@fiado/type-kit 3.147.0 → 3.148.0

package/bin/platformRbac/application/cascade.d.ts

@@ -0,0 +1,45 @@
+import { PermissionScope } from '../enums/PermissionScope';
+import { ApplicationPermission } from './ApplicationPermission';
+/**
+ * DEC-RBAC-092: al actualizar el `scope` de un permiso del catálogo de una app, el backend recalcula
+ * en cascada el scope de los roles que lo usan en todos los tenants de esa app y REPORTA (no modifica)
+ * las asignaciones que quedaron inconsistentes (Opción A). Estos tipos son el contrato de ese reporte.
+ */
+/** Un rol cuyo scope se recalculó (y cambió) por el cascade. */
+export interface RoleScopeRecompute {
+    tenantId: string;
+    roleId: string;
+    previousScope: PermissionScope;
+    newScope: PermissionScope;
+}
+/**
+ * Asignación que quedó inconsistente: su `scope` almacenado ya no coincide con el nuevo scope del rol.
+ * NO se modifica; se reporta para que el admin reasigne (DEC-RBAC-092, Opción A).
+ */
+export interface InconsistentAssignment {
+    tenantId: string;
+    roleId: string;
+    assignmentId: string;
+    cognitoSub: string;
+    assignmentScope: PermissionScope;
+    assignmentScopeRef: string;
+}
+/** Un silo (tenant) cuyo recálculo falló (best-effort — no aborta el resto). */
+export interface CascadeTenantFailure {
+    tenantId: string;
+    error: string;
+}
+/** Resumen del cascade de recálculo de scope de roles (DEC-RBAC-092). */
+export interface CascadeReport {
+    rolesRecomputed: RoleScopeRecompute[];
+    inconsistentAssignments: InconsistentAssignment[];
+    failedTenants: CascadeTenantFailure[];
+}
+/**
+ * Respuesta de `PUT /applications/{id}/permissions/{key}`: el permiso actualizado + (si el cambio de
+ * scope disparó el cascade) el resumen. `cascade` ausente si el update no cambió el scope.
+ */
+export interface UpdateApplicationPermissionResponse {
+    permission: ApplicationPermission;
+    cascade?: CascadeReport;
+}

package/bin/platformRbac/application/cascade.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/index.d.ts

@@ -44,6 +44,7 @@ export * from './enums/PermissionKind';
 export type { LevelDef, ApplicationSecurityPolicyDefault, ApplicationBrandingDefault, AutoregisterAllowedRole, AutoregisterConfig, ApplicationDefaults, SeedRole, Application, } from './application/Application';
 export type { ApplicationPermission } from './application/ApplicationPermission';
 export type { CreateApplicationRequest, UpdateApplicationRequest, UpsertApplicationPermissionRequest, } from './application/requests';
+export type { RoleScopeRecompute, InconsistentAssignment, CascadeTenantFailure, CascadeReport, UpdateApplicationPermissionResponse, } from './application/cascade';
 export * from './dtos/SelfRegisterStartRequest';
 export * from './dtos/SelfRegisterVerifyOtpRequest';
 export * from './dtos/SelfRegisterCompleteRequest';

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/type-kit",
-  "version": "3.147.0",
+  "version": "3.148.0",
   "description": "",
   "main": "bin/index.js",
   "types": "bin/index.d.ts",

package/src/platformRbac/application/cascade.ts

@@ -0,0 +1,51 @@
+import { PermissionScope } from '../enums/PermissionScope';
+import { ApplicationPermission } from './ApplicationPermission';
+
+/**
+ * DEC-RBAC-092: al actualizar el `scope` de un permiso del catálogo de una app, el backend recalcula
+ * en cascada el scope de los roles que lo usan en todos los tenants de esa app y REPORTA (no modifica)
+ * las asignaciones que quedaron inconsistentes (Opción A). Estos tipos son el contrato de ese reporte.
+ */
+
+/** Un rol cuyo scope se recalculó (y cambió) por el cascade. */
+export interface RoleScopeRecompute {
+    tenantId: string;
+    roleId: string;
+    previousScope: PermissionScope;
+    newScope: PermissionScope;
+}
+
+/**
+ * Asignación que quedó inconsistente: su `scope` almacenado ya no coincide con el nuevo scope del rol.
+ * NO se modifica; se reporta para que el admin reasigne (DEC-RBAC-092, Opción A).
+ */
+export interface InconsistentAssignment {
+    tenantId: string;
+    roleId: string;
+    assignmentId: string;
+    cognitoSub: string;
+    assignmentScope: PermissionScope;
+    assignmentScopeRef: string;
+}
+
+/** Un silo (tenant) cuyo recálculo falló (best-effort — no aborta el resto). */
+export interface CascadeTenantFailure {
+    tenantId: string;
+    error: string;
+}
+
+/** Resumen del cascade de recálculo de scope de roles (DEC-RBAC-092). */
+export interface CascadeReport {
+    rolesRecomputed: RoleScopeRecompute[];
+    inconsistentAssignments: InconsistentAssignment[];
+    failedTenants: CascadeTenantFailure[];
+}
+
+/**
+ * Respuesta de `PUT /applications/{id}/permissions/{key}`: el permiso actualizado + (si el cambio de
+ * scope disparó el cascade) el resumen. `cascade` ausente si el update no cambió el scope.
+ */
+export interface UpdateApplicationPermissionResponse {
+    permission: ApplicationPermission;
+    cascade?: CascadeReport;
+}

package/src/platformRbac/index.ts

@@ -106,6 +106,13 @@ export type {
     UpdateApplicationRequest,
     UpsertApplicationPermissionRequest,
 } from './application/requests';
+export type {
+    RoleScopeRecompute,
+    InconsistentAssignment,
+    CascadeTenantFailure,
+    CascadeReport,
+    UpdateApplicationPermissionResponse,
+} from './application/cascade';
 
 // Autoregistro self-service por tenant (DEC-RBAC-030..034). Los Request llevan decoradores
 // class-validator (export de valor — se hidratan con plainToInstance); los Response son interfaces