Claude
6f3b630ced
La table RetentionPolicy existait et cinq durées y étaient semées depuis la matrice ; rien ne les appliquait. Une durée déclarée que personne n'exécute est une conformité de papier. Aucune durée par défaut n'est appliquée, et c'est le point central : la matrice interdit explicitement d'aligner tout sur cinq ans. Un objet sans politique déclarée se conserve, et l'écran le signale plutôt que de le taire. Symétrie inverse, tout aussi importante : effacer faute de règle serait aussi fautif que garder indéfiniment. La justification est obligatoire au niveau du serveur. Une durée sans motif est une durée qu'on ne saura pas défendre le jour d'un contrôle. Les politiques sont effectif-datées comme le reste de l'application : une pièce déposée en mars relève de la règle en vigueur en mars. Sans cela, un durcissement rétroactif purgerait ce que la règle du moment autorisait à garder. La résolution va du précis au général — Document:SICK_NOTE avant Document — car un arrêt de travail et un contrat n'ont aucune raison de se conserver aussi longtemps. Trois refus distincts plutôt qu'un seul : absence de politique, conservation suspendue à titre probatoire, échéance non atteinte. Les confondre sous « rien à purger » empêcherait de vérifier que la conservation est réellement tenue. Un quatrième existe : employee_departure est déclaré mais non calculable, PlanFlow ne modélisant pas de date de départ — purger sur une date inventée serait pire que ne pas purger, et l'écran l'affiche comme tel. La purge s'exécute en ligne de commande pour une tâche planifiée, la matrice demandant des purges automatiques ; un bouton qu'il faut penser à presser n'en est pas une. Elle passe par le client scopé et la RLS, compte par compte. Les tables append-only en sont exclues par construction : le journal d'audit doit survivre aux données qu'il décrit, sans quoi on ne pourrait plus démontrer que la purge a eu lieu. L'échéance affichée est dérivée de la politique, jamais stockée — même discipline que la péremption d'un export. Deux pièges rencontrés : un objet de composants exporté depuis un module client ne survit pas au passage par un composant serveur, React n'en recevant qu'un undefined ; et le minLength du navigateur masquait le contrôle serveur de la justification, que des espaces suffisent à contourner. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Cr9dkEHwbDgkWPnyGj1Rjv
86 lines
2.3 KiB
TypeScript
86 lines
2.3 KiB
TypeScript
import { can } from '@/domain/access/authorize';
|
|
import type { DocumentCategory } from '@/domain/documents/rules';
|
|
import {
|
|
dueAt,
|
|
isComputable,
|
|
resolvePolicy,
|
|
type RetentionPolicyLike,
|
|
} from '@/domain/retention/policy';
|
|
import { query } from '@/server/context';
|
|
import { signedDocumentUrl } from '@/server/documents/links';
|
|
|
|
export interface DocumentRow {
|
|
id: string;
|
|
name: string;
|
|
category: DocumentCategory;
|
|
mimeType: string;
|
|
sizeBytes: number;
|
|
isSensitive: boolean;
|
|
/**
|
|
* Échéance **dérivée** de la politique en vigueur au dépôt, jamais stockée.
|
|
* La colonne existe au schéma pour une échéance fixée à la main ; tant
|
|
* qu'elle ne sert pas, deux sources de vérité vaudraient mieux qu'une seule
|
|
* uniquement dans les rapports de bogue.
|
|
*/
|
|
retentionUntil: Date | null;
|
|
uploadedAt: Date;
|
|
/** Lien signé, valable quelques minutes seulement. */
|
|
href: string;
|
|
}
|
|
|
|
export interface DocumentList {
|
|
documents: DocumentRow[];
|
|
canManage: boolean;
|
|
}
|
|
|
|
/**
|
|
* Pièces d'un salarié.
|
|
*
|
|
* Le lien signé est fabriqué à la lecture de la page, jamais stocké : sa durée
|
|
* de vie se compte en minutes, et le conserver en base le rendrait aussi long
|
|
* que la ligne qui le porte.
|
|
*/
|
|
export async function listDocuments(
|
|
membershipId: string,
|
|
): Promise<DocumentList> {
|
|
return query('members.documents.view', async (db, actor) => {
|
|
const rows = await db.document.findMany({
|
|
where: { membershipId, deletedAt: null },
|
|
orderBy: { uploadedAt: 'desc' },
|
|
select: {
|
|
id: true,
|
|
name: true,
|
|
category: true,
|
|
mimeType: true,
|
|
sizeBytes: true,
|
|
isSensitive: true,
|
|
uploadedAt: true,
|
|
},
|
|
});
|
|
|
|
const policies =
|
|
(await db.retentionPolicy.findMany()) as RetentionPolicyLike[];
|
|
|
|
return {
|
|
documents: rows.map((row) => {
|
|
const policy = resolvePolicy(
|
|
policies,
|
|
[`Document:${row.category}`, 'Document'],
|
|
row.uploadedAt,
|
|
);
|
|
|
|
return {
|
|
...row,
|
|
category: row.category as DocumentCategory,
|
|
retentionUntil:
|
|
policy && isComputable(policy.startPoint)
|
|
? dueAt(row.uploadedAt, policy.durationMonths)
|
|
: null,
|
|
href: signedDocumentUrl(row.id),
|
|
};
|
|
}),
|
|
canManage: can(actor, 'members.documents.manage'),
|
|
};
|
|
});
|
|
}
|