@nodefony/framework 10.0.0-alpha.7 → 10.0.0-alpha.9

package/dist/_virtual/{_@oxc-project_runtime@0.150.0 → _@oxc-project_runtime@0.151.0}/helpers/esm/decorate.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.150.0/helpers/esm/decorate.js
+//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorate.js
 function __decorate(decorators, target, key, desc) {
 	var c = arguments.length, r = c < 3 ? target : desc === null ? desc = Object.getOwnPropertyDescriptor(target, key) : desc, d;
 	if (typeof Reflect === "object" && typeof Reflect.decorate === "function") r = Reflect.decorate(decorators, target, key, desc);

package/dist/_virtual/{_@oxc-project_runtime@0.150.0 → _@oxc-project_runtime@0.151.0}/helpers/esm/decorateMetadata.js

@@ -1,4 +1,4 @@
-//#region \0@oxc-project+runtime@0.150.0/helpers/esm/decorateMetadata.js
+//#region \0@oxc-project+runtime@0.151.0/helpers/esm/decorateMetadata.js
 function __decorateMetadata(k, v) {
 	if (typeof Reflect === "object" && typeof Reflect.metadata === "function") return Reflect.metadata(k, v);
 }

package/dist/index.js

@@ -7,8 +7,8 @@ import Route from "./nodefony/src/Route.js";
 import Controller from "./nodefony/src/Controller.js";
 import { All, Anonymous, Body, BypassFirewall, Cookie, Csp, CsrfExempt, CsrfProtect, CurrentUser, Delete, Domain, Get, Head, Header, Headers, HttpCode, Idempotent, IsGranted, Options, Param, Patch, Post, Put, Query, Redirect, Req, RequireScope, Res, Scope, Session, UploadedFile, UploadedFiles, UseSession, controller, controllers, route, routeExpectsBodyStream } from "./nodefony/decorators/routerDecorators.js";
 import Resolver from "./nodefony/src/Resolver.js";
-import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.150.0/helpers/esm/decorateMetadata.js";
-import __decorate from "./_virtual/_@oxc-project_runtime@0.150.0/helpers/esm/decorate.js";
+import __decorateMetadata from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
+import __decorate from "./_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
 import router_default from "./nodefony/service/router.js";
 import ResourceController from "./nodefony/src/ResourceController.js";
 import AdminApiController from "./nodefony/controller/AdminApiController.js";
@@ -29,7 +29,7 @@ import { createFrameworkAdminApi } from "./nodefony/src/FrameworkAdminApi.js";
 import { createSyslogAdminApi } from "./nodefony/src/SyslogAdminApi.js";
 import Eta from "./nodefony/service/Eta.js";
 import path from "node:path";
-import { AUTO_STORE, EMPTY_INFRA, Kernel, Module, durableStoreRemedy, readStoreLocation, resolveAutoStore, runNeedsExternalServices, services } from "nodefony";
+import { AUTO_STORE, EMPTY_INFRA, Kernel, Module, durableStoreRemedy, readStoreConnector, readStoreLocation, resolveAutoStore, runNeedsExternalServices, services } from "nodefony";
 import { mergeResolvers, mergeTypeDefs } from "@graphql-tools/merge";
 import { makeExecutableSchema, mergeSchemas } from "@graphql-tools/schema";
 //#region index.ts
@@ -127,7 +127,8 @@ let Framework = class Framework extends Module {
 				available: listIdempotencyBackends(),
 				reason,
 				configPath: "framework.idempotency.store",
-				location: readStoreLocation(store)
+				location: readStoreLocation(store),
+				connector: readStoreConnector(store)
 			});
 			const idem = this.options.idempotency;
 			this.#idempotencyGc = scheduleIdempotencyGc(store, {

package/dist/nodefony/config/config.js

@@ -53,7 +53,8 @@ var config_default = {
 		},
 		"nodefony-admin": {
 			pattern: "^/nodefony/[^/]+/api(/|$)",
-			authenticators: ["session"]
+			authenticators: ["session"],
+			roles: ["ROLE_NODEFONY_ADMIN"]
 		}
 	} }
 };

