     * Vrai si au moins une categorie du client porte le type donne. S'appuie
+     * Vrai si au moins une categorie du client porte le code donne. S'appuie sur
-     * sur CategoryInterface::getCategoryTypeCode() (pas d'import de Category).
+     * CategoryInterface::getCode() (pas d'import de Category — regle ABSOLUE n°1).
     */
-    private function hasCategoryType(Client $client, string $typeCode): bool
+    private function hasCategoryCode(Client $client, string $code): bool
    {
        foreach ($client->getCategories() as $category) {
-            if ($category instanceof CategoryInterface && $category->getCategoryTypeCode() === $typeCode) {
+            if ($category instanceof CategoryInterface && $category->getCode() === $code) {
                return true;
            }
        }
@@ -428,6 +590,26 @@ final class ClientProcessor implements ProcessorInterface
        }
        $content = $request->getContent();
        // Cache hit : meme corps brut que le dernier decodage -> memes cles.
        if ($content === $this->decodedContent) {
            return $this->decodedPayloadKeys;
        }
        $this->decodedContent     = $content;
        $this->decodedPayloadKeys = $this->extractPayloadKeys($content);
        return $this->decodedPayloadKeys;
    }
    /**
     * Decode le corps brut et en extrait les cles de premier niveau (chaines).
     * Corps vide ou JSON invalide -> aucune cle.
     *
     * @return list<string>
     */
    private function extractPayloadKeys(string $content): array
    {
        if ('' === $content) {
            return [];
        }
@@ -0,0 +1,104 @@
 <?php
 declare(strict_types=1);
 namespace App\Module\Commercial\Infrastructure\ApiPlatform\State\Processor;
 use ApiPlatform\Metadata\DeleteOperationInterface;
 use ApiPlatform\Metadata\Operation;
 use ApiPlatform\State\ProcessorInterface;
 use App\Module\Commercial\Domain\Entity\Client;
 use App\Module\Commercial\Domain\Entity\ClientRib;
 use Doctrine\ORM\EntityManagerInterface;
 use Symfony\Component\DependencyInjection\Attribute\Autowire;
 use Symfony\Component\HttpKernel\Exception\ConflictHttpException;
 /**
 * Processor d'ecriture de la sous-ressource RIB d'un client (M1, § 4.5).
 *
 * Sequence :
 *  - POST / PATCH : aucune normalisation specifique. La validite de l'IBAN et du
 *    BIC est garantie par Assert\Iban / Assert\Bic sur l'entite (jouees en amont
 *    par API Platform). Aucun #[AuditIgnore] sur iban/bic : la tracabilite
 *    comptable est volontaire (decision Matthieu 29/05, spec § 6.1).
 *  - DELETE : RG-1.13 — si le client est en reglement LCR, la suppression de son
 *    DERNIER RIB est refusee (409), car LCR exige au moins un RIB.
 *
 * La security de l'operation (commercial.clients.accounting.manage) est deja
 * appliquee par API Platform en amont : un utilisateur sans cette permission
 * recoit 403 sur POST/PATCH/DELETE avant d'atteindre ce processor.
 *
 * @implements ProcessorInterface<ClientRib, null|ClientRib>
 */
 final class ClientRibProcessor implements ProcessorInterface
 {
    public function __construct(
        #[Autowire(service: 'api_platform.doctrine.orm.state.persist_processor')]
        private readonly ProcessorInterface $persistProcessor,
        #[Autowire(service: 'api_platform.doctrine.orm.state.remove_processor')]
        private readonly ProcessorInterface $removeProcessor,
        private readonly EntityManagerInterface $em,
    ) {}
    public function process(mixed $data, Operation $operation, array $uriVariables = [], array $context = []): mixed
    {
        if (!$data instanceof ClientRib) {
            return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
        }
        if ($operation instanceof DeleteOperationInterface) {
            $this->guardLastRibDeletionUnderLcr($data);
            return $this->removeProcessor->process($data, $operation, $uriVariables, $context);
        }
        $this->linkParent($data, $uriVariables);
        return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
    }
    /**
     * Rattache le RIB au client parent de la sous-ressource POST
     * (/clients/{clientId}/ribs) : la relation n'est pas peuplee automatiquement
     * par le Link sur une ecriture. Sur PATCH, no-op.
     */
    private function linkParent(ClientRib $rib, array $uriVariables): void
    {
        if (null !== $rib->getClient()) {
            return;
        }
        $clientId = $uriVariables['clientId'] ?? null;
        if (null === $clientId) {
            return;
        }
        $client = $clientId instanceof Client
            ? $clientId
            : $this->em->getRepository(Client::class)->find($clientId);
        if ($client instanceof Client) {
            $rib->setClient($client);
        }
    }
    /**
     * RG-1.13 : un client dont le type de reglement est LCR doit conserver au
     * moins un RIB. La collection inclut le RIB en cours de suppression : un
     * effectif <= 1 signifie qu'il ne resterait aucun RIB -> 409. Pour tout autre
     * type de reglement, les RIBs sont optionnels (suppression libre).
     */
    private function guardLastRibDeletionUnderLcr(ClientRib $rib): void
    {
        $client = $rib->getClient();
        if (null === $client) {
            return;
        }
        if ('LCR' === $client->getPaymentType()?->getCode() && $client->getRibs()->count() <= 1) {
            throw new ConflictHttpException(
                'Impossible de supprimer le dernier RIB : le type de règlement LCR exige au moins un RIB.',
            );
        }
    }
 }
@@ -11,8 +11,6 @@ use ApiPlatform\State\Pagination\Pagination;
 use ApiPlatform\State\ProviderInterface;
 use App\Module\Commercial\Domain\Entity\Client;
 use App\Module\Commercial\Domain\Repository\ClientRepositoryInterface;
 use Doctrine\ORM\EntityManagerInterface;
 use Doctrine\ORM\QueryBuilder;
 use Doctrine\ORM\Tools\Pagination\Paginator as DoctrinePaginator;
 use Symfony\Component\DependencyInjection\Attribute\Autowire;
@@ -26,7 +24,7 @@ use Symfony\Component\DependencyInjection\Attribute\Autowire;
 *    exclus au M1) — RG-1.25 ;
 *  - tri par defaut companyName ASC — RG-1.26 ;
 *  - filtres ?search=... (fuzzy companyName + lastName + email) et
- *    ?categoryType=<code> (clients ayant >= 1 categorie de ce type) ;
+ *    ?categoryCode=<code> (clients ayant >= 1 categorie de ce code — ERP-78) ;
 *  - pagination obligatoire (convention Starseed ERP-72) : Paginator ORM ;
 *    echappatoire ?pagination=false pour alimenter un <select> sans pagination.
 *
@@ -46,7 +44,6 @@ final class ClientProvider implements ProviderInterface
        #[Autowire(service: 'App\Module\Commercial\Infrastructure\Doctrine\DoctrineClientRepository')]
        private readonly ClientRepositoryInterface $repository,
        private readonly Pagination $pagination,
        private readonly EntityManagerInterface $em,
    ) {}
    public function provide(Operation $operation, array $uriVariables = [], array $context = []): Client|iterable|Paginator|null
@@ -67,10 +64,15 @@ final class ClientProvider implements ProviderInterface
    {
        $filters         = $context['filters'] ?? [];
        $includeArchived = $this->readBool($filters['includeArchived'] ?? false);
        $search          = $filters['search'] ?? null;
        $categoryCode    = $filters['categoryCode'] ?? null;
-        $qb = $this->repository->createListQueryBuilder($includeArchived);
+        // Filtrage delegue au repository (logique partagee avec l'export XLSX).
-        $this->applySearch($qb, $filters['search'] ?? null);
+        $qb = $this->repository->createListQueryBuilder(
-        $this->applyCategoryType($qb, $filters['categoryType'] ?? null);
+            $includeArchived,
            is_string($search) ? $search : null,
            is_string($categoryCode) ? $categoryCode : null,
        );
        // Echappatoire ?pagination=false : collection complete sans Paginator
        // (cf. convention ERP-72 — utile pour un <select> cote front).
@@ -114,55 +116,6 @@ final class ClientProvider implements ProviderInterface
        return $client;
    }
    /**
     * Recherche fuzzy insensible a la casse sur companyName + lastName + email.
     * Les metacaracteres LIKE (%, _, \) saisis sont echappes pour rester
     * litteraux.
     */
    private function applySearch(QueryBuilder $qb, mixed $search): void
    {
        if (!is_string($search) || '' === trim($search)) {
            return;
        }
        $escaped = str_replace(['\\', '%', '_'], ['\\\\', '\%', '\_'], trim($search));
        $pattern = '%'.mb_strtolower($escaped, 'UTF-8').'%';
        $qb->andWhere(
            'LOWER(c.companyName) LIKE :search '
            .'OR LOWER(c.lastName) LIKE :search '
            .'OR LOWER(c.email) LIKE :search',
        )->setParameter('search', $pattern);
    }
    /**
     * Restreint aux clients possedant au moins une categorie du type donne.
     * Sous-requete IN (plutot qu'un JOIN sur la collection M2M) pour ne pas
     * perturber le DISTINCT / ORDER BY de la requete paginee principale.
     */
    private function applyCategoryType(QueryBuilder $qb, mixed $categoryType): void
    {
        if (!is_string($categoryType) || '' === trim($categoryType)) {
            return;
        }
        // Sous-requete construite via l'EntityManager (et non
        // $repository->createQueryBuilder()) : createQueryBuilder() n'est pas
        // declaree sur ClientRepositoryInterface, l'appeler exposerait un detail
        // d'implementation Doctrine hors du contrat (fuite d'abstraction).
        $sub = $this->em->createQueryBuilder()
            ->select('c2.id')
            ->from(Client::class, 'c2')
            ->join('c2.categories', 'cat2')
            ->join('cat2.categoryType', 'ct2')
            ->where('ct2.code = :categoryType')
        ;
        $qb->andWhere($qb->expr()->in('c.id', $sub->getDQL()))
            ->setParameter('categoryType', trim($categoryType))
        ;
    }
    /**
     * Lit un flag booleen issu des query params. Accepte true / "true" / "1".
     */
@@ -0,0 +1,201 @@
 <?php
 declare(strict_types=1);
 namespace App\Module\Commercial\Infrastructure\Controller;
 use App\Module\Commercial\Domain\Entity\Client;
 use App\Module\Commercial\Domain\Repository\ClientRepositoryInterface;
 use App\Shared\Domain\Contract\CategoryInterface;
 use App\Shared\Domain\Contract\SiteInterface;
 use App\Shared\Domain\Contract\SpreadsheetExporterInterface;
 use DateTimeImmutable;
 use Symfony\Bundle\SecurityBundle\Security;
 use Symfony\Component\DependencyInjection\Attribute\Autowire;
 use Symfony\Component\HttpFoundation\Request;
 use Symfony\Component\HttpFoundation\Response;
 use Symfony\Component\HttpKernel\Attribute\AsController;
 use Symfony\Component\Routing\Attribute\Route;
 use Symfony\Component\Security\Http\Attribute\IsGranted;
 /**
 * Export XLSX du repertoire clients (M1, spec-back § 4.6).
 *
 * Controller Symfony custom (et non operation API Platform) car il produit un
 * binaire de fichier, pas une representation Hydra. `priority: 1` est
 * OBLIGATOIRE sur la route : sans cela API Platform capterait
 * `/api/clients/export.xlsx` comme l'item `GET /api/clients/{id}.{_format}`
 * (id="export", _format="xlsx") — cf. CLAUDE.md « controller custom sous /api ».
 *
 * Separation des responsabilites :
 *  - le COMMENT (generation du fichier) est delegue au service Shared
 *    {@see SpreadsheetExporterInterface} — generique, reutilisable, sans metier ;
 *  - le QUOI vit ICI : selection des clients (memes filtres que
 *    `GET /api/clients`, via {@see ClientRepositoryInterface::createListQueryBuilder()})
 *    et mapping metier des colonnes.
 *
 * La colonne SIREN n'est ajoutee que si l'utilisateur a la permission
 * `commercial.clients.accounting.view` (gating identique a la lecture).
 */
 #[AsController]
 final class ClientExportController
 {
    public function __construct(
        #[Autowire(service: 'App\Module\Commercial\Infrastructure\Doctrine\DoctrineClientRepository')]
        private readonly ClientRepositoryInterface $repository,
        private readonly SpreadsheetExporterInterface $exporter,
        private readonly Security $security,
    ) {}
    #[Route('/api/clients/export.xlsx', name: 'commercial_clients_export_xlsx', methods: ['GET'], priority: 1)]
    #[IsGranted('commercial.clients.view')]
    public function __invoke(Request $request): Response
    {
        $includeArchived = $this->readBool($request->query->get('includeArchived'));
        $search          = $request->query->getString('search') ?: null;
        $categoryCode    = $request->query->getString('categoryCode') ?: null;
        /** @var list<Client> $clients */
        $clients = $this->repository
            ->createListQueryBuilder($includeArchived, $search, $categoryCode)
            ->getQuery()
            ->getResult()
        ;
        $withSiren = $this->security->isGranted('commercial.clients.accounting.view');
        $binary = $this->exporter->export(
            'Répertoire clients',
            $this->buildHeaders($withSiren),
            $this->buildRows($clients, $withSiren),
        );
        return $this->buildResponse($binary);
    }
    /**
     * Colonnes dans l'ordre impose par la spec § 4.6. SIREN inseree avant la
     * date de creation, uniquement si l'utilisateur a accounting.view.
     *
     * @return list<string>
     */
    private function buildHeaders(bool $withSiren): array
    {
        $headers = [
            'Nom entreprise',
            'Nom contact principal',
            'Prénom',
            'Téléphone principal',
            'Téléphone secondaire',
            'Email',
            'Catégories',
            'Sites',
        ];
        if ($withSiren) {
            $headers[] = 'SIREN';
        }
        $headers[] = 'Date de création';
        return $headers;
    }
    /**
     * @param list<Client> $clients
     *
     * @return iterable<list<null|scalar>>
     */
    private function buildRows(array $clients, bool $withSiren): iterable
    {
        foreach ($clients as $client) {
            $row = [
                $client->getCompanyName(),
                $client->getLastName(),
                $client->getFirstName(),
                $client->getPhonePrimary(),
                $client->getPhoneSecondary(),
                $client->getEmail(),
                $this->formatCategories($client),
                $this->formatSites($client),
            ];
            if ($withSiren) {
                $row[] = $client->getSiren();
            }
            $row[] = $client->getCreatedAt()?->format('d/m/Y');
            yield $row;
        }
    }
    /**
     * Libelles des categories du client, dedupliques, tries, joints par virgule.
     */
    private function formatCategories(Client $client): string
    {
        $names = [];
        foreach ($client->getCategories() as $category) {
            // @var CategoryInterface $category
            $name = $category->getName();
            if (null !== $name && '' !== $name) {
                $names[$name] = true;
            }
        }
        return $this->joinSorted($names);
    }
    /**
     * Le Client ne porte pas de sites en propre : ils sont rattaches aux
     * adresses (RG-1.10). La colonne « Sites » agrege donc l'union distincte des
     * sites de toutes les adresses du client (decision validee 01/06).
     */
    private function formatSites(Client $client): string
    {
        $names = [];
        foreach ($client->getAddresses() as $address) {
            foreach ($address->getSites() as $site) {
                // @var SiteInterface $site
                $name = $site->getName();
                if (null !== $name && '' !== $name) {
                    $names[$name] = true;
                }
            }
        }
        return $this->joinSorted($names);
    }
    /**
     * @param array<string, true> $names ensemble de libelles (cles)
     */
    private function joinSorted(array $names): string
    {
        $list = array_keys($names);
        sort($list);
        return implode(', ', $list);
    }
    private function buildResponse(string $binary): Response
    {
        $filename = sprintf('repertoire-clients-%s.xlsx', new DateTimeImmutable()->format('Ymd'));
        $response = new Response($binary);
        $response->headers->set('Content-Type', 'application/vnd.openxmlformats-officedocument.spreadsheetml.sheet');
        $response->headers->set('Content-Disposition', sprintf('attachment; filename="%s"', $filename));
        return $response;
    }
    /**
     * Lit un flag booleen issu des query params. Accepte true / "true" / "1".
     * Aligne sur ClientProvider pour un comportement identique a la liste.
     */
    private function readBool(mixed $raw): bool
    {
        return is_string($raw) && in_array(strtolower($raw), ['true', '1'], true);
    }
 }
@@ -0,0 +1,555 @@
 <?php
 declare(strict_types=1);
 namespace App\Module\Commercial\Infrastructure\DataFixtures;
 use App\Module\Catalog\Infrastructure\DataFixtures\CategoryFixtures;
 use App\Module\Commercial\Application\Service\ClientFieldNormalizer;
 use App\Module\Commercial\Domain\Entity\Bank;
 use App\Module\Commercial\Domain\Entity\Client;
 use App\Module\Commercial\Domain\Entity\ClientAddress;
 use App\Module\Commercial\Domain\Entity\ClientContact;
 use App\Module\Commercial\Domain\Entity\ClientRib;
 use App\Module\Commercial\Domain\Entity\PaymentType;
 use App\Module\Sites\Infrastructure\DataFixtures\SitesFixtures;
 use App\Shared\Domain\Contract\CategoryInterface;
 use App\Shared\Domain\Contract\SiteInterface;
 use App\Shared\Domain\Contract\SiteProviderInterface;
 use DateTimeImmutable;
 use Doctrine\Bundle\FixturesBundle\Fixture;
 use Doctrine\Common\DataFixtures\DependentFixtureInterface;
 use Doctrine\Persistence\ObjectManager;
 use RuntimeException;
 use Symfony\Component\DependencyInjection\Attribute\Autowire;
 /**
 * Fixtures dev/test du module Commercial : ~14 clients de demonstration couvrant
 * l'ensemble des cas metier RG-1.xx du repertoire clients (M1) :
 *  - client basique ; dependant distributeur / courtier (RG-1.03) ;
 *  - reglement LCR avec 2 RIB (RG-1.13) ; reglement Cheque sans RIB ;
 *  - multi-adresses Prospect / Livraison / Facturation (RG-1.06/07/08/11) ;
 *  - prospect seul ; 3 contacts dont un avec telephone secondaire (RG-1.05/1.02) ;
 *  - client archive (RG-1.22) ; onglet Information complet ; multi-categories M2M.
 *
 * Resolution inter-modules conforme a la regle n°1 (pas d'import direct) :
 *  - categories resolues via le contrat Shared CategoryInterface
 *    (resolve_target_entities -> Category) ;
 *  - sites resolus via le contrat Shared SiteProviderInterface.
 *
 * Normalisation : les valeurs sont fournies BRUTES (casse libre, telephones
 * formates) et normalisees par ClientFieldNormalizer avant persist, exactement
 * comme le ferait le ClientProcessor via l'API (companyName UPPERCASE,
 * first/last Capitalize, telephones chiffres seuls, emails lowercase).
 *
 * Distributeur / courtier auto-references (RG-1.03) : les tiers referencables
 * (GSO distributeur, Cabinet Leonard courtier) sont crees AVANT les clients qui
 * les referencent ; un unique flush en fin de load ordonne correctement les
 * inserts auto-references.
 *
 * Idempotence : lookup par companyName normalise (coherent avec l'index unique
 * partiel uq_client_company_name_active). Un client deja present n'est pas
 * reconstruit (ses sous-collections ne sont pas redupliquees). Rejouable sans
 * doublon meme si le purger Doctrine est desactive.
 *
 * Audit / Blamable : persist hors contexte HTTP -> created_by / updated_by
 * restent null (« Systeme » cote front), c'est attendu. Les donnees respectent
 * les CHECK BDD ET les validators applicatifs (exclusivite Prospect, billingEmail
 * ssi facturation, aucune categorie de code DISTRIBUTEUR/COURTIER sur une adresse
 * — RG-1.29, ERP-78).
 *
 * Depend de CategoryFixtures (categories), SitesFixtures (sites) et
 * CommercialReferentialFixtures (referentiels comptables Bank / PaymentType).
 *
 * Portee : DONNEES DE DEMONSTRATION (dev uniquement). En environnement `test`,
 * la fixture ne charge rien : les tests seedent et nettoient leurs propres
 * clients et comptent sur une table `client` vierge — y injecter 14 clients de
 * demo casserait les comptages de liste et les cleanups. Meme garde-fou que
 * CategoryFixtures.
 */
 class ClientFixtures extends Fixture implements DependentFixtureInterface
 {
    /** Cache des categories resolues par nom (evite des requetes repetees). */
    private array $categoryCache = [];
    /** Cache des sites resolus par nom. */
    private array $siteCache = [];
    /** ObjectManager courant, capture en debut de load (resolution categories). */
    private ObjectManager $manager;
    public function __construct(
        private readonly ClientFieldNormalizer $normalizer,
        private readonly SiteProviderInterface $siteProvider,
        #[Autowire('%kernel.environment%')]
        private readonly string $environment,
    ) {}
    /**
     * @return array<int, class-string>
     */
    public function getDependencies(): array
    {
        return [
            CategoryFixtures::class,
            SitesFixtures::class,
            CommercialReferentialFixtures::class,
        ];
    }
    public function load(ObjectManager $manager): void
    {
        // Donnees de demo : dev uniquement. En test, on laisse la table vierge.
        if ('test' === $this->environment) {
            return;
        }
        $this->manager = $manager;
        // === Tiers referencables (RG-1.03) : crees en premier ===
        // Distributeur reference par d'autres clients.
        [$gso, $gsoIsNew] = $this->ensureClient(
            $manager,
            companyName: 'Distrib Grand Sud-Ouest',
            firstName: 'Paul',
            lastName: 'Garnier',
            phonePrimary: '05 56 10 20 30',
            email: 'contact@distrib-gso.fr',
            categoryNames: ['Distributeur'],
        );
        if ($gsoIsNew) {
            $this->addContact($gso, 'Paul', 'Garnier', 'Directeur commercial', '05 56 10 20 30', null, 'paul.garnier@distrib-gso.fr');
            $this->addAddress($gso, ['Pommevic'], '82400', 'Pommevic', '1 Av. Jean Duquesne', isDelivery: true, categoryNames: ['Transport/Logistique']);
        }
        // Courtier reference par d'autres clients.
