Roles, Permisos y Overrides (RBAC)

Descripción General

El sistema RBAC (Role-Based Access Control) de SigFacERP centraliza la seguridad y los privilegios funcionales de la plataforma. Dirigido a Administradores de Sistema y Oficiales de Cumplimiento. Permite asignar perfiles estándar (Administrador, Ventas, Compras, Contabilidad, Bodega) y configurar excepciones o permisos adicionales directos (overrides) a nivel de usuario sin alterar los roles canónicos.

Flujo Operativo solo para administradores

1. Acceso a la vista: Navega a /admin/roles para consultar roles o a /admin/tenant-users/[ID]?section=overrides para administrar permisos específicos de un usuario.

2. Diligenciamiento del formulario:

   • Permiso del override: Selecciona el permiso específico del catálogo (ej: invoices.view, accounting.vouchers.view, products.items.create).
   • Efecto del override: Define si la excepción otorga acceso (allow) o restringe el acceso (deny).

3. Ejecución y Confirmación: Haz clic en el botón Guardar overrides. El sistema guardará la configuración y confirmará en pantalla: "Overrides actualizados correctamente". Para revocar la excepción, haz clic en Quitar y se desplegará el mensaje: "Override eliminado correctamente".

Reglas de Negocio y Validaciones

• Invariante de Roles Canónicos: Los roles base predeterminados del sistema (ej: Sales con sus 38 permisos estándar) son de solo lectura y no pueden modificarse ni eliminarse para preservar la integridad del modelo.
• Resolución de Permisos Efectivos: Los permisos finales del usuario se calculan en backend: (Permisos del Rol Base) + (Overrides Allow) - (Overrides Deny).
• Validación en Cliente y Servidor: Las rutas del menú se ocultan automáticamente en Panel Lateral si el usuario no cuenta con el permiso correspondiente de autorización RBAC.

Tabla de Estados y Acciones Permitidas

Estado	Descripción	Acciones Disponibles
Rol Canónico	Perfil del sistema con catálogo cerrado y seguro.	Asignación a usuarios, visualización de conteo de permisos.
Override Allow	Concesión explícita de un permiso no incluido en el rol del usuario.	Acceso inmediato a la vista y handler asociado.
Override Deny	Bloqueo explícito de una función específica para el usuario.	Ocultamiento de la opción en menú y denegación HTTP 403.

Restricciones Operativas

Un usuario que intente ingresar por URL directa a un módulo restringido será interceptado por el router guard y redirigido a informando el permiso faltante.