@fiado/type-kit 3.147.0 → 3.149.0

package/_test_/unit/platformRbac/auth/PrepareChallengeRequest.test.ts

@@ -0,0 +1,64 @@
+import 'reflect-metadata';
+import { plainToInstance } from 'class-transformer';
+import { validate } from 'class-validator';
+import { PrepareChallengeRequest } from '../../../../src/platformRbac/auth/PrepareChallengeRequest';
+import { ChallengeNameEnum } from '../../../../src/platformRbac/enums/ChallengeNameEnum';
+
+/**
+ * DEC-RBAC-094: `email` es opcional y robusto a string vacío. Un usuario phone-primario
+ * (sin email) hace login MFA (SMS_OTP / TOTP) sin email — el trigger CreateAuthChallenge
+ * ya no manda `''`. `@ValidateIf` saltea undefined/null/'' (`@IsOptional` NO saltea `''`).
+ * La rama EMAIL_OTP del preparer sigue necesitando email en runtime — eso NO lo valida el DTO.
+ */
+describe('PrepareChallengeRequest', () => {
+    const base = {
+        cognitoSub: 'f4586478-20c1-700c-c40a-2396db1affe3',
+        challengeName: ChallengeNameEnum.SMS_OTP,
+        phone: '+524422194128',
+    };
+
+    it('valida SMS_OTP sin email (undefined)', async () => {
+        const dto = plainToInstance(PrepareChallengeRequest, { ...base });
+        const errors = await validate(dto);
+        expect(errors).toEqual([]);
+    });
+
+    it('valida SMS_OTP con email = "" (string vacío del trigger legacy)', async () => {
+        const dto = plainToInstance(PrepareChallengeRequest, { ...base, email: '' });
+        const errors = await validate(dto);
+        expect(errors).toEqual([]);
+    });
+
+    it('valida SMS_OTP con email = null', async () => {
+        const dto = plainToInstance(PrepareChallengeRequest, { ...base, email: null });
+        const errors = await validate(dto);
+        expect(errors).toEqual([]);
+    });
+
+    it('valida cuando email SÍ viene y es un email válido', async () => {
+        const dto = plainToInstance(PrepareChallengeRequest, {
+            ...base,
+            challengeName: ChallengeNameEnum.EMAIL_OTP,
+            email: 'user@dominio.com',
+        });
+        const errors = await validate(dto);
+        expect(errors).toEqual([]);
+    });
+
+    it('falla cuando email viene pero NO es un email válido', async () => {
+        const dto = plainToInstance(PrepareChallengeRequest, { ...base, email: 'no-es-email' });
+        const errors = await validate(dto);
+        expect(errors.length).toBeGreaterThan(0);
+        expect(errors[0].property).toBe('email');
+    });
+
+    it('falla si challengeName no es un valor del enum', async () => {
+        const dto = plainToInstance(PrepareChallengeRequest, {
+            ...base,
+            challengeName: 'BOGUS' as ChallengeNameEnum,
+        });
+        const errors = await validate(dto);
+        expect(errors.length).toBeGreaterThan(0);
+        expect(errors[0].property).toBe('challengeName');
+    });
+});