package/dist/nodefony/controller/AdminApiController.js

@@ -150,13 +150,33 @@ var AdminApiController = class AdminApiController extends Controller {
 			idempotencyKey: resolveIdempotencyKey(als?.idempotencyKey, this.context?.request?.headers?.["idempotency-key"])
 		};
 	}
-	/** Extrait les rôles de l'utilisateur ALS sans coupler le core à `IUser`. */
+	/**
+	* Extrait les rôles de l'utilisateur ALS sans coupler le core à `IUser`, en
+	* y **ajoutant ceux que la hiérarchie leur fait couvrir**.
+	*
+	* Sans cet aplatissement, un point d'entrée qui exige `ROLE_DEV` refuserait
+	* un administrateur de plateforme qui le couvre pourtant par hiérarchie : la
+	* décision du plan d'administration est une comparaison de noms
+	* (`isAdminGranted`), là où le jury d'autorisation et le verrou de frame
+	* consultent tous deux la hiérarchie. Trois portes, un même rôle exigé, deux
+	* verdicts possibles — et c'est la porte qu'on relit le moins qui serait la
+	* plus stricte.
+	*
+	* Le parcours est résolu **par nom** (`roleHierarchy`), comme le moteur
+	* d'autorisation : `@nodefony/framework` n'importe jamais `@nodefony/security`.
+	* Absent (module de sécurité non chargé), on rend les rôles bruts — on ne
+	* perd donc jamais ce que l'appelant porte déjà.
+	*/
 	extractRoles(user) {
+		let roles = [];
 		if (user && typeof user === "object" && "roles" in user) {
-			const roles = user.roles;
-			if (Array.isArray(roles)) return roles.filter((r) => typeof r === "string");
+			const brut = user.roles;
+			if (Array.isArray(brut)) roles = brut.filter((r) => typeof r === "string");
 		}
-		return [];
+		if (roles.length === 0) return roles;
+		const walker = this.context?.container?.get("roleHierarchy");
+		if (!walker?.reachableRoles) return roles;
+		return [...walker.reachableRoles(roles)];
 	}
 };
 //#endregion

package/dist/nodefony/controller/ApiKeyController.js

@@ -142,7 +142,8 @@ function mountApiKeyRoutes(frameworkModule) {
 		path,
 		constructor: ApiKeyController,
 		classMethod,
-		requirements: { methods: [method] }
+		requirements: { methods: [method] },
+		areaRoleExempt: true
 	});
 	if (!Object.prototype.hasOwnProperty.call(ApiKeyController.prototype, "module")) router_default.setController(ApiKeyController, frameworkModule);
 	mounted = true;

package/dist/nodefony/controller/TotpController.js

@@ -120,7 +120,8 @@ function mountTotpRoutes(frameworkModule) {
 		path,
 		constructor: TotpController,
 		classMethod,
-		requirements: { methods: [method] }
+		requirements: { methods: [method] },
+		areaRoleExempt: true
 	});
 	if (!Object.prototype.hasOwnProperty.call(TotpController.prototype, "module")) router_default.setController(TotpController, frameworkModule);
 	mounted = true;

package/dist/nodefony/decorators/routerDecorators.js

@@ -904,7 +904,10 @@ function computeSecurityRequirement(ctor, method) {
 		...methodScopes
 	];
 	if (all.length === 0) return null;
-	return Object.freeze({ clauses: Object.freeze(all) });
+	return Object.freeze({
+		clauses: Object.freeze(all),
+		hasRoleClause: classClauses.length + methodClauses.length > 0
+	});
 }
 /**
 * P6 — Fusionne les directives `@Csp` (classe + méthode) en un jeu figé, ou

package/dist/nodefony/service/AdminBroker.js

@@ -1,5 +1,5 @@
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.150.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.150.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
 import router_default from "./router.js";
 import AdminApiController from "../controller/AdminApiController.js";
 import { ADMIN_DEFAULT_ROLE, Module, Service, injectable, resolveAdminRole } from "nodefony";
@@ -81,7 +81,8 @@ let AdminBroker = class AdminBroker extends Service {
 				path,
 				constructor: AdminApiController,
 				classMethod: "dispatch",
-				requirements: { methods }
+				requirements: { methods },
+				areaRoleExempt: true
 			});
 			this.byRouteName.set(name, {
 				name,

package/dist/nodefony/service/IdempotencyStore.js

@@ -1,5 +1,5 @@
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.150.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.150.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
 import { Module, Service, assertPageQuery, injectable } from "nodefony";
 //#region nodefony/service/IdempotencyStore.ts
 const serviceName = "idempotencyStore";

package/dist/nodefony/service/router.js

@@ -1,8 +1,8 @@
 import Route from "../src/Route.js";
 import { routeExpectsBodyStream } from "../decorators/routerDecorators.js";
 import Resolver from "../src/Resolver.js";
-import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.150.0/helpers/esm/decorateMetadata.js";
-import __decorate from "../../_virtual/_@oxc-project_runtime@0.150.0/helpers/esm/decorate.js";
+import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
+import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
 import { Module, Service, injectable } from "nodefony";
 import { HttpError, isDomainAllowed } from "@nodefony/http";
 //#region nodefony/service/router.ts
@@ -125,6 +125,7 @@ let Router = class Router extends Service {
 	resolve(context, cleanPathOverride, methodOverride) {
 		const resolver = new Resolver(context);
 		resolver.methodOverride = methodOverride ?? null;
+		resolver.messageInvocation = cleanPathOverride !== void 0;
 		const cleanPath = cleanPathOverride ?? Route.cleanPathname(context);
 		let index = routeIndex;
 		if (index === null || index.length !== routes.length || index.first !== routes[0] || index.last !== routes[routes.length - 1]) index = buildRouteIndex();