        [$leonard, $leonardIsNew] = $this->ensureClient(
            $manager,
            companyName: 'Cabinet Léonard Assurances',
            firstName: 'Sophie',
            lastName: 'Léonard',
            phonePrimary: '05 49 11 22 33',
            email: 'contact@cabinet-leonard.fr',
            categoryNames: ['Courtier'],
        );
        if ($leonardIsNew) {
            $this->addContact($leonard, 'Sophie', 'Léonard', 'Gérante', '05 49 11 22 33', null, 'sophie.leonard@cabinet-leonard.fr');
            $this->addAddress($leonard, ['Chatellerault'], '86100', 'Châtellerault', '5 rue des Courtiers', isBilling: true, billingEmail: 'Factures@Cabinet-Leonard.FR');
        }
        // === Client basique ===
        [$dubois, $isNew] = $this->ensureClient(
            $manager,
            companyName: 'Menuiserie Dubois',
            firstName: 'Jean',
            lastName: 'Dubois',
            phonePrimary: '05 49 00 00 01',
            email: 'contact@menuiserie-dubois.fr',
            categoryNames: ['BTP'],
        );
        if ($isNew) {
            $dubois->setPaymentType($this->paymentType($manager, 'VIREMENT'));
            $dubois->setBank($this->bank($manager, 'SG'));
            $this->addContact($dubois, 'Jean', 'Dubois', 'Gérant', '05 49 00 00 01', null, 'jean.dubois@menuiserie-dubois.fr');
            $this->addAddress($dubois, ['Chatellerault'], '86100', 'Châtellerault', '12 rue de l\'Atelier', isDelivery: true, categoryNames: ['BTP']);
        }
        // === Dependant d'un distributeur (RG-1.03) ===
        [$garage, $isNew] = $this->ensureClient(
            $manager,
            companyName: 'Garage Martin',
            firstName: 'Luc',
            lastName: 'Martin',
            phonePrimary: '05 56 44 55 66',
            email: 'accueil@garage-martin.fr',
            categoryNames: ['Services'],
        );
        if ($isNew) {
            $garage->setDistributor($gso);
            $this->addContact($garage, 'Luc', 'Martin', 'Gérant', '05 56 44 55 66', null, 'luc.martin@garage-martin.fr');
            $this->addAddress($garage, ['Pommevic'], '82400', 'Pommevic', '8 route de Moissac', isDelivery: true);
        }
        // === Dependant d'un courtier (RG-1.03) ===
        [$boulangerie, $isNew] = $this->ensureClient(
            $manager,
            companyName: 'Boulangerie Lemoine',
            firstName: 'Marie',
            lastName: 'Lemoine',
            phonePrimary: '05 49 77 88 99',
            email: 'bonjour@boulangerie-lemoine.fr',
            categoryNames: ['Agro-alimentaire'],
        );
        if ($isNew) {
            $boulangerie->setBroker($leonard);
            $this->addContact($boulangerie, 'Marie', 'Lemoine', 'Gérante', '05 49 77 88 99', null, 'marie.lemoine@boulangerie-lemoine.fr');
            $this->addAddress($boulangerie, ['Chatellerault'], '86100', 'Châtellerault', '3 place du Marché', isDelivery: true);
        }
        // === Reglement LCR avec 2 RIB (RG-1.13) ===
        [$transports, $isNew] = $this->ensureClient(
            $manager,
            companyName: 'Transports Rapides',
            firstName: null,
            lastName: 'Bernard',
            phonePrimary: '05 56 12 13 14',
            email: 'exploitation@transports-rapides.fr',
            categoryNames: ['Transport/Logistique'],
        );
        if ($isNew) {
            $transports->setPaymentType($this->paymentType($manager, 'LCR'));
            $this->addContact($transports, null, 'Bernard', 'Responsable exploitation', '05 56 12 13 14', null, 'expl@transports-rapides.fr');
            $this->addAddress($transports, ['Saint-Jean'], '17400', 'Fontenet', '2 zone industrielle', isDelivery: true, categoryNames: ['Transport/Logistique']);
            $this->addRib($transports, 'Compte principal', 'BNPAFRPPXXX', 'FR1420041010050500013M02606', 0);
            $this->addRib($transports, 'Compte secondaire', 'SOGEFRPPXXX', 'FR7630006000011234567890189', 1);
        }
        // === Multi-adresses Prospect / Livraison / Facturation (RG-1.06/07/08/11) ===
        [$industries, $isNew] = $this->ensureClient(
            $manager,
            companyName: 'Industries Vertes',
            firstName: 'Claire',
            lastName: 'Moreau',
            phonePrimary: '05 49 21 22 23',
            email: 'contact@industries-vertes.fr',
            categoryNames: ['Industrie'],
        );
        if ($isNew) {
            $this->addContact($industries, 'Claire', 'Moreau', 'Directrice', '05 49 21 22 23', null, 'claire.moreau@industries-vertes.fr');
            // Prospect : exclusif de livraison/facturation (sans billingEmail).
            $this->addAddress($industries, ['Chatellerault'], '86100', 'Châtellerault', '1 avenue de la Prospection', isProspect: true, position: 0);
            // Livraison.
            $this->addAddress($industries, ['Saint-Jean'], '17400', 'Fontenet', '4 rue de la Livraison', isDelivery: true, categoryNames: ['Industrie'], position: 1);
            // Facturation : billingEmail obligatoire.
            $this->addAddress($industries, ['Chatellerault'], '86100', 'Châtellerault', '7 boulevard des Factures', isBilling: true, billingEmail: 'Compta@Industries-Vertes.FR', position: 2);
        }
        // === 3 contacts dont un avec telephone secondaire (RG-1.05/1.02) ===
        [$agro, $isNew] = $this->ensureClient(
            $manager,
            companyName: 'Agro Distribution Sud',
            firstName: 'Thomas',
            lastName: 'Petit',
            phonePrimary: '05 56 31 32 33',
            email: 'contact@agro-sud.fr',
            categoryNames: ['Agro-alimentaire'],
            phoneSecondary: '06 01 02 03 04',
        );
        if ($isNew) {
            $this->addContact($agro, 'Thomas', 'Petit', 'Directeur des achats', '05 56 31 32 33', '06 01 02 03 04', 'thomas.petit@agro-sud.fr', 0);
            $this->addContact($agro, 'Julie', 'Roux', 'Assistante commerciale', '05 56 31 32 34', null, 'julie.roux@agro-sud.fr', 1);
            $this->addContact($agro, 'Marc', 'Girard', 'Logistique', '05 56 31 32 35', null, 'marc.girard@agro-sud.fr', 2);
            $this->addAddress($agro, ['Pommevic'], '82400', 'Pommevic', '10 rue des Producteurs', isDelivery: true);
        }
        // === Client archive (RG-1.22) ===
        [$ancienne, $isNew] = $this->ensureClient(
            $manager,
            companyName: 'Ancienne Société Oubliée',
            firstName: null,
            lastName: 'Durand',
            phonePrimary: '05 49 99 99 99',
            email: 'contact@ancienne-societe.fr',
            categoryNames: ['Association'],
            isArchived: true,
        );
        if ($isNew) {
            $this->addContact($ancienne, null, 'Durand', 'Ancien contact', '05 49 99 99 99', null, 'contact@ancienne-societe.fr');
            $this->addAddress($ancienne, ['Chatellerault'], '86100', 'Châtellerault', '99 rue Fermée', isDelivery: true);
        }
        // === Reglement Cheque sans RIB ===
        [$services, $isNew] = $this->ensureClient(
            $manager,
            companyName: 'Services Pro Conseil',
            firstName: 'Nadia',
            lastName: 'Benali',
            phonePrimary: '05 49 41 42 43',
            email: 'contact@services-pro.fr',
            categoryNames: ['Services'],
        );
        if ($isNew) {
            $services->setPaymentType($this->paymentType($manager, 'CHEQUE'));
            $this->addContact($services, 'Nadia', 'Benali', 'Consultante', '05 49 41 42 43', null, 'nadia.benali@services-pro.fr');
            $this->addAddress($services, ['Chatellerault'], '86100', 'Châtellerault', '15 rue du Conseil', isDelivery: true);
        }
        // === Onglet Information complet (RG-1.04) ===
        [$holding, $isNew] = $this->ensureClient(
            $manager,
            companyName: 'Holding Premium Invest',
            firstName: 'Antoine',
            lastName: 'Lefèvre',
            phonePrimary: '05 56 51 52 53',
            email: 'direction@holding-premium.fr',
            categoryNames: ['Industrie'],
        );
        if ($isNew) {
            $holding->setDescription('Holding industrielle diversifiée, présente sur le Grand Sud-Ouest.');
            $holding->setCompetitors('Groupe Atlantique, Sud Industries');
            $holding->setFoundedAt(new DateTimeImmutable('2005-03-15'));
            $holding->setEmployeesCount(240);
            $holding->setRevenueAmount('18500000.00');
            $holding->setDirectorName('Antoine Lefèvre');
            $holding->setProfitAmount('1250000.00');
            $this->addContact($holding, 'Antoine', 'Lefèvre', 'PDG', '05 56 51 52 53', null, 'antoine.lefevre@holding-premium.fr');
            $this->addAddress($holding, ['Pommevic'], '82400', 'Pommevic', '1 allée des Investisseurs', isDelivery: true, categoryNames: ['Industrie']);
        }
        // === Multi-categories M2M ===
        [$conglo, $isNew] = $this->ensureClient(
            $manager,
            companyName: 'Conglomérat Multi Activités',
            firstName: 'Hélène',
            lastName: 'Faure',
            phonePrimary: '05 49 61 62 63',
            email: 'contact@conglomerat-multi.fr',
            categoryNames: ['BTP', 'Industrie', 'Services'],
        );
        if ($isNew) {
            $this->addContact($conglo, 'Hélène', 'Faure', 'Directrice générale', '05 49 61 62 63', null, 'helene.faure@conglomerat-multi.fr');
            $this->addAddress($conglo, ['Chatellerault', 'Saint-Jean'], '86100', 'Châtellerault', '20 rue des Activités', isDelivery: true, categoryNames: ['BTP', 'Services']);
        }
        // === Prospect seul ===
        [$prospect, $isNew] = $this->ensureClient(
            $manager,
            companyName: 'Prospect Futur Client',
            firstName: 'Olivier',
            lastName: 'Renard',
            phonePrimary: '05 56 71 72 73',
            email: 'olivier.renard@prospect-futur.fr',
            categoryNames: ['BTP'],
        );
        if ($isNew) {
            $this->addContact($prospect, 'Olivier', 'Renard', 'Responsable projet', '05 56 71 72 73', null, 'olivier.renard@prospect-futur.fr');
            $this->addAddress($prospect, ['Chatellerault'], '86100', 'Châtellerault', '30 rue de la Découverte', isProspect: true);
        }
        // === Categorie AUTRE ===
        [$association, $isNew] = $this->ensureClient(
            $manager,
            companyName: 'Association des Riverains',
            firstName: null,
            lastName: 'Caron',
            phonePrimary: '05 49 81 82 83',
            email: 'contact@asso-riverains.fr',
            categoryNames: ['Association'],
        );
        if ($isNew) {
            $this->addContact($association, null, 'Caron', 'Président', '05 49 81 82 83', null, 'president@asso-riverains.fr');
            $this->addAddress($association, ['Saint-Jean'], '17400', 'Fontenet', '6 chemin du Village', isDelivery: true, categoryNames: ['Association']);
        }
        $manager->flush();
    }
    /**
     * Cree un client (base normalisee + categories) s'il n'existe pas encore,
     * sinon retourne l'existant. Retourne [Client, isNew] : isNew=false bloque la
     * reconstruction des sous-collections (idempotence sans doublon).
     *
     * @param list<string> $categoryNames
     *
     * @return array{0: Client, 1: bool}
     */
    private function ensureClient(
        ObjectManager $manager,
        string $companyName,
        ?string $firstName,
        ?string $lastName,
        string $phonePrimary,
        string $email,
        array $categoryNames,
        ?string $phoneSecondary = null,
        bool $isArchived = false,
    ): array {
        $normalizedName = (string) $this->normalizer->normalizeCompanyName($companyName);
        $existing = $manager->getRepository(Client::class)->findOneBy(['companyName' => $normalizedName]);
        if ($existing instanceof Client) {
            return [$existing, false];
        }
        $client = new Client();
        $client->setCompanyName($normalizedName);
        $client->setFirstName($this->normalizer->normalizePersonName($firstName));
        $client->setLastName($this->normalizer->normalizePersonName($lastName));
        $client->setPhonePrimary((string) $this->normalizer->normalizePhone($phonePrimary));
        $client->setPhoneSecondary($this->normalizer->normalizePhone($phoneSecondary));
        $client->setEmail((string) $this->normalizer->normalizeEmail($email));
        foreach ($categoryNames as $categoryName) {
            $client->addCategory($this->category($manager, $categoryName));
        }
        if ($isArchived) {
            $client->setIsArchived(true);
            $client->setArchivedAt(new DateTimeImmutable());
        }
        $manager->persist($client);
        return [$client, true];
    }
    /**
     * Ajoute un contact normalise au client (cascade persist via Client.contacts).
     * Au moins lastName est toujours fourni (RG-1.05, chk_client_contact_name).
     */
    private function addContact(
        Client $client,
        ?string $firstName,
        ?string $lastName,
        ?string $jobTitle,
        ?string $phonePrimary,
        ?string $phoneSecondary,
        ?string $email,
        int $position = 0,
    ): void {
        $contact = new ClientContact();
        $contact->setFirstName($this->normalizer->normalizePersonName($firstName));
        $contact->setLastName($this->normalizer->normalizePersonName($lastName));
        $contact->setJobTitle($jobTitle);
        $contact->setPhonePrimary($this->normalizer->normalizePhone($phonePrimary));
        $contact->setPhoneSecondary($this->normalizer->normalizePhone($phoneSecondary));
        $contact->setEmail($this->normalizer->normalizeEmail($email));
        $contact->setPosition($position);
        $client->addContact($contact);
    }
    /**
     * Ajoute une adresse au client (cascade persist via Client.addresses). Les
     * donnees respectent les validators : exclusivite Prospect, billingEmail ssi
     * facturation, aucune categorie de code DISTRIBUTEUR/COURTIER (RG-1.29).
     *
     * @param list<string> $siteNames     au moins un site (RG-1.10)
     * @param list<string> $categoryNames categories hors DISTRIBUTEUR/COURTIER (RG-1.29)
     */
    private function addAddress(
        Client $client,
        array $siteNames,
        string $postalCode,
        string $city,
        string $street,
        bool $isProspect = false,
        bool $isDelivery = false,
        bool $isBilling = false,
        ?string $billingEmail = null,
        array $categoryNames = [],
        int $position = 0,
    ): void {
        $address = new ClientAddress();
        $address->setIsProspect($isProspect);
        $address->setIsDelivery($isDelivery);
        $address->setIsBilling($isBilling);
        $address->setBillingEmail($this->normalizer->normalizeEmail($billingEmail));
        $address->setPostalCode($postalCode);
        $address->setCity($city);
        $address->setStreet($street);
        $address->setPosition($position);
        foreach ($siteNames as $siteName) {
            $address->addSite($this->site($siteName));
        }
        foreach ($categoryNames as $categoryName) {
            $address->addCategory($this->category($this->manager, $categoryName));
        }
        $client->addAddress($address);
    }
    /**
     * Ajoute un RIB au client (cascade persist via Client.ribs). IBAN/BIC valides
     * (Assert\Iban/Bic non rejouee sur persist direct mais donnees coherentes).
     */
    private function addRib(Client $client, string $label, string $bic, string $iban, int $position = 0): void
    {
        $rib = new ClientRib();
        $rib->setLabel($label);
        $rib->setBic($bic);
        $rib->setIban($iban);
        $rib->setPosition($position);
        $client->addRib($rib);
    }
    /**
     * Resout une categorie par son nom via le contrat Shared CategoryInterface
     * (resolve_target_entities -> Category), sans importer le module Catalog
     * (regle n°1). Mise en cache par nom.
     */
    private function category(ObjectManager $manager, string $name): CategoryInterface
    {
        if (isset($this->categoryCache[$name])) {
            return $this->categoryCache[$name];
        }
        $category = $manager->getRepository(CategoryInterface::class)->findOneBy([
            'name'      => $name,
            'deletedAt' => null,
        ]);
        if (!$category instanceof CategoryInterface) {
            throw new RuntimeException(sprintf(
                'Categorie "%s" introuvable : CategoryFixtures doit tourner avant ClientFixtures.',
                $name,
            ));
        }
        return $this->categoryCache[$name] = $category;
    }
    /**
     * Resout un site par son nom via le contrat Shared SiteProviderInterface,
     * sans importer le module Sites (regle n°1). Mise en cache par nom.
     */
    private function site(string $name): SiteInterface
    {
        if (isset($this->siteCache[$name])) {
            return $this->siteCache[$name];
        }
        $site = $this->siteProvider->findByName($name);
        if (!$site instanceof SiteInterface) {
            throw new RuntimeException(sprintf(
                'Site "%s" introuvable : SitesFixtures doit tourner avant ClientFixtures.',
                $name,
            ));
        }
        return $this->siteCache[$name] = $site;
    }
    private function paymentType(ObjectManager $manager, string $code): PaymentType
    {
        $type = $manager->getRepository(PaymentType::class)->findOneBy(['code' => $code]);
        if (!$type instanceof PaymentType) {
            throw new RuntimeException(sprintf(
                'PaymentType "%s" introuvable : CommercialReferentialFixtures doit tourner avant ClientFixtures.',
                $code,
            ));
        }
        return $type;
    }
    private function bank(ObjectManager $manager, string $code): Bank
    {
        $bank = $manager->getRepository(Bank::class)->findOneBy(['code' => $code]);
        if (!$bank instanceof Bank) {
            throw new RuntimeException(sprintf(
                'Bank "%s" introuvable : CommercialReferentialFixtures doit tourner avant ClientFixtures.',
                $code,
            ));
        }
        return $bank;
    }
 }
@@ -31,8 +31,11 @@ class DoctrineClientRepository extends ServiceEntityRepository implements Client
        $this->getEntityManager()->flush();
    }
-    public function createListQueryBuilder(bool $includeArchived = false): QueryBuilder
+    public function createListQueryBuilder(
-    {
+        bool $includeArchived = false,
        ?string $search = null,
        ?string $categoryCode = null,
    ): QueryBuilder {
        $qb = $this->createQueryBuilder('c')
            ->andWhere('c.deletedAt IS NULL')
            ->orderBy('c.companyName', 'ASC')
@@ -42,6 +45,55 @@ class DoctrineClientRepository extends ServiceEntityRepository implements Client
            $qb->andWhere('c.isArchived = false');
        }
        $this->applySearch($qb, $search);
        $this->applyCategoryCode($qb, $categoryCode);
        return $qb;
    }
    /**
     * Recherche fuzzy insensible a la casse sur companyName + lastName + email.
     * Les metacaracteres LIKE (%, _, \) saisis sont echappes pour rester
     * litteraux.
     */
    private function applySearch(QueryBuilder $qb, ?string $search): void
    {
        if (null === $search || '' === trim($search)) {
            return;
        }
        $escaped = str_replace(['\\', '%', '_'], ['\\\\', '\%', '\_'], trim($search));
        $pattern = '%'.mb_strtolower($escaped, 'UTF-8').'%';
        $qb->andWhere(
            'LOWER(c.companyName) LIKE :search '
            .'OR LOWER(c.lastName) LIKE :search '
            .'OR LOWER(c.email) LIKE :search',
        )->setParameter('search', $pattern);
    }
    /**
     * Restreint aux clients possedant au moins une categorie du code donne
     * (ERP-78 : filtrage par code de Category, plus par type). Alimente notamment
     * les selects « distributeur » (categoryCode=DISTRIBUTEUR) et « courtier »
     * (COURTIER) cote front (RG-1.03). Sous-requete IN (plutot qu'un JOIN sur la
     * collection M2M) pour ne pas perturber le DISTINCT / ORDER BY principal.
     */
    private function applyCategoryCode(QueryBuilder $qb, ?string $categoryCode): void
    {
        if (null === $categoryCode || '' === trim($categoryCode)) {
            return;
        }
        $sub = $this->getEntityManager()->createQueryBuilder()
            ->select('c2.id')
            ->from(Client::class, 'c2')
            ->join('c2.categories', 'cat2')
            ->where('cat2.code = :categoryCode')
        ;
        $qb->andWhere($qb->expr()->in('c.id', $sub->getDQL()))
            ->setParameter('categoryCode', trim($categoryCode))
        ;
    }
 }
@@ -0,0 +1,218 @@
 <?php
 declare(strict_types=1);
 namespace App\Module\Core\Application\Rbac;
 use App\Module\Core\Domain\Entity\Role;
 use App\Module\Core\Domain\Entity\User;
 use App\Module\Core\Domain\Exception\RbacSeedException;
 use App\Module\Core\Domain\Repository\PermissionRepositoryInterface;
 use App\Module\Core\Domain\Repository\RoleRepositoryInterface;
 use App\Module\Core\Domain\Repository\UserRepositoryInterface;
 use App\Shared\Domain\Contract\SiteProviderInterface;
 use App\Shared\Domain\Security\BusinessRoles;
 use Symfony\Component\PasswordHasher\Hasher\UserPasswordHasherInterface;
 /**
 * Source UNIQUE (anti-drift) du RBAC metier MALIO : les 4 roles
 * (bureau / compta / commerciale / usine), la matrice § 2.7 (role -> permissions)
 * et les comptes demo par role. Aucun de ces litteraux ne doit etre duplique
 * ailleurs (ni SQL en dur, ni autre fixture).
