@fiado/type-kit 3.146.0 → 3.148.0

package/_test_/unit/platformRbac/dtos/AuthorizeRequest.test.ts

@@ -9,7 +9,7 @@ describe('AuthorizeRequest', () => {
         const dto = plainToInstance(AuthorizeRequest, {
             token: 'jwt.abc.def',
             permission: 'tenant.user.create',
-            scope: PermissionScope.RETAILER,
+            scope: PermissionScope.LEVEL_1,
             scopeRef: 'VL-001',
         });
         const errors = await validate(dto);

package/_test_/unit/platformRbac/dtos/UpdateTenantAutoregisterRequest.test.ts

@@ -11,8 +11,8 @@ describe('UpdateTenantAutoregisterRequest', () => {
     const valid = {
         enabled: true,
         allowedRoles: [
-            { roleId: 'role-agente', scope: 'GROUP', allowedScopeRefs: ['grp-1'] },
-            { roleId: 'role-rrhh', scope: 'GROUP' },
+            { roleId: 'role-agente', scope: 'LEVEL_1', allowedScopeRefs: ['grp-1'] },
+            { roleId: 'role-rrhh', scope: 'LEVEL_1' },
         ],
         otpTtlSeconds: 300,
     };
@@ -66,6 +66,6 @@ describe('UpdateTenantAutoregisterRequest', () => {
     it('hidrata cada allowedRole a UpdateTenantAutoregisterAllowedRole con su scope enum', async () => {
         const dto = plainToInstance(UpdateTenantAutoregisterRequest, valid);
         expect(dto.allowedRoles[0]).toBeInstanceOf(UpdateTenantAutoregisterAllowedRole);
-        expect(dto.allowedRoles[0].scope).toBe(PermissionScope.GROUP);
+        expect(dto.allowedRoles[0].scope).toBe(PermissionScope.LEVEL_1);
     });
 });

package/bin/platformRbac/application/cascade.d.ts

@@ -0,0 +1,45 @@
+import { PermissionScope } from '../enums/PermissionScope';
+import { ApplicationPermission } from './ApplicationPermission';
+/**
+ * DEC-RBAC-092: al actualizar el `scope` de un permiso del catálogo de una app, el backend recalcula
+ * en cascada el scope de los roles que lo usan en todos los tenants de esa app y REPORTA (no modifica)
+ * las asignaciones que quedaron inconsistentes (Opción A). Estos tipos son el contrato de ese reporte.
+ */
+/** Un rol cuyo scope se recalculó (y cambió) por el cascade. */
+export interface RoleScopeRecompute {
+    tenantId: string;
+    roleId: string;
+    previousScope: PermissionScope;
+    newScope: PermissionScope;
+}
+/**
+ * Asignación que quedó inconsistente: su `scope` almacenado ya no coincide con el nuevo scope del rol.
+ * NO se modifica; se reporta para que el admin reasigne (DEC-RBAC-092, Opción A).
+ */
+export interface InconsistentAssignment {
+    tenantId: string;
+    roleId: string;
+    assignmentId: string;
+    cognitoSub: string;
+    assignmentScope: PermissionScope;
+    assignmentScopeRef: string;
+}
+/** Un silo (tenant) cuyo recálculo falló (best-effort — no aborta el resto). */
+export interface CascadeTenantFailure {
+    tenantId: string;
+    error: string;
+}
+/** Resumen del cascade de recálculo de scope de roles (DEC-RBAC-092). */
+export interface CascadeReport {
+    rolesRecomputed: RoleScopeRecompute[];
+    inconsistentAssignments: InconsistentAssignment[];
+    failedTenants: CascadeTenantFailure[];
+}
+/**
+ * Respuesta de `PUT /applications/{id}/permissions/{key}`: el permiso actualizado + (si el cambio de
+ * scope disparó el cascade) el resumen. `cascade` ausente si el update no cambió el scope.
+ */
+export interface UpdateApplicationPermissionResponse {
+    permission: ApplicationPermission;
+    cascade?: CascadeReport;
+}

package/bin/platformRbac/application/cascade.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/enums/PermissionScope.d.ts

