sysops
21278f1405
Board-Entscheidung: Backend-API zuerst, echtes Next.js-Frontend als separates Folgeticket - vermeidet Pseudo-Frontend-Protokoll. internal/retentionapi: 4 Endpunkte (anlegen/aendern, deaktivieren, liste, vorschau), Vorschau nutzt dieselbe ListExpiringObjects-Funktion wie RET-02s periodischer Job (keine Doppel-Implementierung). RequireRole ist AUSDRUECKLICH kein RBAC-02-Ersatz, sondern ein dokumentiertes Provisorium (Header-Check) - RBAC-02 ist reiner Core-interner Go-Code ohne HTTP-Schnittstelle fuer andere Module, derselbe Befund wie FDN-03/FDN-09. Provisorium real getestet inkl. Negativfall (403 ohne/mit falscher Rolle). retention_class_rules um active-Flag erweitert (deaktivieren ohne Historienverlust). Real auf 131 deployed und per curl end-to-end verifiziert.
61 lines
1.8 KiB
Go
61 lines
1.8 KiB
Go
package retentionapi
|
|
|
|
import (
|
|
"net/http"
|
|
"net/http/httptest"
|
|
"testing"
|
|
)
|
|
|
|
// TestRequireRole_MissingRoleReturns403 ist die vom Nutzer geforderte
|
|
// Negativpruefung fuer den provisorischen Rollen-Check: keine/falsche
|
|
// Rolle => 403, sonst waere der Check nicht pruefbar.
|
|
func TestRequireRole_MissingRoleReturns403(t *testing.T) {
|
|
handler := RequireRole(adminRole, func(w http.ResponseWriter, r *http.Request) {
|
|
w.WriteHeader(http.StatusOK)
|
|
})
|
|
server := httptest.NewServer(handler)
|
|
defer server.Close()
|
|
|
|
// Kein Header gesetzt.
|
|
resp, err := http.Get(server.URL)
|
|
if err != nil {
|
|
t.Fatalf("get: %v", err)
|
|
}
|
|
defer func() { _ = resp.Body.Close() }()
|
|
if resp.StatusCode != http.StatusForbidden {
|
|
t.Fatalf("ohne rollen-header: status = %d, want 403", resp.StatusCode)
|
|
}
|
|
|
|
// Falsche Rolle gesetzt.
|
|
req, _ := http.NewRequest(http.MethodGet, server.URL, nil)
|
|
req.Header.Set("X-Admin-Roles", "irgendwas_anderes")
|
|
resp2, err := http.DefaultClient.Do(req)
|
|
if err != nil {
|
|
t.Fatalf("get: %v", err)
|
|
}
|
|
defer func() { _ = resp2.Body.Close() }()
|
|
if resp2.StatusCode != http.StatusForbidden {
|
|
t.Fatalf("mit falscher rolle: status = %d, want 403", resp2.StatusCode)
|
|
}
|
|
}
|
|
|
|
// TestRequireRole_CorrectRoleAllowsAccess ist der positive Gegentest.
|
|
func TestRequireRole_CorrectRoleAllowsAccess(t *testing.T) {
|
|
handler := RequireRole(adminRole, func(w http.ResponseWriter, r *http.Request) {
|
|
w.WriteHeader(http.StatusOK)
|
|
})
|
|
server := httptest.NewServer(handler)
|
|
defer server.Close()
|
|
|
|
req, _ := http.NewRequest(http.MethodGet, server.URL, nil)
|
|
req.Header.Set("X-Admin-Roles", "irgendwas_anderes, archive_admin")
|
|
resp, err := http.DefaultClient.Do(req)
|
|
if err != nil {
|
|
t.Fatalf("get: %v", err)
|
|
}
|
|
defer func() { _ = resp.Body.Close() }()
|
|
if resp.StatusCode != http.StatusOK {
|
|
t.Fatalf("mit korrekter rolle: status = %d, want 200", resp.StatusCode)
|
|
}
|
|
}
|