[DTP-Worker] Sprint 8 · buffer L75 · Surface RBAC non gatée : 3 READMEs de module (roleprofile · apply_plan · userperm) recopiaient À LA MAIN des comptes dérivés des out/MANIFEST.json byte-gatés (recalculés du contrat rbac_50_roles.json à chaque build) sans AUCUN gate — table « Nb rôles » par profil (6 lignes + total bijectif 50), ligne agrégée « 6 étapes · 50 rôles / 116 DocPerm / 28 UP templates / 6 Role Profile · 4 DocType custom + 5 Company + 4 rôles » (8 comptes de tous les volets) et ventilation « 28 entite · 16 groupe · 2 own · 4 equipe » ; ajouter un rôle/DocType ferait dériver les trois docs en silence → nouveau bloc dans check_readme_claims recomputant chaque nombre depuis le MANIFEST du volet (10 checks · 3 morsures vérifiées : dérive par-profil · dérive agrégat consolidé · dérive ventilation ; claim absent = red)
Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
This commit is contained in:
Claude Code DTP Worker
@@ -47,6 +47,12 @@
|
||||
# DEUX docs (table du README + prose « OTO Ventes 4 cartes/11 liens/12
|
||||
# rôles ») + total « N Workspace natifs » → portails MANIFEST
|
||||
# (tableau `workspaces`, byte-gaté par check_artifacts)
|
||||
# rbac/{roleprofile_gen,apply_plan,userperm_gen}/README.md (comptes 3 volets) :
|
||||
# • table « Nb rôles » PAR profil + total bijectif → roleprofile MANIFEST
|
||||
# • ligne agrégée « 6 étapes · 50 rôles / 116 DocPerm / 28 UP / 6 Role
|
||||
# Profile · 4 DocType custom + 5 Company + 4 rôles » → apply_plan MANIFEST
|
||||
# • ventilation « 28 entite · 16 groupe · 2 own · 4 equipe » → userperm MANIFEST
|
||||
# (les 3 MANIFEST recalculés du contrat rbac_50_roles.json, byte-gatés)
|
||||
# Un claim absent échoue AUSSI (la dérive de formulation qui ferait disparaître
|
||||
# un chiffre est elle-même une régression de traçabilité).
|
||||
#
|
||||
@@ -461,6 +467,123 @@ if n_ws:
|
||||
bad(f"Portails fiche · total — {WS_FI} dit {mtot.group(1)} MAIS "
|
||||
f"MANIFEST dit {n_ws} → régénérer la fiche")
