Flowdeck 7.85.2 — HUB-19 : propagation des rôles du Hub (registre D3(a))

app/services/draco.py

@@ -26,6 +26,12 @@ admin), aucun mot de passe local (``password_hash`` NULL,
 connexion locale par mot de passe reste impossible pour ce compte
 et inchangée pour les autres). Une pierre tombale (dissociation
 explicite) interdit toute re-création automatique pour ce ``sub``.
+
+HUB-19 (registre des rôles du Hub) : le pont d'ouverture de session
+peut demander le refus d'un ``sub`` au rôle connu ``aucun``
+(``user_for_draco(..., refuser_aucun=True)`` →
+``RoleAucunRefuse``), levé avant la résolution de compte et le
+provisionnement JIT — voir ``app.services.hub_roles``.
 """
 
 from __future__ import annotations
@@ -45,6 +51,16 @@ logger = logging.getLogger(__name__)
 COOKIE_NAME = "draco_session"
 _REVOCATIONS_TTL = 60  # secondes de cache, comme le prévoit le design
 
+
+class RoleAucunRefuse(Exception):
+    """HUB-19 : le registre des rôles du Hub attribue le niveau
+    ``aucun`` à ce ``sub`` pour Flowdeck — l'ouverture de session
+    draco est refusée (403), avant tout provisionnement JIT."""
+
+    def __init__(self, sub: str):
+        super().__init__(sub)
+        self.sub = sub
+
 _revoked_cache: dict[str, int] = {}
 _revoked_fetched_at: float = 0.0
 
@@ -215,12 +231,22 @@ def _provision_jit(conn, claims: dict) -> dict | None:
     return dict(row) if row is not None else None
 
 
-def user_for_draco(request) -> dict | None:
+def user_for_draco(request, refuser_aucun: bool = False) -> dict | None:
     """Utilisateur Flowdeck prouvé par le cookie draco_session, ou None.
 
     Résolution : lien ``draco_links`` existant, sinon repli
     mono-utilisateur, sinon provisionnement JIT (HUB-15) — le
     pendant local est créé depuis les claims et lié au ``sub``.
+
+    HUB-19 (registre des rôles du Hub, contrat D3(a)) : avec
+    ``refuser_aucun=True`` — le pont d'ouverture de session
+    ``GET /auth/draco``, seul appelant qui crée une session locale —
+    un rôle **connu** ``aucun`` dans le registre du Hub lève
+    ``RoleAucunRefuse`` **avant** toute résolution de compte et donc
+    avant tout provisionnement JIT : aucun compte n'est créé pour un
+    ``sub`` refusé. Rôle inconnu (Hub injoignable/erreur) : repli,
+    comportement actuel inchangé. Les autres appelants (recherche
+    fédérée) gardent le défaut ``False`` : aucun refus nouveau.
     """
     if not enabled():
         return None
@@ -233,6 +259,12 @@ def user_for_draco(request) -> dict | None:
     sub = str(claims.get("sub", ""))
     if not sub:
         return None
+    if refuser_aucun:
+        from app.services import hub_roles
+
+        if hub_roles.role_pour(
+                request.headers.get("cookie", ""), sub) == "aucun":
+            raise RoleAucunRefuse(sub)
     with get_conn() as conn:
         user = _linked_user(conn, sub)
         if user is None: