Permissions

Matrice RBAC avec 143 permissions granulaires sur 7 rôles.

Sommaire

• Vue d'ensemble
• Hiérarchie des rôles
• Matrice complète par catégorie
• Résumé par rôle
• Fonctions utilitaires
• Utilisation dans les routers tRPC
• Ajouter une nouvelle permission

Vue d'ensemble

HeartCo utilise un système de contrôle d'accès basé sur les rôles (RBAC) défini dans un fichier unique qui sert de source de vérité.

Fichier : src/lib/permissions/matrix.ts

Hiérarchie des rôles

ADMIN (0) ─── Accès total
  │
DIRECTION (1) ─── Lecture étendue, validation
  │
MANAGER (2) ─── Gestion opérationnelle
  │
HR (3) / ACCOUNTANT (3) ─── Fonctions spécialisées
  │
COLLABORATOR (4) ─── Accès limité (ses données)
  │
CLIENT (99) ─── Portail uniquement (0 permission)

HR et ACCOUNTANT sont au même niveau hiérarchique mais avec des jeux de permissions différents.

Matrice complète par catégorie

Facturation (9 permissions)

Devis (6 permissions)

Comptabilité (3 permissions)

Clients (5 permissions)

CRM (5 permissions)

Notes de frais (6 permissions)

Projets (4 permissions)

Bons de travail (4 permissions)

Rapports terrain (6 permissions)

RH (6 permissions)

Membres (4 permissions)

Feuilles de temps (4 permissions)

Settings (6 permissions)

Marketing (3 permissions)

E-facturation (2 permissions)

IA & Copilote (3 permissions)

Automatisations (2 permissions)

Stock (3 permissions)

Analytics (2 permissions)

Superadmin (1 permission)

superadmin:access n'est attribuée à aucun rôle par défaut. Elle est réservée à l'administration plateforme.

Résumé par rôle

Fonctions utilitaires

import {
  hasPermission,
  hasAnyPermission,
  hasAllPermissions,
  getRolePermissions,
  isRoleAtLeast,
  canManageRole,
} from "~/lib/permissions/matrix";
 
// Vérifier une permission
hasPermission("MANAGER", "facturation:create"); // true
hasPermission("COLLABORATOR", "facturation:create"); // false
 
// Vérifier au moins une permission parmi plusieurs
hasAnyPermission("MANAGER", ["facturation:read", "devis:read"]); // true
 
// Vérifier la hiérarchie
isRoleAtLeast("MANAGER", "COLLABORATOR"); // true (2 ≤ 4)
isRoleAtLeast("COLLABORATOR", "MANAGER"); // false (4 > 2)
 
// Vérifier si un rôle peut gérer un autre
canManageRole("ADMIN", "MANAGER"); // true
canManageRole("MANAGER", "ADMIN"); // false

Utilisation dans les routers tRPC

Permission unique

export const facturationRouter = createTRPCRouter({
  create: requirePermission("facturation:create")
    .input(schema)
    .mutation(async ({ ctx, input }) => {
      // Seuls ADMIN et MANAGER arrivent ici
    }),
});

Plusieurs permissions (au moins une)

export const analyticsRouter = createTRPCRouter({
  overview: requireAnyPermission(["analytics:read_own", "analytics:read_org"])
    .query(async ({ ctx }) => {
      // ADMIN, DIRECTION, MANAGER ou COLLABORATOR
    }),
});

Ajouter une nouvelle permission

1. Définir la permission

Dans src/lib/permissions/matrix.ts, ajouter la chaîne au type Permission et dans la matrice de chaque rôle :

// Type Permission — ajouter la nouvelle entrée
type Permission = ... | "mon_module:read" | "mon_module:create" | "mon_module:edit" | "mon_module:delete";
 
// Matrice ADMIN — ajouter les permissions
ADMIN: [..., "mon_module:read", "mon_module:create", "mon_module:edit", "mon_module:delete"],
MANAGER: [..., "mon_module:read", "mon_module:create", "mon_module:edit"],
// etc.

2. Utiliser dans le router

requirePermission("mon_module:create")

3. (Optionnel) Vérifier côté client

const { data: session } = useSession();
const canCreate = hasPermission(session?.user.role, "mon_module:create");

◀ Modules · Sommaire · Paiements ▶