|
||||
|
||||
# ============================================================================
|
||||
# RBAC · comptes des 3 volets (roleprofile · apply_plan · userperm) —
|
||||
# même classe de « vert trompeur », recopiés À LA MAIN depuis les MANIFEST.
|
||||
# ----------------------------------------------------------------------------
|
||||
# Les trois générateurs RBAC émettent, PAR volet, un out/MANIFEST.json recalculé
|
||||
# à chaque build depuis le contrat `rbac_50_roles.json` (byte-gaté par
|
||||
# check_artifacts ⇒ source faisant autorité). Trois READMEs de module rédigent à
|
||||
# LA MAIN des comptes qui dérivent de ces manifestes, sans AUCUN gate :
|
||||
# 1) roleprofile_gen/README.md — table « Nb rôles » PAR profil (6 lignes) +
|
||||
# total. Grain le plus fin (par item), comme la colonne « Tests » des fiches.
|
||||
# 2) apply_plan/README.md — ligne AGRÉGÉE « Génération réelle : 6 étapes · 50
|
||||
# rôles / 116 DocPerm / 28 UP templates / 6 Role Profile · confirmations VPS
|
||||
# 4 DocType custom + 5 Company + 4 rôles equipe » : 8 comptes consolidés de
|
||||
# TOUS les volets en une phrase.
|
||||
# 3) userperm_gen/README.md — « Répartition : 28 entite · 16 groupe · 2 own ·
|
||||
# 4 equipe » : la ventilation par mécanisme d'enforcement.
|
||||
# Ajouter un rôle/DocType au contrat ferait dériver LES TROIS docs en silence
|
||||
# pendant que les MANIFEST (byte-gatés) disent autre chose — même piège que les
|
||||
# cellules « Tests », la prose agrégée CRM/RBAC et les triplets par workspace. On
|
||||
# RECOMPUTE ici chaque nombre depuis le MANIFEST du volet (zéro duplication des
|
||||
# compteurs des générateurs) et on exige l'égalité avec ce que la doc ÉCRIT. Un
|
||||
# claim absent échoue AUSSI (disparition = régression de traçabilité).
|
||||
# ============================================================================
|
||||
def read_norm(path):
|
||||
try:
|
||||
return re.sub(r"\s+", " ", open(path, encoding="utf-8").read())
|
||||
except OSError as e:
|
||||
bad(f"RBAC · {path} illisible : {e}"); return None
|
||||
|
||||
# 1) roleprofile_gen — table « Nb rôles » par profil + total bijectif -----------
|
||||
RP_RD = f"{D}/rbac/roleprofile_gen/README.md"
|
||||
try:
|
||||
rp_man = load("rbac/roleprofile_gen/out/MANIFEST.json")
|
||||
except (OSError, KeyError, ValueError) as e:
|
||||
bad(f"RBAC roleprofile · MANIFEST illisible : {e}"); rp_man = None
|
||||
rp_rd = read_norm(RP_RD)
|
||||
if rp_man is not None and rp_rd is not None:
|
||||
for p in rp_man["profiles"]:
|
||||
name, portail, exp = p["role_profile"], p["portail"], str(p["nb_roles"])
|
||||
pat = (rf"\| `{re.escape(name)}` \| {re.escape(portail)} \| "
|
||||
r"[^|]*\| (\d+) \|")
|
||||
m = re.search(pat, rp_rd)
|
||||
if m is None:
|
||||
bad(f"RBAC roleprofile · {name} — ligne INTROUVABLE dans {RP_RD} "
|
||||
f"(attendu nb_roles={exp})")
|
||||
elif m.group(1) == exp:
|
||||
good(f"RBAC roleprofile · {name} — Nb rôles {m.group(1)} == MANIFEST ({exp})")
|
||||
else:
|
||||
bad(f"RBAC roleprofile · {name} — {RP_RD} dit {m.group(1)} MAIS "
|
||||
f"MANIFEST dit {exp} → régénérer le README")
|
||||
exp_tot = str(rp_man["counts"]["roles_couverts"])
|
||||
mt = re.search(r"\*\*Total\*\* \| \*\*(\d+)\*\*", rp_rd)
|
||||
if mt is None:
|
||||
bad(f"RBAC roleprofile · total — ligne « Total » INTROUVABLE dans {RP_RD} "
|
||||
f"(attendu {exp_tot})")