 *
 * Consomme par :
 *  - la commande applicative `app:seed-rbac` (presente dans le build prod, donc
 *    rejouable en recette/prod, contrairement aux fixtures `require-dev`) ;
 *  - la fixture Core dev/test (DRY : meme seeder).
 *
 * Toutes les operations sont idempotentes et non destructives :
 *  - ensureRoles() : cree un role par lookup de code (skip si present) ;
 *  - attachMatrix() : attache les permissions § 2.7 via la M2M role_permission,
 *    sans re-attacher un lien existant ; STOP explicite si un code manque ;
 *  - ensureDemoUsers() : cree un user par role (lookup par username, skip si
 *    present), rattache au role + a >= 1 site.
 */
 final class RbacSeeder
 {
    /**
     * Codes des roles metier (snake_case, regex Role respectee). `commerciale`
     * reference la constante Shared deja consommee par le ClientProcessor
     * (RG-1.04) pour eviter tout drift : un seul litteral pour ce code.
     */
    public const string ROLE_BUREAU      = 'bureau';
    public const string ROLE_COMPTA      = 'compta';
    public const string ROLE_COMMERCIALE = BusinessRoles::COMMERCIALE;
    public const string ROLE_USINE       = 'usine';
    /** Site de rattachement par defaut des comptes demo (cf. SitesFixtures). */
    private const string DEFAULT_SITE_NAME = 'Chatellerault';
    /**
     * Definition unique des 4 roles + matrice § 2.7. La cle est le code du role,
     * `label` le libelle FR affichable, `permissions` la liste des codes RBAC a
     * attacher (vide pour usine : aucun acces ; admin n'apparait pas car il
     * bypass tout via isAdmin ; `commercial.clients.archive` n'est attache a
     * aucun role metier — admin seul).
     *
     * @var array<string, array{label: string, permissions: list<string>}>
     */
    private const array MATRIX = [
        self::ROLE_BUREAU => [
            'label'       => 'Bureau',
            'permissions' => [
                'commercial.clients.view',
                'commercial.clients.manage',
            ],
        ],
        self::ROLE_COMPTA => [
            'label'       => 'Comptabilité',
            'permissions' => [
                'commercial.clients.view',
                'commercial.clients.accounting.view',
                'commercial.clients.accounting.manage',
            ],
        ],
        self::ROLE_COMMERCIALE => [
            'label'       => 'Commerciale',
            'permissions' => [
                'commercial.clients.view',
                'commercial.clients.manage',
            ],
        ],
        self::ROLE_USINE => [
            'label'       => 'Usine',
            'permissions' => [],
        ],
    ];
    public function __construct(
        private readonly RoleRepositoryInterface $roleRepository,
        private readonly PermissionRepositoryInterface $permissionRepository,
        private readonly UserRepositoryInterface $userRepository,
        private readonly SiteProviderInterface $siteProvider,
        private readonly UserPasswordHasherInterface $passwordHasher,
    ) {}
    /**
     * Cree chaque role metier absent (lookup par code). Idempotent.
     *
     * @return list<string> codes des roles effectivement crees (vide au rejeu)
     */
    public function ensureRoles(): array
    {
        $created = [];
        foreach (self::MATRIX as $code => $definition) {
            if (null !== $this->roleRepository->findByCode($code)) {
                continue;
            }
            // isSystem=false : ce sont des roles metier, supprimables par un
            // admin (contrairement aux roles systeme admin/user).
            $this->roleRepository->save(new Role($code, $definition['label'], isSystem: false));
            $created[] = $code;
        }
        return $created;
    }
    /**
     * Attache la matrice § 2.7 a chaque role via la M2M role_permission. Lookup
     * de la permission par code ; un code absent leve une RbacSeedException
     * (garde-fou : `app:sync-permissions` doit avoir tourne). Idempotent : un
     * lien deja present n'est pas recree.
     *
     * @return int nombre de liens role->permission effectivement ajoutes (0 au rejeu)
     *
     * @throws RbacSeedException si un role ou une permission de la matrice manque
     */
    public function attachMatrix(): int
    {
        $added = 0;
        foreach (self::MATRIX as $code => $definition) {
            $role = $this->roleRepository->findByCode($code);
            if (null === $role) {
                throw RbacSeedException::missingRole($code);
            }
            $touched = false;
            foreach ($definition['permissions'] as $permissionCode) {
                $permission = $this->permissionRepository->findByCode($permissionCode);
                if (null === $permission) {
                    throw RbacSeedException::missingPermission($permissionCode);
                }
                if (!$role->getPermissions()->contains($permission)) {
                    $role->addPermission($permission);
                    $touched = true;
                    ++$added;
                }
            }
            // Un seul flush par role, et seulement si un lien a change.
            if ($touched) {
                $this->roleRepository->save($role);
            }
        }
        return $added;
    }
    /**
     * Cree un compte demo par role metier (username = code du role), non-admin,
     * mot de passe hashe, rattache a son role et a >= 1 site. Lookup par
     * username : idempotent (un compte existant est laisse intact, mot de passe
     * inchange).
     *
     * @return list<string> usernames effectivement crees (vide au rejeu)
     *
     * @throws RbacSeedException si un role metier attendu est absent (ensureRoles non joue)
     */
    public function ensureDemoUsers(string $password): array
    {
        // Rattachement a un site par defaut s'il existe (les flux login / me en
        // ont besoin ; le repertoire clients n'est pas site-scope mais on reste
        // coherent avec les fixtures admin/alice/bob).
        $defaultSite = $this->siteProvider->findByName(self::DEFAULT_SITE_NAME);
        $created     = [];
        foreach (array_keys(self::MATRIX) as $code) {
            $username = $code;
            if (null !== $this->userRepository->findByUsername($username)) {
                continue;
            }
            $role = $this->roleRepository->findByCode($code);
            if (null === $role) {
                throw RbacSeedException::missingRole($code);
            }
            $user = new User();
            $user->setUsername($username);
            $user->setIsAdmin(false);
            $user->setPassword($this->passwordHasher->hashPassword($user, $password));
            $user->addRbacRole($role);
            if (null !== $defaultSite) {
                $user->addSite($defaultSite);
                $user->setCurrentSite($defaultSite);
            }
            $this->userRepository->save($user);
            $created[] = $username;
        }
        return $created;
    }
    /**
     * Liste des codes des roles metier definis (pour reporting / tests).
     *
     * @return list<string>
     */
    public static function roleCodes(): array
    {
        return array_keys(self::MATRIX);
    }
 }
@@ -0,0 +1,38 @@
 <?php
 declare(strict_types=1);
 namespace App\Module\Core\Domain\Exception;
 use RuntimeException;
 /**
 * Erreur de seed RBAC (service RbacSeeder / commande app:seed-rbac).
 *
 * Deux causes possibles, toutes deux fatales et explicites :
 *  - role metier attendu introuvable (ensureRoles() n'a pas tourne avant
 *    attachMatrix() ou ensureDemoUsers()) ;
 *  - code de permission de la matrice § 2.7 absent du catalogue : signe que
 *    `app:sync-permissions` n'a pas ete joue. Le message embarque alors
 *    l'invite a lancer la synchronisation, exploitee telle quelle par la
 *    commande.
 */
 final class RbacSeedException extends RuntimeException
 {
    public static function missingRole(string $roleCode): self
    {
        return new self(sprintf(
            'Role metier "%s" introuvable. Appelle RbacSeeder::ensureRoles() avant attachMatrix()/ensureDemoUsers().',
            $roleCode,
        ));
    }
    public static function missingPermission(string $permissionCode): self
    {
        return new self(sprintf(
            'Permission "%s" (matrice § 2.7) absente du catalogue. '
            .'Lance d\'abord `bin/console app:sync-permissions` pour la poser en base, puis relance le seed RBAC.',
            $permissionCode,
        ));
    }
 }
@@ -186,6 +186,15 @@ final class SeedE2ECommand extends Command
                    'sites.bypass_scope',
                    'catalog.categories.view',
                    'catalog.categories.manage',
                    // Commercial — Repertoire clients (M1). Mappe ici sur le
                    // persona "tout" en attendant les vrais roles metier
                    // (bureau/compta/commerciale/usine) seedes par ERP-74.
                    // Miroir de frontend/tests/e2e/_fixtures/personas.ts.
                    'commercial.clients.view',
                    'commercial.clients.manage',
                    'commercial.clients.accounting.view',
                    'commercial.clients.accounting.manage',
                    'commercial.clients.archive',
                ],
            ],
            [
@@ -0,0 +1,138 @@
 <?php
 declare(strict_types=1);
 namespace App\Module\Core\Infrastructure\Console;
 use App\Module\Core\Application\Rbac\RbacSeeder;
 use App\Module\Core\Domain\Exception\RbacSeedException;
 use Symfony\Component\Console\Attribute\AsCommand;
 use Symfony\Component\Console\Command\Command;
 use Symfony\Component\Console\Input\InputInterface;
 use Symfony\Component\Console\Input\InputOption;
 use Symfony\Component\Console\Output\OutputInterface;
 use Symfony\Component\Console\Style\SymfonyStyle;
 /**
 * Seed RBAC metier idempotent et NON destructif (cf. ERP-74 / spec-back M1
 * § 2.7). Contrairement aux fixtures Doctrine (`require-dev`, absentes du build
 * prod `--no-dev`), cette commande applicative est presente dans l'image prod :
 * elle est donc rejouable en recette/staging/prod.
 *
 * Etape de release : a lancer APRES `doctrine:migrations:migrate` et
 * `app:sync-permissions`.
 *  - En prod : `app:seed-rbac` (roles + matrice § 2.7, sans comptes demo).
 *  - En recette : `app:seed-rbac --with-demo-users --password=<...>` pour
 *    disposer de logins de test.
 *
 * Toute la logique (litteraux des roles, matrice, comptes demo) vit dans
 * RbacSeeder — cette commande n'en est que l'enveloppe CLI.
 */
 #[AsCommand(
    name: 'app:seed-rbac',
    description: 'Seede les roles metier RBAC + la matrice § 2.7 (idempotent, non destructif).',
 )]
 final class SeedRbacCommand extends Command
 {
    /** Variable d'environnement de repli pour le mot de passe des comptes demo. */
    private const string PASSWORD_ENV = 'RBAC_DEMO_PASSWORD';
    public function __construct(private readonly RbacSeeder $seeder)
    {
        parent::__construct();
    }
    protected function configure(): void
    {
        $this
            ->addOption(
                'with-demo-users',
                null,
                InputOption::VALUE_NONE,
                'Cree aussi un compte demo par role metier (recette/dev — JAMAIS en prod).',
            )
            ->addOption(
                'password',
                null,
                InputOption::VALUE_REQUIRED,
                'Mot de passe des comptes demo (defaut : variable d\'env '.self::PASSWORD_ENV.'). Requis avec --with-demo-users.',
            )
        ;
    }
    protected function execute(InputInterface $input, OutputInterface $output): int
    {
        $io = new SymfonyStyle($input, $output);
        // 1. Roles metier + matrice § 2.7. attachMatrix() exige que les
        // permissions soient en base : sinon RbacSeedException porteuse de
        // l'invite a lancer `app:sync-permissions`.
        try {
            $createdRoles = $this->seeder->ensureRoles();
            $addedLinks   = $this->seeder->attachMatrix();
        } catch (RbacSeedException $e) {
            $io->error($e->getMessage());
            return Command::FAILURE;
        }
        $io->text(sprintf(
            'Roles metier : %d cree(s), matrice § 2.7 : %d lien(s) ajoute(s).',
            count($createdRoles),
            $addedLinks,
        ));
        // 2. Comptes demo (optionnel, jamais en prod).
        if ((bool) $input->getOption('with-demo-users')) {
            $password = $this->resolveDemoPassword($input);
            if (null === $password) {
                $io->error(sprintf(
                    '--with-demo-users exige un mot de passe : passe --password=<...> ou definis la variable d\'env %s. '
                    .'(Aucun mot de passe en dur cote serveur.)',
                    self::PASSWORD_ENV,
                ));
                return Command::FAILURE;
            }
            try {
                $createdUsers = $this->seeder->ensureDemoUsers($password);
            } catch (RbacSeedException $e) {
                $io->error($e->getMessage());
                return Command::FAILURE;
            }
            $io->text(sprintf(
                'Comptes demo : %d cree(s)%s.',
                count($createdUsers),
                [] === $createdUsers ? '' : ' ['.implode(', ', $createdUsers).']',
            ));
        }
        $io->success('Seed RBAC metier termine (idempotent).');
        return Command::SUCCESS;
    }
    /**
     * Resout le mot de passe demo : option `--password` prioritaire, sinon
     * variable d'environnement. Renvoie null si aucun n'est fourni (la commande
     * refuse alors --with-demo-users plutot que d'inventer un mot de passe).
     */
    private function resolveDemoPassword(InputInterface $input): ?string
    {
        /** @var null|string $option */
        $option = $input->getOption('password');
        if (null !== $option && '' !== $option) {
            return $option;
        }
        $env = $_SERVER[self::PASSWORD_ENV] ?? $_ENV[self::PASSWORD_ENV] ?? getenv(self::PASSWORD_ENV);
        if (is_string($env) && '' !== $env) {
            return $env;
        }
        return null;
    }
 }
@@ -28,6 +28,11 @@ use Symfony\Component\PasswordHasher\Hasher\UserPasswordHasherInterface;
 * systeme de maniere idempotente avant de rattacher les utilisateurs, afin
 * que le workflow "make db-reset && make fixtures" reste one-shot.
 *
 * Idempotence complete (y compris `doctrine:fixtures:load --append`, sans
 * purge) : roles via ensureSystemRole, utilisateurs via ensureUser (lookup par
 * username). Rejouer la fixture ne cree donc aucun doublon ni violation
 * d'unicite de username.
 *
 * Dependance explicite a SitesFixtures (ticket 2) : les 3 sites Chatellerault,
 * Saint-Jean et Pommevic doivent etre presents en base avant d'etre rattaches
 * aux users. L'inversion volontaire de l'ordre (AppFixtures ← SitesFixtures)
@@ -75,8 +80,7 @@ class AppFixtures extends Fixture implements DependentFixtureInterface
        $saintJean     = $this->requireSite('Saint-Jean');
        $pommevic      = $this->requireSite('Pommevic');
-        $admin = new User();
+        $admin = $this->ensureUser($manager, 'admin');
        $admin->setUsername('admin');
        $admin->setIsAdmin(true);
        $admin->setPassword($this->passwordHasher->hashPassword($admin, 'admin'));
        $admin->addRbacRole($adminRole);
@@ -87,8 +91,7 @@ class AppFixtures extends Fixture implements DependentFixtureInterface
        $admin->setCurrentSite($chatellerault);
        $manager->persist($admin);
-        $alice = new User();
+        $alice = $this->ensureUser($manager, 'alice');
        $alice->setUsername('alice');
        $alice->setPassword($this->passwordHasher->hashPassword($alice, 'alice'));
        $alice->addRbacRole($userRole);
        // Alice : un seul site, site courant = ce site.
@@ -96,8 +99,7 @@ class AppFixtures extends Fixture implements DependentFixtureInterface
        $alice->setCurrentSite($chatellerault);
        $manager->persist($alice);
-        $bob = new User();
+        $bob = $this->ensureUser($manager, 'bob');
        $bob->setUsername('bob');
        $bob->setPassword($this->passwordHasher->hashPassword($bob, 'bob'));
        $bob->addRbacRole($userRole);
        // Bob : site different de Alice, pour prouver le filtrage par site
@@ -135,6 +137,27 @@ class AppFixtures extends Fixture implements DependentFixtureInterface
        return $role;
    }
    /**
     * Retourne l'utilisateur correspondant au username, en le creant s'il
     * n'existe pas encore. Rend la fixture idempotente y compris en
     * `doctrine:fixtures:load --append` (sans purge) : sans ce lookup, recreer
     * « admin » / « alice » / « bob » violerait l'unicite de username. Meme
     * esprit que ensureSystemRole ci-dessus et RbacDemoFixtures::ensureDemoUsers.
     */
    private function ensureUser(ObjectManager $manager, string $username): User
    {
        $user = $manager->getRepository(User::class)->findOneBy(['username' => $username]);
        if (null !== $user) {
            return $user;
        }
        $user = new User();
        $user->setUsername($username);
        return $user;
    }
    private function requireSite(string $name): SiteInterface
    {
        $site = $this->siteProvider->findByName($name);
@@ -0,0 +1,56 @@
 <?php
 declare(strict_types=1);
 namespace App\Module\Core\Infrastructure\DataFixtures;
 use App\Module\Core\Application\Rbac\RbacSeeder;
 use App\Module\Sites\Infrastructure\DataFixtures\SitesFixtures;
 use Doctrine\Bundle\FixturesBundle\Fixture;
 use Doctrine\Common\DataFixtures\DependentFixtureInterface;
 use Doctrine\Persistence\ObjectManager;
 /**
 * Fixture dev/test des roles metier MALIO (bureau / compta / commerciale /
 * usine) + comptes demo associes. DRY : delegue au MEME service RbacSeeder que
 * la commande `app:seed-rbac`, de sorte que `make db-reset` reproduise l'etat
 * de recette.
 *
 * Depend de SitesFixtures : les comptes demo sont rattaches au site par defaut
 * (cf. RbacSeeder::DEFAULT_SITE_NAME).
 *
 * ⚠ N'attache PAS la matrice § 2.7 ici : `doctrine:fixtures:load` PURGE la table
 * `permission` avant de charger, donc les codes `commercial.clients.*` ne sont
 * pas encore en base au moment du load (cf. ordre du makefile : fixtures PUIS
 * `app:sync-permissions`). La matrice est attachee juste apres, par l'etape
 * `app:seed-rbac` du makefile (db-reset / test-db-setup), via le meme seeder.
 * Resultat final identique a la recette : roles + matrice + comptes demo.
 */
 final class RbacDemoFixtures extends Fixture implements DependentFixtureInterface
 {
    /**
     * Mot de passe DEV/TEST connu des comptes demo (bureau / compta /
     * commerciale / usine). Reference par les tests fonctionnels de matrice
     * RBAC. Sans rapport avec la prod : en recette/prod le mot de passe est
     * fourni explicitement a `app:seed-rbac --with-demo-users --password=...`.
     */
    public const string DEMO_PASSWORD = 'demo';
    public function __construct(private readonly RbacSeeder $seeder) {}
    /**
     * @return array<int, class-string>
     */
    public function getDependencies(): array
    {
        return [SitesFixtures::class];
    }
    public function load(ObjectManager $manager): void
    {
        // Idempotent : ensureRoles puis ensureDemoUsers (lookup par code /
        // username). La matrice est volontairement deferree (cf. docblock).
        $this->seeder->ensureRoles();
        $this->seeder->ensureDemoUsers(self::DEMO_PASSWORD);
    }
 }
@@ -20,13 +20,25 @@ interface CategoryInterface
    public function getName(): ?string;
    /**
     * Code technique stable de la categorie (Category::code), ou null si non
     * encore renseigne. Slug MAJUSCULE derive du nom a la creation, fige ensuite.
     * Expose pour permettre a un module tiers de filtrer/valider par categorie
     * metier sans dependre du libelle (`name`) ni de l'`id` (non deterministe
     * entre environnements) ni importer la classe concrete Category (regle
     * ABSOLUE n°1). Pilote, cote M1 Commercial :
     *  - RG-1.03 : un distributor doit referencer un client portant la categorie
     *    de code DISTRIBUTEUR (resp. COURTIER pour broker) ;
     *  - RG-1.29 : une adresse interdit les categories de code DISTRIBUTEUR /
     *    COURTIER (relations entre clients, pas des attributs d'adresse).
     */
    public function getCode(): ?string;
    /**
     * Code du type de categorie rattache (CategoryType::code), ou null si la
-     * categorie n'a pas de type. Expose pour permettre a un module tiers de
+     * categorie n'a pas de type. Depuis ERP-78, le modele n'a plus qu'un seul
-     * raisonner sur le type metier (ex: M1 Commercial — RG-1.03 : un distributor
+     * type (CLIENT) : le filtrage metier passe desormais par getCode() ci-dessus.
-     * doit referencer un client categorise DISTRIBUTEUR ; RG-1.29 : categorie
+     * Conserve pour l'affichage / la retrocompatibilite.
     * d'adresse limitee a SECTEUR/AUTRE) sans importer la classe concrete
     * Category (regle ABSOLUE n°1).
     */
    public function getCategoryTypeCode(): ?string;
 }
@@ -0,0 +1,31 @@
 <?php
 declare(strict_types=1);
 namespace App\Shared\Domain\Contract;
 /**
 * Contrat d'export d'une feuille de calcul tabulaire vers un binaire XLSX.
 *
 * Service GENERIQUE et reutilisable : il ne connait aucune entite metier. Le
 * module appelant decide QUOI exporter (en-tetes + lignes deja mappees) ; cette
 * interface decrit seulement COMMENT produire le fichier. Aucun module n'est
 * couple a une implementation concrete : on depend de ce contrat (dans Shared),
 * jamais l'inverse (regle ABSOLUE n°1).
 *
 * Implementee par App\Shared\Infrastructure\Export\PhpSpreadsheetExporter (on
 * ne la reference pas via @see pour ne pas creer un import Domain -> Infra).
 */
 interface SpreadsheetExporterInterface
 {
    /**
     * Genere un classeur XLSX a une feuille et retourne son contenu binaire.
     *
     * @param string                      $sheetTitle titre de l'onglet (assaini / tronque par l'implementation si besoin)
     * @param list<string>                $headers    libelles de la ligne d'en-tete (ligne 1)
     * @param iterable<list<null|scalar>> $rows       lignes de donnees ; chaque ligne est une liste de cellules alignee sur $headers
     *
     * @return string contenu binaire du fichier XLSX
     */
    public function export(string $sheetTitle, array $headers, iterable $rows): string;
 }
@@ -0,0 +1,60 @@
 <?php
 declare(strict_types=1);
 namespace App\Shared\Infrastructure\Database;
 /**
 * Miroir SQL de `CategoryCodeGenerator::slugify()` (module Catalog, ERP-78).
