Flowdeck 7.85.2 — HUB-19 : propagation des rôles du Hub (registre D3(a))

app/routers/scim.py

@@ -46,6 +46,14 @@ def _admin_session(request: Request) -> dict:
         row = conn.execute("SELECT is_admin FROM users WHERE id=?", (user["id"],)).fetchone()
     if not row or not row["is_admin"]:
         raise HTTPException(403, "Admin required")
+    # HUB-19 : session draco + rôle Hub connu → exiger « administrateur »
+    # dans le registre du Hub (les jetons SCIM Bearer, contrat propre,
+    # passent par _scim_guard et sont exemptés).
+    from app.services import hub_roles
+    if not hub_roles.admin_hub_ok(request):
+        raise HTTPException(
+            403, "Niveau « administrateur » requis dans le registre "
+                 "des rôles du Hub pour FlowDeck")
     return user