matthieu
0e3299300f
Auto Tag Develop / tag (push) Successful in 11s
## Objectif
Seeder le RBAC métier de façon **rejouable et disponible en recette/prod** (commande applicative, pas fixture `require-dev`), durcir RG-1.04, et écrire le test de matrice (rôles enfin existants).
## A. `RbacSeeder` (Core) — source unique anti-drift
4 rôles (`bureau`/`compta`/`commerciale`/`usine`, isSystem=false), matrice § 2.7 (rôle → permissions) et comptes démo, définis en **un seul endroit**. Méthodes idempotentes `ensureRoles` / `attachMatrix` / `ensureDemoUsers`. `commerciale` référence `BusinessRoles::COMMERCIALE` (déjà consommé par RG-1.04).
## B. Commande `app:seed-rbac` (présente en build prod, idempotente, non destructive)
- Sans option : rôles + matrice § 2.7.
- `--with-demo-users` + `--password=<…>` ou env `RBAC_DEMO_PASSWORD` : 1 compte démo/rôle. **Aucun mot de passe en dur** côté serveur.
- Garde-fou : exit non-zéro + invite à lancer `app:sync-permissions` si les codes `commercial.clients.*` manquent.
## C. Fixture dev/test `RbacDemoFixtures` (DRY)
Appelle le **même seeder** (`ensureRoles` + `ensureDemoUsers`). La matrice est attachée juste après par l'étape `app:seed-rbac` du makefile (la table `permission` est purgée au moment du `fixtures:load`, donc `attachMatrix` ne peut pas tourner pendant le load). `make db-reset` / `test-db-setup` reproduisent l'état de recette.
## Déploiement (documenté README)
Après `migration-migrate` + `app:sync-permissions` : `app:seed-rbac` (prod) ; `app:seed-rbac --with-demo-users --password=…` (recette).
## D. Durcissement RG-1.04
Pour une Commerciale, complétude de l'onglet Information exigée sur **POST + tout PATCH** (suppression de la condition d'intersection). Conséquence : POST Commerciale → 422 (le POST n'expose pas le groupe Information), Admin → 201. Spec § 7 amendée.
## Compta ↔ onglet Comptabilité (§ 2.7)
Pour que `compta PATCH accounting → 200` (exigé par la matrice), la security du `Patch /clients/{id}` est élargie à `manage` **OU** `accounting.manage`, et un nouveau **`guardManage`** (mode strict RG-1.28) interdit à un porteur non-`manage` de modifier les onglets principal/Information (→ 403). Approche validée : élargir la security + guard in-processor (pas de nouvel endpoint).
## E. `ClientRBACMatrixTest`
Matrice § 2.7 complète via les comptes démo seedés (`app:seed-rbac --with-demo-users`) : bureau / compta / commerciale / usine (200/403 par verbe et par onglet) + RG-1.04 (POST Commerciale 422 / Admin 201).
## Tests
`make php-cs-fixer-allow-risky` OK ; `make test` **429 tests verts**. Idempotence vérifiée (rejeu de la commande : 0 rôle / 0 lien / 0 user). `test-db-setup` exécute la nouvelle étape `app:seed-rbac` sans erreur.
Cible : `develop`. Squash merge.
---------
Co-authored-by: Matthieu <contact@malio.fr>
Reviewed-on: #40
Co-authored-by: THOLOT DECHENE Matthieu <matthieu@yuno.malio.fr>
Co-committed-by: THOLOT DECHENE Matthieu <matthieu@yuno.malio.fr>
57 lines
2.2 KiB
PHP
57 lines
2.2 KiB
PHP
<?php
|
|
|
|
declare(strict_types=1);
|
|
|
|
namespace App\Module\Core\Infrastructure\DataFixtures;
|
|
|
|
use App\Module\Core\Application\Rbac\RbacSeeder;
|
|
use App\Module\Sites\Infrastructure\DataFixtures\SitesFixtures;
|
|
use Doctrine\Bundle\FixturesBundle\Fixture;
|
|
use Doctrine\Common\DataFixtures\DependentFixtureInterface;
|
|
use Doctrine\Persistence\ObjectManager;
|
|
|
|
/**
|
|
* Fixture dev/test des roles metier MALIO (bureau / compta / commerciale /
|
|
* usine) + comptes demo associes. DRY : delegue au MEME service RbacSeeder que
|
|
* la commande `app:seed-rbac`, de sorte que `make db-reset` reproduise l'etat
|
|
* de recette.
|
|
*
|
|
* Depend de SitesFixtures : les comptes demo sont rattaches au site par defaut
|
|
* (cf. RbacSeeder::DEFAULT_SITE_NAME).
|
|
*
|
|
* ⚠ N'attache PAS la matrice § 2.7 ici : `doctrine:fixtures:load` PURGE la table
|
|
* `permission` avant de charger, donc les codes `commercial.clients.*` ne sont
|
|
* pas encore en base au moment du load (cf. ordre du makefile : fixtures PUIS
|
|
* `app:sync-permissions`). La matrice est attachee juste apres, par l'etape
|
|
* `app:seed-rbac` du makefile (db-reset / test-db-setup), via le meme seeder.
|
|
* Resultat final identique a la recette : roles + matrice + comptes demo.
|
|
*/
|
|
final class RbacDemoFixtures extends Fixture implements DependentFixtureInterface
|
|
{
|
|
/**
|
|
* Mot de passe DEV/TEST connu des comptes demo (bureau / compta /
|
|
* commerciale / usine). Reference par les tests fonctionnels de matrice
|
|
* RBAC. Sans rapport avec la prod : en recette/prod le mot de passe est
|
|
* fourni explicitement a `app:seed-rbac --with-demo-users --password=...`.
|
|
*/
|
|
public const string DEMO_PASSWORD = 'demo';
|
|
|
|
public function __construct(private readonly RbacSeeder $seeder) {}
|
|
|
|
/**
|
|
* @return array<int, class-string>
|
|
*/
|
|
public function getDependencies(): array
|
|
{
|
|
return [SitesFixtures::class];
|
|
}
|
|
|
|
public function load(ObjectManager $manager): void
|
|
{
|
|
// Idempotent : ensureRoles puis ensureDemoUsers (lookup par code /
|
|
// username). La matrice est volontairement deferree (cf. docblock).
|
|
$this->seeder->ensureRoles();
|
|
$this->seeder->ensureDemoUsers(self::DEMO_PASSWORD);
|
|
}
|
|
}
|