ADR-056 : Extraction du contrat et de l'outillage RBAC vers forge-mvc-rbac¶

Statut¶

Acceptée, Forge 1.0.0-rc (ticket ADR-RBAC-SCHEMA-EXTRACT-001).
Les commandes RBAC (rbac:validate, rbac:audit) sont déjà dispatchées vers l'opt-in forge-mvc-rbac par import paresseux.
Reste à réaliser : l'extraction effective du schéma rbac.schema.json hors de cli/schemas/ vers le paquet.

Date¶

2026-06-29

Contexte¶

RBAC est un opt-in (forge-mvc-rbac).
Pourtant, son contrat et son outillage vivent encore dans le cœur :

cli/schemas/rbac.schema.json (et sa copie source schemas/rbac.schema.json)
portent le JSON Schema du fichier mvc/security/rbac.json ;
cli/security/rbac_validate.py et cli/security/rbac_audit.py fournissent les
commandes rbac:validate et rbac:audit ;
forge.schema.index.json liste rbac parmi les schémas du cœur.

Le couplage est même inversé : le paquet opt-in forge-mvc-rbac
(forge_mvc_rbac/contract.py) lit le schéma depuis le cœur
(Path(cli.__file__).parent / "schemas").
L'opt-in dépend donc du cœur pour valider son propre contrat.

Cela contredit le principe 8 (noyau minimal, briques opt-in) et le principe 10
(une API publique est un contrat de complétude : l'opt-in doit fournir son
contrat complet, schéma et validation compris).
Un projet sans RBAC embarque aujourd'hui le schéma et les commandes RBAC sans
les utiliser.

L'analyse du graphe des schémas confirme que rbac.schema.json est autonome :
aucun autre schéma ne le référence, et il ne référence aucun autre schéma.
Contrairement à pivot.schema.json (référencé par relations.schema.json du
cœur), il est donc détachable sans redesign de contrat.

L'ADR-014 a fixé l'emplacement du contrat dans un projet
(mvc/security/rbac.json, séparé du schéma d'entité).
Le présent ADR fixe l'emplacement du schéma et de l'outillage de validation.

Décision¶

Le contrat RBAC et son outillage rejoignent l'opt-in¶

Schéma : rbac.schema.json est déplacé dans forge-mvc-rbac (donnée de
paquet, embarquée et packagée avec l'opt-in). Il est retiré de
cli/schemas/, de schemas/ (racine) et de forge.schema.index.json.
Son $id (https://forge-mvc.dev/schemas/rbac.schema.json) reste inchangé :
c'est une identité, pas un chemin.
Validation : forge_mvc_rbac.contract charge le schéma depuis son
propre paquet, plus depuis le cœur.
Commandes : rbac:validate et rbac:audit deviennent des commandes de
l'opt-in forge-mvc-rbac (précédent établi : mail:*, iot:*, deploy:*,
admin:* sont fournis par leurs opt-ins). Elles sont retirées du cœur.
Cœur : le cœur ne contient plus aucun artefact RBAC (ni schéma, ni
commande, ni entrée d'index).

Conséquence d'usage¶

Utiliser rbac:validate / rbac:audit suppose forge-mvc-rbac installé, ce qui
est cohérent : ce sont des commandes de l'opt-in RBAC.
Sans l'opt-in, le cœur ne propose ni ne mentionne ces commandes.

Conséquences¶

Le cœur perd le schéma RBAC, les deux commandes et l'entrée d'index : périmètre
réduit, conforme aux principes 8 et 10.
forge-mvc-rbac devient autoporteur : il embarque son schéma, le charge
lui-même et expose sa validation.
La doc embarquée de l'opt-in (ADR-038) accueille la référence du schéma et des
commandes.

Blast radius de l'implémentation (ticket distinct) : déplacer le fichier schéma ;
déplacer rbac_validate.py / rbac_audit.py ; recâbler contract.py sur le
schéma local ; retirer rbac de forge.schema.index.json et des deux dossiers
schemas/ ; mettre à jour le dispatch et l'aide du cœur ; déplacer/adapter les
tests (test_rbac_schema_contract, test_rbac_validate_command, garde
test_schemas_identiques) ; mettre à jour la guidance et la documentation.

Alternatives écartées¶

Laisser le schéma et l'outillage RBAC dans le cœur.
Maintient un opt-in dont le contrat vit dans le cœur, contre les principes 8 et
10, et impose à tout projet le poids du RBAC inutilisé.

Déplacer le schéma mais garder les commandes dans le cœur.
Le cœur devrait alors lire un schéma absent (il a quitté le cœur) ou en garder
une copie : incohérent. Schéma et validation forment un tout, ils migrent
ensemble.

Charte appliquée¶

Principe 4 (périmètre du cœur) : le RBAC quitte entièrement le cœur.
Principe 8 (noyau minimal, briques opt-in) : l'opt-in porte son contrat.
Principe 10 (contrat de complétude) : forge-mvc-rbac fournit schéma +
validation + commandes, pas une moitié.
Règle A (retirer la cause) : on supprime le couplage inversé opt-in vers cœur.

Référence¶

ADR-014 : emplacement du contrat RBAC dans un projet.
ADR-038 : doc des opt-ins embarquée par paquet.
ADR-052 : stratégie et critères des opt-ins.
cli/security/rbac_validate.py, cli/security/rbac_audit.py : outillage à déplacer.
forge-mvc-rbac/forge_mvc_rbac/contract.py : validation à recâbler sur le schéma local.