 *
 * Le `code` d'une `Category` est un slug MAJUSCULE deterministe du nom. A
 * l'execution (POST/PATCH API), il est genere en PHP par `CategoryCodeGenerator`
 * via `AsciiSlugger`. Mais la migration corrective `Version20260602100000` doit
 * backfiller le `code` des categories pre-existantes en SQL pur (le backfill
 * tourne dans le plan `addSql`, sans acces aux services applicatifs).
 *
 * Deux implementations d'un meme slug = risque de derive : un nom accentue
 * comme « Independant » doit produire le MEME code (`INDEPENDANT`) quel que soit
 * le chemin. Cette classe est la SOURCE UNIQUE de l'expression SQL ; son egalite
 * avec le générateur PHP est verrouillee par `CategoryCodeSqlSlugTest`.
 *
 * Domaine couvert : noms francais / Latin-1 (tous les accents, minuscule +
 * majuscule, translitteres vers l'ASCII comme le fait `AsciiSlugger`). Limite
 * connue et assumee : les ligatures (`Œ`->`OE`, `ß`->`SS`) ne sont PAS gerees
 * par `translate()` (mapping 1->1 uniquement) ; elles n'apparaissent pas dans
 * les noms de categories CLIENT et le backfill ne s'execute de toute facon que
 * sur des bases dev deja peuplees (en prod la table `category` est vide).
 */
 final class CategoryCodeSql
 {
    /** Longueur maximale de la colonne `category.code` (cf. CategoryCodeGenerator). */
    private const int MAX_LENGTH = 50;
    /**
     * Accents Latin-1 (minuscules puis majuscules) translitteres vers leur
     * equivalent ASCII minuscule — `UPPER()` repasse tout en majuscule ensuite.
     * `translate()` mappe caractere a caractere : `ACCENT_FROM` et `ACCENT_TO`
     * doivent avoir EXACTEMENT le meme nombre de caracteres.
     */
    private const string ACCENT_FROM = 'àâäáãåçéèêëíìîïñóòôöõúùûüýÿÀÂÄÁÃÅÇÉÈÊËÍÌÎÏÑÓÒÔÖÕÚÙÛÜÝŸ';
    private const string ACCENT_TO   = 'aaaaaaceeeeiiiinooooouuuuyyaaaaaaceeeeiiiinooooouuuuyy';
    /**
     * Expression SQL produisant le slug du `$column` donne (ex: `name`, `c.name`).
     * Reproduit fidelement `CategoryCodeGenerator::slugify` : translitteration des
     * accents, separateurs non alphanumeriques reduits a `_`, MAJUSCULE, borne a
     * 50, `_` de bord retires, fallback `CATEGORY` si vide.
     */
    public static function slugExpression(string $column): string
    {
        return sprintf(
            "COALESCE(NULLIF(TRIM(BOTH '_' FROM "
            ."LEFT(UPPER(REGEXP_REPLACE(translate(%s, '%s', '%s'), '[^A-Za-z0-9]+', '_', 'g')), %d)"
            ."), ''), 'CATEGORY')",
            $column,
            self::ACCENT_FROM,
            self::ACCENT_TO,
            self::MAX_LENGTH,
        );
    }
 }
@@ -53,6 +53,7 @@ final class ColumnCommentsCatalog
                '_table'           => 'Categories M0 — referentiel type par category_type, soft-delete via deleted_at, unicite (LOWER(name), category_type_id) parmi les actifs.',
                'id'               => 'Identifiant interne auto-incremente.',
                'name'             => 'Libelle de la categorie (≤ 120 caracteres) — unique par type parmi les actifs (RG-1.06).',
                'code'             => 'Code technique stable (slug MAJUSCULE du nom, ≤ 50) — unique parmi les actifs (uq_category_code). Fige a la creation. DISTRIBUTEUR/COURTIER pilotent RG-1.03/1.29.',
                'category_type_id' => 'Reference au type de la categorie — FK -> category_type.id, ON DELETE RESTRICT (un type ne peut etre supprime tant qu il a des categories).',
                'deleted_at'       => 'Horodatage UTC du soft-delete (archivage logique) — null si la categorie est active.',
            ] + self::timestampableBlamableComments(),
@@ -0,0 +1,85 @@
 <?php
 declare(strict_types=1);
 namespace App\Shared\Infrastructure\Export;
 use App\Shared\Domain\Contract\SpreadsheetExporterInterface;
 use PhpOffice\PhpSpreadsheet\Spreadsheet;
 use PhpOffice\PhpSpreadsheet\Writer\Xlsx;
 use RuntimeException;
 /**
 * Implementation XLSX du contrat d'export via la librairie PhpSpreadsheet.
 *
 * Strictement technique : ecrit la ligne d'en-tete puis les lignes de donnees
 * dans l'unique feuille du classeur, et retourne le binaire. Aucune logique
 * metier, aucune reference a une entite d'un module — le mapping des colonnes
 * est de la responsabilite de l'appelant.
 */
 final class PhpSpreadsheetExporter implements SpreadsheetExporterInterface
 {
    // Excel limite le titre d'un onglet a 31 caracteres et interdit certains
    // caracteres ; on assainit pour ne jamais faire echouer setTitle().
    private const int MAX_SHEET_TITLE_LENGTH = 31;
    private const string INVALID_TITLE_CHARS = '*:/\?[]';
    public function export(string $sheetTitle, array $headers, iterable $rows): string
    {
        $spreadsheet = new Spreadsheet();
        $sheet       = $spreadsheet->getActiveSheet();
        $sheet->setTitle($this->sanitizeSheetTitle($sheetTitle));
        // Ligne 1 : en-tete.
        $sheet->fromArray($headers, null, 'A1');
        // Lignes 2..n : donnees. Iteration manuelle pour supporter un iterable
        // paresseux (generator) sans tout materialiser en memoire.
        $rowNumber = 2;
        foreach ($rows as $row) {
            $sheet->fromArray($row, null, 'A'.$rowNumber);
            ++$rowNumber;
        }
        return $this->toBinary($spreadsheet);
    }
    private function toBinary(Spreadsheet $spreadsheet): string
    {
        $writer = new Xlsx($spreadsheet);
        // Le writer ecrit vers un chemin de fichier : on passe par un fichier
        // temporaire puis on lit son contenu binaire.
        $tmpFile = tempnam(sys_get_temp_dir(), 'xlsx_export_');
        if (false === $tmpFile) {
            throw new RuntimeException('Impossible de creer un fichier temporaire pour l\'export XLSX.');
        }
        try {
            $writer->save($tmpFile);
            $binary = file_get_contents($tmpFile);
            if (false === $binary) {
                throw new RuntimeException('Lecture du fichier XLSX temporaire impossible.');
            }
            return $binary;
        } finally {
            // Libere les references internes de PhpSpreadsheet puis supprime le
            // fichier temporaire, meme en cas d'exception.
            $spreadsheet->disconnectWorksheets();
            @unlink($tmpFile);
        }
    }
    /**
     * Retire les caracteres interdits et tronque a 31 caracteres ; renvoie un
     * titre par defaut si la chaine resultante est vide.
     */
    private function sanitizeSheetTitle(string $title): string
    {
        $clean = str_replace(str_split(self::INVALID_TITLE_CHARS), '', $title);
        $clean = mb_substr($clean, 0, self::MAX_SHEET_TITLE_LENGTH);
        return '' === $clean ? 'Export' : $clean;
    }
 }
@@ -83,6 +83,9 @@ abstract class AbstractCatalogApiTestCase extends AbstractApiTestCase
        $suffix   = substr(bin2hex(random_bytes(4)), 0, 8);
        $category = new Category();
        $category->setName($name ?? self::TEST_CATEGORY_PREFIX.$suffix);
        // ERP-78 : code NOT NULL + unique parmi les actifs (uq_category_code).
        // Nonce aleatoire -> unicite garantie entre seeds successifs du test.
        $category->setCode('TEST_'.strtoupper($suffix));
        $category->setCategoryType($type);
        if (null !== $deletedAt) {
            $category->setDeletedAt($deletedAt);
@@ -0,0 +1,73 @@
 <?php
 declare(strict_types=1);
 namespace App\Tests\Module\Catalog\Api;
 use App\Module\Catalog\Application\Service\CategoryCodeGenerator;
 use App\Shared\Infrastructure\Database\CategoryCodeSql;
 use Doctrine\DBAL\Connection;
 use PHPUnit\Framework\Attributes\DataProvider;
 use Symfony\Bundle\FrameworkBundle\Test\KernelTestCase;
 /**
 * Garde-fou ERP-78 : l'expression SQL de slug (CategoryCodeSql, utilisee par le
 * backfill de la migration Version20260602100000) doit produire EXACTEMENT le
 * meme code que le generateur applicatif (CategoryCodeGenerator::slugify), sur
 * tout le domaine de noms francais / Latin-1.
 *
 * Verrouille la cause racine du bug initial : deux implementations d'un meme
 * slug qui derivent silencieusement (« Independant » -> IND_PENDANT cote SQL
 * faute de translitteration des accents, vs INDEPENDANT cote PHP). On ne couvre
 * volontairement PAS les ligatures (`Œ`, `ß`) : `translate()` est 1->1 et ne
 * peut produire `OE`/`SS` ; elles sont hors du domaine des categories CLIENT.
 *
 * @internal
 */
 final class CategoryCodeSqlSlugTest extends KernelTestCase
 {
    /**
     * Noms representatifs du domaine reel : accents, cedille, apostrophe,
     * separateurs varies, parentheses, majuscules accentuees.
     *
     * @return iterable<string, array{string}>
     */
    public static function nameProvider(): iterable
    {
        yield 'sans accent'         => ['Distributeur'];
        yield 'tiret'               => ['Agro-alimentaire'];
        yield 'slash'               => ['Transport/Logistique'];
        yield 'accent aigu'         => ['Indépendant'];
        yield 'apostrophe + accent' => ["L'Oréal"];
        yield 'esperluette'         => ['Forêt & Bûcheron'];
        yield 'cedille majuscule'   => ['Ça va'];
        yield 'accents multiples'   => ['Naïve façade'];
        yield 'circonflexe'         => ["Côte d'Azur"];
        yield 'parentheses'         => ['Zone (Sud)'];
    }
    #[DataProvider('nameProvider')]
    public function testSqlSlugMatchesPhpSlug(string $name): void
    {
        self::bootKernel();
        $container = self::getContainer();
        /** @var Connection $conn */
        $conn = $container->get('doctrine')->getConnection();
        /** @var CategoryCodeGenerator $generator */
        $generator = $container->get(CategoryCodeGenerator::class);
        // Evaluation pure de l'expression (aucune table requise) : le nom est
        // passe en parametre lie a la place de la colonne.
        $sqlSlug = $conn->fetchOne(
            'SELECT '.CategoryCodeSql::slugExpression(':name'),
            ['name' => $name],
        );
        self::assertSame(
            $generator->slugify($name),
            $sqlSlug,
            sprintf('SQL et PHP doivent produire le meme slug pour "%s".', $name),
        );
    }
 }
@@ -0,0 +1,90 @@
 <?php
 declare(strict_types=1);
 namespace App\Tests\Module\Catalog\Api;
 /**
 * Tests ERP-78 : le `code` technique stable de Category.
 *
 * Cas couverts :
 *  - POST : le code est auto-genere (slug MAJUSCULE du nom) et expose en lecture ;
 *  - le code est en lecture seule : un `code` envoye dans le payload est ignore
 *    (genere depuis le nom) ;
 *  - deux noms produisant le meme slug recoivent des codes distincts (suffixe).
 *
 * @internal
 */
 final class CategoryCodeTest extends AbstractCatalogApiTestCase
 {
    public function testPostGeneratesAndExposesCode(): void
    {
        $type   = $this->createCategoryType();
        $client = $this->createAdminClient();
        $response = $client->request('POST', '/api/categories', [
            'headers' => ['Content-Type' => 'application/ld+json'],
            'json'    => [
                'name'         => self::TEST_CATEGORY_PREFIX.'Agro-alimentaire',
                'categoryType' => '/api/category_types/'.$type->getId(),
            ],
        ]);
        self::assertResponseStatusCodeSame(201);
        $payload = $response->toArray();
        // Slug MAJUSCULE du nom, separateurs non alphanumeriques -> `_`.
        self::assertSame(
            strtoupper(self::TEST_CATEGORY_PREFIX).'AGRO_ALIMENTAIRE',
            $payload['code'],
        );
    }
    public function testCodeIsReadOnlyAndIgnoredFromPayload(): void
    {
        $type   = $this->createCategoryType();
        $client = $this->createAdminClient();
        $response = $client->request('POST', '/api/categories', [
            'headers' => ['Content-Type' => 'application/ld+json'],
            'json'    => [
                'name'         => self::TEST_CATEGORY_PREFIX.'readonly',
                'categoryType' => '/api/category_types/'.$type->getId(),
                // Le client tente d'imposer un code : doit etre ignore.
                'code'         => 'CLIENT_FORGED',
            ],
        ]);
        self::assertResponseStatusCodeSame(201);
        $payload = $response->toArray();
        self::assertNotSame('CLIENT_FORGED', $payload['code']);
        self::assertSame(strtoupper(self::TEST_CATEGORY_PREFIX).'READONLY', $payload['code']);
    }
    public function testCollidingSlugsGetDistinctCodes(): void
    {
        $type   = $this->createCategoryType();
        $client = $this->createAdminClient();
        // Deux noms differents (donc autorises par uq_category_name_type_active)
        // mais qui produisent le meme slug -> codes distincts (suffixe `_2`).
        $first = $client->request('POST', '/api/categories', [
            'headers' => ['Content-Type' => 'application/ld+json'],
            'json'    => [
                'name'         => self::TEST_CATEGORY_PREFIX.'Agro Plus',
                'categoryType' => '/api/category_types/'.$type->getId(),
            ],
        ])->toArray();
        $second = $client->request('POST', '/api/categories', [
            'headers' => ['Content-Type' => 'application/ld+json'],
            'json'    => [
                'name'         => self::TEST_CATEGORY_PREFIX.'Agro-Plus',
                'categoryType' => '/api/category_types/'.$type->getId(),
            ],
        ])->toArray();
        self::assertResponseStatusCodeSame(201);
        self::assertNotSame($first['code'], $second['code']);
        self::assertStringEndsWith('_2', (string) $second['code']);
    }
 }
@@ -17,13 +17,17 @@ use DateTimeImmutable;
 * Base des tests fonctionnels du module Commercial (M1 — repertoire clients).
 *
 * Etend la base Core : ajoute des factories pour seeder vite des categories
- * typees (DISTRIBUTEUR / COURTIER / SECTEUR) et des clients, plus un helper
+ * codees (DISTRIBUTEUR / COURTIER / SECTEUR...) sous le type unique CLIENT et
- * d'authentification admin.
+ * des clients, plus un helper d'authentification admin.
 *
 * Refonte taxonomie ERP-78 : il n'y a plus qu'un type CLIENT ; le code metier
 * vit desormais sur la Category. `createCategory($code)` est un fetch-or-create
 * PAR CODE (idempotent) sous CLIENT — deux clients d'un meme test partagent ainsi
 * la categorie de meme code sans violer l'index unique partiel uq_category_code.
 *
 * Cleanup : tearDown purge clients, categories `test_cli_cat_*` et users/roles
- * `test_*`. Les category_types business sont fetch-or-create (idempotents) et
+ * `test_*`. Le type CLIENT est fetch-or-create (idempotent) et laisse en place.
- * laisses en place (pas de DELETE pour ne pas entrer en conflit avec d'autres
+ * Pas de DAMA en local -> purge manuelle obligatoire.
 * suites). Pas de DAMA en local -> purge manuelle obligatoire.
 *
 * @internal
 */
@@ -31,6 +35,14 @@ abstract class AbstractCommercialApiTestCase extends AbstractApiTestCase
 {
    protected const string TEST_CATEGORY_PREFIX = 'test_cli_cat_';
    /**
     * Codes pilotant les RG (RG-1.03 distributor/broker, RG-1.29 adresse) : ils
     * doivent matcher exactement, donc createCategory() les fetch-or-create par
     * code. Les autres codes sont traites comme de simples libelles generiques et
     * produisent une categorie a code UNIQUE (cf. createCategory).
     */
    private const array RG_EXACT_CODES = ['DISTRIBUTEUR', 'COURTIER'];
    protected function tearDown(): void
    {
        $this->cleanupCommercialTestData();
@@ -43,20 +55,20 @@ abstract class AbstractCommercialApiTestCase extends AbstractApiTestCase
    }
    /**
-     * Recupere (ou cree) un CategoryType par son code metier. Idempotent : la
+     * Recupere (ou cree) le type unique CLIENT (refonte ERP-78). Idempotent : la
     * contrainte d'unicite sur category_type.code interdit les doublons.
     */
-    protected function createCategoryType(string $code): CategoryType
+    protected function clientCategoryType(): CategoryType
    {
        $em       = $this->getEm();
-        $existing = $em->getRepository(CategoryType::class)->findOneBy(['code' => $code]);
+        $existing = $em->getRepository(CategoryType::class)->findOneBy(['code' => 'CLIENT']);
        if (null !== $existing) {
            return $existing;
        }
        $type = new CategoryType();
-        $type->setCode($code);
+        $type->setCode('CLIENT');
-        $type->setLabel(ucfirst(strtolower($code)));
+        $type->setLabel('Client');
        $em->persist($type);
        $em->flush();
@@ -64,15 +76,38 @@ abstract class AbstractCommercialApiTestCase extends AbstractApiTestCase
    }
    /**
-     * Cree une Category de test rattachee a un type metier donne (code).
+     * Cree une Category de test sous le type unique CLIENT (ERP-78).
     *
     * - Code RG (DISTRIBUTEUR / COURTIER) : fetch-or-create par code EXACT — le
     *   code doit matcher la regle de gestion, et l'appel repete dans un test
     *   renvoie la meme categorie (pas de violation de uq_category_code).
     * - Autre code (SECTEUR, AUTRE, ...) : simple libelle generique -> categorie
     *   a code UNIQUE (suffixe aleatoire). Garantit que deux categories
     *   « generiques » d'un meme test sont DISTINCTES (ex: detection de
     *   changement de categorie dans les tests RBAC).
     */
-    protected function createCategory(string $typeCode = 'SECTEUR'): Category
+    protected function createCategory(string $code = 'SECTEUR'): Category
    {
-        $em       = $this->getEm();
+        $em = $this->getEm();
-        $suffix   = substr(bin2hex(random_bytes(4)), 0, 8);
+
        if (in_array($code, self::RG_EXACT_CODES, true)) {
            $existing = $em->getRepository(Category::class)->findOneBy(['code' => $code, 'deletedAt' => null]);
            if (null !== $existing) {
                return $existing;
            }
            $effectiveCode = $code;
            $name          = self::TEST_CATEGORY_PREFIX.strtolower($code);
        } else {
            $suffix        = substr(bin2hex(random_bytes(4)), 0, 8);
            $effectiveCode = strtoupper($code).'_'.strtoupper($suffix);
            $name          = self::TEST_CATEGORY_PREFIX.strtolower($code).'_'.$suffix;
        }
        $category = new Category();
-        $category->setName(self::TEST_CATEGORY_PREFIX.$suffix);
+        $category->setName($name);
-        $category->setCategoryType($this->createCategoryType($typeCode));
+        $category->setCode($effectiveCode);
        $category->setCategoryType($this->clientCategoryType());
        $em->persist($category);
        $em->flush();
@@ -81,9 +116,10 @@ abstract class AbstractCommercialApiTestCase extends AbstractApiTestCase
    /**
     * Seede directement un Client en base (sans passer par l'API), pour les
-     * tests de liste / archivage. Le client porte une categorie SECTEUR.
+     * tests de liste / archivage. Le client porte une categorie du code donne
     * (defaut SECTEUR — categorie generique non interdite sur adresse).
     */
-    protected function seedClient(string $companyName, bool $isArchived = false, string $categoryTypeCode = 'SECTEUR'): ClientEntity
+    protected function seedClient(string $companyName, bool $isArchived = false, string $categoryCode = 'SECTEUR'): ClientEntity
    {
        $em     = $this->getEm();
        $client = new ClientEntity();
@@ -93,7 +129,7 @@ abstract class AbstractCommercialApiTestCase extends AbstractApiTestCase
        $client->setLastName('Seed');
        $client->setPhonePrimary('0102030405');
        $client->setEmail(strtolower(str_replace(' ', '', $companyName)).'@seed.test');
-        $client->addCategory($this->createCategory($categoryTypeCode));
+        $client->addCategory($this->createCategory($categoryCode));
        $client->setIsArchived($isArchived);
        if ($isArchived) {
            $client->setArchivedAt(new DateTimeImmutable());
@@ -0,0 +1,299 @@
 <?php
 declare(strict_types=1);
 namespace App\Tests\Module\Commercial\Api;
 use App\Module\Sites\Domain\Entity\Site;
 /**
 * Tests fonctionnels de l'onglet Adresse.
 *
 * RG-1.09 (code postal) et RG-1.10 (>= 1 site) sont DEJA couverts par
 * ClientSubResourceApiTest (ERP-57) et ne sont pas reduplique ici. Ce fichier
 * cible :
 *  - RG-1.06 / RG-1.07 / RG-1.08 : exclusivite is_prospect vs
 *    is_delivery / is_billing ;
 *  - RG-1.11 : billing_email obligatoire ssi is_billing ;
 *  - RG-1.29 (ERP-78) : les categories de code DISTRIBUTEUR / COURTIER sont
 *    interdites sur une adresse (-> 422) ; toute autre categorie est acceptee.
