Delta d'autorisations entre la doc et le code

Problèmes rencontrés

Nous avons entrepris de vérifier si la documentation concernant les autorisations était à jour en la comparant à ce qui est effectivement implémenté dans le code de la v1 et nous avons identifié les problèmes suivants que nous allons corriger dans les deux versions :

1. mode flux : limiter les modifications uniquement aux rôles autorisés par domaine
2. mode agenda : limiter les modifications uniquement aux rôles autorisés par type de consultation
3. mode agenda : validation des certificats signés

Comment reproduire ?

Cas 1

1. Considérant le domaine en flux Sur dossier autorisé pour les rôles administrateur, secrétaire, IDE
2. Lorsque je me connecte en tant que personnel du standard
3. Alors je n'ai pas accès aux consultations en flux de Sur dossier
4. Mais j'ai accès à la création et l'édition d'un de ses consultations en flux en entrant directement l'URL

Cas 2

Pendant du cas 1, côté mode agenda, sauf que c'est déjà verrouillé côté gui mais pas côté API, donc ça pourrait potentiellement passer avec une requête forgée différemment (curl par exemple).

Cas 3 (cf. code)

1. Considérant le domaine Consultations médicale (mode agenda) autorisé pour les rôles administrateur, secrétaire, IDE, médecin
2. Lorsque je me connecte en tant que secrétaire ou IDE
3. Et que j'enrichis une consultation traitée par un médecin
4. Alors je peux valider le certificat signé
5. Et je peux dévalider le certificat signé

Comportement attendu

Cas 1

1. Considérant le domaine en flux Sur dossier autorisé pour les rôles administrateur, secrétaire, IDE
2. Lorsque je me connecte en tant que personnel du standard
3. Alors je n'ai pas accès aux consultations en flux de Sur dossier
4. Et je n'ai pas accès à la création et l'édition d'un de ses consultations en flux en entrant directement l'URL

Cas 2

Verrouiller à minima côté API.

Cas 3 (cf. doc)

1. Considérant le domaine Consultations médicale (mode agenda) autorisé pour les rôles administrateur, secrétaire, IDE, médecin
2. Lorsque je me connecte en tant que secrétaire ou IDE
3. Et que j'enrichis une consultation traitée par un médecin
4. Alors je ne peux pas valider le certificat signé
5. Et je ne peux pas dévalider le certificat signé