package/dist/nodefony/src/KernelAdminApi.js

@@ -2,7 +2,7 @@ import { CORE_PACKAGE, checkOutdated, countModuleDocs, listModuleDocs, listModul
 import { getResolvedPath, navigateSchemaNode, nodeFlags, notEditableReason, recipeFor, validateLeafValue } from "./configMutation.js";
 import { createRequire } from "node:module";
 import { join } from "node:path";
-import { GitService, Syslog, aggregateProvenance, applyResolvedPath, collectDevStatus, computeConfigProvenance, defaultAppConfig, extractJsonSchemaDefaults, extractMarkdownSection, flattenConfigSchema, getActiveLogDriver, listLogDrivers, outlineMarkdown, parseNfEnvOverrides, readResolvedPath } from "nodefony";
+import { GitService, Syslog, aggregateProvenance, applyResolvedPath, collectDevStatus, computeConfigProvenance, defaultAppConfig, extractJsonSchemaDefaults, extractMarkdownSection, flattenConfigSchema, getActiveLogDriver, listLogDrivers, outlineMarkdown, parseNfEnvOverrides, parseStoreManifest, readResolvedPath } from "nodefony";
 import { randomUUID } from "node:crypto";
 import { existsSync, readFileSync } from "node:fs";
 //#region nodefony/src/KernelAdminApi.ts
@@ -50,11 +50,11 @@ function readAdapterManifest(pkg) {
 	const pkgJson = join(REPO_ROOT, "node_modules", ...pkg.split("/"), "package.json");
 	try {
 		if (!existsSync(pkgJson)) return null;
-		const nf = JSON.parse(readFileSync(pkgJson, "utf8")).nodefony;
-		if (!nf || !Array.isArray(nf.stores)) return null;
+		const manifest = parseStoreManifest(JSON.parse(readFileSync(pkgJson, "utf8")));
+		if (!manifest?.provides) return null;
 		return {
-			storeKind: nf.storeKind === "cache" ? "cache" : "durable",
-			stores: nf.stores.filter((s) => typeof s === "string")
+			storeKind: manifest.storeKind,
+			stores: manifest.stores
 		};
 	} catch {
 		return null;
@@ -692,7 +692,12 @@ function createKernelAdminApi(kernel) {
 					if ((res.resolved === "drizzle" || res.resolved === "mongoose") && infra.database) return "NF_DATABASE_URL";
 					return null;
 				};
-				const registered = new Set(kernel.storeResolutions.flatMap((r) => [...r.available]));
+				const loadedPackages = /* @__PURE__ */ new Set();
+				for (const mod of Object.values(kernel.modules)) {
+					const npmName = mod.package?.name;
+					if (typeof npmName === "string") loadedPackages.add(npmName);
+					loadedPackages.add(mod.name);
+				}
 				return {
 					engines: OFFICIAL_STORE_ADAPTERS.map((a) => {
 						const manifest = readAdapterManifest(a.package);
@@ -703,7 +708,7 @@ function createKernelAdminApi(kernel) {
 							kind: manifest?.storeKind ?? "durable",
 							provides: manifest?.stores ?? [],
 							installed: manifest !== null || isPackageInstalled(a.package),
-							loaded: registered.has(a.engine)
+							loaded: loadedPackages.has(a.package) || loadedPackages.has(a.engine)
 						};
 					}),
 					infra: {