 *
 * Depuis ERP-76, ces regles sont portees par des Assert\Callback sur l'entite
 * ClientAddress (mirror applicatif des CHECK Postgres) : la combinaison invalide
 * est donc rejetee en 422 AVANT la base, et non plus par une violation CHECK
 * remontant en 500. Les CHECK BDD restent en filet de securite (non testes ici,
 * inatteignables tant que les validators applicatifs passent en premier).
 *
 * @internal
 */
 final class ClientAddressTest extends AbstractCommercialApiTestCase
 {
    private const string LD = 'application/ld+json';
    /**
     * RG-1.06 / RG-1.07 : une adresse de prospection ne peut pas etre une
     * adresse de livraison -> 422 (Assert\Callback, mirror du CHECK
     * chk_client_address_prospect_exclusive).
     */
    public function testProspectAddressCannotBeDelivery(): void
    {
        $this->skipIfSitesModuleDisabled();
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Prospect Delivery');
        $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'isProspect' => true,
                'isDelivery' => true,
                'postalCode' => '86100',
                'city'       => 'Châtellerault',
                'street'     => '1 rue du Test',
                'sites'      => [$this->firstSiteIri()],
            ],
        ]);
        self::assertResponseStatusCodeSame(422);
    }
    /**
     * RG-1.06 / RG-1.08 : une adresse de prospection ne peut pas etre une
     * adresse de facturation -> 422. On fournit billingEmail pour que la seule
     * violation possible soit l'exclusivite prospect/billing.
     */
    public function testProspectAddressCannotBeBilling(): void
    {
        $this->skipIfSitesModuleDisabled();
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Prospect Billing');
        $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'isProspect'   => true,
                'isBilling'    => true,
                'billingEmail' => 'facturation@test.fr',
                'postalCode'   => '86100',
                'city'         => 'Châtellerault',
                'street'       => '1 rue du Test',
                'sites'        => [$this->firstSiteIri()],
            ],
        ]);
        self::assertResponseStatusCodeSame(422);
    }
    /**
     * RG-1.11 : une adresse de facturation exige un billingEmail -> 422.
     */
    public function testBillingAddressRequiresBillingEmail(): void
    {
        $this->skipIfSitesModuleDisabled();
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Billing No Email');
        $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'isBilling'  => true,
                'postalCode' => '86100',
                'city'       => 'Châtellerault',
                'street'     => '1 rue du Test',
                'sites'      => [$this->firstSiteIri()],
            ],
        ]);
        self::assertResponseStatusCodeSame(422);
    }
    /**
     * RG-1.11 (cas chaine vide) : une adresse de facturation avec un billingEmail
     * vide ("") doit etre rejetee en 422, et NON passer la validation pour finir
     * en 500 sur le CHECK BDD. Le ClientAddressProcessor normalise "" -> null
     * APRES la validation : le callback doit donc traiter "" comme « absent ».
     */
    public function testBillingAddressRejectsEmptyBillingEmail(): void
    {
        $this->skipIfSitesModuleDisabled();
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Billing Empty Email');
        $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'isBilling'    => true,
                'billingEmail' => '',
                'postalCode'   => '86100',
                'city'         => 'Châtellerault',
                'street'       => '1 rue du Test',
                'sites'        => [$this->firstSiteIri()],
            ],
        ]);
        self::assertResponseStatusCodeSame(422);
    }
    /**
     * RG-1.11 (sens inverse) : une adresse NON facturable ne peut pas porter un
     * billingEmail -> 422.
     */
    public function testNonBillingAddressRejectsBillingEmail(): void
    {
        $this->skipIfSitesModuleDisabled();
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Non Billing With Email');
        $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'isBilling'    => false,
                'billingEmail' => 'parasite@test.fr',
                'postalCode'   => '86100',
                'city'         => 'Châtellerault',
                'street'       => '1 rue du Test',
                'sites'        => [$this->firstSiteIri()],
            ],
        ]);
        self::assertResponseStatusCodeSame(422);
    }
    /**
     * RG-1.11 (sens inverse, cas chaine vide) : une adresse NON facturable avec
     * un billingEmail vide ("") est ACCEPTEE (201). Le "" equivaut a « pas
     * d'email » : il ne doit pas declencher la violation « email interdit hors
     * facturation » (sinon un champ simplement vide serait refuse a tort).
     */
    public function testNonBillingAddressAcceptsEmptyBillingEmail(): void
    {
        $this->skipIfSitesModuleDisabled();
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Non Billing Empty Email');
        $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'isBilling'    => false,
                'billingEmail' => '',
                'postalCode'   => '86100',
                'city'         => 'Châtellerault',
                'street'       => '1 rue du Test',
                'sites'        => [$this->firstSiteIri()],
            ],
        ]);
        self::assertResponseStatusCodeSame(201);
    }
    /**
     * RG-1.29 : poster une categorie de type DISTRIBUTEUR sur une adresse -> 422
     * avec violation sur le champ `categories`.
     */
    public function testAddressRejectsDistributorCategory(): void
    {
        $this->skipIfSitesModuleDisabled();
        $client   = $this->createAdminClient();
        $seed     = $this->seedClient('Address Distributor Cat');
        $category = $this->createCategory('DISTRIBUTEUR');
        $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'postalCode' => '86100',
                'city'       => 'Châtellerault',
                'street'     => '1 rue du Test',
                'sites'      => [$this->firstSiteIri()],
                'categories' => ['/api/categories/'.$category->getId()],
            ],
        ]);
        self::assertResponseStatusCodeSame(422);
        self::assertStringContainsString(
            'Type de catégorie non autorisé sur une adresse.',
            (string) $client->getResponse()->getContent(false),
        );
    }
    /**
     * RG-1.29 : poster une categorie de type COURTIER sur une adresse -> 422.
     */
    public function testAddressRejectsBrokerCategory(): void
    {
        $this->skipIfSitesModuleDisabled();
        $client   = $this->createAdminClient();
        $seed     = $this->seedClient('Address Broker Cat');
        $category = $this->createCategory('COURTIER');
        $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'postalCode' => '86100',
                'city'       => 'Châtellerault',
                'street'     => '1 rue du Test',
                'sites'      => [$this->firstSiteIri()],
                'categories' => ['/api/categories/'.$category->getId()],
            ],
        ]);
        self::assertResponseStatusCodeSame(422);
    }
    /**
     * RG-1.29 : une categorie de type SECTEUR est autorisee sur une adresse.
     */
    public function testAddressAcceptsSectorCategory(): void
    {
        $this->skipIfSitesModuleDisabled();
        $client   = $this->createAdminClient();
        $seed     = $this->seedClient('Address Sector Cat');
        $category = $this->createCategory('SECTEUR');
        $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'postalCode' => '86100',
                'city'       => 'Châtellerault',
                'street'     => '1 rue du Test',
                'sites'      => [$this->firstSiteIri()],
                'categories' => ['/api/categories/'.$category->getId()],
            ],
        ]);
        self::assertResponseStatusCodeSame(201);
    }
    /**
     * RG-1.29 : une categorie de type AUTRE est autorisee sur une adresse.
     */
    public function testAddressAcceptsOtherCategory(): void
    {
        $this->skipIfSitesModuleDisabled();
        $client   = $this->createAdminClient();
        $seed     = $this->seedClient('Address Other Cat');
        $category = $this->createCategory('AUTRE');
        $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'postalCode' => '86100',
                'city'       => 'Châtellerault',
                'street'     => '1 rue du Test',
                'sites'      => [$this->firstSiteIri()],
                'categories' => ['/api/categories/'.$category->getId()],
            ],
        ]);
        self::assertResponseStatusCodeSame(201);
    }
    /**
     * Retourne l'IRI du premier site seede (fixtures Sites).
     */
    private function firstSiteIri(): string
    {
        $site = $this->getEm()->getRepository(Site::class)->findOneBy([]);
        self::assertNotNull($site, 'Aucun site seede : impossible de tester les adresses.');
        return '/api/sites/'.$site->getId();
    }
 }
@@ -175,6 +175,49 @@ final class ClientApiTest extends AbstractCommercialApiTestCase
        self::assertResponseStatusCodeSame(201);
    }
    public function testPostBrokerReferencingNonBrokerReturns422(): void
    {
        $client   = $this->createAdminClient();
        $cat      = $this->createCategory('SECTEUR');
        $notBroker = $this->seedClient('Pas Un Courtier', false, 'SECTEUR');
        $client->request('POST', '/api/clients', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'companyName'  => 'Bad Broker Ref',
                'firstName'    => 'A',
                'phonePrimary' => '0102030405',
                'email'        => 'badbroker@test.fr',
                'categories'   => ['/api/categories/'.$cat->getId()],
                'broker'       => '/api/clients/'.$notBroker->getId(),
            ],
        ]);
        // RG-1.03 (le broker doit porter la categorie de code COURTIER)
        self::assertResponseStatusCodeSame(422);
    }
    public function testPostValidBrokerReturns201(): void
    {
        $client = $this->createAdminClient();
        $cat    = $this->createCategory('SECTEUR');
        $broker = $this->seedClient('Vrai Courtier', false, 'COURTIER');
        $client->request('POST', '/api/clients', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'companyName'  => 'Client Avec Courtier',
                'firstName'    => 'A',
                'phonePrimary' => '0102030405',
                'email'        => 'okbroker@test.fr',
                'categories'   => ['/api/categories/'.$cat->getId()],
                'broker'       => '/api/clients/'.$broker->getId(),
            ],
        ]);
        self::assertResponseStatusCodeSame(201);
    }
    public function testListSortedByCompanyNameAscAndExcludesArchived(): void
    {
        $client = $this->createAdminClient();
@@ -0,0 +1,47 @@
 <?php
 declare(strict_types=1);
 namespace App\Tests\Module\Commercial\Api;
 /**
 * Tests d'archivage / restauration — combler les trous (ERP-60).
 *
 * Le cas nominal RG-1.22 (archive pose archivedAt) + RG-1.23 (restauration
 * repasse archivedAt a null) ainsi que le 422 « archive + autre champ » sont
 * DEJA couverts par ClientApiTest (ERP-55). Ce fichier cible le trou identifie
 * en revue (P1 review ERP-55) : le 409 de RESTAURATION en conflit d'unicite.
 *
 * @internal
 */
 final class ClientArchiveTest extends AbstractCommercialApiTestCase
 {
    private const string MERGE = 'application/merge-patch+json';
    /**
     * RG-1.23 : restaurer un client archive dont le nom a ete repris par un
     * client actif entre-temps doit echouer en 409 (l'index partiel
     * uq_client_company_name_active n'admet qu'un seul actif portant ce nom).
     *
     * Scenario :
     *  1. un client « ACME CONFLICT » est archive (donc hors index partiel) ;
     *  2. un autre client actif « ACME CONFLICT » est cree (autorise tant que le
     *     premier reste archive) ;
     *  3. la restauration du premier le rendrait actif -> collision d'unicite
     *     -> ClientProcessor traduit la UniqueConstraintViolationException en 409.
     */
    public function testRestoreConflictReturns409(): void
    {
        $client = $this->createAdminClient();
        $archived = $this->seedClient('Acme Conflict', true);
        $this->seedClient('Acme Conflict', false);
        $client->request('PATCH', '/api/clients/'.$archived->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['isArchived' => false],
        ]);
        self::assertResponseStatusCodeSame(409);
    }
 }
@@ -0,0 +1,142 @@
 <?php
 declare(strict_types=1);
 namespace App\Tests\Module\Commercial\Api;
 use App\Module\Commercial\Domain\Entity\Client as ClientEntity;
 use DateTimeImmutable;
 use Doctrine\DBAL\Connection;
 /**
 * Tests Audit + Timestampable/Blamable du repertoire clients (ERP-60).
 *
 * Couvre :
 *  - RG-1.27 : createdAt / createdBy figes au POST, updatedBy reflete bien
 *    l'auteur de la modification (POST admin puis PATCH par un autre user) ;
 *  - Audit (§ 6.1) : le RIB est `#[Auditable]` SANS `#[AuditIgnore]` sur iban /
 *    bic — ces champs sensibles DOIVENT donc apparaitre dans le diff audite
 *    (decision Matthieu, revue MR 29/05/2026).
 *
 * @internal
 */
 final class ClientAuditTest extends AbstractCommercialApiTestCase
 {
    private const string LD         = 'application/ld+json';
    private const string MERGE      = 'application/merge-patch+json';
    private const string RIB_TYPE   = 'commercial.ClientRib';
    private const string VALID_IBAN = 'FR1420041010050500013M02606';
    private const string VALID_BIC  = 'BNPAFRPPXXX';
    private ?Connection $auditConnection = null;
    protected function setUp(): void
    {
        parent::setUp();
        self::bootKernel();
        /** @var Connection $conn */
        $conn                  = self::getContainer()->get('doctrine.dbal.audit_connection');
        $this->auditConnection = $conn;
    }
    protected function tearDown(): void
    {
        if (null !== $this->auditConnection) {
            $this->auditConnection->close();
        }
        parent::tearDown();
    }
    /**
     * RG-1.27 : createdAt / createdBy sont poses au POST puis figes ; updatedBy
     * suit l'auteur de la derniere modification. On cree en admin puis on
     * modifie avec un user `commercial.clients.manage` distinct : createdBy reste
     * l'admin, updatedBy devient le manager, createdAt ne bouge pas.
     */
    public function testCreatedFrozenAndUpdatedByReflectsModifier(): void
    {
        // 1. User modificateur (non-admin) cree AVANT le reboot de kernel induit
        //    par les clients authentifies suivants ; il est persiste en base.
        $manageCreds = $this->createUserWithPermission('commercial.clients.manage');
        // 2. Creation en admin (createdBy = admin).
        $admin = $this->createAdminClient();
        $cat   = $this->createCategory('SECTEUR');
        $created = $admin->request('POST', '/api/clients', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'companyName'  => 'Blamable Co',
                'firstName'    => 'A',
                'phonePrimary' => '0102030405',
                'email'        => 'blamable@test.fr',
                'categories'   => ['/api/categories/'.$cat->getId()],
            ],
        ])->toArray();
        self::assertResponseStatusCodeSame(201);
        $id          = (int) $created['id'];
        $createdAtTs = new DateTimeImmutable((string) $created['createdAt'])->getTimestamp();
        // 3. Modification par le manager (updatedBy = manager).
        $manage = $this->authenticatedClient($manageCreds['username'], $manageCreds['password']);
        $manage->request('PATCH', '/api/clients/'.$id, [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['companyName' => 'Blamable Renamed'],
        ]);
        self::assertResponseStatusCodeSame(200);
        // 4. Verification cote base (etat re-charge depuis la BDD).
        $em = $this->getEm();
        $em->clear();
        $reloaded = $em->getRepository(ClientEntity::class)->find($id);
        self::assertNotNull($reloaded);
        self::assertSame('admin', $reloaded->getCreatedBy()?->getUserIdentifier(), 'createdBy doit rester l\'admin createur.');
        self::assertSame(
            $manageCreds['username'],
            $reloaded->getUpdatedBy()?->getUserIdentifier(),
            'updatedBy doit refleter le dernier modificateur.',
        );
        self::assertSame($createdAtTs, $reloaded->getCreatedAt()?->getTimestamp(), 'createdAt doit etre fige au POST.');
        self::assertNotNull($reloaded->getUpdatedAt());
        self::assertGreaterThanOrEqual($createdAtTs, $reloaded->getUpdatedAt()->getTimestamp());
    }
    /**
     * Audit § 6.1 : la creation d'un RIB produit une ligne audit_log
     * `commercial.ClientRib` / `create` dont le snapshot contient iban et bic
     * (champs volontairement NON ignores).
     */
    public function testRibCreateAuditIncludesIbanAndBic(): void
    {
        $admin = $this->createAdminClient();
        $seed  = $this->seedClient('Rib Audit Host');
        $rib = $admin->request('POST', '/api/clients/'.$seed->getId().'/ribs', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'label' => 'Compte audite',
                'bic'   => self::VALID_BIC,
                'iban'  => self::VALID_IBAN,
            ],
        ])->toArray();
        self::assertResponseStatusCodeSame(201);
        $rows = $this->auditConnection->fetchAllAssociative(
            'SELECT changes FROM audit_log '
            .'WHERE entity_type = :type AND entity_id = :id AND action = :action '
            .'ORDER BY performed_at DESC',
            ['type' => self::RIB_TYPE, 'id' => (string) $rib['id'], 'action' => 'create'],
        );
        self::assertGreaterThanOrEqual(1, count($rows), 'Un audit_log "create" doit etre genere pour le RIB.');
        /** @var array<string, mixed> $changes */
        $changes = json_decode((string) $rows[0]['changes'], true, flags: JSON_THROW_ON_ERROR);
        self::assertArrayHasKey('iban', $changes, 'iban doit figurer dans le diff audite (pas d\'AuditIgnore).');
        self::assertArrayHasKey('bic', $changes, 'bic doit figurer dans le diff audite (pas d\'AuditIgnore).');
        self::assertSame(self::VALID_IBAN, $changes['iban']);
        self::assertSame(self::VALID_BIC, $changes['bic']);
    }
 }
@@ -0,0 +1,185 @@
 <?php
 declare(strict_types=1);
 namespace App\Tests\Module\Commercial\Api;
 use PhpOffice\PhpSpreadsheet\IOFactory;
 /**
 * Tests fonctionnels de l'export XLSX du repertoire clients (M1, § 4.6).
 *
 * Couvre : reponse 200 (Content-Type + Content-Disposition), exclusion des
 * archives par defaut, respect des filtres ?search / ?categoryType, gating de
 * la colonne SIREN selon commercial.clients.accounting.view, 403 sans
 * commercial.clients.view, 401 anonyme.
 *
 * @internal
 */
 final class ClientExportControllerTest extends AbstractCommercialApiTestCase
 {
    private const string XLSX_MIME  = 'application/vnd.openxmlformats-officedocument.spreadsheetml.sheet';
    private const string EXPORT_URL = '/api/clients/export.xlsx';
    public function testExportReturnsXlsxResponseWithAttachmentFilename(): void
    {
        $client = $this->createAdminClient();
        $this->seedClient('Export Alpha');
        $response = $client->request('GET', self::EXPORT_URL);
        self::assertResponseIsSuccessful();
        $headers = $response->getHeaders(false);
        self::assertStringContainsString(self::XLSX_MIME, $headers['content-type'][0] ?? '');
        $disposition = $headers['content-disposition'][0] ?? '';
        self::assertStringContainsString('attachment; filename="repertoire-clients-', $disposition);
        self::assertMatchesRegularExpression(
            '/filename="repertoire-clients-\d{8}\.xlsx"/',
            $disposition,
        );
        // Le binaire est un XLSX relisible dont la 1re ligne porte les en-tetes.
        $grid    = $this->gridFromResponse($response->getContent());
        $headers = $grid[0];
        self::assertSame('Nom entreprise', $headers[0]);
        self::assertContains('Catégories', $headers);
        self::assertContains('Sites', $headers);
        self::assertContains('Date de création', $headers);
    }
    public function testExportExcludesArchivedByDefault(): void
    {
        $client = $this->createAdminClient();
        $this->seedClient('Active One');
        $this->seedClient('Archived One', true);
        $names = $this->companyNames($client->request('GET', self::EXPORT_URL)->getContent());
        self::assertContains('ACTIVE ONE', $names);
        self::assertNotContains('ARCHIVED ONE', $names);
    }
    public function testExportRespectsSearchFilter(): void
    {
        $client = $this->createAdminClient();
        $this->seedClient('Searchable Alpha');
        $this->seedClient('Other Beta');
        $names = $this->companyNames(
            $client->request('GET', self::EXPORT_URL.'?search=alpha')->getContent(),
        );
        self::assertContains('SEARCHABLE ALPHA', $names);
        self::assertNotContains('OTHER BETA', $names);
    }
    public function testExportRespectsCategoryCodeFilter(): void
    {
        $client = $this->createAdminClient();
        $this->seedClient('Distrib Co', false, 'DISTRIBUTEUR');
        $this->seedClient('Secteur Co', false, 'SECTEUR');
        $names = $this->companyNames(
            $client->request('GET', self::EXPORT_URL.'?categoryCode=DISTRIBUTEUR')->getContent(),
        );
        self::assertContains('DISTRIB CO', $names);
        self::assertNotContains('SECTEUR CO', $names);
    }
    public function testSirenColumnPresentWithAccountingView(): void
    {
        // L'admin bypass le RBAC : il a donc accounting.view -> colonne SIREN.
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Siren Co');
        $em     = $this->getEm();
        $seed->setSiren('123456789');
        $em->flush();
        $grid = $this->gridFromResponse($client->request('GET', self::EXPORT_URL)->getContent());
        self::assertContains('SIREN', $grid[0]);
        self::assertStringContainsString('123456789', $this->flatten($grid));
    }
    public function testSirenColumnAbsentWithoutAccountingView(): void
    {
        // Seed via admin, puis relecture par un user qui n'a QUE clients.view.
        $admin = $this->createAdminClient();
        $seed  = $this->seedClient('No Siren Co');
        $em    = $this->getEm();
        $seed->setSiren('987654321');
        $em->flush();
        $creds  = $this->createUserWithPermission('commercial.clients.view');
        $viewer = $this->authenticatedClient($creds['username'], $creds['password']);
        $grid = $this->gridFromResponse($viewer->request('GET', self::EXPORT_URL)->getContent());
        self::assertNotContains('SIREN', $grid[0]);
        self::assertStringNotContainsString('987654321', $this->flatten($grid));
    }
    public function testForbiddenWithoutClientsViewPermission(): void
    {
        $creds  = $this->createUserWithPermission('core.users.view');
        $client = $this->authenticatedClient($creds['username'], $creds['password']);
        $client->request('GET', self::EXPORT_URL);
        self::assertResponseStatusCodeSame(403);
    }
    public function testUnauthorizedWhenAnonymous(): void
    {
        $client = self::createClient();
        $client->request('GET', self::EXPORT_URL);
        self::assertResponseStatusCodeSame(401);
    }
    /**
     * Relit le binaire XLSX d'une reponse et renvoie la grille de cellules.
