*/ public const PERMISOS = [ 'admin.catalogs.read' => 'Consultar plataformas, usos y productos', 'admin.clients.read' => 'Buscar clientes', 'admin.clients.write' => 'Crear y editar clientes (incluye buscarlos)', 'admin.license-tokens.read' => 'Buscar licencias', 'admin.license-tokens.write' => 'Crear y editar licencias y añadirles productos (incluye buscarlas)', 'admin.environments.read' => 'Buscar entornos', 'admin.environments.write' => 'Crear y editar entornos (incluye buscarlos)', ]; /** * Los permisos pedidos más el `.read` de cada `.write`: las rutas de escritura exigen * los dos, porque responden con la ficha del registro. * * @param list $permisos * @return list */ public static function conSusLecturas(array $permisos): array { $lecturas = array_map( fn (string $permiso) => preg_replace('/\.write$/', '.read', $permiso), array_filter($permisos, fn ($permiso) => is_string($permiso) && str_ends_with($permiso, '.write')) ); return array_values(array_unique([...$permisos, ...$lecturas])); } /** * El dueño de todos los tokens de esta API. Se crea la primera vez que hace falta. */ public static function usuarioDeServicio(): User { $usuario = User::withTrashed()->whereRaw('lower(email) = ?', [self::EMAIL_DEL_USUARIO])->first(); // **No se adopta a una persona.** Si alguien creó a mano un usuario con este correo y // le dio un rol, ese usuario —con contraseña conocida— pasaría a ser el dueño de los // tokens. Se para aquí y se arregla desde Usuarios (auditoría PRODSECU-215). if ($usuario !== null && $usuario->roles()->exists()) { throw new \RuntimeException( 'Ya hay un usuario con el correo ' . self::EMAIL_DEL_USUARIO . ' y con rol: no puede ser el ' . 'dueño de los tokens de la API. Quítale el rol o cámbiale el correo desde Usuarios.' ); } if ($usuario === null) { $usuario = new User(); $usuario->name = self::NOMBRE_DEL_USUARIO; $usuario->email = self::EMAIL_DEL_USUARIO; $usuario->password = Hash::make(Str::random(64)); $usuario->save(); return $usuario; } if ($usuario->trashed()) { $usuario->restore(); } return $usuario; } /** * ¿Es este el usuario de servicio? Para no enseñarlo ni dejar editarlo como una persona. */ public static function esUsuarioDeServicio(?User $usuario): bool { // Sin distinguir mayúsculas: la colación de MySQL no las distingue al buscar, y un // `API-ADMIN@…` encontrado pero no reconocido dejaría todos los tokens en 403. return $usuario !== null && mb_strtolower((string) $usuario->email) === self::EMAIL_DEL_USUARIO; } }