@@ -1,27 +1,17 @@
 /**
- * Jerarquía retail: PLATFORM > TENANT > RETAILER > STORE.
- * Jerarquía agents: PLATFORM > TENANT > GROUP.
- * Componente 01 spec.
+ * Scopes de autorización del RBAC: PLATFORM > TENANT > (niveles genéricos de la aplicación).
  *
- * Modelo genérico de aplicación (DEC-RBAC-032): además de los niveles legacy
- * (RETAILER/STORE/GROUP, atados a tenant-types concretos), una aplicación define
- * su jerarquía DEBAJO de TENANT con niveles genéricos LEVEL_1 > LEVEL_2 > LEVEL_3,
- * cuyo `displayName` lo decide cada aplicación (ver LevelDef en application/Application).
+ * Modelo genérico de aplicación (DEC-RBAC-032): una aplicación define su jerarquía DEBAJO de TENANT
+ * con niveles genéricos LEVEL_1 > LEVEL_2 > LEVEL_3, cuyo `displayName` lo decide cada aplicación
+ * (ver LevelDef en application/Application).
  *
- * DEC-RBAC-091 (Fase 1): RETAILER/STORE/GROUP quedan `@deprecated` — el modelo correcto es
- * LEVEL_N (DEC-RBAC-090, funcionando E2E). Se conservan por ahora para no romper a los consumidores
- * (platform-rbac-business, gateway-adapter, jwt-inyector-trigger, referral-business, webapps) que se
- * migran por fases; se REMUEVEN en Fase 5 (bump MAJOR) cuando ninguno los use.
+ * DEC-RBAC-091 (Fase 5): removidos los scopes legacy RETAILER/STORE/GROUP (estaban atados a
+ * tenant-types concretos). El modelo correcto es LEVEL_N (DEC-RBAC-090). Bump MINOR (3.x): los
+ * consumidores son internos y se migran en el mismo batch coordinado.
  */
 export declare enum PermissionScope {
     PLATFORM = "PLATFORM",
     TENANT = "TENANT",
-    /** @deprecated DEC-RBAC-091: usar LEVEL_N. Se remueve en Fase 5 (MAJOR). */
-    RETAILER = "RETAILER",
-    /** @deprecated DEC-RBAC-091: usar LEVEL_N. Se remueve en Fase 5 (MAJOR). */
-    STORE = "STORE",
-    /** @deprecated DEC-RBAC-091: usar LEVEL_N. Se remueve en Fase 5 (MAJOR). */
-    GROUP = "GROUP",
     LEVEL_1 = "LEVEL_1",
     LEVEL_2 = "LEVEL_2",
     LEVEL_3 = "LEVEL_3"

