Business Rules — Unit 02: Identity & RBAC

Dit document beschrijft de validatieregels en logica voor identiteitsbeheer en autorisatie.

1. Hiërarchische Rollen (BR-ID-01)

Hiërarchie: Owner (100) > Administrator (50) > User (10).
Beperking: Een gebruiker kan alleen acties uitvoeren op gebruikers met een lagere rol in de hiërarchie.
- Uitzondering: Een Owner kan acties uitvoeren op andere Owners (bijv. de-activeren, mits niet de laatste Owner).
- Een Administrator kan een User beheren, maar geen andere Administrator of Owner.
Rolverandering: Een gebruiker kan een andere gebruiker nooit een rol toekennen die hoger is dan zijn eigen rol.

Geen Zelfregistratie: Het systeem staat geen publieke registratie toe.
Uitnodigingsflow:
1. Administrator/Owner maakt een uitnodiging aan (e-mail + rol).
2. Systeem genereert een InvitationToken met een beperkte geldigheidsduur (bijv. 24 uur).
3. Gebruiker moet via een specifiek endpoint (POST /api/setup/complete-invitation) zijn wachtwoord instellen met dit token.
4. Na succesvolle instelling wordt het token ongeldig en het account geactiveerd.

Setup Endpoint: Bij een lege database is een eenmalig endpoint POST /api/setup/init beschikbaar.
Eerste Owner: Dit endpoint accepteert de gegevens voor de eerste Owner. Na succesvolle aanmaak wordt dit endpoint permanent geblokkeerd of verwijderd uit de routing.

Wachtwoord Hashen: Wachtwoorden moeten gehasht worden volgens de ASP.NET Core Identity standaard (PBKDF2 met HMAC-SHA256).
Refresh Tokens:
- Refresh tokens zijn gekoppeld aan een specifieke gebruiker en client/apparaat.
- Refresh tokens kunnen maar één keer worden gebruikt (Rotation-principe).
- Bij gebruik van een oud refresh token worden alle actieve sessies van die gebruiker ongeldig gemaakt (beveiligingsmaatregel tegen token diefstal).

Fine-grained Access: Naast de globale rollen kunnen Beheerders specifieke rechten per module toekennen aan Users.
Default: Zonder expliciete module-rechten heeft een User alleen leesrechten of basisrechten binnen een module (afhankelijk van de module-implementatie).