Décomposition multi-agents — PD-63¶

// Migration TypeORM
// Ajouter 5 colonnes à vault_secure.documents :
// - deleted_at: TIMESTAMP NULL
// - deletion_reason: VARCHAR(50) NULL
// - legal_lock: BOOLEAN DEFAULT false
// - legal_lock_reason: VARCHAR(50) NULL
// - legal_lock_until: TIMESTAMP NULL

// Ajouter les propriétés TypeORM :
@Column({ type: 'timestamp', nullable: true })
deletedAt?: Date;

@Column({ type: 'varchar', length: 50, nullable: true })
deletionReason?: string;

@Column({ type: 'boolean', default: false })
legalLock: boolean;

@Column({ type: 'varchar', length: 50, nullable: true })
legalLockReason?: string;

@Column({ type: 'timestamp', nullable: true })
legalLockUntil?: Date;

// Ajouter ERR-63-11 (audit indisponible)
// Mapper ERR-46-* vers ERR-63-*
// Codes : 400, 401, 403, 404, 410, 423, 429, 500, 503

// Vérifier table document_shares
// Check: share_type, expires_at, revoked_at
// Si partage valide → ALLOW avec contexte délégation

// Vérifier claims JWT tenant_id + roles
// Check: co_holders table ou claims B2B
// Si co-détention valide → ALLOW avec contexte B2B

// Vérifier status document selon §3.1 spec :
// - PENDING → 403
// - SEALED → OK
// - EXPIRED → 410
// - ARCHIVED → HEAD Object S3, si non accessible → 503

// Vérifier deleted_at → 410 (ERR-63-06)
// Vérifier legal_lock → 423 (ERR-63-07)

// Enrichir schéma événement audit :
interface DownloadAuditEvent {
  actor_id: string;
  document_id: string;
  tenant_id: string;
  decision: 'ALLOW' | 'DENY';
  reason: string;
  timestamp_utc: string;
  correlation_id: string;
  // Nouveaux champs :
  access_type: 'OWNER' | 'SHARE' | 'B2B';
  share_id?: string;
  co_holder_id?: string;
}

// AVANT de délivrer l'URL pré-signée :
// 1. Appeler auditService.logDownloadAttempt()
// 2. Si audit échoue (exception ou timeout) → throw ERR-63-11
// 3. Sinon → générer URL pré-signée
// FAIL-CLOSED STRICT : pas de retry applicatif

// Intercepteur NestJS qui :
// 1. Capture les réponses 401/403/404
// 2. Log événement audit avec decision=DENY
// 3. Propage la réponse originale
// Ne bloque PAS la réponse (audit best-effort pour rejets précoces)

// Ajouter @UseInterceptors(AuditRejectInterceptor) sur le controller
// OU enregistrer globalement dans le module