package/bin/platformRbac/enums/PermissionScope.js

@@ -2,30 +2,20 @@
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.PermissionScope = void 0;
 /**
- * Jerarquía retail: PLATFORM > TENANT > RETAILER > STORE.
- * Jerarquía agents: PLATFORM > TENANT > GROUP.
- * Componente 01 spec.
+ * Scopes de autorización del RBAC: PLATFORM > TENANT > (niveles genéricos de la aplicación).
  *
- * Modelo genérico de aplicación (DEC-RBAC-032): además de los niveles legacy
- * (RETAILER/STORE/GROUP, atados a tenant-types concretos), una aplicación define
- * su jerarquía DEBAJO de TENANT con niveles genéricos LEVEL_1 > LEVEL_2 > LEVEL_3,
- * cuyo `displayName` lo decide cada aplicación (ver LevelDef en application/Application).
+ * Modelo genérico de aplicación (DEC-RBAC-032): una aplicación define su jerarquía DEBAJO de TENANT
+ * con niveles genéricos LEVEL_1 > LEVEL_2 > LEVEL_3, cuyo `displayName` lo decide cada aplicación
+ * (ver LevelDef en application/Application).
  *
- * DEC-RBAC-091 (Fase 1): RETAILER/STORE/GROUP quedan `@deprecated` — el modelo correcto es
- * LEVEL_N (DEC-RBAC-090, funcionando E2E). Se conservan por ahora para no romper a los consumidores
- * (platform-rbac-business, gateway-adapter, jwt-inyector-trigger, referral-business, webapps) que se
- * migran por fases; se REMUEVEN en Fase 5 (bump MAJOR) cuando ninguno los use.
+ * DEC-RBAC-091 (Fase 5): removidos los scopes legacy RETAILER/STORE/GROUP (estaban atados a
+ * tenant-types concretos). El modelo correcto es LEVEL_N (DEC-RBAC-090). Bump MINOR (3.x): los
+ * consumidores son internos y se migran en el mismo batch coordinado.
  */
 var PermissionScope;
 (function (PermissionScope) {
     PermissionScope["PLATFORM"] = "PLATFORM";
     PermissionScope["TENANT"] = "TENANT";
-    /** @deprecated DEC-RBAC-091: usar LEVEL_N. Se remueve en Fase 5 (MAJOR). */
-    PermissionScope["RETAILER"] = "RETAILER";
-    /** @deprecated DEC-RBAC-091: usar LEVEL_N. Se remueve en Fase 5 (MAJOR). */
-    PermissionScope["STORE"] = "STORE";
-    /** @deprecated DEC-RBAC-091: usar LEVEL_N. Se remueve en Fase 5 (MAJOR). */
-    PermissionScope["GROUP"] = "GROUP";
     PermissionScope["LEVEL_1"] = "LEVEL_1";
     PermissionScope["LEVEL_2"] = "LEVEL_2";
     PermissionScope["LEVEL_3"] = "LEVEL_3";

package/bin/platformRbac/index.d.ts

@@ -44,6 +44,7 @@ export * from './enums/PermissionKind';
 export type { LevelDef, ApplicationSecurityPolicyDefault, ApplicationBrandingDefault, AutoregisterAllowedRole, AutoregisterConfig, ApplicationDefaults, SeedRole, Application, } from './application/Application';
 export type { ApplicationPermission } from './application/ApplicationPermission';
 export type { CreateApplicationRequest, UpdateApplicationRequest, UpsertApplicationPermissionRequest, } from './application/requests';
+export type { RoleScopeRecompute, InconsistentAssignment, CascadeTenantFailure, CascadeReport, UpdateApplicationPermissionResponse, } from './application/cascade';
 export * from './dtos/SelfRegisterStartRequest';
 export * from './dtos/SelfRegisterVerifyOtpRequest';
 export * from './dtos/SelfRegisterCompleteRequest';

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/type-kit",
-  "version": "3.146.0",
+  "version": "3.148.0",
   "description": "",
   "main": "bin/index.js",
   "types": "bin/index.d.ts",

package/src/platformRbac/application/cascade.ts

@@ -0,0 +1,51 @@
+import { PermissionScope } from '../enums/PermissionScope';
+import { ApplicationPermission } from './ApplicationPermission';
+
+/**
+ * DEC-RBAC-092: al actualizar el `scope` de un permiso del catálogo de una app, el backend recalcula
+ * en cascada el scope de los roles que lo usan en todos los tenants de esa app y REPORTA (no modifica)
+ * las asignaciones que quedaron inconsistentes (Opción A). Estos tipos son el contrato de ese reporte.
+ */
+
+/** Un rol cuyo scope se recalculó (y cambió) por el cascade. */
+export interface RoleScopeRecompute {
+    tenantId: string;
+    roleId: string;
+    previousScope: PermissionScope;
+    newScope: PermissionScope;
+}
+
+/**
+ * Asignación que quedó inconsistente: su `scope` almacenado ya no coincide con el nuevo scope del rol.
+ * NO se modifica; se reporta para que el admin reasigne (DEC-RBAC-092, Opción A).
+ */
+export interface InconsistentAssignment {
+    tenantId: string;
+    roleId: string;
+    assignmentId: string;
+    cognitoSub: string;
+    assignmentScope: PermissionScope;
+    assignmentScopeRef: string;
+}
+
+/** Un silo (tenant) cuyo recálculo falló (best-effort — no aborta el resto). */
+export interface CascadeTenantFailure {
+    tenantId: string;
+    error: string;
+}
+
+/** Resumen del cascade de recálculo de scope de roles (DEC-RBAC-092). */
+export interface CascadeReport {
+    rolesRecomputed: RoleScopeRecompute[];
+    inconsistentAssignments: InconsistentAssignment[];
+    failedTenants: CascadeTenantFailure[];
+}
+
+/**
+ * Respuesta de `PUT /applications/{id}/permissions/{key}`: el permiso actualizado + (si el cambio de
+ * scope disparó el cascade) el resumen. `cascade` ausente si el update no cambió el scope.
+ */
+export interface UpdateApplicationPermissionResponse {
+    permission: ApplicationPermission;
+    cascade?: CascadeReport;
+}

