Ako testovať špeciálne role: administrátor, editor, externý používateľ

Príklad

Aplikácia má tri používateľské roly:

• Administrátor môže vytvárať, upravovať a mazať používateľov, meniť ich roly a nastavovať systém.
• Editor môže vytvárať a upravovať obsah, ale nemôže spravovať používateľov ani systémové nastavenia.
• Externý používateľ môže vidieť iba vybraný obsah a pracovať len s údajmi, ku ktorým má pridelený prístup.

Pri testovaní nestačí overiť, či jednotlivé roly vidia správne tlačidlá.

Treba skontrolovať aj to, či používateľ nedokáže zakázanú operáciu vykonať iným spôsobom, napríklad priamym otvorením URL alebo odoslaním požiadavky cez API.

Ako otestovať špeciálne role

1. Oprávnenia jednotlivých rolí

• vytvor testovacie účty pre každú rolu
• over, ktoré obrazovky a funkcie sú dostupné
• skontroluj vytváranie, čítanie, úpravu a mazanie údajov
• over operácie, ktoré majú byť pre danú rolu zakázané

2. Viditeľnosť používateľského rozhrania

• skontroluj menu, tlačidlá a odkazy
• over, že používateľ nevidí funkcie, ktoré nemá používať
• nezabudni, že skryté tlačidlo ešte neznamená zabezpečenú funkciu

3. Priamy prístup cez URL

Ak editor nemá prístup napríklad na:

/admin/users

skús túto adresu zadať priamo do prehliadača.

Systém musí prístup odmietnuť aj vtedy, keď používateľ pozná URL.

4. API a backendové oprávnenia

• skús vykonať zakázanú operáciu cez API
• zmeň identifikátor používateľa alebo objektu v požiadavke
• over správne HTTP odpovede, napríklad 401 Unauthorized alebo 403 Forbidden
• skontroluj, že backend nekontroluje iba to, čo je zobrazené vo fronte

5. Prístup k cudzím údajom

Externý používateľ môže mať prístup iba k vlastným zákazkám.

Skús napríklad zmeniť:

/orders/125

na:

/orders/126

Ak objednávka 126 patrí inému používateľovi, systém ju nesmie zobraziť.

6. Zmena roly počas prihlásenia

• zmeň používateľovi rolu počas aktívnej session
• over, či sa nové oprávnenia prejavia správne
• skontroluj, či po odobratí práv nezostane používateľovi prístup zo starej session alebo cache

7. Kombinácie oprávnení

Najviac chýb nemusí byť v samotnej role, ale v kombináciách:

• editor konkrétneho projektu
• administrátor jednej organizácie
• externý používateľ s dočasným prístupom
• používateľ s viacerými rolami

Pri testovaní rolí teda netestujeme iba otázku:

„Čo používateľ vidí?“

Dôležitejšia je otázka:

„Čo všetko dokáže urobiť, aj keď by to urobiť nemal?“