     *
     * @return array<int, array<int, mixed>>
     */
    private function gridFromResponse(string $binary): array
    {
        $tmp = tempnam(sys_get_temp_dir(), 'xlsx_export_test_');
        self::assertIsString($tmp);
        file_put_contents($tmp, $binary);
        try {
            return IOFactory::load($tmp)->getActiveSheet()->toArray();
        } finally {
            @unlink($tmp);
        }
    }
    /**
     * Extrait la colonne « Nom entreprise » (1re colonne) des lignes de donnees.
     *
     * @return list<string>
     */
    private function companyNames(string $binary): array
    {
        $grid = $this->gridFromResponse($binary);
        $rows = array_slice($grid, 1); // saute l'en-tete
        return array_values(array_map(static fn (array $row): string => (string) ($row[0] ?? ''), $rows));
    }
    /**
     * Aplatit toute la grille en une chaine, pour les assertions de presence.
     *
     * @param array<int, array<int, mixed>> $grid
     */
    private function flatten(array $grid): string
    {
        return implode('|', array_map(
            static fn (array $row): string => implode('|', array_map(static fn ($cell): string => (string) $cell, $row)),
            $grid,
        ));
    }
 }
@@ -0,0 +1,84 @@
 <?php
 declare(strict_types=1);
 namespace App\Tests\Module\Commercial\Api;
 use App\Module\Commercial\Domain\Entity\Client as ClientEntity;
 /**
 * Tests fonctionnels du formulaire principal — combler les trous (ERP-60).
 *
 * RG-1.01 (prenom OU nom obligatoire) et RG-1.03 (distributor/broker exclusifs
 * + type de categorie) sont DEJA couverts par ClientApiTest (ERP-55) : on ne les
 * reduplique pas ici. Ce fichier ne couvre que RG-1.02 (telephone secondaire),
 * non encore testee.
 *
 * @internal
 */
 final class ClientFormulaireMainTest extends AbstractCommercialApiTestCase
 {
    private const string LD = 'application/ld+json';
    /**
     * RG-1.02 : le telephone secondaire est optionnel mais persiste (2 colonnes
     * distinctes). Verifie aussi la normalisation chiffres-seuls (RG-1.20) sur
     * la colonne secondaire.
     */
    public function testPostPersistsSecondaryPhoneNormalized(): void
    {
        $client = $this->createAdminClient();
        $cat    = $this->createCategory('SECTEUR');
        $data = $client->request('POST', '/api/clients', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'companyName'    => 'Two Phones SARL',
                'firstName'      => 'A',
                'phonePrimary'   => '06.12.34.56.78',
                'phoneSecondary' => '05 49 00 11 22',
                'email'          => 'twophones@test.fr',
                'categories'     => ['/api/categories/'.$cat->getId()],
            ],
        ])->toArray();
        self::assertResponseStatusCodeSame(201);
        self::assertSame('0612345678', $data['phonePrimary']);
        self::assertSame('0549001122', $data['phoneSecondary']);
    }
    /**
     * RG-1.02 : maximum 2 telephones — le modele n'expose que phonePrimary et
     * phoneSecondary. Un eventuel 3e champ envoye par un appel API direct est
     * ignore (aucune 3e colonne), il ne peut donc pas creer un troisieme numero.
     */
    public function testThirdPhoneFieldIsIgnored(): void
    {
        $client = $this->createAdminClient();
        $cat    = $this->createCategory('SECTEUR');
        $data = $client->request('POST', '/api/clients', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'companyName'    => 'Third Phone SARL',
                'firstName'      => 'A',
                'phonePrimary'   => '0612345678',
                'phoneSecondary' => '0549001122',
                'phoneTertiary'  => '0700000000',
                'email'          => 'thirdphone@test.fr',
                'categories'     => ['/api/categories/'.$cat->getId()],
            ],
        ])->toArray();
        self::assertResponseStatusCodeSame(201);
        // Le champ inconnu est ignore par le denormaliseur : il n'apparait pas
        // dans la representation et n'a pas ete persiste.
        self::assertArrayNotHasKey('phoneTertiary', $data);
        // Confirmation cote base : seules les 2 colonnes telephone existent.
        $persisted = $this->getEm()->getRepository(ClientEntity::class)->find($data['id']);
        self::assertNotNull($persisted);
        self::assertSame('0612345678', $persisted->getPhonePrimary());
        self::assertSame('0549001122', $persisted->getPhoneSecondary());
    }
 }
@@ -0,0 +1,67 @@
 <?php
 declare(strict_types=1);
 namespace App\Tests\Module\Commercial\Api;
 /**
 * Tests de structure / migration M1 (ERP-60).
 *
 * Verifie la decision Q4 (29/05/2026) au niveau du schema Postgres :
 *  - l'unique index partiel fonctionnel uq_client_company_name_active existe
 *    (un seul, sur LOWER(company_name), partiel sur les actifs non archives /
 *    non supprimes) — seule unicite metier conservee (RG-1.16) ;
 *  - les anciens index uq_client_siren_active (RG-1.15) et uq_client_email_active
 *    (RG-1.17) ont ete supprimes / ne sont jamais crees.
 *
 * @internal
 */
 final class ClientMigrationTest extends AbstractCommercialApiTestCase
 {
    public function testCompanyNameActivePartialIndexExistsExactlyOnce(): void
    {
        $rows = $this->clientIndexes();
        $companyNameIndexes = array_filter(
            $rows,
            static fn (array $r): bool => 'uq_client_company_name_active' === $r['indexname'],
        );
        self::assertCount(
            1,
            $companyNameIndexes,
            'Il doit exister exactement UN index uq_client_company_name_active.',
        );
        // Confirme la nature fonctionnelle (LOWER) + partielle (WHERE) de l'index.
        // Postgres serialise l'expression sous la forme `lower((company_name)::text)`,
        // d'ou des verifications de sous-chaines distinctes.
        $def = strtolower((string) array_values($companyNameIndexes)[0]['indexdef']);
        self::assertStringContainsString('unique', $def);
        self::assertStringContainsString('lower', $def);
        self::assertStringContainsString('company_name', $def);
        self::assertStringContainsString('where', $def, 'L\'index doit etre partiel (clause WHERE sur les actifs).');
    }
    public function testNoSirenOrEmailUniqueIndex(): void
    {
        $names = array_map(static fn (array $r): string => $r['indexname'], $this->clientIndexes());
        // RG-1.15 / RG-1.17 supprimees (Q4) : aucun index unique siren / email.
        self::assertNotContains('uq_client_siren_active', $names);
        self::assertNotContains('uq_client_email_active', $names);
    }
    /**
     * @return list<array{indexname: string, indexdef: string}>
     */
    private function clientIndexes(): array
    {
        self::bootKernel();
        /** @var list<array{indexname: string, indexdef: string}> $rows */
        return $this->getEm()->getConnection()->fetchAllAssociative(
            "SELECT indexname, indexdef FROM pg_indexes WHERE schemaname = 'public' AND tablename = 'client'",
        );
    }
 }
@@ -0,0 +1,52 @@
 <?php
 declare(strict_types=1);
 namespace App\Tests\Module\Commercial\Api;
 use App\Module\Commercial\Domain\Entity\Client as ClientEntity;
 /**
 * Test fonctionnel du mode strict PATCH multi-groupes (RG-1.28) — ERP-60.
 *
 * Le cas est deja couvert en unitaire (ClientProcessorTest) ; on en ajoute la
 * preuve fonctionnelle HTTP, SANS dependre d'un role metier : un utilisateur
 * portant `commercial.clients.manage` mais PAS `commercial.clients.accounting.manage`
 * qui envoie un PATCH melant un champ principal (companyName) et un champ
 * comptable (siren) recoit un 403 sur l'ENSEMBLE du payload — aucun champ n'est
 * applique (pas de filtrage silencieux).
 *
 * ⚠ La matrice differenciee par role metier (Bureau / Compta / Commerciale) est
 * DELEGUEE a ERP-74 (#493). Ici on n'utilise qu'un user mono-permission.
 *
 * @internal
 */
 final class ClientPatchStrictTest extends AbstractCommercialApiTestCase
 {
    private const string MERGE = 'application/merge-patch+json';
    public function testMixedGroupsPatchWithoutAccountingPermissionIsForbidden(): void
    {
        $seed        = $this->seedClient('Strict Mix');
        $credentials = $this->createUserWithPermission('commercial.clients.manage');
        $client      = $this->authenticatedClient($credentials['username'], $credentials['password']);
        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => [
                'companyName' => 'Renamed Strict',
                'siren'       => '123456789',
            ],
        ]);
        // RG-1.28 : 403 strict (le champ comptable siren exige accounting.manage).
        self::assertResponseStatusCodeSame(403);
        // Aucun champ applique : le companyName d'origine est intact.
        $em = $this->getEm();
        $em->clear();
        $reloaded = $em->getRepository(ClientEntity::class)->find($seed->getId());
        self::assertNotNull($reloaded);
        self::assertSame('STRICT MIX', $reloaded->getCompanyName());
    }
 }
@@ -0,0 +1,299 @@
 <?php
 declare(strict_types=1);
 namespace App\Tests\Module\Commercial\Api;
 use ApiPlatform\Symfony\Bundle\Test\Client;
 use App\Module\Core\Infrastructure\DataFixtures\RbacDemoFixtures;
 use Symfony\Bundle\FrameworkBundle\Console\Application;
 use Symfony\Component\Console\Input\ArrayInput;
 use Symfony\Component\Console\Output\NullOutput;
 /**
 * Matrice RBAC complete du repertoire clients par role metier (spec-back M1
 * § 2.7 + cahier ERP-74). Valide 200/403 par verbe et par onglet pour
 * bureau / compta / commerciale / usine, plus le durcissement RG-1.04
 * (Commerciale) au POST.
 *
 * Les comptes demo et la matrice sont seedes via la commande reelle
 * `app:seed-rbac --with-demo-users` (le MEME chemin qu'en recette), idempotente.
 * Pre-requis du run : `app:sync-permissions` a tourne (cf. make test-db-setup).
 *
 * @internal
 */
 final class ClientRBACMatrixTest extends AbstractCommercialApiTestCase
 {
    private const string LD    = 'application/ld+json';
    private const string MERGE = 'application/merge-patch+json';
    private const string PWD   = RbacDemoFixtures::DEMO_PASSWORD;
    protected function setUp(): void
    {
        parent::setUp();
        // Seed idempotent via la commande applicative (roles + matrice § 2.7 +
        // comptes demo). Exerce aussi le chemin de code prod.
        self::bootKernel();
        $application = new Application(self::$kernel);
        $application->setAutoExit(false);
        $exit = $application->run(
            new ArrayInput([
                'command'           => 'app:seed-rbac',
                '--with-demo-users' => true,
                '--password'        => self::PWD,
            ]),
            new NullOutput(),
        );
        self::assertSame(
            0,
            $exit,
            'app:seed-rbac a echoue : les permissions commercial.clients.* sont-elles synchronisees (app:sync-permissions) ?',
        );
        // Liberer le kernel pour que authenticatedClient()/createClient() reparte propre.
        self::ensureKernelShutdown();
    }
    public function testUsineIsForbiddenEverywhere(): void
    {
        $seed   = $this->seedClient('Usine Target');
        $client = $this->authAs('usine');
        // Aucune permission : 403 sur tous les verbes.
        $client->request('GET', '/api/clients', ['headers' => ['Accept' => self::LD]]);
        self::assertResponseStatusCodeSame(403);
        $client->request('GET', '/api/clients/'.$seed->getId(), ['headers' => ['Accept' => self::LD]]);
        self::assertResponseStatusCodeSame(403);
        $client->request('POST', '/api/clients', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => $this->validMainPayload('Usine Post'),
        ]);
        self::assertResponseStatusCodeSame(403);
        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['companyName' => 'Renamed By Usine'],
        ]);
        self::assertResponseStatusCodeSame(403);
    }
    public function testBureauHasViewAndManageButNoAccountingNoArchive(): void
    {
        $seed   = $this->seedClient('Bureau Target');
        $cat    = $this->createCategory('SECTEUR');
        $client = $this->authAs('bureau');
        // view
        $client->request('GET', '/api/clients', ['headers' => ['Accept' => self::LD]]);
        self::assertResponseStatusCodeSame(200);
        // manage : creation OK
        $client->request('POST', '/api/clients', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => $this->validMainPayload('Bureau Created', $cat->getId()),
        ]);
        self::assertResponseStatusCodeSame(201);
        // manage : edition onglet principal OK
        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['companyName' => 'Bureau Renamed'],
        ]);
        self::assertResponseStatusCodeSame(200);
        // PAS accounting : edition onglet Comptabilite refusee
        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['siren' => '123456789'],
        ]);
        self::assertResponseStatusCodeSame(403);
        // PAS archive : archivage refuse
        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['isArchived' => true],
        ]);
        self::assertResponseStatusCodeSame(403);
    }
    public function testComptaCanEditAccountingOnly(): void
    {
        $seed   = $this->seedClient('Compta Target');
        $client = $this->authAs('compta');
        // view
        $client->request('GET', '/api/clients', ['headers' => ['Accept' => self::LD]]);
        self::assertResponseStatusCodeSame(200);
        // PAS manage : creation refusee
        $client->request('POST', '/api/clients', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => $this->validMainPayload('Compta Post'),
        ]);
        self::assertResponseStatusCodeSame(403);
        // accounting.manage : edition onglet Comptabilite OK
        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['siren' => '123456789'],
        ]);
        self::assertResponseStatusCodeSame(200);
        // PAS manage : edition onglet principal refusee (guardManage)
        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['companyName' => 'Compta Renamed'],
        ]);
        self::assertResponseStatusCodeSame(403);
        // PAS manage : edition onglet Information refusee (guardManage)
        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['description' => 'Une description'],
        ]);
        self::assertResponseStatusCodeSame(403);
        // PAS archive : archivage refuse
        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['isArchived' => true],
        ]);
        self::assertResponseStatusCodeSame(403);
    }
    public function testCommercialeHasViewAndManageButNoAccountingNoArchive(): void
    {
        $seed   = $this->seedClient('Commerciale Target');
        $client = $this->authAs('commerciale');
        // view
        $client->request('GET', '/api/clients', ['headers' => ['Accept' => self::LD]]);
        self::assertResponseStatusCodeSame(200);
        // manage : la creation passe la security d'operation (pas un 403 comme
        // Compta) mais bute sur RG-1.04 (onglet Information incomplet) -> 422.
        // C'est la preuve que Commerciale porte `manage` (sinon 403).
        $client->request('POST', '/api/clients', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => $this->validMainPayload('Commerciale Post'),
        ]);
        self::assertResponseStatusCodeSame(422);
        // PAS accounting : edition onglet Comptabilite refusee
        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['siren' => '123456789'],
        ]);
        self::assertResponseStatusCodeSame(403);
        // PAS archive : archivage refuse
        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['isArchived' => true],
        ]);
        self::assertResponseStatusCodeSame(403);
    }
    public function testRG104CommercialePostIncompleteIs422AdminIs201(): void
    {
        $cat = $this->createCategory('SECTEUR');
        // RG-1.04 durcie : Commerciale POST sans onglet Information complet -> 422.
        $commerciale = $this->authAs('commerciale');
        $commerciale->request('POST', '/api/clients', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => $this->validMainPayload('RG104 Commerciale', $cat->getId()),
        ]);
        self::assertResponseStatusCodeSame(422);
        // Meme payload par un Admin (non gate par RG-1.04) -> 201.
        $admin = $this->createAdminClient();
        $admin->request('POST', '/api/clients', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => $this->validMainPayload('RG104 Admin', $cat->getId()),
        ]);
        self::assertResponseStatusCodeSame(201);
    }
    public function testComptaFullRepresentationPatchWithUnchangedCategoriesIsNotForbidden(): void
    {
        // FIX review MR #40 : un Compta (accounting.manage, PAS manage) faisant un
        // PATCH representation complete de l'onglet Comptabilite et reincluant ses
        // categories INCHANGEES ne doit PAS prendre de 403. guardManage compare
        // desormais les categories par valeur (et non par simple presence) : seul
        // l'onglet Comptabilite change ici -> 200.
        $seed     = $this->seedClient('Compta Cat Unchanged');
        $category = $seed->getCategories()->first();
        self::assertNotFalse($category);
        $catId  = $category->getId();
        $client = $this->authAs('compta');
        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => [
                'siren'      => '123456789',
                'categories' => ['/api/categories/'.$catId],
            ],
        ]);
        self::assertResponseStatusCodeSame(200);
    }
    public function testComptaChangingCategoriesIsForbidden(): void
    {
        // Non-regression : si le Compta change REELLEMENT l'ensemble des
        // categories (sans manage) -> 403 via guardManage. La comparaison par
        // valeur detecte bien le changement.
        $seed   = $this->seedClient('Compta Cat Change');
        $newCat = $this->createCategory('SECTEUR');
        $client = $this->authAs('compta');
        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['categories' => ['/api/categories/'.$newCat->getId()]],
        ]);
        self::assertResponseStatusCodeSame(403);
    }
    public function testBureauChangingCategoriesIsAllowed(): void
    {
        // Non-regression : un role porteur de `manage` (Bureau) peut changer les
        // categories -> 200.
        $seed   = $this->seedClient('Bureau Cat Change');
        $newCat = $this->createCategory('SECTEUR');
        $client = $this->authAs('bureau');
        $client->request('PATCH', '/api/clients/'.$seed->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['categories' => ['/api/categories/'.$newCat->getId()]],
        ]);
        self::assertResponseStatusCodeSame(200);
    }
    private function authAs(string $role): Client
    {
        return $this->authenticatedClient($role, self::PWD);
    }
    /**
     * Payload minimal valide de l'onglet principal (RG-1.01 : un nom de contact ;
     * une categorie SECTEUR). Si $categoryId est null, une categorie est creee a
     * la volee.
     *
     * @return array<string, mixed>
     */
    private function validMainPayload(string $companyName, ?int $categoryId = null): array
    {
        $categoryId ??= $this->createCategory('SECTEUR')->getId();
        return [
            'companyName'  => $companyName,
            'firstName'    => 'Jean',
            'phonePrimary' => '0612345678',
            'email'        => strtolower(str_replace(' ', '', $companyName)).'@matrix.test',
            'categories'   => ['/api/categories/'.$categoryId],
        ];
    }
 }
@@ -0,0 +1,57 @@
 <?php
 declare(strict_types=1);
 namespace App\Tests\Module\Commercial\Api;
 /**
 * Tests de securite GENERIQUE de /api/clients (ERP-60).
 *
 * Couvre les garde-fous non dependants des roles metier :
 *  - 401 si requete anonyme (firewall JWT) ;
 *  - 403 si l'utilisateur authentifie ne porte pas `commercial.clients.view`.
 *
 * ⚠ La matrice RBAC differenciee par role metier (bureau / compta / commerciale
 * / usine) et le test fonctionnel RG-1.04 sont DELEGUES a ERP-74 (#493) : ils
 * exigent les roles seedes apres le merge de la stack. NE PAS les ajouter ici.
 *
 * @internal
 */
 final class ClientSecurityTest extends AbstractCommercialApiTestCase
 {
    private const string LD = 'application/ld+json';
    public function testAnonymousGetCollectionReturns401(): void
    {
        $client = self::createClient();
        $client->request('GET', '/api/clients', ['headers' => ['Accept' => self::LD]]);
        self::assertResponseStatusCodeSame(401);
    }
    public function testAnonymousGetItemReturns401(): void
    {
        $seed   = $this->seedClient('Anon Item');
        $client = self::createClient();
        $client->request('GET', '/api/clients/'.$seed->getId(), ['headers' => ['Accept' => self::LD]]);
        self::assertResponseStatusCodeSame(401);
    }
    public function testForbiddenWithoutClientsViewPermission(): void
    {
        // User authentifie portant une permission SANS rapport avec les clients.
        $seed        = $this->seedClient('Forbidden Target');
        $credentials = $this->createUserWithPermission('core.users.view');
        $client      = $this->authenticatedClient($credentials['username'], $credentials['password']);
        // Collection.
        $client->request('GET', '/api/clients', ['headers' => ['Accept' => self::LD]]);
        self::assertResponseStatusCodeSame(403);
        // Detail.
        $client->request('GET', '/api/clients/'.$seed->getId(), ['headers' => ['Accept' => self::LD]]);
        self::assertResponseStatusCodeSame(403);
    }
 }
@@ -0,0 +1,320 @@
 <?php
 declare(strict_types=1);
 namespace App\Tests\Module\Commercial\Api;
 use App\Module\Commercial\Domain\Entity\Client as ClientEntity;
 use App\Module\Commercial\Domain\Entity\ClientContact;
 use App\Module\Commercial\Domain\Entity\ClientRib;
 use App\Module\Commercial\Domain\Entity\PaymentType;
 use App\Module\Sites\Domain\Entity\Site;
 /**
 * Tests fonctionnels des sous-ressources Contacts / Adresses / RIB (ERP-57,
 * spec § 4.5). Couvrent : CRUD via admin, normalisation serveur
 * (RG-1.19/1.20/1.21), validations (Assert\Count sites RG-1.10, Assert\Iban/Bic),
 * regles metier RG-1.13 (DELETE dernier RIB sous LCR -> 409) et RG-1.14 (DELETE
 * dernier contact -> 409), plus le gating comptable (POST/PATCH/DELETE de
 * client_ribs sans accounting.manage -> 403).