package/dist/nodefony/src/Resolver.js

@@ -13,6 +13,14 @@ import { Http2Response, HttpResponse, WebsocketResponse } from "@nodefony/http";
 * `context.container` (le cache `"controller"` y survit au Resolver : un
 * forward ou un 2ᵉ Resolver WS sur la MÊME connexion retrouve l'instance).
 */
+/**
+* Exigences d'autorisation dérivées des **zones** du firewall, mémoïsées par
+* zone (`Resolver._areaSecurity`). Les zones sont figées au boot : une entrée
+* par zone, fabriquée une fois pour la vie du processus. `WeakMap` plutôt que
+* `Map` pour ne pas retenir une zone d'un kernel arrêté — plusieurs kernels
+* cohabitent dans une même suite de tests.
+*/
+const areaRequirements = /* @__PURE__ */ new WeakMap();
 var Resolver = class {
 	injector;
 	controller = null;
@@ -44,6 +52,18 @@ var Resolver = class {
 	* sur `context.method`.
 	*/
 	methodOverride = null;
+	/**
+	* Cette résolution est-elle une invocation **par message** (pont WS-RPC
+	* `api.request`) plutôt que l'établissement de la connexion ?
+	*
+	* Posé par `Router.resolve` dès qu'un `cleanPathOverride` est fourni : c'est
+	* exactement ce qui distingue « la socket s'ouvre » de « la socket demande
+	* telle ressource ». Le premier n'accède à rien, le second accède — et seul
+	* le second doit subir le rôle par défaut de la zone ({@link _areaSecurity}),
+	* sans quoi l'ouverture même du tuyau deviendrait réservée aux
+	* administrateurs.
+	*/
+	messageInvocation = false;
 	constructor(context) {
 		this.context = context;
 		this.injector = context.container?.get("injector") ?? null;
@@ -152,6 +172,10 @@ var Resolver = class {
 	async executeAction(data, reload = false, metaArg) {
 		const meta = metaArg ?? (this.route ? resolveActionMeta(this.route) : computeActionMeta(this.controller, this.actionName));
 		if (meta.security !== null) await this._enforceSecurity(meta.security);
+		if (meta.security === null || !meta.security.hasRoleClause) {
+			const area = this._areaSecurity();
+			if (area !== null) await this._enforceSecurity(area);
+		}
 		let controller = this.context.container?.get("controller");
 		if (!controller || reload || this.controller && !(controller instanceof this.controller)) controller = await this.newController();
 		if (this.controller?.scope !== "singleton") {
@@ -282,6 +306,43 @@ var Resolver = class {
 		}
 	}
 	/**
+	* Exigence d'autorisation **héritée de la zone** du firewall, pour une route
+	* qui n'en déclare aucune — ou `null` quand il n'y a rien à appliquer.
+	*
+	* Pourquoi ce filet existe : une zone qui n'exige qu'une **identité** laisse
+	* toute route qu'elle couvre accessible à n'importe quel compte authentifié.
+	* Sur une surface d'administration, le défaut doit être l'inverse — l'oubli
+	* se solde par un refus, jamais par une fuite. Le rôle se déclare donc UNE
+	* fois sur la zone, au lieu d'être recopié sur chaque route.
+	*
+	* Trois dispenses, et elles sont toutes des déclarations explicites :
+	* `bypassFirewall` (la route EST le mécanisme d'authentification),
+	* {@link Route.areaRoleExempt} (le pont du plan d'administration, qui résout un
+	* rôle par point d'entrée), et une garde d'action — traitée par l'appelant,
+	* qui n'entre ici que si `meta.security` est nul.
+	*
+	* L'exigence est **mémoïsée par zone** : les zones sont figées au boot et se
+	* comptent sur une main, donc la fabrication n'a lieu qu'une fois par zone
+	* sur la vie du processus — le hot path ne fait qu'un `get` de `WeakMap`.
+	*
+	* @returns l'exigence à évaluer, ou `null` s'il n'y en a aucune.
+	*/
+	_areaSecurity() {
+		if (this.bypassFirewall) return null;
+		if (this.route?.areaRoleExempt) return null;
+		if (this.context.method === "WEBSOCKET" && !this.messageInvocation) return null;
+		const area = this.context.security;
+		if (!area || !area.security) return null;
+		const roles = area.roles;
+		if (roles === null || roles.length === 0) return null;
+		let requirement = areaRequirements.get(area);
+		if (requirement === void 0) {
+			requirement = Object.freeze({ clauses: Object.freeze([Object.freeze({ anyOf: roles })]) });
+			areaRequirements.set(area, requirement);
+		}
+		return requirement;
+	}
+	/**
 	* Évalue l'exigence d'autorisation (`@IsGranted`) d'une action via le service
 	* `authorization` (par nom, 0 import security). Clauses en **AND**, attributs
 	* d'une clause en **OR**. Refus (ou moteur/identité absents) → 403 (Zero Trust,

package/dist/nodefony/src/Route.js

@@ -140,6 +140,11 @@ var Route = class Route {
 	varRegexp;
 	bypassFirewall = false;
 	/**
+	* La route décide seule de son autorisation → la zone du firewall n'applique
+	* pas son rôle par défaut. Cf {@link RouteOptions.areaRoleExempt}.
+	*/
+	areaRoleExempt = false;
+	/**
 	* P2.9 — Cache mémoïsé : l'action attend-elle le **flux brut** du body
 	* (`@Body({ stream:true })`) ? `undefined` = pas encore calculé (résolu au 1er
 	* `routeExpectsBodyStream(route)` via lecture `Reflect` des `ParamMeta`, O(1)
@@ -174,6 +179,7 @@ var Route = class Route {
 			this.setDefaults(obj.defaults);
 			this.requirements = obj.requirements || {};
 			this.bypassFirewall = obj.bypassFirewall ?? false;
+			this.areaRoleExempt = obj.areaRoleExempt ?? false;
 			this.compile();
 		}
 		this.generateId();
@@ -335,7 +341,7 @@ var Route = class Route {
 		const ctrl = this.controller?.name || "?";
 		const action = this.classMethod || this.name;
 		const mod = this.module?.name ? `@${this.module.name}/` : "";
-		const auth = this.bypassFirewall ? "  (no auth)" : "";
+		const auth = this.bypassFirewall ? "  (no auth)" : this.areaRoleExempt ? "  (hors rôle de zone)" : "";
 		return `${method} ${this.path} → ${mod}${ctrl}.${action}${auth}`;
 	}
 	toObject() {
@@ -348,7 +354,8 @@ var Route = class Route {
 			filePath: this.filePath,
 			schemes: this.schemes,
 			variables: this.variables,
-			bypassFirewall: this.bypassFirewall
+			bypassFirewall: this.bypassFirewall,
+			areaRoleExempt: this.areaRoleExempt
 		};
 	}
 	setDefaults(arg) {