|
||||
elif mt.group(1) == exp_tot:
|
||||
good(f"RBAC roleprofile · total — {mt.group(1)} == MANIFEST ({exp_tot} couverts)")
|
||||
else:
|
||||
bad(f"RBAC roleprofile · total — {RP_RD} dit {mt.group(1)} MAIS MANIFEST "
|
||||
f"dit {exp_tot} → régénérer le README")
|
||||
|
||||
# 2) apply_plan — ligne « Génération réelle » agrégeant les 3 volets ------------
|
||||
AP_RD = f"{D}/rbac/apply_plan/README.md"
|
||||
try:
|
||||
ap_man = load("rbac/apply_plan/out/MANIFEST.json")
|
||||
ap_steps = len(load("rbac/apply_plan/out/apply_plan.json"))
|
||||
except (OSError, KeyError, ValueError) as e:
|
||||
bad(f"RBAC apply_plan · artefact illisible : {e}"); ap_man = None
|
||||
ap_rd = read_norm(AP_RD)
|
||||
if ap_man is not None and ap_rd is not None:
|
||||
c, v = ap_man["counts"], ap_man["confirmations_vps"]
|
||||
ap_exp = (str(ap_steps), str(c["roles"]), str(c["custom_docperm"]),
|
||||
str(c["user_permission_templates"]), str(c["role_profiles"]),
|
||||
str(len(v["custom_doctypes"])), str(len(v["companies"])),
|
||||
str(len(v["roles_scope_equipe"])))
|
||||
ap_src = (f"étapes={ap_exp[0]} rôles={ap_exp[1]} docperm={ap_exp[2]} "
|
||||
f"up={ap_exp[3]} role_profiles={ap_exp[4]} custom_dt={ap_exp[5]} "
|
||||
f"companies={ap_exp[6]} equipe={ap_exp[7]}")
|
||||
ap_pat = (r"\*\*(\d+) étapes\*\* · (\d+) rôles / (\d+) DocPerm / "
|
||||
r"(\d+) UP templates / (\d+) Role Profile · confirmations VPS "
|
||||
r"(\d+) DocType custom \+ (\d+) Company \+ (\d+) rôles")
|
||||
ma = re.search(ap_pat, ap_rd)
|
||||
if ma is None:
|
||||
bad(f"RBAC apply_plan · « Génération réelle » — claim INTROUVABLE dans "
|
||||
f"{AP_RD} (attendu {ap_src})")
|
||||
elif ma.groups() == ap_exp:
|
||||
good(f"RBAC apply_plan · agrégat — {AP_RD} {'/'.join(ma.groups())} == "
|
||||
f"MANIFEST ({ap_src})")
|
||||
else:
|
||||
bad(f"RBAC apply_plan · {AP_RD} dit {'/'.join(ma.groups())} MAIS MANIFEST "
|
||||
f"dit {'/'.join(ap_exp)} ({ap_src}) → régénérer le README")
|
||||
|
||||
# 3) userperm — ventilation par mécanisme d'enforcement -------------------------
|
||||
UP_RD = f"{D}/rbac/userperm_gen/README.md"
|
||||
try:
|
||||
up_bm = load("rbac/userperm_gen/out/MANIFEST.json")["counts"]["by_mechanism"]
|
||||
except (OSError, KeyError, ValueError) as e:
|
||||
bad(f"RBAC userperm · MANIFEST illisible : {e}"); up_bm = None
|
||||
up_rd = read_norm(UP_RD)
|
||||
if up_bm is not None and up_rd is not None:
|
||||
up_exp = (str(up_bm["user_permission_company"]), str(up_bm["none_consolidated"]),
|
||||
str(up_bm["docperm_if_owner"]), str(up_bm["vps_confirm_team"]))
|
||||
up_src = (f"entite={up_exp[0]} groupe={up_exp[1]} own={up_exp[2]} "
|
||||
f"equipe={up_exp[3]}")
|
||||
up_pat = (r"\*\*(\d+)\*\* `entite` · \*\*(\d+)\*\* `groupe` · "
|
||||
r"\*\*(\d+)\*\* `own` · \*\*(\d+)\*\* `equipe`")
|
||||
mu = re.search(up_pat, up_rd)
|
||||
if mu is None:
|
||||
bad(f"RBAC userperm · répartition — claim INTROUVABLE dans {UP_RD} "
|
||||
f"(attendu {up_src})")
|
||||
elif mu.groups() == up_exp:
|
||||
good(f"RBAC userperm · répartition — {UP_RD} {'/'.join(mu.groups())} == "
|
||||
f"MANIFEST ({up_src})")
|
||||
else:
|
||||
bad(f"RBAC userperm · {UP_RD} dit {'/'.join(mu.groups())} MAIS MANIFEST "
|
||||
f"dit {'/'.join(up_exp)} ({up_src}) → régénérer le README")
|
||||
|
||||
sys.exit(1 if FAIL else 0)
|
||||
PY
|
||||
rc=$?
|
||||
|
||||
Reference in New Issue
Block a user