fix(souscription): réécrire activerAdminOrganisation — promouvoir le payeur, pas un membre aléatoire

Problème : après paiement Wave, le membre restait SIMPLEMEMBER car :
1. La méthode bouclait sur TOUS les liens de l'org et promouvait le
   premier non-ACTIF (pas forcément le payeur)
2. Si aucun lien n'existait, créait un lien avec SIMPLEMEMBER sans promotion
3. Early return après la première promotion → si le mauvais membre était
   promu, le payeur restait bloqué

Nouvelle logique :
1. Identifier le caller (JWT email) = le membre qui a réellement payé
2. Vérifier/créer son lien MembreOrganisation (activer si en attente)
3. Promouvoir ce membre spécifique en ORGADMIN (DB)
4. Syncer Keycloak ADMIN_ORGANISATION (non-bloquant)

Résultat : après paiement, le payeur est automatiquement promu ORGADMIN
avec statut ACTIF et accède directement à son dashboard.

src/main/java/dev/lions/unionflow/server/service/SouscriptionService.java

@@ -448,14 +448,16 @@ public class SouscriptionService {
      * Si aucun lien membre-organisation n'existe, tente de créer le lien pour le
      * caller courant (email JWT) avant d'activer.
      */
+    /**
+     * Active l'admin de l'organisation après paiement de la souscription.
+     *
+     * <p>Stratégie : identifier le membre qui a payé (via JWT) et le promouvoir
+     * ORGADMIN. Si le membre n'a pas de lien MembreOrganisation, le créer.
+     *
+     * <p>Cascades : promouvoirAdminOrganisation (DB) + sync Keycloak ADMIN_ORGANISATION.
+     */
     private void activerAdminOrganisation(UUID organisationId) {
-        List<dev.lions.unionflow.server.entity.MembreOrganisation> liens =
+        // ── 1. Identifier le caller (le membre qui a payé) ─────────────────────
-                membreOrganisationRepository.findAllByOrganisationId(organisationId);
-
-        if (liens.isEmpty()) {
-            LOG.warnf("activerAdminOrganisation: aucun lien membre-organisation trouvé pour org=%s — tentative de liaison via JWT", organisationId);
-
-            // Récupérer l'email du caller depuis le JWT
         String email = securiteHelper.resolveEmail();
         if (email == null) {
             LOG.warnf("activerAdminOrganisation: impossible de résoudre l'email JWT pour org=%s", organisationId);
@@ -474,31 +476,41 @@ public class SouscriptionService {
             return;
         }
 
-            // Créer le lien MembreOrganisation à la volée
+        LOG.infof("activerAdminOrganisation: caller=%s (%s) pour org=%s (%s)",
+                caller.getId(), email, organisationId, org.getNom());
+
+        // ── 2. S'assurer que le caller a un lien MembreOrganisation ────────────
+        var lienOpt = membreOrganisationRepository
+                .findByMembreIdAndOrganisationId(caller.getId(), organisationId);
+
+        if (lienOpt.isEmpty()) {
+            LOG.infof("activerAdminOrganisation: pas de lien existant — création pour membre=%s org=%s", caller.getId(), organisationId);
             membreService.lierMembreOrganisationEtIncrementerQuota(caller, organisationId, "ACTIF");
-            LOG.infof("activerAdminOrganisation: lien créé à la volée pour membre=%s org=%s", caller.getId(), organisationId);
+        } else {
-
+            // Activer le lien existant s'il est en attente
-            // Recharger et activer
+            var lien = lienOpt.get();
-            liens = membreOrganisationRepository.findAllByOrganisationId(organisationId);
+            if (lien.getStatutMembre() != dev.lions.unionflow.server.api.enums.membre.StatutMembre.ACTIF) {
+                lien.setStatutMembre(dev.lions.unionflow.server.api.enums.membre.StatutMembre.ACTIF);
+                LOG.infof("activerAdminOrganisation: lien existant activé (statut→ACTIF) pour membre=%s", caller.getId());
+            }
         }
 
-        for (dev.lions.unionflow.server.entity.MembreOrganisation lien : liens) {
+        // ── 3. Promouvoir en ORGADMIN (DB + Keycloak) ──────────────────────────
-            Membre m = lien.getMembre();
-            if (m != null && !"ACTIF".equals(m.getStatutCompte())) {
-                // Promouvoir → statut ACTIF + rôle ORGADMIN en base
-                membreService.promouvoirAdminOrganisation(m.getId());
-                // Sync Keycloak : assigner ADMIN_ORGANISATION (non-bloquant)
         try {
-                    keycloakSyncService.promouvoirAdminOrganisationDansKeycloak(m.getId());
+            membreService.promouvoirAdminOrganisation(caller.getId());
+            LOG.infof("activerAdminOrganisation: membre %s promu ORGADMIN en DB", caller.getId());
         } catch (Exception e) {
-                    LOG.warnf("Keycloak sync ORGADMIN échouée pour membre=%s (non-bloquant): %s", m.getId(), e.getMessage());
+            LOG.errorf("activerAdminOrganisation: échec promotion DB pour membre=%s : %s", caller.getId(), e.getMessage());
         }
-                LOG.infof("Membre admin %s promu ORGADMIN pour organisation %s", m.getId(), organisationId);
+
-                return;
+        try {
+            keycloakSyncService.promouvoirAdminOrganisationDansKeycloak(caller.getId());
+            LOG.infof("activerAdminOrganisation: rôle Keycloak ADMIN_ORGANISATION assigné pour membre=%s", caller.getId());
+        } catch (Exception e) {
+            LOG.warnf("activerAdminOrganisation: sync Keycloak ORGADMIN échouée pour membre=%s (non-bloquant): %s",
+                    caller.getId(), e.getMessage());
         }
     }
-        LOG.infof("activerAdminOrganisation: tous les membres de org=%s sont déjà ACTIF", organisationId);
-    }
 
     private void notifierSuperAdmins(SouscriptionOrganisation souscription) {
         // Notification simple via NotificationService — non bloquant