Flowdeck 7.85.2 — HUB-19 : propagation des rôles du Hub (registre D3(a))

app/routers/audit.py

@@ -27,6 +27,14 @@ def _admin_user(request: Request) -> dict:
             row = conn.execute("SELECT is_admin FROM users WHERE id=?",
                                (sess.get("id"),)).fetchone()
         if row and row["is_admin"]:
+            # HUB-19 : session draco + rôle Hub connu → exiger
+            # « administrateur » dans le registre du Hub (la voie
+            # Bearer ci-dessous, contrat d'API propre, est exemptée).
+            from app.services import hub_roles
+            if not hub_roles.admin_hub_ok(request):
+                raise HTTPException(
+                    403, "Niveau « administrateur » requis dans le "
+                         "registre des rôles du Hub pour FlowDeck")
             return sess
         raise HTTPException(403, "Admin required")
     auth = request.headers.get("authorization") or request.headers.get("Authorization") or ""