usuario operador prestamo y upload falta validación

src/modulo/modulo.controller.ts

@@ -1,7 +1,7 @@
 import {
   Body,
-  ConflictException,
   Controller,
+  ForbiddenException,
   Get,
   Post,
   Put,
@@ -20,6 +20,7 @@ import {
 import { Serealize } from '../interceptors/serialize.interceptor';
 import { ModuloService } from './modulo.service';
 import { Operador } from 'src/operador/entity/operador.entity';
+import { Usuario } from 'src/usuario/entity/usuario.entity';
 import { IdInstitucionDto } from '../dto/id-institucion.dto';
 import { CreateModuloDto } from './dto/input/create.dto';
 import { ModuloDto } from './dto/input/modulo.dto';
@@ -44,7 +45,7 @@ export class ModuloController {
     const admin: Operador = req.user.operador;
 
     if (!admin || admin.tipoUsuario.id_tipo_usuario != 3)
-      throw new ConflictException(
+      throw new ForbiddenException(
         'No tienes los permisos necesarios para realizar esta acción.',
       );
     return this.moduloService.create(admin, body.modulo);
@@ -62,21 +63,40 @@ export class ModuloController {
     name: 'id_modulo',
     type: 'string',
   })
-  modulo(@Query() query: ModuloDto) {
+  modulo(@Request() req, @Query() query: ModuloDto) {
+    const admin: Operador = req.user.operador;
+
+    if (!admin || admin.tipoUsuario.id_tipo_usuario != 3)
+      throw new ForbiddenException(
+        'No tienes los permisos necesarios para acceder a esta información.',
+      );
     return this.moduloService.findById(parseInt(query.id_modulo));
   }
 
   @Serealize(ModuloOutputDto)
   @Get('modulos')
+  @UseGuards(AuthGuard('jwt'))
   @ApiOperation({
     description: 'Endpoint que retorna todos los módulos de una institución.',
   })
+  @ApiBearerAuth('jwt')
   @ApiQuery({
     description: 'Id de la institución.',
     name: 'id_institucion',
     type: 'string',
   })
-  modulos(@Query() query: IdInstitucionDto) {
+  modulos(@Request() req, @Query() query: IdInstitucionDto) {
+    const operador: Operador = req.user.operador;
+
+    if (
+      !operador ||
+      (operador.tipoUsuario.id_tipo_usuario != 2 &&
+        operador.tipoUsuario.id_tipo_usuario != 3 &&
+        operador.tipoUsuario.id_tipo_usuario != 4)
+    )
+      throw new ForbiddenException(
+        'No tienes los permisos necesarios para acceder a esta información.',
+      );
     return this.moduloService.findAllByIdInstitucion(
       parseInt(query.id_institucion),
     );
@@ -84,11 +104,9 @@ export class ModuloController {
 
   @Serealize(ModuloMinOutputDto)
   @Get('modulos-activos')
-  @UseGuards(AuthGuard('jwt'))
   @ApiOperation({
     description: 'Endpoint que retorna todos los módulos de una institución.',
   })
-  @ApiBearerAuth('jwt')
   @ApiQuery({
     description: 'Id de la institución.',
     name: 'id_institucion',
@@ -117,7 +135,7 @@ export class ModuloController {
     const admin: Operador = req.user.operador;
 
     if (!admin || admin.tipoUsuario.id_tipo_usuario != 3)
-      throw new ConflictException(
+      throw new ForbiddenException(
         'No tienes los permisos necesarios para realizar esta acción.',
       );
     return this.moduloService.update(admin, body);