nexarch/common/moduleauth/verifier_test.go

package moduleauth

import (
	"context"
	"testing"
	"time"
)

// TestVerify_AcceptsValidToken belegt den Grundfall: ein vom Testaussteller
// signiertes, gueltiges Token liefert die erwarteten Claims.
func TestVerify_AcceptsValidToken(t *testing.T) {
	v, iss := NewTestVerifierAndIssuer()
	tok := iss.Token("u1", "acme", "user", "", "")
	c, err := v.Verify(context.Background(), tok)
	if err != nil || c.Subject != "u1" || c.Tenant != "acme" || c.Role != "user" {
		t.Fatalf("claims=%+v err=%v", c, err)
	}
}

// TestVerify_RejectsForeignSignature: ein Token eines anderen Schluessels
// (der Verifier kennt dessen kid nicht) wird abgewiesen.
func TestVerify_RejectsForeignSignature(t *testing.T) {
	v, _ := NewTestVerifierAndIssuer()
	_, other := NewTestVerifierAndIssuer()
	if _, err := v.Verify(context.Background(), other.Token("u1", "acme", "user", "", "")); err == nil {
		t.Fatal("erwartete fehler bei fremder signatur")
	}
}

// TestScope_AudienceMismatchRejected ist der Kern von API-18/F-07: mit
// Expect(audience="mail", ..., enforce=true) gebundene Verifier weisen ein
// Token mit aud="dms" ab, akzeptieren aber aud="mail".
func TestScope_AudienceMismatchRejected(t *testing.T) {
	v, iss := NewTestVerifierAndIssuer()
	v.Expect("mail", "", true)

	if _, err := v.Verify(context.Background(), iss.Token("u1", "acme", "user", "dms", "")); err == nil {
		t.Fatal("erwartete fehler bei aud=dms gegen einen mail-gebundenen verifier")
	}
	if _, err := v.Verify(context.Background(), iss.Token("u1", "acme", "user", "mail", "")); err != nil {
		t.Fatalf("erwartete erfolg bei aud=mail, habe: %v", err)
	}
}

// TestScope_EnforceRejectsTokenWithoutAudience: mit enforce=true wird ein
// Token OHNE aud-Claim ebenfalls abgewiesen (kein stiller Rueckfall).
func TestScope_EnforceRejectsTokenWithoutAudience(t *testing.T) {
	v, iss := NewTestVerifierAndIssuer()
	v.Expect("mail", "", true)
	if _, err := v.Verify(context.Background(), iss.Token("u1", "acme", "user", "", "")); err == nil {
		t.Fatal("erwartete fehler bei fehlendem aud unter enforce=true")
	}
}

// TestVerify_RejectsExpiredToken.
func TestVerify_RejectsExpiredToken(t *testing.T) {
	v, iss := NewTestVerifierAndIssuer()
	expired := iss.TokenExpiringAt("u1", "acme", "user", "", "", time.Now().Add(-2*time.Hour))
	if _, err := v.Verify(context.Background(), expired); err == nil {
		t.Fatal("erwartete fehler bei abgelaufenem token")
	}
}