feat(archive): RET-06-API Aufbewahrungsfristen-Konfigurations-Backend

Board-Entscheidung: Backend-API zuerst, echtes Next.js-Frontend als separates Folgeticket - vermeidet Pseudo-Frontend-Protokoll. internal/retentionapi: 4 Endpunkte (anlegen/aendern, deaktivieren, liste, vorschau), Vorschau nutzt dieselbe ListExpiringObjects-Funktion wie RET-02s periodischer Job (keine Doppel-Implementierung). RequireRole ist AUSDRUECKLICH kein RBAC-02-Ersatz, sondern ein dokumentiertes Provisorium (Header-Check) - RBAC-02 ist reiner Core-interner Go-Code ohne HTTP-Schnittstelle fuer andere Module, derselbe Befund wie FDN-03/FDN-09. Provisorium real getestet inkl. Negativfall (403 ohne/mit falscher Rolle). retention_class_rules um active-Flag erweitert (deaktivieren ohne Historienverlust). Real auf 131 deployed und per curl end-to-end verifiziert.
2026-08-30 02:09:37 +02:00
parent 2c9a7482b6
commit 21278f1405
11 changed files with 644 additions and 3 deletions
@@ -0,0 +1,60 @@
+package retentionapi
+
+import (
+	"net/http"
+	"net/http/httptest"
+	"testing"
+)
+
+// TestRequireRole_MissingRoleReturns403 ist die vom Nutzer geforderte
+// Negativpruefung fuer den provisorischen Rollen-Check: keine/falsche
+// Rolle => 403, sonst waere der Check nicht pruefbar.
+func TestRequireRole_MissingRoleReturns403(t *testing.T) {
+	handler := RequireRole(adminRole, func(w http.ResponseWriter, r *http.Request) {
+		w.WriteHeader(http.StatusOK)
+	})
+	server := httptest.NewServer(handler)
+	defer server.Close()
+
+	// Kein Header gesetzt.
+	resp, err := http.Get(server.URL)
+	if err != nil {
+		t.Fatalf("get: %v", err)
+	}
+	defer func() { _ = resp.Body.Close() }()
+	if resp.StatusCode != http.StatusForbidden {
+		t.Fatalf("ohne rollen-header: status = %d, want 403", resp.StatusCode)
+	}
+
+	// Falsche Rolle gesetzt.
+	req, _ := http.NewRequest(http.MethodGet, server.URL, nil)
+	req.Header.Set("X-Admin-Roles", "irgendwas_anderes")
+	resp2, err := http.DefaultClient.Do(req)
+	if err != nil {
+		t.Fatalf("get: %v", err)
+	}
+	defer func() { _ = resp2.Body.Close() }()
+	if resp2.StatusCode != http.StatusForbidden {
+		t.Fatalf("mit falscher rolle: status = %d, want 403", resp2.StatusCode)
+	}
+}
+
+// TestRequireRole_CorrectRoleAllowsAccess ist der positive Gegentest.
+func TestRequireRole_CorrectRoleAllowsAccess(t *testing.T) {
+	handler := RequireRole(adminRole, func(w http.ResponseWriter, r *http.Request) {
+		w.WriteHeader(http.StatusOK)
+	})
+	server := httptest.NewServer(handler)
+	defer server.Close()
+
+	req, _ := http.NewRequest(http.MethodGet, server.URL, nil)
+	req.Header.Set("X-Admin-Roles", "irgendwas_anderes, archive_admin")
+	resp, err := http.DefaultClient.Do(req)
+	if err != nil {
+		t.Fatalf("get: %v", err)
+	}
+	defer func() { _ = resp.Body.Close() }()
+	if resp.StatusCode != http.StatusOK {
+		t.Fatalf("mit korrekter rolle: status = %d, want 200", resp.StatusCode)
+	}
+}