[shikanime]

Pourquoi

POST /api/v1/projects/:projectId/roles renvoie un 500 (Cannot convert 256,512 to a BigInt) quand permissions est un CSV — le schéma source acceptait toute chaîne et la validation n'atteignait jamais le service avant BigInt().

Quoi

Correctif à la source, en deux volets :

• permissionLevelSchema (réponses, wire = string) porte un refine /^\d+$/ : tout non-entier est rejeté en 400 par le contrat, avant les services.
• permissionLevelInputSchema (corps de requête) = le même refine + .transform(BigInt) : la conversion est déléguée au schéma. createProjectRole, patchProjectRoles, patchAdminRoles, createAdminToken et updateProject.everyonePerms livrent un bigint aux services — les sept BigInt() manuels des services (project-roles, admin-role, admin-token, project — legacy fastify et nestjs) disparaissent, avec le piège de falsiness 0n réglé par ??.

Le default('0') du contrat createProjectRole préserve les corps sans permissions (l'ancien z.coerce.string() les convertissait en la chaîne littérale "undefined" — un 500 BigInt latent en production). Les réponses sérialisent des BigInt DB via .toString() (toujours /^\d+$/) : le refine ne peut pas les casser.

Vérification

• pnpm --filter @cpn-console/shared test — 95/95, dont le spec : rejet CSV au niveau schéma et contrat, sortie 256n, default 0n.
• Suites locales : server-nestjs 974/974, server 369/369, client 86/86.
• Typecheck : nest build (server-nestjs), tsc (server), vue-tsc (client) — 0 erreur.

Closes #2950

Co-authored-by: Automata automata@shikanime.studio

[shikanime]

Note CI : les 3 jobs build échouent uniquement au push ghcr.io (denied: installation not allowed to Write organization package) — artefact de PR venue d'un fork, le token ne peut pas écrire les packages de l'org. La compilation, le lint et les tests unitaires (y compris le nouveau spec sur le rejet du CSV) passent. Une re-run depuis une branche de l'org sera verte.

[StephaneTrebel]

Le correctif du POST décrit dans #2950 est effectif : 32 tests de schémas et 6 sondes supplémentaires sur le contrat exact et le ZodValidationPipe passent, dont le rejet du CSV en 400. Une remarque non bloquante concerne la portée du test versionné ; la CI reste en échec sur la publication GHCR (denied: installation not allowed to Write organization package, run 40539505724), sans échec de compilation relevé dans ces jobs.

[StephaneTrebel]

No findings. Le test consomme désormais le contrat exact : 32 tests ciblés et le lint passent, et retirer l’extension fait échouer ce test avant qu’il repasse après restauration ; la remarque précédente est corrigée. La CI reste rouge sur le push GHCR des trois images (denied: installation not allowed to Write organization package, run 40667240564), suivi par #2945/#2956, sans nouveau défaut fonctionnel relevé dans ce diff.