Príklad
Portál zobrazuje verejné podujatia aj ich detail. Neprihlásený návštevník môže vidieť názov, dátum a miesto verejného podujatia. Zoznam účastníkov, interné poznámky, možnosť upravovať podujatie a export údajov však majú byť dostupné iba prihláseným používateľom s príslušným oprávnením.
Pri testovaní nestačí overiť, že sa anonymnému návštevníkovi nezobrazilo tlačidlo Upraviť. Treba preveriť, či sa k chráneným údajom nedostane cez priamu URL adresu, API, starú reláciu ani vyrovnávaciu pamäť prehliadača.
Ako otestovať anonymný prístup a jeho obmedzenia
1. Urči, čo má byť verejné a čo chránené
- Priprav si prehľad obrazoviek, dát a operácií dostupných bez prihlásenia.
- Rozlíš verejný zoznam, verejný detail a citlivé časti detailu, napríklad kontaktné údaje účastníkov alebo interné poznámky.
- Urči očakávané správanie pri každej chránenej operácii: presmerovanie na prihlásenie, odpoveď
401,403alebo404podľa pravidiel systému. - Over, že anonymný používateľ nemá možnosť vytvárať, upravovať, mazať, exportovať ani sťahovať chránený obsah.
2. Otestuj verejnú časť systému bez prihlásenia
- Otvor aplikáciu v anonymnom okne alebo po úplnom odhlásení.
- Over verejné stránky, vyhľadávanie, filtre, stránkovanie a detail položky.
- Skontroluj, že systém nezobrazuje údaje určené len pre prihláseného používateľa, napríklad e-mail, telefón, interný stav alebo históriu zmien.
- Otestuj neexistujúcu verejnú položku a položku, ktorá už nie je publikovaná. Systém má zobraziť zrozumiteľný a bezpečný výsledok.
3. Skús obísť obmedzenia priamym odkazom a API
- Skopíruj URL chránenej stránky z prihláseného účtu a otvor ju ako anonymný návštevník.
- Zmeň identifikátor v URL, napríklad
/events/125na/events/126. - Skús priamo zavolať API endpoint určený pre úpravu, export alebo detail neverejnej položky bez tokenu.
- Over, že odpoveď neobsahuje citlivý obsah, názov položky ani zbytočné metadáta.
- Skontroluj aj náhľad, prílohy, stiahnutie súboru, export a odkaz z e-mailového oznámenia.
4. Over prechod medzi anonymným a prihláseným stavom
- Otvor verejnú stránku, prihlás sa a následne sa odhlás.
- Po odhlásení obnov stránku, použi tlačidlo Späť a skús znovu otvoriť predtým dostupnú chránenú adresu.
- Over, že prehliadač nezobrazí citlivý obsah z cache.
- Ak systém po prihlásení presmeruje používateľa späť na pôvodnú stránku, over, že presmerovanie neumožní otvoriť zakázanú adresu.
- Otestuj expirovanú reláciu alebo odstránené cookies počas práce s verejnou stránkou.
5. Skontroluj používateľské rozhranie aj backend
- Over, že anonymnému používateľovi nie sú viditeľné zakázané akcie.
- Následne skús tú istú operáciu vykonať priamo cez API alebo ručne upravenú požiadavku.
- Skontroluj, že obmedzenie v rozhraní zodpovedá autorizácii na serveri.
- Over logy a auditné záznamy pri odmietnutom prístupe, ak ich systém vytvára.
- Pri chybovej odpovedi over, že systém neprezradí technické detaily, tokeny ani existenciu citlivého záznamu.
Anonymný prístup nie je iba stav bez prihlásenia. Je to samostatná rola s presne určeným rozsahom viditeľnosti a akcií. Dobrý test potvrdí, že verejný obsah zostane dostupný, ale chránený obsah neunikne cez rozhranie, priamy odkaz ani backend.