package/dist/types/nodefony/config/config.d.ts

@@ -34,6 +34,7 @@ declare const _default: {
             "nodefony-admin": {
                 pattern: string;
                 authenticators: string[];
+                roles: string[];
             };
         };
     };

package/dist/types/nodefony/controller/AdminApiController.d.ts

@@ -64,7 +64,23 @@ declare class AdminApiController extends Controller {
     private idempotencyGate;
     /** Projette le Context courant en requête admin normalisée. */
     private buildRequest;
-    /** Extrait les rôles de l'utilisateur ALS sans coupler le core à `IUser`. */
+    /**
+     * Extrait les rôles de l'utilisateur ALS sans coupler le core à `IUser`, en
+     * y **ajoutant ceux que la hiérarchie leur fait couvrir**.
+     *
+     * Sans cet aplatissement, un point d'entrée qui exige `ROLE_DEV` refuserait
+     * un administrateur de plateforme qui le couvre pourtant par hiérarchie : la
+     * décision du plan d'administration est une comparaison de noms
+     * (`isAdminGranted`), là où le jury d'autorisation et le verrou de frame
+     * consultent tous deux la hiérarchie. Trois portes, un même rôle exigé, deux
+     * verdicts possibles — et c'est la porte qu'on relit le moins qui serait la
+     * plus stricte.
+     *
+     * Le parcours est résolu **par nom** (`roleHierarchy`), comme le moteur
+     * d'autorisation : `@nodefony/framework` n'importe jamais `@nodefony/security`.
+     * Absent (module de sécurité non chargé), on rend les rôles bruts — on ne
+     * perd donc jamais ce que l'appelant porte déjà.
+     */
     private extractRoles;
 }
 export default AdminApiController;

package/dist/types/nodefony/decorators/routerDecorators.d.ts

@@ -121,6 +121,20 @@ export interface SecurityClause {
 export interface SecurityRequirement {
     /** Clauses en AND — toutes doivent être accordées (chacune est un OR interne). */
     readonly clauses: readonly SecurityClause[];
+    /**
+     * L'exigence porte-t-elle au moins une clause de **rôle** (`@IsGranted`), par
+     * opposition à des clauses de **scope** seules (`@RequireScope`) ?
+     *
+     * Les deux axes sont orthogonaux : un rôle dit QUI tu es, un scope dit ce
+     * qu'une clé déléguée peut faire EN TON NOM. Une action gardée par un scope
+     * seul n'a donc rien décidé de l'identité — et sur une session humaine le
+     * voter de scope accorde sans condition, puisqu'il ne contraint que les clés
+     * machine. C'est ce que lit le rôle par défaut d'une zone pour savoir s'il
+     * doit s'appliquer EN PLUS (`Resolver`) : sans cette distinction, un
+     * `@RequireScope` seul dispenserait du rôle de zone et ouvrirait la route à
+     * tout compte connecté.
+     */
+    readonly hasRoleClause: boolean;
 }
 /**
  * Directives CSP additionnelles déclarées par une action (`@Csp`) :

