Rendre le déploiement Docker correct, et la RLS réellement active

Trois problèmes, dont un grave, trouvés en corrigeant un échec de déploiement.

**Le compose connectait l'application en superutilisateur PostgreSQL.** Un
superutilisateur contourne toute politique de sécurité au niveau ligne, y
compris déclarée en FORCE : la seconde couche d'isolation était présente en
base et absente des faits. Le README l'interdisait déjà noir sur blanc ; le
chemin de déploiement que nous livrons faisait exactement l'inverse. Un script
d'initialisation crée désormais un rôle `planflow_app` NOSUPERUSER NOBYPASSRLS,
propriétaire de la base — il lui faut ce droit pour migrer, et les politiques
sont en FORCE précisément pour s'appliquer aussi au propriétaire. Mesuré : en
superutilisateur, deux lignes visibles sans compte courant ; avec le rôle
dédié, zéro.

Basculer la base de développement sur ce même rôle a révélé le défaut que le
superutilisateur masquait : `resolveSession` lisait `Membership`, table filtrée
par compte, sans périmètre. Avec la RLS active, plus personne ne pouvait se
connecter. La résolution passe maintenant par une porte étroite — une politique
qui n'ouvre que les lignes dont l'utilisateur est titulaire, sous `app.user_id`
— le temps de trouver le compte, puis repasse par le périmètre ordinaire. La
suite de tests traverse enfin la RLS au lieu de la contourner.

**Les pièces du dossier salarié n'avaient aucun volume.** Elles étaient écrites
dans la couche du conteneur et disparaissaient au premier redéploiement. Une
pièce d'identité perdue ne se reconstitue pas.

Le reste répond à la demande : Postgres préconfiguré — la base n'étant ni
publiée ni attachée au réseau du proxy, ce mot de passe protège d'un conteneur
voisin, pas d'Internet — réseau `nginx_default` déclaré externe avec
l'application seule dessus, et port publié peu courant.

ENCRYPTION_KEY reste la seule variable sans valeur par défaut, et n'en aura
pas : elle chiffre le NIR, l'IBAN et les arrêts de travail. Une clé livrée avec
l'image serait connue de quiconque lit ce dépôt.

Au démarrage, l'application contrôle ses propres privilèges : elle refuse de se
lancer si la base porte plus d'un compte, et se contente d'un avertissement
s'il n'y en a qu'un — bloquer une installation mono-compte fermerait l'accès de
l'entreprise à ses données pour une fuite entre clients qui ne peut pas se
produire.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Cr9dkEHwbDgkWPnyGj1Rjv

tests/integration/admin-db.ts

@@ -0,0 +1,27 @@
+import { PrismaPg } from '@prisma/adapter-pg';
+import { PrismaClient } from '@prisma/client';
+
+/**
+ * Connexion administrative, pour la mise en place des tests d'intégration.
+ *
+ * L'application se connecte avec un rôle **soumis à la row-level security** :
+ * il ne voit rien hors du compte courant, et ne peut pas créer de compte de
+ * toutes pièces. C'est exactement ce qu'on attend de lui.
+ *
+ * Ces tests fabriquent pourtant des comptes entiers pour éprouver l'isolation
+ * entre eux. Ils passent donc par la connexion d'amorçage, comme le ferait un
+ * exploitant depuis le serveur — jamais par celle de l'application, dont la
+ * limitation est le sujet même de plusieurs de ces tests.
+ */
+export function adminDatabaseUrl(): string {
+  return process.env.ADMIN_DATABASE_URL ?? process.env.DATABASE_URL ?? '';
+}
+
+let client: PrismaClient | null = null;
+
+export function adminPrisma(): PrismaClient {
+  client ??= new PrismaClient({
+    adapter: new PrismaPg({ connectionString: adminDatabaseUrl() }),
+  });
+  return client;
+}

tests/integration/compliance.test.ts

@@ -1,5 +1,7 @@
 import { afterAll, beforeAll, describe, expect, it } from 'vitest';
 
+import { adminPrisma } from './admin-db';
+
 import { IDCC_1517_PARAMETERS } from '@/domain/compliance/idcc1517';
 import { zonedInstant } from '@/domain/planning/week';
 
@@ -13,7 +15,7 @@ import { zonedInstant } from '@/domain/planning/week';
  * démontre qu'avec deux versions coexistantes en base.
  */
 