package/bin/platformRbac/application/cascade.d.ts

@@ -0,0 +1,45 @@
+import { PermissionScope } from '../enums/PermissionScope';
+import { ApplicationPermission } from './ApplicationPermission';
+/**
+ * DEC-RBAC-092: al actualizar el `scope` de un permiso del catálogo de una app, el backend recalcula
+ * en cascada el scope de los roles que lo usan en todos los tenants de esa app y REPORTA (no modifica)
+ * las asignaciones que quedaron inconsistentes (Opción A). Estos tipos son el contrato de ese reporte.
+ */
+/** Un rol cuyo scope se recalculó (y cambió) por el cascade. */
+export interface RoleScopeRecompute {
+    tenantId: string;
+    roleId: string;
+    previousScope: PermissionScope;
+    newScope: PermissionScope;
+}
+/**
+ * Asignación que quedó inconsistente: su `scope` almacenado ya no coincide con el nuevo scope del rol.
+ * NO se modifica; se reporta para que el admin reasigne (DEC-RBAC-092, Opción A).
+ */
+export interface InconsistentAssignment {
+    tenantId: string;
+    roleId: string;
+    assignmentId: string;
+    cognitoSub: string;
+    assignmentScope: PermissionScope;
+    assignmentScopeRef: string;
+}
+/** Un silo (tenant) cuyo recálculo falló (best-effort — no aborta el resto). */
+export interface CascadeTenantFailure {
+    tenantId: string;
+    error: string;
+}
+/** Resumen del cascade de recálculo de scope de roles (DEC-RBAC-092). */
+export interface CascadeReport {
+    rolesRecomputed: RoleScopeRecompute[];
+    inconsistentAssignments: InconsistentAssignment[];
+    failedTenants: CascadeTenantFailure[];
+}
+/**
+ * Respuesta de `PUT /applications/{id}/permissions/{key}`: el permiso actualizado + (si el cambio de
+ * scope disparó el cascade) el resumen. `cascade` ausente si el update no cambió el scope.
+ */
+export interface UpdateApplicationPermissionResponse {
+    permission: ApplicationPermission;
+    cascade?: CascadeReport;
+}

package/bin/platformRbac/application/cascade.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/bin/platformRbac/auth/PrepareChallengeRequest.d.ts

@@ -2,6 +2,6 @@ import { ChallengeNameEnum } from '../enums/ChallengeNameEnum';
 export declare class PrepareChallengeRequest {
     cognitoSub: string;
     challengeName: ChallengeNameEnum;
-    email: string;
+    email?: string;
     phone?: string;
 }

package/bin/platformRbac/auth/PrepareChallengeRequest.js

@@ -24,6 +24,7 @@ __decorate([
     __metadata("design:type", String)
 ], PrepareChallengeRequest.prototype, "challengeName", void 0);
 __decorate([
+    (0, class_validator_1.ValidateIf)((o) => o.email !== undefined && o.email !== null && o.email !== ''),
     (0, class_validator_1.IsEmail)(),
     __metadata("design:type", String)
 ], PrepareChallengeRequest.prototype, "email", void 0);

package/bin/platformRbac/index.d.ts

@@ -44,6 +44,7 @@ export * from './enums/PermissionKind';
 export type { LevelDef, ApplicationSecurityPolicyDefault, ApplicationBrandingDefault, AutoregisterAllowedRole, AutoregisterConfig, ApplicationDefaults, SeedRole, Application, } from './application/Application';
 export type { ApplicationPermission } from './application/ApplicationPermission';
 export type { CreateApplicationRequest, UpdateApplicationRequest, UpsertApplicationPermissionRequest, } from './application/requests';
+export type { RoleScopeRecompute, InconsistentAssignment, CascadeTenantFailure, CascadeReport, UpdateApplicationPermissionResponse, } from './application/cascade';
 export * from './dtos/SelfRegisterStartRequest';
 export * from './dtos/SelfRegisterVerifyOtpRequest';
 export * from './dtos/SelfRegisterCompleteRequest';

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/type-kit",
-  "version": "3.147.0",
+  "version": "3.149.0",
   "description": "",
   "main": "bin/index.js",
   "types": "bin/index.d.ts",

