nexarch/workflow/internal/backchannelapi/backchannelapi_test.go

package backchannelapi

import (
	"context"
	"net/http"
	"net/http/httptest"
	"os"
	"path/filepath"
	"testing"

	"gitea.perlbach24.de/scripte/nexarch/common/testdb"
	"gitea.perlbach24.de/scripte/nexarch/workflow/internal/backchannel"
	"gitea.perlbach24.de/scripte/nexarch/workflow/internal/caseobj"
	"gitea.perlbach24.de/scripte/nexarch/workflow/internal/migrate"
	"gitea.perlbach24.de/scripte/nexarch/workflow/internal/reminder"
	"gitea.perlbach24.de/scripte/nexarch/workflow/internal/task"
)

type alwaysValid struct{}

func (alwaysValid) VerifyTenant(_ context.Context, _ string) (bool, error) { return true, nil }

func findModuleRoot(t *testing.T) string {
	t.Helper()
	dir, err := os.Getwd()
	if err != nil {
		t.Fatalf("getwd: %v", err)
	}
	for {
		if _, err := os.Stat(filepath.Join(dir, "go.mod")); err == nil {
			return dir
		}
		parent := filepath.Dir(dir)
		if parent == dir {
			t.Fatal("go.mod nicht gefunden")
		}
		dir = parent
	}
}

// VOR-06 AK3 / Pruefung 3: Integrationstest ueber die echte HTTP-Bindung
// (backchannelapi) mit einer Mandanten-Instanz -- simuliert den
// DOC-13-Aufrufpfad (DMS ruft VOR-04 fuer eine Objekt-Referenz auf), da im
// workflow-Modul selbst kein echter DMS-Aufrufer verfuegbar ist; nutzt
// stattdessen den echten HTTP-Vertrag von backchannelapi, wie bei
// vorherigen modulübergreifenden Tests dieser Session etabliert (z.B.
// INT-13/DAT-01: httptest-Server statt echter Gegenstelle). Belegt: ein
// korrekter Tenant-Kontext liefert Daten, ein fremder wird ueber HTTP mit
// 403 abgelehnt -- unabhaengig vom Service-Credential-Scope, mit dem DMS
// selbst authentifiziert waere.
func TestBackchannelAPI_CrossTenantContext_RejectedOverHTTP(t *testing.T) {
	dsn := os.Getenv("TEST_TENANT_DSN")
	if dsn == "" {
		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest uebersprungen")
	}
	ctx := context.Background()
	pool := testdb.Pool(t, dsn)

	migrations, err := migrate.Load(filepath.Join(findModuleRoot(t), "migrations", "tenant"))
	if err != nil {
		t.Fatalf("migrationen laden: %v", err)
	}
	if _, err := migrate.Up(ctx, pool, migrations); err != nil {
		t.Fatalf("migrationen anwenden: %v", err)
	}
	eng, err := caseobj.NewEngineWithCase(pool)
	if err != nil {
		t.Fatalf("engine anlegen: %v", err)
	}
	caseSvc := caseobj.NewService(pool, eng)
	tasks := task.NewStore(pool)
	reminders := reminder.NewStore(pool, tasks)
	svc := backchannel.NewService(caseSvc, reminders, "acme", alwaysValid{})

	ref := caseobj.Reference{ModuleName: "dms", ObjectType: "document", ObjectID: "doc-http-isolation"}
	if _, err := caseSvc.Create(ctx, "", "ivan", "ivan", []caseobj.Reference{ref}); err != nil {
		t.Fatalf("akte anlegen: %v", err)
	}

	mux := http.NewServeMux()
	NewServer(svc).RegisterRoutes(mux)
	server := httptest.NewServer(mux)
	defer server.Close()

	path := "/objects/" + ref.ModuleName + "/" + ref.ObjectType + "/" + ref.ObjectID + "/context"

	// korrekter tenant-kontext (dms uebergibt den tenant des urspruenglich
	// anfragenden nutzers) -> daten wie erwartet.
	req, _ := http.NewRequest(http.MethodGet, server.URL+path, nil)
	req.Header.Set("X-User-Id", "ivan")
	req.Header.Set("X-Tenant-Slug", "acme")
	resp, err := http.DefaultClient.Do(req)
	if err != nil {
		t.Fatalf("http-aufruf: %v", err)
	}
	resp.Body.Close()
	if resp.StatusCode != http.StatusOK {
		t.Fatalf("erwartet 200 bei korrektem tenant-kontext, bekommen %d", resp.StatusCode)
	}

	// DMS (oder ein kompromittiertes/fehlkonfiguriertes DMS) uebergibt den
	// tenant-kontext eines fremden mandanten -> muss abgelehnt werden,
	// obwohl nutzer und objekt-referenz fuer sich genommen gueltig sind.
	req2, _ := http.NewRequest(http.MethodGet, server.URL+path, nil)
	req2.Header.Set("X-User-Id", "ivan")
	req2.Header.Set("X-Tenant-Slug", "fremder-mandant")
	resp2, err := http.DefaultClient.Do(req2)
	if err != nil {
		t.Fatalf("http-aufruf: %v", err)
	}
	resp2.Body.Close()
	if resp2.StatusCode != http.StatusForbidden {
		t.Fatalf("erwartet 403 bei fremdem tenant-kontext, bekommen %d", resp2.StatusCode)
	}
}