🐛 [BUG] - Les backfills de rôles (v9.26+) ne sont que dans l'arbre server-nestjs et ne sont jamais déployés #2812

Description

Les migrations de backfill des rôles projet fusionnées depuis la v9.26.0 n'ont été écrites que dans l'arborescence Prisma de apps/server-nestjs. Le chemin de déploiement en production est l'arborescence de apps/server : le serveur Fastify exécute prisma migrate deploy au démarrage (prestart -> db:deploy), depuis apps/server/src/prisma/migrations. Les trois migrations de backfill ne sont donc jamais appliquées sur les instances existantes : les projets créés avant l'introduction du rôle Sécurité ne reçoivent pas les nouveaux rôles système, et leurs membres ne peuvent pas se voir attribuer les permissions correspondantes.

Migrations absentes (présentes uniquement dans apps/server-nestjs/src/prisma/migrations) :

• 20260907170000_backfill_project_roles (backfill des 4 rôles par défaut sur les projets sans aucun rôle, 🐛 [BUG] - Des projets existants n'ont aucun rôle projet (backfill des rôles système) #2684)
• 20260908155700_add_security_role (backfill du rôle Sécurité sur tous les projets, 💡 [REQUEST] - Ajout du rôle Sécurité au système de rôles projet #2676)
• 20260929130657_add_security_admin_role (rôle admin Sécurité Plateforme, 💡 [REQUEST] - Ajout du rôle Sécurité au système de rôles admin #2792)

L'image server-nestjs ne possède elle-même aucune étape de déploiement de migrations au démarrage (apps/server-nestjs n'a pas de script db:deploy) : la bascule vers server-nestjs reproduirait la même lacune.

Etapes de reproduction

1. Partir d'une instance v9.26.0 ou supérieure avec des projets préexistants
2. Comparer les deux arborescences de migrations : comm -13 <(ls apps/server/src/prisma/migrations) <(ls apps/server-nestjs/src/prisma/migrations)
3. Constater que les trois migrations de backfill n'existent que dans l'arborescence server-nestjs
4. Lancer pnpm --filter server exec prisma migrate deploy (le chemin prestart standard) : aucune migration de backfill n'est appliquée
5. En base, vérifier les projets sans rôle Sécurité : SELECT p.slug FROM "Project" p LEFT JOIN "ProjectRole" r ON r."projectId" = p.id AND r."oidcGroup" = '/' || p."slug" || '/console/security' WHERE r.id IS NULL — la requête renvoie les projets existants

Captures d'écran

Logs

Navigateurs

OS

Version de la console impactée

v9.26.0 et suivantes (première release contenant les fusions de backfill), sur toute instance montée de version depuis une version antérieure.

Définition du fini

• Les trois migrations 20260907170000_backfill_project_roles, 20260908155700_add_security_role et 20260929130657_add_security_admin_role existent dans apps/server/src/prisma/migrations sous les mêmes noms que dans l'arborescence server-nestjs
• pnpm --filter server exec prisma migrate deploy applique la chaîne complète sans erreur sur une instance PostgreSQL vierge
• Sonde SQL sur une base de copie de montée v9.26.0 : chaque projet porte les 5 rôles system:managed (Administrateur, DevOps, Développeur, Lecture seule, Sécurité) et le rôle admin Sécurité Plateforme est présent
• Une seconde exécution de prisma migrate deploy est un no-op (aucune ligne ajoutée dans _prisma_migrations, aucun doublon dans ProjectRole)
• Un test de la chaîne complète de migrations est ajouté en CI (deploy sur base vierge)

Références

• 🐛 [BUG] - Des projets existants n'ont aucun rôle projet (backfill des rôles système) #2684 / PR fix(server-nestjs): backfill default system roles on roleless projects #2685, 💡 [REQUEST] - Ajout du rôle Sécurité au système de rôles projet #2676 / PR feat(server-nestjs): backfill Sécurité project role on existing projects #2700, 💡 [REQUEST] - Ajout du rôle Sécurité au système de rôles admin #2792 / PR feat(server-nestjs): add Sécurité Plateforme admin role #2793
• apps/server/package.json (prestart -> prisma migrate deploy), apps/server-nestjs/prisma.config.ts