package/src/platformRbac/enums/PermissionScope.ts

@@ -1,27 +1,17 @@
 /**
- * Jerarquía retail: PLATFORM > TENANT > RETAILER > STORE.
- * Jerarquía agents: PLATFORM > TENANT > GROUP.
- * Componente 01 spec.
+ * Scopes de autorización del RBAC: PLATFORM > TENANT > (niveles genéricos de la aplicación).
  *
- * Modelo genérico de aplicación (DEC-RBAC-032): además de los niveles legacy
- * (RETAILER/STORE/GROUP, atados a tenant-types concretos), una aplicación define
- * su jerarquía DEBAJO de TENANT con niveles genéricos LEVEL_1 > LEVEL_2 > LEVEL_3,
- * cuyo `displayName` lo decide cada aplicación (ver LevelDef en application/Application).
+ * Modelo genérico de aplicación (DEC-RBAC-032): una aplicación define su jerarquía DEBAJO de TENANT
+ * con niveles genéricos LEVEL_1 > LEVEL_2 > LEVEL_3, cuyo `displayName` lo decide cada aplicación
+ * (ver LevelDef en application/Application).
  *
- * DEC-RBAC-091 (Fase 1): RETAILER/STORE/GROUP quedan `@deprecated` — el modelo correcto es
- * LEVEL_N (DEC-RBAC-090, funcionando E2E). Se conservan por ahora para no romper a los consumidores
- * (platform-rbac-business, gateway-adapter, jwt-inyector-trigger, referral-business, webapps) que se
- * migran por fases; se REMUEVEN en Fase 5 (bump MAJOR) cuando ninguno los use.
+ * DEC-RBAC-091 (Fase 5): removidos los scopes legacy RETAILER/STORE/GROUP (estaban atados a
+ * tenant-types concretos). El modelo correcto es LEVEL_N (DEC-RBAC-090). Bump MINOR (3.x): los
+ * consumidores son internos y se migran en el mismo batch coordinado.
  */
 export enum PermissionScope {
     PLATFORM = 'PLATFORM',
     TENANT = 'TENANT',
-    /** @deprecated DEC-RBAC-091: usar LEVEL_N. Se remueve en Fase 5 (MAJOR). */
-    RETAILER = 'RETAILER',
-    /** @deprecated DEC-RBAC-091: usar LEVEL_N. Se remueve en Fase 5 (MAJOR). */
-    STORE = 'STORE',
-    /** @deprecated DEC-RBAC-091: usar LEVEL_N. Se remueve en Fase 5 (MAJOR). */
-    GROUP = 'GROUP',
     LEVEL_1 = 'LEVEL_1',
     LEVEL_2 = 'LEVEL_2',
     LEVEL_3 = 'LEVEL_3',

package/src/platformRbac/index.ts

@@ -106,6 +106,13 @@ export type {
     UpdateApplicationRequest,
     UpsertApplicationPermissionRequest,
 } from './application/requests';
+export type {
+    RoleScopeRecompute,
+    InconsistentAssignment,
+    CascadeTenantFailure,
+    CascadeReport,
+    UpdateApplicationPermissionResponse,
+} from './application/cascade';
 
 // Autoregistro self-service por tenant (DEC-RBAC-030..034). Los Request llevan decoradores
 // class-validator (export de valor — se hidratan con plainToInstance); los Response son interfaces