package/src/platformRbac/application/cascade.ts

@@ -0,0 +1,51 @@
+import { PermissionScope } from '../enums/PermissionScope';
+import { ApplicationPermission } from './ApplicationPermission';
+
+/**
+ * DEC-RBAC-092: al actualizar el `scope` de un permiso del catálogo de una app, el backend recalcula
+ * en cascada el scope de los roles que lo usan en todos los tenants de esa app y REPORTA (no modifica)
+ * las asignaciones que quedaron inconsistentes (Opción A). Estos tipos son el contrato de ese reporte.
+ */
+
+/** Un rol cuyo scope se recalculó (y cambió) por el cascade. */
+export interface RoleScopeRecompute {
+    tenantId: string;
+    roleId: string;
+    previousScope: PermissionScope;
+    newScope: PermissionScope;
+}
+
+/**
+ * Asignación que quedó inconsistente: su `scope` almacenado ya no coincide con el nuevo scope del rol.
+ * NO se modifica; se reporta para que el admin reasigne (DEC-RBAC-092, Opción A).
+ */
+export interface InconsistentAssignment {
+    tenantId: string;
+    roleId: string;
+    assignmentId: string;
+    cognitoSub: string;
+    assignmentScope: PermissionScope;
+    assignmentScopeRef: string;
+}
+
+/** Un silo (tenant) cuyo recálculo falló (best-effort — no aborta el resto). */
+export interface CascadeTenantFailure {
+    tenantId: string;
+    error: string;
+}
+
+/** Resumen del cascade de recálculo de scope de roles (DEC-RBAC-092). */
+export interface CascadeReport {
+    rolesRecomputed: RoleScopeRecompute[];
+    inconsistentAssignments: InconsistentAssignment[];
+    failedTenants: CascadeTenantFailure[];
+}
+
+/**
+ * Respuesta de `PUT /applications/{id}/permissions/{key}`: el permiso actualizado + (si el cambio de
+ * scope disparó el cascade) el resumen. `cascade` ausente si el update no cambió el scope.
+ */
+export interface UpdateApplicationPermissionResponse {
+    permission: ApplicationPermission;
+    cascade?: CascadeReport;
+}

package/src/platformRbac/auth/PrepareChallengeRequest.ts

@@ -1,4 +1,4 @@
-import { IsEmail, IsEnum, IsOptional, IsString } from 'class-validator';
+import { IsEmail, IsEnum, IsOptional, IsString, ValidateIf } from 'class-validator';
 import { ChallengeNameEnum } from '../enums/ChallengeNameEnum';
 
 export class PrepareChallengeRequest {
@@ -8,8 +8,14 @@ export class PrepareChallengeRequest {
     @IsEnum(ChallengeNameEnum)
     challengeName!: ChallengeNameEnum;
 
+    // DEC-RBAC-094: email OPCIONAL y robusto a string vacío. Un usuario phone-primario (sin email)
+    // hace login MFA (SMS_OTP/TOTP) sin email; el trigger CreateAuthChallenge ya no manda ''. Se usa
+    // @ValidateIf (no @IsOptional) porque @IsOptional NO saltea '' — acá necesitamos que undefined,
+    // null y '' NO rompan la validación. Cuando email SÍ trae valor no vacío, debe ser un email válido.
+    // La rama EMAIL_OTP del preparer sigue exigiendo email en runtime (no se fuerza en el DTO). Ver DECISIONES.md.
+    @ValidateIf((o) => o.email !== undefined && o.email !== null && o.email !== '')
     @IsEmail()
-    email!: string;
+    email?: string;
 
     // DEC-RBAC-083: teléfono destino del challenge SMS_OTP. Lo popula el trigger CreateAuthChallenge
     // (JWTAuth-cognito) desde el atributo phone_number de Cognito, igual que email. Opcional: ausente

package/src/platformRbac/index.ts

@@ -106,6 +106,13 @@ export type {
     UpdateApplicationRequest,
     UpsertApplicationPermissionRequest,
 } from './application/requests';
+export type {
+    RoleScopeRecompute,
+    InconsistentAssignment,
+    CascadeTenantFailure,
+    CascadeReport,
+    UpdateApplicationPermissionResponse,
+} from './application/cascade';
 
 // Autoregistro self-service por tenant (DEC-RBAC-030..034). Los Request llevan decoradores
 // class-validator (export de valor — se hidratan con plainToInstance); los Response son interfaces