Карточка Junior Авторизация: IDOR, RBAC, ABAC обновлено
Как тестировать авторизацию
Вопрос
Как систематически проверять авторизацию в API?
Попробуйте сами
Ответьте про себя или вслух, потом откройте ответ и сверьтесь.
Показать ответ и разбор
Коротко
Завести двух пользователей в разных организациях и разные роли, для каждого метода с идентификатором попробовать чужие объекты, для каждой функции попробовать вызвать её ролью ниже, пробовать запись лишних полей. Оформить это автотестами в CI.
Ответ
Завести двух пользователей в разных организациях и разные роли, для каждого метода с идентификатором попробовать чужие объекты, для каждой функции попробовать вызвать её ролью ниже, пробовать запись лишних полей. Оформить это автотестами в CI.
Разбор
Матрица «роль × метод × чужой объект» быстро находит пропуски.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.