package/dist/types/nodefony/src/Resolver.d.ts

@@ -16,16 +16,6 @@ import { type RouteActionMeta, type RedirectMeta } from "../decorators/routerDec
 export interface ControllerWithInitialize {
     initialize(): Promise<this>;
 }
-/**
- * Résout une route vers son couple controller/action et exécute l'action —
- * UN Resolver est alloué par requête HTTP (et par connexion WS, réutilisé
- * par message). **POJO volontaire** (V3.1) : n'étend PAS `Service` — le
- * plumbing Service (Map de listeners trackés, spread d'options, lookups
- * kernel/syslog) coûtait par requête sans aucun consommateur (jamais écouté,
- * jamais loggé, jamais dans le container). Le DI per-request passe par
- * `context.container` (le cache `"controller"` y survit au Resolver : un
- * forward ou un 2ᵉ Resolver WS sur la MÊME connexion retrouve l'instance).
- */
 declare class Resolver implements IResolver {
     injector?: Injector | null;
     controller: ControllerConstructor | null;
@@ -57,6 +47,18 @@ declare class Resolver implements IResolver {
      * sur `context.method`.
      */
     methodOverride: string | null;
+    /**
+     * Cette résolution est-elle une invocation **par message** (pont WS-RPC
+     * `api.request`) plutôt que l'établissement de la connexion ?
+     *
+     * Posé par `Router.resolve` dès qu'un `cleanPathOverride` est fourni : c'est
+     * exactement ce qui distingue « la socket s'ouvre » de « la socket demande
+     * telle ressource ». Le premier n'accède à rien, le second accède — et seul
+     * le second doit subir le rôle par défaut de la zone ({@link _areaSecurity}),
+     * sans quoi l'ouverture même du tuyau deviendrait réservée aux
+     * administrateurs.
+     */
+    messageInvocation: boolean;
     constructor(context: ContextType);
     match(route: Route, context: ContextType, cleanPath?: string): ((string | null)[] & Record<string, unknown>) | null | undefined;
     /**
@@ -133,6 +135,29 @@ declare class Resolver implements IResolver {
      * le pont (`executeActionGuarded`) enveloppe la valeur nue.
      */
     private _callWithIdempotency;
+    /**
+     * Exigence d'autorisation **héritée de la zone** du firewall, pour une route
+     * qui n'en déclare aucune — ou `null` quand il n'y a rien à appliquer.
+     *
+     * Pourquoi ce filet existe : une zone qui n'exige qu'une **identité** laisse
+     * toute route qu'elle couvre accessible à n'importe quel compte authentifié.
+     * Sur une surface d'administration, le défaut doit être l'inverse — l'oubli
+     * se solde par un refus, jamais par une fuite. Le rôle se déclare donc UNE
+     * fois sur la zone, au lieu d'être recopié sur chaque route.
+     *
+     * Trois dispenses, et elles sont toutes des déclarations explicites :
+     * `bypassFirewall` (la route EST le mécanisme d'authentification),
+     * {@link Route.areaRoleExempt} (le pont du plan d'administration, qui résout un
+     * rôle par point d'entrée), et une garde d'action — traitée par l'appelant,
+     * qui n'entre ici que si `meta.security` est nul.
+     *
+     * L'exigence est **mémoïsée par zone** : les zones sont figées au boot et se
+     * comptent sur une main, donc la fabrication n'a lieu qu'une fois par zone
+     * sur la vie du processus — le hot path ne fait qu'un `get` de `WeakMap`.
+     *
+     * @returns l'exigence à évaluer, ou `null` s'il n'y en a aucune.
+     */
+    private _areaSecurity;
     /**
      * Évalue l'exigence d'autorisation (`@IsGranted`) d'une action via le service
      * `authorization` (par nom, 0 import security). Clauses en **AND**, attributs

package/dist/types/nodefony/src/Route.d.ts

@@ -37,6 +37,29 @@ export interface RouteOptions {
      * le mécanisme qu'elles servent. Défaut `false` (Zero Trust).
      */
     bypassFirewall?: boolean;
+    /**
+     * **INTERNE — n'est pas destiné aux applications.** Soustrait la route au
+     * rôle exigé par défaut dans sa zone du firewall (`ISecuredArea.roles`).
+     *
+     * Le nom dit ce que le drapeau FAIT, et non ce qu'il promettrait : il
+     * n'installe **aucune** garde, il en retire une. Posé sur une route qui ne
+     * décide de rien, il la rend accessible à tout compte connecté, en silence.
+     * C'est pourquoi un contrôle refuse toute route qui le porte hors des
+     * producteurs déclarés du framework — voir
+     * `tests/unit/areaRoleExemptInventory.test.ts`.
+     *
+     * Les deux seuls usages légitimes, tous deux internes : le pont du plan
+     * d'administration, qui résout un rôle **par point d'entrée**
+     * (`resolveAdminRole`) sous une route unique ; et les routes de gestion des
+     * clés personnelles, dont l'action est scopée au porteur courant. Sans eux,
+     * une zone fermée au rôle d'administrateur ferait disparaître le
+     * self-service (`me`, `sessions/mine`, `keys`) pour son propre destinataire.
+     *
+     * Une application qui veut protéger sa route déclare une garde
+     * (`@IsGranted`) : c'est une décision qui se relit, là où ceci est une
+     * exception qui se justifie. Défaut `false`.
+     */
+    areaRoleExempt?: boolean;
 }
 export interface RouteRequirements {
     domain?: string | string[];
@@ -85,6 +108,11 @@ declare class Route implements IRoute {
     methodsAllow?: string;
     varRegexp?: Record<string, RegExp>;
     bypassFirewall: boolean;
+    /**
+     * La route décide seule de son autorisation → la zone du firewall n'applique
+     * pas son rôle par défaut. Cf {@link RouteOptions.areaRoleExempt}.
+     */
+    areaRoleExempt: boolean;
     /**
      * P2.9 — Cache mémoïsé : l'action attend-elle le **flux brut** du body
      * (`@Body({ stream:true })`) ? `undefined` = pas encore calculé (résolu au 1er

package/docs/admin.md

@@ -264,8 +264,8 @@ sequenceDiagram
 
 | #   | Étape                                     | Où                                                         |
 | --- | ----------------------------------------- | ---------------------------------------------------------- |
-| 1   | Le producteur s'enregistre                | `AdminBroker.register()` (`AdminBroker.ts:45`)             |
-| 2   | Le framework monte tout                   | `AdminBroker.mountAll()` (`AdminBroker.ts:104`)            |
+| 1   | Le producteur s'enregistre                | `AdminBroker.register()` (`AdminBroker.ts:53`)             |
+| 2   | Le framework monte tout                   | `AdminBroker.mountAll()` (`AdminBroker.ts:112`)            |
 | 3   | Une route par endpoint (nom déterministe) | `Router.createRoute()` (`AdminBroker.ts:124`)              |
 | 4   | Le controller pont estampillé une fois    | `Router.setController()` idempotent (`AdminBroker.ts:146`) |
 | 5   | Dispatch : lookup de la route             | `AdminBroker.resolve()` (`AdminApiController.ts:94`)       |
@@ -275,15 +275,15 @@ sequenceDiagram
 Points de conception saillants :
 