-const enabled = (process.env.DATABASE_URL ?? '').length > 0;
+const enabled = (process.env.ADMIN_DATABASE_URL ?? process.env.DATABASE_URL ?? '').length > 0;
 const describeIfDb = enabled ? describe : describe.skip;
 
 const TZ = 'Europe/Paris';
@@ -26,7 +28,6 @@ const membershipId = `${suffix}-member`;
 let agreementFor: typeof import('@/server/compliance/evaluate').agreementFor;
 let evaluateSchedule: typeof import('@/server/compliance/evaluate').evaluateSchedule;
 let withTenant: typeof import('@/server/tenant').withTenant;
-let unscoped: typeof import('@/server/tenant').unscoped;
 
 /** 10 h de travail : conforme à 10 h, non conforme à 8 h. */
 function tenHourShift(scheduleId: string, date: string) {
@@ -50,9 +51,9 @@ describeIfDb('moteur de conformité en base', () => {
     ({ agreementFor, evaluateSchedule } = await import(
       '@/server/compliance/evaluate'
     ));
-    ({ withTenant, unscoped } = await import('@/server/tenant'));
+    ({ withTenant } = await import('@/server/tenant'));
 
-    const db = unscoped();
+    const db = adminPrisma();
 
     await db.account.create({
       data: { id: accountId, name: `Compte ${suffix}` },
@@ -137,7 +138,7 @@ describeIfDb('moteur de conformité en base', () => {
 
   afterAll(async () => {
     if (!enabled) return;
-    await unscoped().account.delete({ where: { id: accountId } });
+    await adminPrisma().account.delete({ where: { id: accountId } });
   });
 
   it('choisit la version en vigueur à la date, pas la plus récente', async () => {
@@ -208,7 +209,7 @@ describeIfDb('moteur de conformité en base', () => {
     // Le figeage est en base, pas seulement dans l'application : une paie
     // antérieure doit rester reproductible même si quelqu'un écrit
     // directement en SQL.
-    const db = unscoped();
+    const db = adminPrisma();
     const agreement = await db.collectiveAgreement.findFirst({
       where: { accountId, version: 1 },
     });

tests/integration/ledger.test.ts

@@ -1,5 +1,7 @@
 import { afterAll, beforeAll, describe, expect, it } from 'vitest';
 
+import { adminPrisma } from './admin-db';
+
 /**
  * Immutabilité du registre — critère d'acceptation de WP-06.
  *
@@ -9,22 +11,21 @@ import { afterAll, beforeAll, describe, expect, it } from 'vitest';
  * sans passer par les Server Actions, pour le prouver.
  */
 
-const enabled = (process.env.DATABASE_URL ?? '').length > 0;
+const enabled = (process.env.ADMIN_DATABASE_URL ?? process.env.DATABASE_URL ?? '').length > 0;
 const describeIfDb = enabled ? describe : describe.skip;
 
 const suffix = `ledger-${Date.now()}`;
 const accountId = `${suffix}-account`;
 const membershipId = `${suffix}-member`;
 
-let unscoped: typeof import('@/server/tenant').unscoped;
 let counterId = '';
 let operationId = '';
 
 describeIfDb('registre des compteurs', () => {
   beforeAll(async () => {
     process.env.ENCRYPTION_KEY ??= Buffer.alloc(32, 3).toString('base64');
-    ({ unscoped } = await import('@/server/tenant'));
-    const db = unscoped();
+    
+    const db = adminPrisma();
 
     await db.account.create({
       data: { id: accountId, name: `Compte ${suffix}` },
@@ -69,7 +70,7 @@ describeIfDb('registre des compteurs', () => {
 
   afterAll(async () => {
     if (!enabled) return;
-    const db = unscoped();
+    const db = adminPrisma();
     // Le trigger interdit DELETE sur les écritures : la suppression du compte
     // ne peut donc pas cascader. On le désactive le temps du ménage.
     await db.$executeRawUnsafe(
@@ -83,7 +84,7 @@ describeIfDb('registre des compteurs', () => {
 
   it('refuse toute modification d’écriture', async () => {
     await expect(
-      unscoped().ledgerOperation.update({
+      adminPrisma().ledgerOperation.update({
         where: { id: operationId },
         data: { quantity: 999 },
       }),
@@ -92,14 +93,14 @@ describeIfDb('registre des compteurs', () => {
 
   it('refuse toute suppression d’écriture', async () => {
     await expect(
-      unscoped().ledgerOperation.delete({ where: { id: operationId } }),
+      adminPrisma().ledgerOperation.delete({ where: { id: operationId } }),
     ).rejects.toThrow(/append-only/);
   });
 
