feat(#161): admin peut créer gestionnaire et administrateur.

Assouplit POST /gestionnaires, PATCH /gestionnaires/:id et POST /users/admin
(+ check createAdmin) pour ADMINISTRATEUR. Masque « Ajouter » staff sur le
dashboard gestionnaire. Tests droits Roles + createAdmin.

Co-authored-by: Cursor <cursoragent@cursor.com>

backend/src/routes/user/gestionnaires/gestionnaires.controller.spec.ts

@@ -1,20 +1,21 @@
-import { Test, TestingModule } from '@nestjs/testing';
+import 'reflect-metadata';
 import { GestionnairesController } from './gestionnaires.controller';
-import { GestionnairesService } from './gestionnaires.service';
+import { RoleType } from 'src/entities/users.entity';
 
-describe('GestionnairesController', () => {
-  let controller: GestionnairesController;
-
-  beforeEach(async () => {
-    const module: TestingModule = await Test.createTestingModule({
-      controllers: [GestionnairesController],
-      providers: [GestionnairesService],
-    }).compile();
-
-    controller = module.get<GestionnairesController>(GestionnairesController);
+describe('GestionnairesController roles (#161)', () => {
+  it('POST /gestionnaires autorise SUPER_ADMIN et ADMINISTRATEUR', () => {
+    const roles = Reflect.getMetadata('roles', GestionnairesController.prototype.create);
+    expect(roles).toEqual(
+      expect.arrayContaining([RoleType.SUPER_ADMIN, RoleType.ADMINISTRATEUR]),
+    );
+    expect(roles).not.toContain(RoleType.GESTIONNAIRE);
   });
 
-  it('should be defined', () => {
-    expect(controller).toBeDefined();
+  it('PATCH /gestionnaires/:id autorise SUPER_ADMIN et ADMINISTRATEUR', () => {
+    const roles = Reflect.getMetadata('roles', GestionnairesController.prototype.update);
+    expect(roles).toEqual(
+      expect.arrayContaining([RoleType.SUPER_ADMIN, RoleType.ADMINISTRATEUR]),
+    );
+    expect(roles).not.toContain(RoleType.GESTIONNAIRE);
   });
 });

backend/src/routes/user/gestionnaires/gestionnaires.controller.ts

@@ -25,10 +25,10 @@ import { AuthGuard } from 'src/common/guards/auth.guard';
 export class GestionnairesController {
   constructor(private readonly gestionnairesService: GestionnairesService) { }
 
-  @Roles(RoleType.SUPER_ADMIN)
+  @Roles(RoleType.SUPER_ADMIN, RoleType.ADMINISTRATEUR)
   @ApiResponse({ status: 201, description: 'Le gestionnaire a été créé avec succès.', type: Users })
   @ApiResponse({ status: 409, description: 'Conflit. L\'email est déjà utilisé.' })
-  @ApiOperation({ summary: 'Création d\'un gestionnaire' })
+  @ApiOperation({ summary: 'Création d\'un gestionnaire (admin / super admin)' })
   @ApiBody({ type: CreateGestionnaireDto })
   @Post()
   create(@Body() dto: CreateGestionnaireDto): Promise<Users> {
@@ -43,7 +43,7 @@ export class GestionnairesController {
     return this.gestionnairesService.findAll();
   }
 
-  @Roles(RoleType.GESTIONNAIRE, RoleType.SUPER_ADMIN)
+  @Roles(RoleType.GESTIONNAIRE, RoleType.SUPER_ADMIN, RoleType.ADMINISTRATEUR)
   @ApiOperation({ summary: 'Récupérer un gestionnaire par ID' })
   @ApiResponse({ status: 400, description: 'ID invalide' })
   @ApiResponse({ status: 403, description: 'Accès refusé' })
@@ -56,8 +56,8 @@ export class GestionnairesController {
     return this.gestionnairesService.findOne(id);
   }
 
-  @Roles(RoleType.SUPER_ADMIN)
-  @ApiOperation({ summary: 'Mettre à jour un gestionnaire' })
+  @Roles(RoleType.SUPER_ADMIN, RoleType.ADMINISTRATEUR)
+  @ApiOperation({ summary: 'Mettre à jour un gestionnaire (admin / super admin)' })
   @ApiResponse({ status: 200, description: 'Le gestionnaire a été mis à jour avec succès.', type: Users })
   @ApiResponse({ status: 404, description: 'Gestionnaire non trouvé' })
   @ApiResponse({ status: 403, description: 'Accès refusé' })