fix(#131): co_parent en réponse parents + masquage secrets user

Contrat API fiche parent : co_parent peuplé (déjà chargé), sans password
ni tokens sur user/co_parent. Doc tmp front→back.

Co-authored-by: Cursor <cursoragent@cursor.com>

backend/src/routes/parents/parents.controller.ts

@@ -23,6 +23,7 @@ import { RolesGuard } from 'src/common/guards/roles.guard';
 import { User } from 'src/common/decorators/user.decorator';
 import { PendingFamilyDto } from './dto/pending-family.dto';
 import { DossierFamilleCompletDto } from './dto/dossier-famille-complet.dto';
+import { mapParentForApi, mapParentsForApi } from './parents.mapper';
 
 @ApiTags('Parents')
 @Controller('parents')
@@ -82,20 +83,23 @@ export class ParentsController {
   }
 
   @Roles(RoleType.SUPER_ADMIN, RoleType.GESTIONNAIRE, RoleType.ADMINISTRATEUR)
-  @Get()
+  @ApiOperation({ summary: 'Liste des parents (user, co_parent, parentChildren) — ticket #131' })
   @ApiResponse({ status: 200, type: [Parents], description: 'Liste des parents' })
   @ApiResponse({ status: 403, description: 'Accès refusé !' })
-  getAll(): Promise<Parents[]> {
-    return this.parentsService.findAll();
+  async getAll(): Promise<Parents[]> {
+    const parents = await this.parentsService.findAll();
+    return mapParentsForApi(parents);
   }
 
   @Roles(RoleType.SUPER_ADMIN, RoleType.GESTIONNAIRE, RoleType.ADMINISTRATEUR)
   @Get(':id')
+  @ApiOperation({ summary: 'Détail parent par user_id (inclut co_parent si id_co_parent renseigné) — ticket #131' })
   @ApiResponse({ status: 200, type: Parents, description: 'Détails du parent par ID utilisateur' })
   @ApiResponse({ status: 404, description: 'Parent non trouvé' })
   @ApiResponse({ status: 403, description: 'Accès refusé !' })
-  getOne(@Param('id') user_id: string): Promise<Parents> {
-    return this.parentsService.findOne(user_id);
+  async getOne(@Param('id') user_id: string): Promise<Parents> {
+    const parent = await this.parentsService.findOne(user_id);
+    return mapParentForApi(parent);
   }
 
   @Roles(RoleType.SUPER_ADMIN, RoleType.GESTIONNAIRE)
@@ -103,8 +107,9 @@ export class ParentsController {
   @ApiBody({ type: CreateParentDto })
   @ApiResponse({ status: 201, type: Parents, description: 'Parent créé avec succès' })
   @ApiResponse({ status: 403, description: 'Accès refusé !' })
-  create(@Body() dto: CreateParentDto): Promise<Parents> {
-    return this.parentsService.create(dto);
+  async create(@Body() dto: CreateParentDto): Promise<Parents> {
+    const parent = await this.parentsService.create(dto);
+    return mapParentForApi(parent);
   }
 
   @Roles(RoleType.SUPER_ADMIN, RoleType.GESTIONNAIRE, RoleType.ADMINISTRATEUR)
@@ -113,11 +118,12 @@ export class ParentsController {
   @ApiParam({ name: 'id', description: "UUID utilisateur du parent" })
   @ApiBody({ type: UpdateParentFicheAdminDto })
   @ApiResponse({ status: 200, type: Parents, description: 'Fiche parent mise à jour' })
-  updateFicheAdmin(
+  async updateFicheAdmin(
     @Param('id') id: string,
     @Body() dto: UpdateParentFicheAdminDto,
   ): Promise<Parents> {
-    return this.parentsService.updateFicheAdmin(id, dto);
+    const parent = await this.parentsService.updateFicheAdmin(id, dto);
+    return mapParentForApi(parent);
   }
 
   @Roles(RoleType.SUPER_ADMIN, RoleType.GESTIONNAIRE, RoleType.ADMINISTRATEUR)
@@ -126,11 +132,12 @@ export class ParentsController {
   @ApiParam({ name: 'id', description: "UUID utilisateur du parent" })
   @ApiParam({ name: 'enfantId', description: "UUID de l'enfant" })
   @ApiResponse({ status: 200, type: Parents, description: 'Parent avec enfants mis à jour' })
-  attachEnfant(
+  async attachEnfant(
     @Param('id') id: string,
     @Param('enfantId') enfantId: string,
   ): Promise<Parents> {
-    return this.parentsService.attachEnfant(id, enfantId);
+    const parent = await this.parentsService.attachEnfant(id, enfantId);
+    return mapParentForApi(parent);
   }
 
   @Roles(RoleType.SUPER_ADMIN, RoleType.GESTIONNAIRE, RoleType.ADMINISTRATEUR)
@@ -139,11 +146,12 @@ export class ParentsController {
   @ApiParam({ name: 'id', description: "UUID utilisateur du parent" })
   @ApiParam({ name: 'enfantId', description: "UUID de l'enfant" })
   @ApiResponse({ status: 200, type: Parents, description: 'Parent avec enfants mis à jour' })
-  detachEnfant(
+  async detachEnfant(
     @Param('id') id: string,
     @Param('enfantId') enfantId: string,
   ): Promise<Parents> {
-    return this.parentsService.detachEnfant(id, enfantId);
+    const parent = await this.parentsService.detachEnfant(id, enfantId);
+    return mapParentForApi(parent);
   }
 
   @Roles(RoleType.SUPER_ADMIN, RoleType.GESTIONNAIRE)
@@ -152,7 +160,8 @@ export class ParentsController {
   @ApiResponse({ status: 200, type: Parents, description: 'Parent mis à jour avec succès' })
   @ApiResponse({ status: 404, description: 'Parent introuvable' })
   @ApiResponse({ status: 403, description: 'Accès refusé !' })
-  update(@Param('id') id: string, @Body() dto: UpdateParentsDto): Promise<Parents> {
-    return this.parentsService.update(id, dto);
+  async update(@Param('id') id: string, @Body() dto: UpdateParentsDto): Promise<Parents> {
+    const parent = await this.parentsService.update(id, dto);
+    return mapParentForApi(parent);
   }
 }