Una sesión válida y un ID de objeto válido aún pueden dar lugar a un fallo de control de acceso. La pregunta útil es dónde vincula la aplicación el objeto solicitado con la identidad actual.
Lleva un conjunto pequeño y coherente de evidencias a la conversación. Pide el recorrido desde la entrada hasta la operación sensible, sus supuestos y la siguiente observación que permita distinguir un fallo del comportamiento esperado.
Material de partida
- Una ruta, un handler o un par de solicitud y respuesta, sin credenciales ni datos personales.
- La regla de acceso esperada: qué rol o tenant debe ser propietario del objeto y qué acciones se permiten.
- Dos identidades sintéticas de prueba y un registro de quién posee cada objeto.
Analiza las evidencias
- Traza la entrada, la autenticación, la búsqueda del objeto y la respuesta. Pide que el modelo cite la línea o solicitud correspondiente en cada paso.
- Compara el comportamiento del propietario, de otro usuario y de una solicitud anónima. Cambia una sola variable para poder interpretar el resultado.
- Pide una prueba de regresión mínima y una consulta o política vinculada al tenant. Revisa el cambio con el modelo de datos real.
- Ejecuta las comprobaciones seleccionadas en tu entorno de pruebas. Las acciones HTTP del producto dependen del modo disponible, del alcance del trabajo y de la aprobación de la acción exacta.
Un prompt para adaptar
Adáptalo a tus pruebas
Revisa el endpoint de informes adjunto y estas respuestas del propietario y de otro usuario. Localiza dónde se vincula el acceso al objeto con el tenant de la sesión. Separa el comportamiento observado de los supuestos. Propón la corrección mínima y tres pruebas: acceso del propietario, denegación entre tenants y falta de autenticación. Un estado de éxito por sí solo no demuestra exposición de datos.
Comprueba el resultado
- Una afirmación de exposición incluye la respuesta real del usuario no propietario e identifica los datos protegidos.
- La corrección comprueba la propiedad en el servidor, incluidas rutas alternativas y búsquedas indirectas.
- Las pruebas fallan antes de la corrección y pasan después; los errores no revelan el objeto por otro campo.
Lleva tus evidencias a una conversación y trabaja en la siguiente pregunta.
Abrir chat