   it('accepte une contre-passation, qui laisse les deux écritures', async () => {
     // Une correction s'écrit ; elle ne se réécrit pas. Les deux lignes
     // coexistent, et le solde redevient juste par addition.
-    const db = unscoped();
+    const db = adminPrisma();
     await db.ledgerOperation.create({
       data: {
         accountId,
@@ -130,7 +131,7 @@ describeIfDb('registre des compteurs', () => {
     // `reversesId` est unique : contre-passer deux fois la même écriture
     // doublerait la correction, et le solde partirait dans l'autre sens.
     await expect(
-      unscoped().ledgerOperation.create({
+      adminPrisma().ledgerOperation.create({
         data: {
           accountId,
           counterId,

tests/integration/pay-period.test.ts

@@ -1,5 +1,7 @@
 import { afterAll, beforeAll, describe, expect, it } from 'vitest';
 
+import { adminPrisma } from './admin-db';
+
 import { IDCC_1517_PARAMETERS } from '@/domain/compliance/idcc1517';
 import { zonedInstant } from '@/domain/planning/week';
 
@@ -15,7 +17,7 @@ import { zonedInstant } from '@/domain/planning/week';
  *   Trois calculs séparés divergent, et l'écart ne se voit qu'au bulletin.
  */
 
-const enabled = (process.env.DATABASE_URL ?? '').length > 0;
+const enabled = (process.env.ADMIN_DATABASE_URL ?? process.env.DATABASE_URL ?? '').length > 0;
 const describeIfDb = enabled ? describe : describe.skip;
 
 const TZ = 'Europe/Paris';
@@ -25,7 +27,6 @@ const locationId = `${suffix}-loc`;
 const teamId = `${suffix}-team`;
 const membershipId = `${suffix}-member`;
 
-let unscoped: typeof import('@/server/tenant').unscoped;
 let withTenant: typeof import('@/server/tenant').withTenant;
 let assertPeriodOpen: typeof import('@/server/payroll/periods').assertPeriodOpen;
 let PeriodLockedError: typeof import('@/server/payroll/periods').PeriodLockedError;
@@ -41,13 +42,13 @@ const MONTH = { year: YEAR, month: 8 };
 describeIfDb('période de paie', () => {
   beforeAll(async () => {
     process.env.ENCRYPTION_KEY ??= Buffer.alloc(32, 3).toString('base64');
-    ({ unscoped, withTenant } = await import('@/server/tenant'));
+    ({ withTenant } = await import('@/server/tenant'));
     ({ assertPeriodOpen, PeriodLockedError, computeSnapshots } = await import(
       '@/server/payroll/periods'
     ));
     ({ buildPayrollPeriod } = await import('@/server/payroll/build'));
 
-    const db = unscoped();
+    const db = adminPrisma();
 
     await db.account.create({ data: { id: accountId, name: `Compte ${suffix}` } });
     await db.location.create({
@@ -147,7 +148,7 @@ describeIfDb('période de paie', () => {
 
   afterAll(async () => {
     if (!enabled) return;
-    await unscoped().account.delete({ where: { id: accountId } });
+    await adminPrisma().account.delete({ where: { id: accountId } });
   });
 
   it('laisse passer une mutation sur une période ouverte', async () => {
@@ -191,7 +192,7 @@ describeIfDb('période de paie', () => {
   });
 
   it('refuse toute mutation une fois la période verrouillée', async () => {
-    await unscoped().payPeriod.update({
+    await adminPrisma().payPeriod.update({
       where: { id: periodId },
       data: { status: 'LOCKED', lockedAt: new Date() },
     });

tests/integration/rls.test.ts

@@ -17,7 +17,11 @@ import { afterAll, beforeAll, describe, expect, it } from 'vitest';
 const APP_ROLE = 'planflow_rls_test';
 const APP_PASSWORD = 'rls-test-only';
 
-const adminUrl = process.env.DATABASE_URL ?? '';
+// Connexion d'amorçage : créer un rôle et deux comptes de toutes pièces est
+// hors de portée du compte applicatif — c'est précisément ce que ces tests
+// vérifient par ailleurs.
+const adminUrl =
+  process.env.ADMIN_DATABASE_URL ?? process.env.DATABASE_URL ?? '';
 const enabled = adminUrl.length > 0;
 
 let admin: Client;