 *
 * @internal
 */
 final class ClientSubResourceApiTest extends AbstractCommercialApiTestCase
 {
    private const string LD         = 'application/ld+json';
    private const string MERGE      = 'application/merge-patch+json';
    private const string VALID_IBAN = 'FR1420041010050500013M02606';
    private const string VALID_BIC  = 'BNPAFRPPXXX';
    // === Contacts ===
    public function testPostContactNormalizesFields(): void
    {
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Contact Host');
        $data = $client->request('POST', '/api/clients/'.$seed->getId().'/contacts', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'firstName'    => 'JEAN',
                'lastName'     => 'dupont',
                'phonePrimary' => '06.12.34.56.78',
                'email'        => 'Jean.DUPONT@ACME.FR',
            ],
        ])->toArray();
        self::assertResponseStatusCodeSame(201);
        // RG-1.19 / 1.20 / 1.21
        self::assertSame('Jean', $data['firstName']);
        self::assertSame('Dupont', $data['lastName']);
        self::assertSame('0612345678', $data['phonePrimary']);
        self::assertSame('jean.dupont@acme.fr', $data['email']);
    }
    public function testPostContactWithoutNameReturns422(): void
    {
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Contact No Name');
        $client->request('POST', '/api/clients/'.$seed->getId().'/contacts', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => ['jobTitle' => 'Directeur'],
        ]);
        // RG-1.05
        self::assertResponseStatusCodeSame(422);
    }
    public function testPatchContactNormalizes(): void
    {
        $client  = $this->createAdminClient();
        $seed    = $this->seedClient('Contact Patch');
        $contact = $this->seedContact($seed, 'Paul');
        $data = $client->request('PATCH', '/api/client_contacts/'.$contact->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['lastName' => 'martin'],
        ])->toArray();
        self::assertResponseStatusCodeSame(200);
        self::assertSame('Martin', $data['lastName']);
    }
    public function testDeleteContactWhenSeveralReturns204(): void
    {
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Contact Multi');
        $this->seedContact($seed, 'Premier');
        $second = $this->seedContact($seed, 'Second');
        $client->request('DELETE', '/api/client_contacts/'.$second->getId());
        self::assertResponseStatusCodeSame(204);
    }
    public function testDeleteLastContactReturns409(): void
    {
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Contact Solo');
        $only   = $this->seedContact($seed, 'Unique');
        $client->request('DELETE', '/api/client_contacts/'.$only->getId());
        // RG-1.14
        self::assertResponseStatusCodeSame(409);
    }
    // === Adresses ===
    public function testPostAddressNormalizesBillingEmail(): void
    {
        $this->skipIfSitesModuleDisabled();
        $client  = $this->createAdminClient();
        $seed    = $this->seedClient('Address Host');
        $siteIri = $this->firstSiteIri();
        $data = $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'isBilling'    => true,
                'billingEmail' => 'Facturation@ACME.FR',
                'postalCode'   => '86100',
                'city'         => 'Châtellerault',
                'street'       => '1 rue du Test',
                'sites'        => [$siteIri],
            ],
        ])->toArray();
        self::assertResponseStatusCodeSame(201);
        // RG-1.21
        self::assertSame('facturation@acme.fr', $data['billingEmail']);
    }
    public function testPostAddressWithoutSiteReturns422(): void
    {
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Address No Site');
        $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'postalCode' => '86100',
                'city'       => 'Châtellerault',
                'street'     => '1 rue du Test',
                'sites'      => [],
            ],
        ]);
        // RG-1.10 (Assert\Count min 1)
        self::assertResponseStatusCodeSame(422);
    }
    public function testPostAddressWithInvalidPostalCodeReturns422(): void
    {
        $this->skipIfSitesModuleDisabled();
        $client  = $this->createAdminClient();
        $seed    = $this->seedClient('Address Bad CP');
        $siteIri = $this->firstSiteIri();
        $client->request('POST', '/api/clients/'.$seed->getId().'/addresses', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'postalCode' => '123',
                'city'       => 'Châtellerault',
                'street'     => '1 rue du Test',
                'sites'      => [$siteIri],
            ],
        ]);
        // RG-1.09 (Assert\Regex ^[0-9]{4,5}$)
        self::assertResponseStatusCodeSame(422);
    }
    // === RIBs ===
    public function testPostRibByAdminReturns201(): void
    {
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Rib Host');
        $data = $client->request('POST', '/api/clients/'.$seed->getId().'/ribs', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'label' => 'Compte principal',
                'bic'   => self::VALID_BIC,
                'iban'  => self::VALID_IBAN,
            ],
        ])->toArray();
        self::assertResponseStatusCodeSame(201);
        self::assertSame('Compte principal', $data['label']);
    }
    public function testPostRibWithInvalidIbanReturns422(): void
    {
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Rib Bad Iban');
        $client->request('POST', '/api/clients/'.$seed->getId().'/ribs', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => [
                'label' => 'Compte invalide',
                'bic'   => self::VALID_BIC,
                'iban'  => 'INVALID-IBAN',
            ],
        ]);
        // Assert\Iban
        self::assertResponseStatusCodeSame(422);
    }
    public function testDeleteRibNonLcrReturns204(): void
    {
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Rib Non LCR');
        $rib    = $this->seedRib($seed);
        $client->request('DELETE', '/api/client_ribs/'.$rib->getId());
        self::assertResponseStatusCodeSame(204);
    }
    public function testDeleteLastRibUnderLcrReturns409(): void
    {
        $client = $this->createAdminClient();
        $seed   = $this->seedClient('Rib LCR Solo');
        $this->setPaymentType($seed, 'LCR');
        $rib = $this->seedRib($seed);
        $client->request('DELETE', '/api/client_ribs/'.$rib->getId());
        // RG-1.13
        self::assertResponseStatusCodeSame(409);
    }
    public function testRibWriteWithoutAccountingManageReturns403(): void
    {
        // Un utilisateur portant seulement commercial.clients.manage (sans
        // accounting.manage) ne peut ni creer, ni modifier, ni supprimer un RIB.
        $seed        = $this->seedClient('Rib Forbidden');
        $rib         = $this->seedRib($seed);
        $credentials = $this->createUserWithPermission('commercial.clients.manage');
        $client      = $this->authenticatedClient($credentials['username'], $credentials['password']);
        $client->request('POST', '/api/clients/'.$seed->getId().'/ribs', [
            'headers' => ['Content-Type' => self::LD],
            'json'    => ['label' => 'X', 'bic' => self::VALID_BIC, 'iban' => self::VALID_IBAN],
        ]);
        self::assertResponseStatusCodeSame(403);
        $client->request('PATCH', '/api/client_ribs/'.$rib->getId(), [
            'headers' => ['Content-Type' => self::MERGE],
            'json'    => ['label' => 'Y'],
        ]);
        self::assertResponseStatusCodeSame(403);
        $client->request('DELETE', '/api/client_ribs/'.$rib->getId());
        self::assertResponseStatusCodeSame(403);
    }
    // === Helpers ===
    /**
     * Seede un ClientContact rattache a un client (sans passer par l'API).
     */
    private function seedContact(ClientEntity $client, string $firstName): ClientContact
    {
        $em      = $this->getEm();
        $contact = new ClientContact();
        $contact->setFirstName($firstName);
        $contact->setClient($client);
        $em->persist($contact);
        $em->flush();
        return $contact;
    }
    /**
     * Seede un ClientRib valide rattache a un client (sans passer par l'API).
     */
    private function seedRib(ClientEntity $client): ClientRib
    {
        $em  = $this->getEm();
        $rib = new ClientRib();
        $rib->setLabel('Seed RIB');
        $rib->setBic(self::VALID_BIC);
        $rib->setIban(self::VALID_IBAN);
        $rib->setClient($client);
        $em->persist($rib);
        $em->flush();
        return $rib;
    }
    /**
     * Affecte un type de reglement (par code) au client seede.
     */
    private function setPaymentType(ClientEntity $client, string $code): void
    {
        $em   = $this->getEm();
        $type = $em->getRepository(PaymentType::class)->findOneBy(['code' => $code]);
        self::assertNotNull($type, sprintf('PaymentType "%s" introuvable (fixtures).', $code));
        $managed = $em->getRepository(ClientEntity::class)->find($client->getId());
        $managed->setPaymentType($type);
        $em->flush();
    }
    /**
     * Retourne l'IRI du premier site seede (fixtures Sites). Skip en amont si le
     * module Sites est desactive.
     */
    private function firstSiteIri(): string
    {
        $site = $this->getEm()->getRepository(Site::class)->findOneBy([]);
        self::assertNotNull($site, 'Aucun site seede : impossible de tester les adresses.');
        return '/api/sites/'.$site->getId();
    }
 }
@@ -0,0 +1,73 @@
 <?php
 declare(strict_types=1);
 namespace App\Tests\Module\Commercial\Api;
 use App\Module\Commercial\Domain\Entity\Client as ClientEntity;
 /**
 * Tests d'unicite — combler les trous (ERP-60).
 *
 * RG-1.16 (doublon de companyName parmi les actifs -> 409) est DEJA couvert par
 * ClientApiTest::testPostDuplicateCompanyNameReturns409 (ERP-55). Ce fichier
 * verifie l'envers de la decision Q4 (29/05/2026) : le SIREN (RG-1.15 supprimee)
 * et l'email (RG-1.17 supprimee) NE SONT PLUS contraints uniques.
 *
 * @internal
 */
 final class ClientUniquenessTest extends AbstractCommercialApiTestCase
 {
    private const string LD = 'application/ld+json';
    /**
     * RG-1.16 / RG-1.17 (Q4) : deux clients actifs peuvent partager le meme
     * email principal — aucune contrainte d'unicite (un email peut servir
     * plusieurs clients).
     */
    public function testDuplicateEmailIsAllowed(): void
    {
        $client = $this->createAdminClient();
        $cat    = $this->createCategory('SECTEUR');
        $iri    = '/api/categories/'.$cat->getId();
        $payload = static fn (string $name): array => [
            'companyName'  => $name,
            'firstName'    => 'A',
            'phonePrimary' => '0102030405',
            'email'        => 'partage@test.fr',
            'categories'   => [$iri],
        ];
        $client->request('POST', '/api/clients', ['headers' => ['Content-Type' => self::LD], 'json' => $payload('Email Share One')]);
        self::assertResponseStatusCodeSame(201);
        // Meme email, nom different -> doit passer (pas d'index unique email).
        $client->request('POST', '/api/clients', ['headers' => ['Content-Type' => self::LD], 'json' => $payload('Email Share Two')]);
        self::assertResponseStatusCodeSame(201);
    }
    /**
     * RG-1.15 (Q4) : deux clients peuvent partager le meme SIREN (etablissements
     * multiples). Le SIREN n'est pas ecrivable au POST (groupe accounting), on
     * seede donc directement via l'ORM et on prouve que le flush ne leve aucune
     * violation d'unicite.
     */
    public function testDuplicateSirenIsAllowed(): void
    {
        // Boot kernel pour disposer de l'EM (pas d'appel HTTP necessaire ici).
        self::bootKernel();
        $em = $this->getEm();
        $one = $this->seedClient('Siren Share One');
        $two = $this->seedClient('Siren Share Two');
        $one->setSiren('123456789');
        $two->setSiren('123456789');
        $em->flush();
        // Aucune exception : preuve qu'il n'existe pas d'index unique sur siren.
        self::assertSame('123456789', $em->getRepository(ClientEntity::class)->find($one->getId())->getSiren());
        self::assertSame('123456789', $em->getRepository(ClientEntity::class)->find($two->getId())->getSiren());
    }
 }
@@ -0,0 +1,253 @@
 <?php
 declare(strict_types=1);
 namespace App\Tests\Module\Commercial\Api;
 use App\Module\Commercial\Domain\Entity\TvaMode;
 use PHPUnit\Framework\Attributes\DataProvider;
 /**
 * Tests fonctionnels des 4 referentiels comptables lecture seule (ERP-56) :
 * tva_mode, payment_delay, payment_type, bank. Cf. spec-back M1 § 4.7.
 *
 * Couvre les criteres d'acceptation du ticket :
 *  - les 4 GetCollection repondent 200 avec le seed (CommercialReferentialFixtures) ;
 *  - tri par defaut position ASC puis label ASC ;
 *  - POST / PATCH / DELETE -> 405 (aucune operation d'ecriture declaree) ;
 *  - user authentifie sans commercial.clients.view -> 403 ;
 *  - anonyme -> 401 ;
 *  - pagination serveur active (ERP-72) + echappatoire ?pagination=false.
 *
 * @internal
 */
 final class ReferentialApiTest extends AbstractCommercialApiTestCase
 {
    private const string LD = 'application/ld+json';
    /**
     * Endpoint => codes attendus dans le seed (sous-ensemble verifie present).
     *
     * @var array<string, list<string>>
     */
    private const SEED = [
        '/api/tva_modes'      => ['FRANCE_VENTES', 'EXPORT_VENTES', 'INTRACOM_VENTES'],
        '/api/payment_delays' => ['J15', 'J30', 'A_RECEPTION'],
        '/api/payment_types'  => ['VIREMENT', 'LCR', 'NON_SOUMISE', 'CHEQUE'],
        '/api/banks'          => ['SG', 'CIC', 'CA'],
    ];
    /**
     * Purge les eventuelles lignes de test inserees dans tva_mode (tri label).
     * Les codes du seed ne commencent jamais par TEST_, donc cette purge ne
     * touche pas les referentiels metier.
     */
    protected function tearDown(): void
    {
        $this->getEm()
            ->createQuery('DELETE FROM '.TvaMode::class.' t WHERE t.code LIKE :prefix')
            ->setParameter('prefix', 'TEST\_%')
            ->execute()
        ;
        parent::tearDown();
    }
    /**
     * Critere : chaque endpoint repond 200 et expose le seed (id, code, label,
     * position) sous le groupe de lecture du referentiel.
     *
     * @param list<string> $expectedCodes
     */
    #[DataProvider('endpointProvider')]
    public function testCollectionReturns200WithSeed(string $endpoint, array $expectedCodes): void
    {
        $client   = $this->createAdminClient();
        $response = $client->request('GET', $endpoint.'?pagination=false', ['headers' => ['Accept' => self::LD]]);
        self::assertResponseStatusCodeSame(200);
        $members = $response->toArray()['member'];
        $codes   = array_map(static fn (array $m): string => $m['code'], $members);
        foreach ($expectedCodes as $expected) {
            self::assertContains($expected, $codes, $endpoint.' doit exposer le code seede '.$expected);
        }
        // Le DTO de lecture expose bien id / code / label / position.
        $first = $members[0];
        self::assertArrayHasKey('id', $first);
        self::assertArrayHasKey('label', $first);
        self::assertArrayHasKey('position', $first);
    }
    /**
     * Critere : GET item repond 200 (recupere via un id reel de la collection).
     */
    public function testGetItemReturns200(): void
    {
        $client = $this->createAdminClient();
        $first = $client->request('GET', '/api/tva_modes?pagination=false', ['headers' => ['Accept' => self::LD]])
            ->toArray()['member'][0]
        ;
        $client->request('GET', '/api/tva_modes/'.$first['id'], ['headers' => ['Accept' => self::LD]]);
        self::assertResponseStatusCodeSame(200);
    }
    /**
     * Critere : tri par defaut position ASC. Le seed tva_mode est ordonne
     * FRANCE_VENTES (10) < EXPORT_VENTES (20) < INTRACOM_VENTES (30).
     */
    public function testDefaultSortByPositionAsc(): void
    {
        $client = $this->createAdminClient();
        $codes = array_map(
            static fn (array $m): string => $m['code'],
            $client->request('GET', '/api/tva_modes?pagination=false', ['headers' => ['Accept' => self::LD]])->toArray()['member'],
        );
        $expectedOrder = ['FRANCE_VENTES', 'EXPORT_VENTES', 'INTRACOM_VENTES'];
        $filtered      = array_values(array_intersect($codes, $expectedOrder));
        self::assertSame(
            $expectedOrder,
            $filtered,
            'Les modes de TVA doivent etre tries position ASC (§ 4.7).',
        );
    }
    /**
     * Critere : a position egale, tri label ASC (departage). On insere deux
     * lignes de test partageant la meme position, labels volontairement dans le
     * desordre alphabetique ; le tearDown les purge ensuite.
     */
    public function testTieBreakSortByLabelAsc(): void
    {
        $em = $this->getEm();
        foreach ([['TEST_TIE_Z', 'ZZZ Tie'], ['TEST_TIE_A', 'AAA Tie']] as [$code, $label]) {
            $mode = new TvaMode();
            $mode->setCode($code);
            $mode->setLabel($label);
            $mode->setPosition(9000);
            $em->persist($mode);
        }
        $em->flush();
        $client = $this->createAdminClient();
        $codes  = array_map(
            static fn (array $m): string => $m['code'],
            $client->request('GET', '/api/tva_modes?pagination=false', ['headers' => ['Accept' => self::LD]])->toArray()['member'],
        );
        $tie = array_values(array_intersect($codes, ['TEST_TIE_A', 'TEST_TIE_Z']));
        self::assertSame(
            ['TEST_TIE_A', 'TEST_TIE_Z'],
            $tie,
            'A position egale, le tri secondaire doit etre label ASC (§ 4.7).',
        );
    }
    /**
     * Critere ERP-72 : la collection est paginee par defaut. Preuve : une page
     * au-dela des donnees est vide (un provider non pagine ignorerait `page`).
     * Avec ?pagination=false, le parametre `page` est ignore -> tout revient.
     */
    public function testPaginationActiveAndClientToggle(): void
    {
        $client = $this->createAdminClient();
        // Page 2 d'un referentiel tenant sur une page : vide -> pagination active.
        $page2 = $client->request('GET', '/api/tva_modes?page=2', ['headers' => ['Accept' => self::LD]])->toArray();
        self::assertArrayHasKey('totalItems', $page2);
        self::assertSame([], $page2['member'], 'La page 2 doit etre vide : pagination serveur active.');
        // ?pagination=false : `page` ignore, le seed complet est renvoye.
        $all = $client->request('GET', '/api/tva_modes?pagination=false&page=2', ['headers' => ['Accept' => self::LD]])->toArray();
        self::assertNotEmpty($all['member'], '?pagination=false doit desactiver la pagination (page ignoree).');
    }
    /**
     * Critere : aucune operation d'ecriture n'est declaree -> POST sur la
     * collection renvoie 405 Method Not Allowed sur les 4 referentiels.
     *
     * @param list<string> $expectedCodes
     */
    #[DataProvider('endpointProvider')]
    public function testPostReturns405(string $endpoint, array $expectedCodes): void
    {
        $client = $this->createAdminClient();
        $client->request('POST', $endpoint, [
            'headers' => ['Content-Type' => self::LD],
            'json'    => ['code' => 'X', 'label' => 'X', 'position' => 1],
        ]);
        self::assertResponseStatusCodeSame(405);
    }
    /**
     * Critere : PATCH et DELETE sur un item renvoient 405 (lecture seule).
     */
    public function testPatchAndDeleteReturn405(): void
    {
        $client = $this->createAdminClient();
        $first  = $client->request('GET', '/api/tva_modes?pagination=false', ['headers' => ['Accept' => self::LD]])
            ->toArray()['member'][0]
        ;
        $iri = '/api/tva_modes/'.$first['id'];
        $client->request('PATCH', $iri, [
            'headers' => ['Content-Type' => 'application/merge-patch+json'],
            'json'    => ['label' => 'Renamed'],
        ]);
        self::assertResponseStatusCodeSame(405);
        $client->request('DELETE', $iri);
        self::assertResponseStatusCodeSame(405);
    }
    /**
     * Critere : un utilisateur authentifie sans la permission
     * commercial.clients.view obtient 403 sur les 4 endpoints.
     *
     * @param list<string> $expectedCodes
     */
    #[DataProvider('endpointProvider')]
    public function testForbiddenWithoutPermission(string $endpoint, array $expectedCodes): void
    {
        // User jetable portant une permission SANS rapport (existe en base mais
        // ne donne pas commercial.clients.view).
        $creds  = $this->createUserWithPermission('core.users.view');
        $client = $this->authenticatedClient($creds['username'], $creds['password']);
        $client->request('GET', $endpoint, ['headers' => ['Accept' => self::LD]]);
        self::assertResponseStatusCodeSame(403);
    }
    /**
     * Critere : un appel anonyme (non authentifie) obtient 401 sur les 4
     * endpoints.
     *
     * @param list<string> $expectedCodes
     */
    #[DataProvider('endpointProvider')]
    public function testUnauthorizedWhenAnonymous(string $endpoint, array $expectedCodes): void
    {
        $client = self::createClient();
        $client->request('GET', $endpoint, ['headers' => ['Accept' => self::LD]]);
        self::assertResponseStatusCodeSame(401);
    }
    /**
     * @return iterable<string, array{string, list<string>}>
     */
    public static function endpointProvider(): iterable
    {
        foreach (self::SEED as $endpoint => $codes) {
            yield $endpoint => [$endpoint, $codes];
        }
    }
 }
@@ -134,7 +134,17 @@ final class ClientProcessorTest extends TestCase
                'isArchived'  => false,
            ],
            managed: true,
-            originalData: ['isArchived' => false],
+            // Etat persiste complet (valeurs normalisees) : sans les champs
            // metier, guardManage (ERP-74) les croirait modifies (companyName,
            // lastName... compares a null) et leverait un 403 parasite.
            originalData: [
                'companyName'   => 'TEST CO',
                'lastName'      => 'Dupont',
                'phonePrimary'  => '0102030405',
                'email'         => 't@test.fr',
                'triageService' => false,
                'isArchived'    => false,
            ],
        );
        self::assertInstanceOf(Client::class, $processor->process($client, $this->operation()));
@@ -153,8 +163,69 @@ final class ClientProcessorTest extends TestCase
            payload: ['companyName' => 'Test Co', 'siren' => '123456789'],
            managed: true,
            // getOriginalEntityData renvoie tous les champs mappes d'une entite
-            // geree : isArchived (non-null) y figure toujours.
