@fiado/api-invoker 4.39.0 → 4.40.0

package/bin/platformRbac/resolver/ApiInvokerPermissionResolver.js

@@ -48,8 +48,19 @@ let ApiInvokerPermissionResolver = class ApiInvokerPermissionResolver {
         // en el adapter, enforceRbac mapea solo PermissionDeniedError a 403; este error se re-lanza -> 5xx.
         // Es fail-closed (no concede), NO un 403, y es deliberado: un fallo de red NO debe verse como
         // "usuario sin permisos". NUNCA devolver { assignments: [] } en un catch.
-        const resp = await this._api.resolvePermissions(input);
-        const resolved = resp.body;
+        //
+        // SHAPE (TD-AI-003): @fiado/http-client (.post) devuelve `response.data` = el BODY HTTP crudo del
+        // ApiResponse de rbac, o sea `{ code, data, msg }` — NO un ApiGatewayResponse `{ statusCode, body }`
+        // (el tipo de retorno del publisher es histórico y no refleja el runtime). El ResolvedPermissions
+        // viene en `.data`. Leer `.body` daba undefined → crash en enforceRbac. Ver docs/TECH_DEBT.md.
+        const resp = (await this._api.resolvePermissions(input));
+        const resolved = resp?.data;
+        // Fail-closed (DEC-RBAC-071): si rbac no devolvió un payload válido (403 de PRIVATE/VPC, ruta
+        // inexistente, shape inesperado), NO devolver undefined (rompería enforceRbac con TypeError) →
+        // propagar para que el adapter deny. tenantId siempre es string en un ResolvedPermissions ('' = deny).
+        if (!resolved || typeof resolved.tenantId !== "string") {
+            throw new Error("ApiInvokerPermissionResolver: respuesta de rbac sin ResolvedPermissions válido (resolvePermissions)");
+        }
         if (cacheable)
             this._cache.set(key, resolved);
         return resolved;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/api-invoker",
-  "version": "4.39.0",
+  "version": "4.40.0",
   "description": "Sirve como un puente entre diferentes funciones lambda, facilitando la comunicación entre ellas a través de invocaciones http",
   "type": "module",
   "main": "bin/index.js",

package/src/platformRbac/resolver/ApiInvokerPermissionResolver.ts

@@ -40,8 +40,19 @@ export class ApiInvokerPermissionResolver {
         // en el adapter, enforceRbac mapea solo PermissionDeniedError a 403; este error se re-lanza -> 5xx.
         // Es fail-closed (no concede), NO un 403, y es deliberado: un fallo de red NO debe verse como
         // "usuario sin permisos". NUNCA devolver { assignments: [] } en un catch.
-        const resp = await this._api.resolvePermissions(input);
-        const resolved = resp.body;
+        //
+        // SHAPE (TD-AI-003): @fiado/http-client (.post) devuelve `response.data` = el BODY HTTP crudo del
+        // ApiResponse de rbac, o sea `{ code, data, msg }` — NO un ApiGatewayResponse `{ statusCode, body }`
+        // (el tipo de retorno del publisher es histórico y no refleja el runtime). El ResolvedPermissions
+        // viene en `.data`. Leer `.body` daba undefined → crash en enforceRbac. Ver docs/TECH_DEBT.md.
+        const resp = (await this._api.resolvePermissions(input)) as unknown as { data?: ResolvedPermissions };
+        const resolved = resp?.data;
+        // Fail-closed (DEC-RBAC-071): si rbac no devolvió un payload válido (403 de PRIVATE/VPC, ruta
+        // inexistente, shape inesperado), NO devolver undefined (rompería enforceRbac con TypeError) →
+        // propagar para que el adapter deny. tenantId siempre es string en un ResolvedPermissions ('' = deny).
+        if (!resolved || typeof resolved.tenantId !== "string") {
+            throw new Error("ApiInvokerPermissionResolver: respuesta de rbac sin ResolvedPermissions válido (resolvePermissions)");
+        }
         if (cacheable) this._cache.set(key, resolved);
         return resolved;
     }