User Roles and Access Permissions in VinylVibes API

await prisma.usuario.create({
  data: {
    nombre:     nombre_usuario.trim(),
    correo:     correoPlaceholder,
    contrasena: hash,
    rol:        'cliente',   // always hardcoded
  },
});

PUT /admin/usuarios/:id/rol
Authorization: Bearer <admin-token>

{ "rol": "vendedor" }

if (!['cliente', 'vendedor', 'admin'].includes(rol))
  return res.status(400).json({ error: 'Rol inválido.' });

function verificarToken(req, res, next) {
  const auth = req.headers.authorization;
  if (!auth?.startsWith('Bearer '))
    return res.status(401).json({ error: 'Token de autenticación requerido.' });
  try {
    req.usuario = jwt.verify(auth.slice(7), JWT_SECRET);
    next();
  } catch {
    res.status(401).json({ error: 'Token inválido o expirado. Vuelve a iniciar sesión.' });
  }
}

function soloAdmin(req, res, next) {
  if (req.usuario?.rol !== 'admin' && req.usuario?.rol !== 'demo') {
    return res.status(403).json({ error: 'Acceso denegado: se requieren permisos de administrador.' });
  }
  next();
}

function soloAdminEscritura(req, res, next) {
  if (req.usuario?.rol === 'demo')
    return res.status(403).json({ error: 'Tu cuenta es de solo lectura. No puedes realizar esta acción.' });
  next();
}

// Read — admin AND demo allowed
app.get('/admin/ventas', verificarToken, soloAdmin, handler);

// Write — admin only (demo rejected by soloAdminEscritura)
app.put('/admin/ventas/:id/estado', verificarToken, soloAdmin, soloAdminEscritura, handler);