mirror of
https://github.com/siop-spelev/siop2.git
synced 2026-08-08 12:41:54 +00:00
c9168ece16
Trouvé en recette : GET /assets/options n'avait aucun filtre — tout Demandeur voyait le parc complet dans le sélecteur d'équipement de "Nouvelle demande", sur le web ET le mobile (même endpoint partagé). Risque réel : signaler accidentellement une panne sur un ascenseur qu'on ne gère pas. Corrigé à la racine, sur les deux plateformes à la fois : - Relation many-to-many User↔Location (assignedSites/assignedUsers, migration r6_demandeur_sites, même style que Team.members) — vide = aucune restriction, comportement historique inchangé pour tous les rôles sauf un Demandeur affecté à un site. - AssetsService.allowedLocationIds(user) : sites + zones filles autorisés, ou null si aucune restriction — réutilisée par options() ET par RequestsService.create (défense en profondeur : un assetId soumis directement hors périmètre est rejeté, 400). - UsersService : assertTopLevelSites (un Demandeur est affecté à un site, jamais une zone) ; invite()/update() branchent locationIds (remplace l'affectation, comme teamIds). - Web (personnes.tsx) : ModaleInvitation affiche les sites à cocher pour un rôle Demandeur ; colonne "Sites" éditable via une modale dédiée. - Mobile (formulaire-demande.tsx) : bouton "Scanner l'étiquette" en raccourci — résout uniquement contre les options déjà chargées (déjà filtrées), jamais de repli sur le parc complet qui annulerait la restriction. Aucun changement à useAssetOptions() : le filtrage serveur profite automatiquement au formulaire mobile. - Seed : Karim Doukkali (démo) rattaché à Tour Atlas. Bug trouvé en vérification avant tout commit : create() comparait allowed.includes(dto.assetId), mais allowed est une liste d'ids de sites/zones, pas d'ids d'appareils — aurait rejeté à tort tout signalement d'un Demandeur affecté, y compris dans son propre périmètre. Corrigé (comparaison sur asset.locationId) ; méthode renommée allowedAssetIds → allowedLocationIds pour que le nom dise ce qu'elle retourne. exploitation.e2e-spec.ts mis à jour (A1/C1 → A2/B1, dans le site de Karim — sinon rejetés par la nouvelle règle, comportement voulu). 79/80 tests API verts, le seul échec (documents-analytics, monthCost) est le flake calendaire déjà identifié cette session, sans rapport. Typecheck/tests/lint verts sur les 4 paquets. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
@siop/mobile — l'app du technicien (R4)
Expo (SDK 57), offline-first, périmètre fermé : Ma journée, scan, préventif, synchro —
la gestion reste web, le demandeur reste sur le portail QR public. Maquettes validées :
docs/02-design/maquettes/maquette-r4.html (+ décisions D1-D5 au journal du 17/07/2026).
Lancer
# API locale d'abord (apps/api : pnpm dev), puis :
pnpm --filter @siop/mobile start # QR Expo Go (téléphone sur le MÊME réseau)
EXPO_PUBLIC_API_URL=http://192.168.x.y:3000 pnpm --filter @siop/mobile start
EXPO_PUBLIC_API_URL: URL de l'API vue depuis le téléphone (IP LAN, pas localhost). Défaut :http://localhost:3000(suffisant pourexpo start --web).- Vérification navigateur :
expo start --web+CORS_ORIGINS=http://localhost:8081côté API (les apps natives n'envoient pas d'Origin — CORS ne concerne que le web).
Ce que porte R4.1 (socle)
- Connexion e-mail/mot de passe + sélecteur démo (ADR-002 : n'existe que si l'API l'expose).
- Coquille tabbar (onglets à venir marqués R4.2/R4.3) + Ma journée : OT triés
priorité puis échéance (
src/lib/journee.ts, testé), urgence en tête, pastille de synchro. - Lecture hors-ligne (D1) : cache TanStack persisté dans AsyncStorage (7 jours),
NetInfo pilote
onlineManager+ bandeau. L'écriture en file arrive en R4.3. - Client typé généré depuis
docs/openapi.json(pnpm generate:client) — règle d'or ADR-001. - Jeton dans SecureStore (trousseau) ; AsyncStorage en repli web de dev.
Tests
pnpm --filter @siop/mobile test (jest-expo — logique pure : tri, tokens) ;
typecheck et le lint racine s'appliquent (job CI mobile).