jogosultsági szintek RBAC beállítva tesztelve

backend/app/api/v1/endpoints/security.py

@@ -8,6 +8,7 @@ from typing import List, Optional
 from fastapi import APIRouter, Depends, HTTPException, status
 from sqlalchemy.ext.asyncio import AsyncSession
 
+from app.api import deps
 from app.api.deps import get_db, get_current_user
 from app.models.identity import User, UserRole
 from app.services.security_service import security_service
@@ -23,7 +24,8 @@ router = APIRouter()
 async def request_action(
     request: PendingActionCreate,
     db: AsyncSession = Depends(get_db),
-    current_user: User = Depends(get_current_user)
+    current_user: User = Depends(get_current_user),
+    _ = Depends(deps.RequirePermission("dual-control:request")),
 ):
     """
     Dual Control: Jóváhagyási kérelem indítása kiemelt művelethez.
@@ -35,12 +37,6 @@ async def request_action(
     - SOFT_DELETE_USER: Felhasználó soft delete
     - ORGANIZATION_TRANSFER: Szervezet tulajdonjog átadása
     """
-    # Csak admin és superadmin kezdeményezhet kiemelt műveleteket
-    if current_user.role not in [UserRole.ADMIN, UserRole.SUPERADMIN]:
-        raise HTTPException(
-            status_code=status.HTTP_403_FORBIDDEN,
-            detail="Csak adminisztrátorok kezdeményezhetnek Dual Control műveleteket."
-        )
     
     try:
         action = await security_service.request_action(
@@ -82,18 +78,14 @@ async def approve_action(
     action_id: int,
     approve_data: PendingActionApprove,
     db: AsyncSession = Depends(get_db),
-    current_user: User = Depends(get_current_user)
+    current_user: User = Depends(get_current_user),
+    _ = Depends(deps.RequirePermission("dual-control:approve")),
 ):
     """
     Dual Control: Művelet jóváhagyása.
     
     Csak admin/superadmin hagyhat jóvá, és nem lehet a saját kérése.
     """
-    if current_user.role not in [UserRole.ADMIN, UserRole.SUPERADMIN]:
-        raise HTTPException(
-            status_code=status.HTTP_403_FORBIDDEN,
-            detail="Csak adminisztrátorok hagyhatnak jóvá műveleteket."
-        )
     
     try:
         await security_service.approve_action(db, approver_id=current_user.id, action_id=action_id)
@@ -115,18 +107,14 @@ async def reject_action(
     action_id: int,
     reject_data: PendingActionReject,
     db: AsyncSession = Depends(get_db),
-    current_user: User = Depends(get_current_user)
+    current_user: User = Depends(get_current_user),
+    _ = Depends(deps.RequirePermission("dual-control:approve")),
 ):
     """
     Dual Control: Művelet elutasítása.
     
     Csak admin/superadmin utasíthat el, és nem lehet a saját kérése.
     """
-    if current_user.role not in [UserRole.ADMIN, UserRole.SUPERADMIN]:
-        raise HTTPException(
-            status_code=status.HTTP_403_FORBIDDEN,
-            detail="Csak adminisztrátorok utasíthatnak el műveleteket."
-        )
     
     try:
         await security_service.reject_action(
@@ -150,7 +138,8 @@ async def reject_action(
 async def get_action(
     action_id: int,
     db: AsyncSession = Depends(get_db),
-    current_user: User = Depends(get_current_user)
+    current_user: User = Depends(get_current_user),
+    _ = Depends(deps.RequirePermission("dual-control:view")),
 ):
     """
     Egy konkrét Dual Control művelet lekérdezése.
@@ -164,7 +153,7 @@ async def get_action(
     if not action:
         raise HTTPException(status_code=404, detail="Művelet nem található.")
     
-    if current_user.role not in [UserRole.ADMIN, UserRole.SUPERADMIN] and action.requester_id != current_user.id:
+    if current_user.id != action.requester_id:
         raise HTTPException(
             status_code=status.HTTP_403_FORBIDDEN,
             detail="Nincs jogosultságod ehhez a művelethez."