 - **Le montage FIGE les routes.** Après `mountAll()`, tout `register()` lève
-  (`AdminBroker.ts:46`) : on ne monte pas une route à chaud (Zero surprise en prod). Le broker garde
+  (`AdminBroker.ts:53`) : on ne monte pas une route à chaud (Zero surprise en prod). Le broker garde
   la trace via son drapeau `mounted`.
-- **Le nom de route est déterministe** : `admin.<ns>.<method>.<path>` (`AdminBroker.ts:114`) — c'est
+- **Le nom de route est déterministe** : `admin.<ns>.<method>.<path>` (`AdminBroker.ts:123`) — c'est
   la clé du lookup O(1) que le pont refait à chaque requête.
 - **`Router.setController` n'est appelé qu'une fois** par process (`AdminBroker.ts:146`) : il pose
   une propriété non réinscriptible sur le prototype ; une garde `hasOwnProperty` rend l'appel
   idempotent (multi-broker en test, re-boot).
 - **Le catalogue se construit à la volée** depuis `AdminBroker.list()` + `AdminBroker.routes()`
-  (`AdminBroker.ts:100`) — jamais un état retenu.
+  (`AdminBroker.ts:108`) — jamais un état retenu.
 
 > [!IMPORTANT]
 > Convention de route **figée** : le data plane est toujours en **≥ 3 segments**
@@ -310,8 +310,8 @@ La décision est **fail-closed** : un authentifié **sans** le rôle requis —
 laissez-passer.
 
 - **Rôle par défaut** : sans `role` explicite, un endpoint exige `ROLE_NODEFONY_ADMIN`
-  (`AdminBroker.ts:112` ; défaut du champ `IAdminEndpoint.role`, `IAdminApi.ts:152`).
-- **Endpoint public** : `public: true` (`IAdminApi.ts:152`) → le RBAC du broker est court-circuité
+  (`AdminBroker.ts:112` ; défaut du champ `IAdminEndpoint.role`, `IAdminApi.ts:166`).
+- **Endpoint public** : `public: true` (`IAdminApi.ts:175`) → le RBAC du broker est court-circuité
   (`role === ""`, `adminRbac.ts:26`). À réserver aux sondes cloud-native (liveness/readiness) et à
   placer hors d'une zone fermée — sinon le firewall verrouille en amont. Exemple réel :
   `GET /nodefony/kernel/api/livez` (`KernelAdminApi.ts:615`), sorti de `nodefony-admin` par la zone
@@ -334,7 +334,7 @@ montée avec `[method, "WEBSOCKET"]`. Elle devient donc invocable par le pont WS
   expose son statut.
 
 Les **mutations** sont pontables par socket. La sécurité d'écriture repose alors sur l'**idempotence**
-(`idempotencyGate()`, `AdminApiController.ts:158`) : la clé `Idempotency-Key` est **obligatoire en
+(`idempotencyGate()`, `AdminApiController.ts:131`) : la clé `Idempotency-Key` est **obligatoire en
 WS** (une socket reconnecte et rejoue), **optionnelle en HTTP** (`required: false`,
 `AdminApiController.ts:184`). Un `GET` n'est jamais idempotenté (`AdminApiController.ts:149`) ; la
 porte est évaluée **après** le RBAC (un 403 ne consomme aucune entrée). Le helper est le **même** que
@@ -364,18 +364,18 @@ sont enregistrés au `onKernelReady` du framework :
 
 | Namespace   | Producteur                                            | Rôle                                              |
 | ----------- | ----------------------------------------------------- | ------------------------------------------------- |
-| `kernel`    | `createKernelAdminApi` (`KernelAdminApi.ts:468`)      | modules, process, uptime, `livez`                 |
-| `framework` | `createFrameworkAdminApi` (`FrameworkAdminApi.ts:40`) | dump du Router + **catalogue** + Playground (dev) |
+| `kernel`    | `createKernelAdminApi` (`KernelAdminApi.ts:582`)      | modules, process, uptime, `livez`                 |
+| `framework` | `createFrameworkAdminApi` (`FrameworkAdminApi.ts:86`) | dump du Router + **catalogue** + Playground (dev) |
 | `syslog`    | `createSyslogAdminApi` (`SyslogAdminApi.ts:95`)       | viewer de logs (dev)                              |
 
