@fiado/api-invoker 4.20.2 → 4.21.0

package/bin/platformRbac/api/PlatformRbacBusinessApi.d.ts

@@ -24,5 +24,5 @@ export default class PlatformRbacBusinessApi implements IPlatformRbacBusinessApi
     prepareChallenge(input: PrepareChallengeRequest): Promise<ApiGatewayResponse<PrepareChallengeResponse>>;
     verifyChallenge(input: VerifyChallengeRequest): Promise<ApiGatewayResponse<VerifyChallengeResponse>>;
     authorize(input: AuthorizeRequest): Promise<ApiGatewayResponse<AuthorizeResponse>>;
-    effectivePermissions(cognitoSub: string): Promise<ApiGatewayResponse<EffectivePermissionsResponse>>;
+    effectivePermissions(cognitoSub: string, tenantId?: string): Promise<ApiGatewayResponse<EffectivePermissionsResponse>>;
 }

package/bin/platformRbac/api/PlatformRbacBusinessApi.js

@@ -47,8 +47,15 @@ let PlatformRbacBusinessApi = class PlatformRbacBusinessApi {
         const url = `${this.baseUrl}/internal/authorize`;
         return await this.httpRequest.post(url, input);
     }
-    async effectivePermissions(cognitoSub) {
-        const url = `${this.baseUrl}/internal/users/${encodeURIComponent(cognitoSub)}/effective-permissions`;
+    async effectivePermissions(cognitoSub, tenantId) {
+        const base = `${this.baseUrl}/internal/users/${encodeURIComponent(cognitoSub)}/effective-permissions`;
+        // El tenantId es opcional: los usuarios de plataforma resuelven por el silo PlatformUser
+        // sin él, pero los usuarios de un tenant LO NECESITAN para que el rbac sepa en qué silo
+        // buscarlos (sin él, el resolve cae a la rama platform y devuelve 404). Lo manda el
+        // jwt-inyector con el tenantId que ya resolvió del userPoolId.
+        const url = tenantId
+            ? `${base}?tenantId=${encodeURIComponent(tenantId)}`
+            : base;
         return await this.httpRequest.get(url);
     }
 };

package/bin/platformRbac/api/interfaces/IPlatformRbacBusinessApi.d.ts

@@ -50,6 +50,9 @@ export interface IPlatformRbacBusinessApi {
      * efectivos (más epoch y role assignments) de un usuario. Invocado por el
      * `jwt-inyector-trigger` al emitir el token para embeber el bitset RBAC.
      * El `cognitoSub` va en el path param (encodeURIComponent en el publisher).
+     * `tenantId` es opcional y va como query param `?tenantId=`: los usuarios de
+     * plataforma resuelven sin él, pero los de un tenant LO NECESITAN para que el
+     * rbac identifique el silo (sin él, el resolve cae a la rama platform → 404).
      */
-    effectivePermissions(cognitoSub: string): Promise<ApiGatewayResponse<EffectivePermissionsResponse>>;
+    effectivePermissions(cognitoSub: string, tenantId?: string): Promise<ApiGatewayResponse<EffectivePermissionsResponse>>;
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/api-invoker",
-  "version": "4.20.2",
+  "version": "4.21.0",
   "description": "Sirve como un puente entre diferentes funciones lambda, facilitando la comunicación entre ellas a través de invocaciones http",
   "type": "module",
   "main": "bin/index.js",

package/src/platformRbac/api/PlatformRbacBusinessApi.ts

@@ -65,8 +65,16 @@ export default class PlatformRbacBusinessApi implements IPlatformRbacBusinessApi
 
     async effectivePermissions(
         cognitoSub: string,
+        tenantId?: string,
     ): Promise<ApiGatewayResponse<EffectivePermissionsResponse>> {
-        const url = `${this.baseUrl}/internal/users/${encodeURIComponent(cognitoSub)}/effective-permissions`;
+        const base = `${this.baseUrl}/internal/users/${encodeURIComponent(cognitoSub)}/effective-permissions`;
+        // El tenantId es opcional: los usuarios de plataforma resuelven por el silo PlatformUser
+        // sin él, pero los usuarios de un tenant LO NECESITAN para que el rbac sepa en qué silo
+        // buscarlos (sin él, el resolve cae a la rama platform y devuelve 404). Lo manda el
+        // jwt-inyector con el tenantId que ya resolvió del userPoolId.
+        const url = tenantId
+            ? `${base}?tenantId=${encodeURIComponent(tenantId)}`
+            : base;
         return await this.httpRequest.get(url);
     }
 }

package/src/platformRbac/api/interfaces/IPlatformRbacBusinessApi.ts

@@ -73,8 +73,12 @@ export interface IPlatformRbacBusinessApi {
      * efectivos (más epoch y role assignments) de un usuario. Invocado por el
      * `jwt-inyector-trigger` al emitir el token para embeber el bitset RBAC.
      * El `cognitoSub` va en el path param (encodeURIComponent en el publisher).
+     * `tenantId` es opcional y va como query param `?tenantId=`: los usuarios de
+     * plataforma resuelven sin él, pero los de un tenant LO NECESITAN para que el
+     * rbac identifique el silo (sin él, el resolve cae a la rama platform → 404).
      */
     effectivePermissions(
         cognitoSub: string,
+        tenantId?: string,
     ): Promise<ApiGatewayResponse<EffectivePermissionsResponse>>;
 }