+            // geree : isArchived (non-null) y figure toujours, ainsi que les
-            originalData: ['siren' => '123456789', 'isArchived' => false],
+            // champs metier (sinon guardManage les croirait modifies).
            originalData: [
                'siren'         => '123456789',
                'companyName'   => 'TEST CO',
                'lastName'      => 'Dupont',
                'phonePrimary'  => '0102030405',
                'email'         => 't@test.fr',
                'triageService' => false,
                'isArchived'    => false,
            ],
        );
        self::assertInstanceOf(Client::class, $processor->process($client, $this->operation()));
    }
    public function testBusinessFieldWithoutManagePermissionIsForbidden(): void
    {
        // ERP-74 (guardManage) : modifier un champ metier (companyName) sur un
        // client existant sans `manage` -> 403, meme avec accounting.manage
        // (cas Compta qui sort de son onglet).
        $client = $this->minimalClient();
        $client->setCompanyName('Renamed Co');
        $processor = $this->makeProcessor(
            granted: ['commercial.clients.accounting.manage'],
            payload: ['companyName' => 'Renamed Co'],
            managed: true,
            originalData: [
                'companyName'   => 'TEST CO',
                'lastName'      => 'Dupont',
                'phonePrimary'  => '0102030405',
                'email'         => 't@test.fr',
                'triageService' => false,
                'isArchived'    => false,
            ],
        );
        $this->expectException(AccessDeniedHttpException::class);
        $processor->process($client, $this->operation());
    }
    public function testAccountingOnlyPatchWithAccountingManageOnlyPasses(): void
    {
        // ERP-74 : Compta (accounting.manage, PAS manage) qui ne touche QUE
        // l'onglet Comptabilite d'un client existant -> 200. guardManage ne
        // declenche pas (aucun champ metier modifie), guardAccounting passe.
        $client = $this->minimalClient();
        $client->setSiren('999999999');
        $processor = $this->makeProcessor(
            granted: ['commercial.clients.accounting.manage'],
            payload: ['siren' => '999999999'],
            managed: true,
            originalData: [
                'siren'         => '111111111',
                'companyName'   => 'TEST CO',
                'lastName'      => 'Dupont',
                'phonePrimary'  => '0102030405',
                'email'         => 't@test.fr',
                'triageService' => false,
                'isArchived'    => false,
            ],
        );
        self::assertInstanceOf(Client::class, $processor->process($client, $this->operation()));
@@ -237,6 +308,34 @@ final class ClientProcessorTest extends TestCase
        $processor->process($client, $this->operation());
    }
    public function testCommercialeIncompleteInformationOnNonInformationPatchIsUnprocessable(): void
    {
        // RG-1.04 durcie (ERP-74) : pour une Commerciale, la completude de
        // l'onglet Information est exigee meme quand le payload ne touche PAS
        // l'onglet Information (ici seulement companyName). L'ancienne condition
        // d'intersection avec INFORMATION_FIELDS a ete retiree.
        $client = $this->minimalClient();
        $client->setCompanyName('Renamed Co'); // onglet principal uniquement, Information vide
        $processor = $this->makeProcessor(
            granted: ['commercial.clients.manage'],
            payload: ['companyName' => 'Renamed Co'],
            user: $this->commercialeUser(),
            managed: true,
            originalData: [
                'companyName'   => 'TEST CO',
                'lastName'      => 'Dupont',
                'phonePrimary'  => '0102030405',
                'email'         => 't@test.fr',
                'triageService' => false,
                'isArchived'    => false,
            ],
        );
        $this->expectException(ValidationException::class);
        $processor->process($client, $this->operation());
    }
    public function testNonCommercialeSkipsInformationCompleteness(): void
    {
        // Meme payload incomplet, mais user non-Commerciale -> aucun blocage.
@@ -0,0 +1,99 @@
 <?php
 declare(strict_types=1);
 namespace App\Tests\Shared\Infrastructure\Export;
 use App\Shared\Infrastructure\Export\PhpSpreadsheetExporter;
 use Generator;
 use PhpOffice\PhpSpreadsheet\IOFactory;
 use PhpOffice\PhpSpreadsheet\Spreadsheet;
 use PHPUnit\Framework\TestCase;
 /**
 * Test unitaire du service Shared d'export XLSX. Verifie que le binaire produit
 * est un vrai fichier XLSX relisible, que l'en-tete et les lignes sont ecrits
 * dans le bon ordre, qu'un iterable paresseux (generator) est accepte et que le
 * titre d'onglet est assaini.
 *
 * @internal
 */
 final class PhpSpreadsheetExporterTest extends TestCase
 {
    public function testExportProducesReadableXlsxWithHeadersAndRows(): void
    {
        $binary = new PhpSpreadsheetExporter()->export(
            'Feuille test',
            ['Nom', 'Email'],
            [
                ['Alpha', 'alpha@test.fr'],
                ['Beta', null],
            ],
        );
        self::assertNotSame('', $binary);
        // Un fichier XLSX (OOXML) est une archive ZIP : signature "PK\x03\x04".
        self::assertStringStartsWith("PK\x03\x04", $binary);
        $grid = $this->grid($binary);
        self::assertSame(['Nom', 'Email'], $grid[0]);
        self::assertSame('Alpha', $grid[1][0]);
        self::assertSame('alpha@test.fr', $grid[1][1]);
        self::assertSame('Beta', $grid[2][0]);
        // Cellule null a l'ecriture -> vide a la relecture.
        self::assertNull($grid[2][1]);
    }
    public function testExportAcceptsGeneratorRows(): void
    {
        $rows = (static function (): Generator {
            yield ['L1'];
            yield ['L2'];
        })();
        $grid = $this->grid(new PhpSpreadsheetExporter()->export('Gen', ['H'], $rows));
        self::assertSame('H', $grid[0][0]);
        self::assertSame('L1', $grid[1][0]);
        self::assertSame('L2', $grid[2][0]);
    }
    public function testLongOrInvalidSheetTitleIsSanitized(): void
    {
        // Titre > 31 caracteres + caracteres interdits par Excel ([ ] : * etc.).
        $binary = new PhpSpreadsheetExporter()->export(
            str_repeat('A', 50).'[]:*?/\\',
            ['H'],
            [['x']],
        );
        $title = $this->load($binary)->getActiveSheet()->getTitle();
        self::assertLessThanOrEqual(31, mb_strlen($title));
        self::assertStringNotContainsString('[', $title);
        self::assertStringNotContainsString(':', $title);
    }
    /**
     * Relit le binaire XLSX et renvoie la grille de cellules (ligne 0 = entete).
     *
     * @return array<int, array<int, mixed>>
     */
    private function grid(string $binary): array
    {
        return $this->load($binary)->getActiveSheet()->toArray();
    }
    private function load(string $binary): Spreadsheet
    {
        $tmp = tempnam(sys_get_temp_dir(), 'xlsx_test_');
        self::assertIsString($tmp);
        file_put_contents($tmp, $binary);
        try {
            return IOFactory::load($tmp);
        } finally {
            @unlink($tmp);
        }
    }
 }
Author	SHA1	Message	Date
gitea-actions	fa47517028	chore: bump version to v0.1.64 Auto Tag Develop / tag (push) Successful in 8s Details Build & Push Docker Image / build (push) Successful in 49s Details	2026-06-02 09:37:59 +00:00
tristan	402c83d40d	feat(front) : i18n + cles M1 repertoire clients (#43 ) Auto Tag Develop / tag (push) Successful in 10s Details ERP-61 (1.8) — Socle i18n du module M1 Repertoire clients. ## Perimetre - Ajout du sous-objet `commercial.clients` dans `frontend/i18n/locales/fr.json` : title, add, export, empty, column.* (6), tab.* (8), action.* (3), toast.* (5), validation.* (9 messages miroirs RG-1.04/1.10/1.11/1.12/1.13/1.14/1.20/1.21/1.29). - Item sidebar deja porte par le back (`config/sidebar.php`, route /clients, permission commercial.clients.view) — aucun code front en dur. Usine sans `view` => item masque automatiquement. - Cles existantes (sidebar.commercial.clients, commercial.title/welcome) non dupliquees. ## Verifications - JSON valide, indentation 4 espaces, aucune cle dupliquee. - `make nuxt-test` : 103/103 OK (usePermissions / useSidebar verts). - Pas de E2E (regle n7). Pre-requis de 1.9 (ERP-62). Reviewed-on: #43 Co-authored-by: tristan <tristan@yuno.malio.fr> Co-committed-by: tristan <tristan@yuno.malio.fr>	2026-06-02 09:37:49 +00:00
gitea-actions	50e6e14b91	chore: bump version to v0.1.63 Auto Tag Develop / tag (push) Successful in 7s Details Build & Push Docker Image / build (push) Successful in 25s Details	2026-06-02 08:00:51 +00:00
matthieu	00bd02858c	[ERP-78] Refonte taxonomie Catégories : type unique CLIENT + Category.code + RG-1.03/1.29 par code (#42 ) Auto Tag Develop / tag (push) Successful in 8s Details Refonte de la taxonomie Catégories (décision produit 01/06) : le modèle est inversé. ## Modèle - UN SEUL `category_type` : CLIENT. `Distributeur` / `Courtier` / `Secteur` / `Autre` (+ catégories métier) deviennent des `Category` rattachées à CLIENT. - Filtrage métier sur un `code` stable porté par `Category` (NOT NULL, unique partiel `uq_category_code`), slug MAJUSCULE auto-généré du nom (`CategoryCodeGenerator`), figé à la création, exposé en lecture seule. ## Contenu - M0 : `Category.code` (entité + migration corrective `Version20260602100000` au namespace racine + `COMMENT ON COLUMN` + catalogue + ligne `test-db-setup`). Retrofit `Version20260528120000` rendu conscient des colonnes. - Seed : type unique CLIENT, catégories codées (`Distributeur→DISTRIBUTEUR`, etc.), anciens types supprimés. Fixtures `CategoryType`/`Category`/`Client` alignées. - RG-1.03 : `ClientProcessor::hasCategoryCode` — un distributor/broker doit porter la `Category` de code `DISTRIBUTEUR`/`COURTIER`. Filtre liste/export `categoryType` → `categoryCode`. - RG-1.29 : `ClientAddress::validateCategoryCodes` — denylist des codes `DISTRIBUTEUR`/`COURTIER` sur une adresse (toute autre catégorie autorisée). - Specs M0/M1 (back + front) amendées. ## Tests `make php-cs-fixer-allow-risky` OK ; `make db-reset` OK (type unique CLIENT + 11 catégories codées, idempotent) ; `make test` 443 vert. Ajouts : RG-1.03 courtier, génération/unicité/lecture-seule du code (`CategoryCodeTest`). ## Coordination - #76 (#500) : RG-1.29 réécrite ici sur le nouveau modèle ; #76 ne garde que le gap 2 (mapping CHECK adresse → 422), indépendant de la taxonomie. - ERP-68 (#486) : fixtures démo (déjà mergées via #41) adaptées ici au type unique CLIENT + codes. - Front #480–483 : selects Catégorie / distributeur / courtier basés sur le `code` (`?categoryCode=`), plus le type. Décisions actées avec le PO : `code` NOT NULL auto-généré (slug) ; périmètre complet (réécriture RG + fixtures déjà mergées). --------- Co-authored-by: Matthieu <contact@malio.fr> Reviewed-on: #42 Co-authored-by: THOLOT DECHENE Matthieu <matthieu@yuno.malio.fr> Co-committed-by: THOLOT DECHENE Matthieu <matthieu@yuno.malio.fr>	2026-06-02 08:00:42 +00:00
gitea-actions	a668a8eb28	chore: bump version to v0.1.62 Auto Tag Develop / tag (push) Successful in 8s Details Build & Push Docker Image / build (push) Successful in 26s Details	2026-06-01 22:14:34 +00:00
matthieu	a52e3bec34	[ERP-76 + ERP-68] Validations d'adresse client (RG → 422) + fixtures démo Catalog/Commercial (#41 ) Auto Tag Develop / tag (push) Successful in 11s Details Stack de 2 tickets sur une branche (squash sur `develop`). ## ERP-76 (#500) — Validations d'adresse Client → 422 Les règles d'intégrité de l'onglet Adresse étaient soit non implémentées (RG-1.29), soit rejetées en 500 par les CHECK Postgres (RG-1.06/07/08/11). Elles sont désormais portées par des `Assert\Callback` applicatifs sur `ClientAddress`, qui remontent une 422 Hydra avant la base ; les CHECK BDD restent en filet de sécurité. - `validateProspectExclusivity` — `isProspect` exclusif de `isDelivery`/`isBilling` (RG-1.06/07/08). - `validateBillingEmailPresence` — `billingEmail` obligatoire ssi `isBilling` (RG-1.11). - `validateCategoryTypes` — refuse une catégorie de type DISTRIBUTEUR/COURTIER sur une adresse (RG-1.29, violation `categories`), via `CategoryInterface` (règle n°1 respectée). Tests `ClientAddressTest` durcis (≥400 → 422 explicite) + 4 cas RG-1.29. Cahier de test M1 mis à jour. ## ERP-68 (#486) — Fixtures démo Catalog + Commercial (dev only) - `CategoryFixtures` (Catalog) : 12 catégories sur les 4 types. - `ClientFixtures` (Commercial) : 14 clients couvrant les cas RG (dépendant distributeur/courtier RG-1.03, LCR + 2 RIB RG-1.13, Chèque sans RIB, multi-adresses Prospect/Livraison/Facturation RG-1.06/07/08/11, prospect seul, 3 contacts + tél. secondaire RG-1.05/1.02, archivé RG-1.22, onglet Information complet, multi-catégories M2M). Résolution inter-modules via les seuls contrats Shared (`CategoryInterface`, `SiteProviderInterface`). Valeurs brutes normalisées par `ClientFieldNormalizer`. Données conformes aux CHECK BDD et aux validators ERP-76. Idempotentes (lookup `companyName`/`name`). Garde-fou : les deux fixtures sont no-op en environnement `test` (la base de test reste un socle minimal ; pas de pollution des comptages ni des cleanups FK). ## Bonus — idempotence fixtures `AppFixtures` (admin/alice/bob) rendu idempotent via lookup par username : `doctrine:fixtures:load --append` est désormais rejouable sans erreur sur tout le jeu de fixtures. ## Vérifications - `make test` : 436/436 vert (0 échec/erreur). - `make php-cs-fixer-allow-risky` OK. - `make db-reset` charge sans erreur ; 2 runs `--append` consécutifs = idempotent (0 doublon ; 7 users / 14 clients / 12 catégories stables). - `admin/admin` intact. --------- Co-authored-by: Matthieu <contact@malio.fr> Reviewed-on: #41 Co-authored-by: THOLOT DECHENE Matthieu <matthieu@yuno.malio.fr> Co-committed-by: THOLOT DECHENE Matthieu <matthieu@yuno.malio.fr>	2026-06-01 22:14:23 +00:00
gitea-actions	865180e648	chore: bump version to v0.1.61 Auto Tag Develop / tag (push) Successful in 7s Details Build & Push Docker Image / build (push) Successful in 22s Details	2026-06-01 21:06:44 +00:00
matthieu	0e3299300f	[ERP-74] Seed RBAC idempotent (rôles + matrice § 2.7 + demo users) + RG-1.04 + test matrice (#40 ) Auto Tag Develop / tag (push) Successful in 11s Details ## Objectif Seeder le RBAC métier de façon rejouable et disponible en recette/prod (commande applicative, pas fixture `require-dev`), durcir RG-1.04, et écrire le test de matrice (rôles enfin existants). ## A. `RbacSeeder` (Core) — source unique anti-drift 4 rôles (`bureau`/`compta`/`commerciale`/`usine`, isSystem=false), matrice § 2.7 (rôle → permissions) et comptes démo, définis en un seul endroit. Méthodes idempotentes `ensureRoles` / `attachMatrix` / `ensureDemoUsers`. `commerciale` référence `BusinessRoles::COMMERCIALE` (déjà consommé par RG-1.04). ## B. Commande `app:seed-rbac` (présente en build prod, idempotente, non destructive) - Sans option : rôles + matrice § 2.7. - `--with-demo-users` + `--password=<…>` ou env `RBAC_DEMO_PASSWORD` : 1 compte démo/rôle. Aucun mot de passe en dur côté serveur. - Garde-fou : exit non-zéro + invite à lancer `app:sync-permissions` si les codes `commercial.clients.` manquent. ## C. Fixture dev/test `RbacDemoFixtures` (DRY) Appelle le même seeder* (`ensureRoles` + `ensureDemoUsers`). La matrice est attachée juste après par l'étape `app:seed-rbac` du makefile (la table `permission` est purgée au moment du `fixtures:load`, donc `attachMatrix` ne peut pas tourner pendant le load). `make db-reset` / `test-db-setup` reproduisent l'état de recette. ## Déploiement (documenté README) Après `migration-migrate` + `app:sync-permissions` : `app:seed-rbac` (prod) ; `app:seed-rbac --with-demo-users --password=…` (recette). ## D. Durcissement RG-1.04 Pour une Commerciale, complétude de l'onglet Information exigée sur POST + tout PATCH (suppression de la condition d'intersection). Conséquence : POST Commerciale → 422 (le POST n'expose pas le groupe Information), Admin → 201. Spec § 7 amendée. ## Compta ↔ onglet Comptabilité (§ 2.7) Pour que `compta PATCH accounting → 200` (exigé par la matrice), la security du `Patch /clients/{id}` est élargie à `manage` OU `accounting.manage`, et un nouveau `guardManage` (mode strict RG-1.28) interdit à un porteur non-`manage` de modifier les onglets principal/Information (→ 403). Approche validée : élargir la security + guard in-processor (pas de nouvel endpoint). ## E. `ClientRBACMatrixTest` Matrice § 2.7 complète via les comptes démo seedés (`app:seed-rbac --with-demo-users`) : bureau / compta / commerciale / usine (200/403 par verbe et par onglet) + RG-1.04 (POST Commerciale 422 / Admin 201). ## Tests `make php-cs-fixer-allow-risky` OK ; `make test` 429 tests verts. Idempotence vérifiée (rejeu de la commande : 0 rôle / 0 lien / 0 user). `test-db-setup` exécute la nouvelle étape `app:seed-rbac` sans erreur. Cible : `develop`. Squash merge. --------- Co-authored-by: Matthieu <contact@malio.fr> Reviewed-on: #40 Co-authored-by: THOLOT DECHENE Matthieu <matthieu@yuno.malio.fr> Co-committed-by: THOLOT DECHENE Matthieu <matthieu@yuno.malio.fr>	2026-06-01 21:06:33 +00:00
gitea-actions	8d50f1fbe7	chore: bump version to v0.1.60 Auto Tag Develop / tag (push) Successful in 6s Details Build & Push Docker Image / build (push) Successful in 58s Details Pull Request — Quality gate / Backend (PHP CS + PHPUnit) (pull_request) Successful in 1m46s Details Pull Request — Quality gate / Frontend (lint + Vitest + build) (pull_request) Successful in 1m10s Details	2026-06-01 19:48:40 +00:00
matthieu	120058049c	test(commercial) : cover RG-1.01..1.29 except role-gated (M1) + polish stack (#38 ) Auto Tag Develop / tag (push) Successful in 7s Details Dernier wagon de la stack back M1. ERP-60 = polish stack + couverture de tests PHPUnit NON dépendante des rôles métier (cf. spec § 7 / § 8.1). ## Phase 0 — polish stack (déjà mergé dans les branches basses via rebase) - ERP-59 : route sidebar `/clients` (au lieu de `/commercial/clients`), cohérente avec `/suppliers`. - One-liner pagination Client abandonné : `pagination_client_enabled: true` est déjà le défaut global → `?pagination=false` marche déjà sur `/api/clients` (décision P7). ## Phase 1 — tests (combler les trous, zéro duplication) 8 nouvelles suites couvrant les RG non encore testées par ERP-55/56/57/58 : - `ClientFormulaireMainTest` — RG-1.02 (téléphone secondaire, max 2). - `ClientAddressTest` — RG-1.06/07/08 + RG-1.11 (CHECK BDD prospect/billing). - `ClientUniquenessTest` — RG-1.15/1.17 (Q4 : SIREN/email NON uniques). - `ClientArchiveTest` — RG-1.23 : 409 restauration en conflit (gap P1). - `ClientAuditTest` — RG-1.27 (created* figés / updatedBy modificateur) + iban/bic présents dans le diff audité. - `ClientMigrationTest` — index partiel unique `uq_client_company_name_active` (1 seul) ; pas d'index siren/email. - `ClientSecurityTest` — 401 anonyme + 403 sans `commercial.clients.view`. - `ClientPatchStrictTest` — RG-1.28 (403 strict mix de groupes, fonctionnel). Cahier de test complet (mapping de TOUTES les RG → test) : `docs/specs/M1-clients/cahier-test-back-M1.md`. ## Délégué à ERP-74 (#493) Matrice RBAC différenciée (bureau/compta/commerciale/usine) + RG-1.04 fonctionnel — exigent les rôles métier seedés après le merge de la stack. ## Gaps documentés (cahier) - RG-1.29 validation écriture (catégorie type sur adresse → 422) non implémentée back (hors § 8.1, ticket test-only). - Violations CHECK adresse → rejet (≥400) sans mapping fin 422 (amélioration possible). ## Vérifs `make db-reset && make php-cs-fixer-allow-risky && make test` → 421 tests OK, 1386 assertions, 0 risky. Nouveaux tests : 17, 71 assertions. --------- Co-authored-by: Matthieu <contact@malio.fr> Reviewed-on: #38 Co-authored-by: THOLOT DECHENE Matthieu <matthieu@yuno.malio.fr> Co-committed-by: THOLOT DECHENE Matthieu <matthieu@yuno.malio.fr>	2026-06-01 19:46:39 +00:00
`@@ -1,2 +1,2 @@`
	`parameters:`	`parameters:`
	`app.version: '0.1.59'`	`app.version: '0.1.64'`