 Les modules externes s'enregistrent depuis leur propre `onKernelBoot` :
 
-| Namespace  | Module               | Enregistrement                                      |
-| ---------- | -------------------- | --------------------------------------------------- |
-| `http`     | `@nodefony/http`     | `createHttpAdminApi` (`http/index.ts:121`)          |
-| `security` | `@nodefony/security` | `registerSecurityAdminApi` (`security/index.ts:94`) |
-| `user`     | `@nodefony/user`     | `adminNamespace` (`UserAdminApi.ts:879`)            |
-| `orm`      | `@nodefony/orm-core` | `adminNamespace` (`OrmAdminApi.ts:537`)             |
+| Namespace  | Module               | Enregistrement                                       |
+| ---------- | -------------------- | ---------------------------------------------------- |
+| `http`     | `@nodefony/http`     | `createHttpAdminApi` (`http/index.ts:121`)           |
+| `security` | `@nodefony/security` | `registerSecurityAdminApi` (`security/index.ts:104`) |
+| `user`     | `@nodefony/user`     | `adminNamespace` (`UserAdminApi.ts:945`)             |
+| `orm`      | `@nodefony/orm-core` | `adminNamespace` (`OrmAdminApi.ts:709`)              |
 
 Pour le détail de chacun, se reporter à la doc de son module — le broker reste agnostique de leur
 contenu.
@@ -389,14 +389,14 @@ recopiées ici (elles s'y périmeraient).
 
 | Membre (`IAdminBroker`)  | Rôle                                                     | Ancre                |
 | ------------------------ | -------------------------------------------------------- | -------------------- |
-| `register(api)`          | Enregistre un producteur (throw si namespace pris/monté) | `AdminBroker.ts:45`  |
-| `unregister(ns)`         | Retire un producteur (et ses routes si montées)          | `AdminBroker.ts:61`  |
-| `has(ns)` / `getApi(ns)` | Interrogation du registre                                | `AdminBroker.ts:79`  |
-| `list()`                 | Producteurs enregistrés (immuable)                       | `AdminBroker.ts:87`  |
-| `resolvePath(ns, path)`  | Chemin absolu d'un endpoint sans le monter               | `AdminBroker.ts:91`  |
-| `mountAll()`             | Monte toutes les routes (idempotent)                     | `AdminBroker.ts:104` |
-| `resolve(routeName)`     | Lookup O(1) d'une route montée (utilisé par le pont)     | `AdminBroker.ts:96`  |
-| `routes()`               | Introspection des routes montées (source du catalogue)   | `AdminBroker.ts:100` |
+| `register(api)`          | Enregistre un producteur (throw si namespace pris/monté) | `AdminBroker.ts:53`  |
+| `unregister(ns)`         | Retire un producteur (et ses routes si montées)          | `AdminBroker.ts:69`  |
+| `has(ns)` / `getApi(ns)` | Interrogation du registre                                | `AdminBroker.ts:91`  |
+| `list()`                 | Producteurs enregistrés (immuable)                       | `AdminBroker.ts:95`  |
+| `resolvePath(ns, path)`  | Chemin absolu d'un endpoint sans le monter               | `AdminBroker.ts:99`  |
+| `mountAll()`             | Monte toutes les routes (idempotent)                     | `AdminBroker.ts:112` |
+| `resolve(routeName)`     | Lookup O(1) d'une route montée (utilisé par le pont)     | `AdminBroker.ts:104` |
+| `routes()`               | Introspection des routes montées (source du catalogue)   | `AdminBroker.ts:108` |
 
 ## 📡 Observabilité — Studio
 
@@ -416,7 +416,7 @@ recopiées ici (elles s'y périmeraient).
 
 | Symptôme                                         | Cause (dans le code)                                                               | Correction                                                                           |
 | ------------------------------------------------ | ---------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------ |
-| `register()` throw « routes figées »             | Appel **après** `mountAll()` (`AdminBroker.ts:46`)                                 | Enregistrer au `onKernelBoot`, pas plus tard                                         |
+| `register()` throw « routes figées »             | Appel **après** `mountAll()` (`AdminBroker.ts:112`)                                | Enregistrer au `onKernelBoot`, pas plus tard                                         |
 | `register()` throw « namespace déjà enregistré » | Deux producteurs sur le même `adminNamespace` (`AdminBroker.ts:51`)                | Namespace unique ; garder `register()` idempotent (`has(ns)` avant)                  |
 | 401 sur toute route `/nodefony/<ns>/api/*`       | Zone `nodefony-admin` : pas de session BFF (`config.ts:141`)                       | S'authentifier (login BFF) ; pour une sonde publique → `public: true` + zone anonyme |
 | 403 alors qu'on est connecté                     | Rôle manquant, `isAdminGranted` fail-closed (`adminRbac.ts:24`)                    | Doter le compte du rôle requis (défaut `ROLE_NODEFONY_ADMIN`)                        |