Probar la autorización de las transiciones de flujo de trabajo en lugar del acceso a pantallas

Objetivo

Comprobar si quien llama puede realizar una transición de estado concreta, incluidas transiciones que la interfaz actual no expone. Esta metodología propuesta apunta a flujos de aprobación cuya política de seguridad depende tanto de la identidad como del estado actual.

Requisitos previos

Crear un flujo de trabajo de documentos sintético con los estados borrador, enviado y aprobado en una aplicación aislada. Definir quién puede realizar cada transición y si la persona autora puede aprobar su propio documento.

Pasos

1. Dibujar una pequeña tabla de transiciones con el estado actual, la acción solicitada, la relación de quien llama y el siguiente estado esperado. Incluir explícitamente las transiciones denegadas en lugar de documentar solo el camino correcto.

2. Ejecutar una transición permitida como control y verificar el estado almacenado. Usar directamente la interfaz de solicitudes soportada por la aplicación, para que la prueba no dependa de si un botón es visible.

3. Intentar una transición desde el estado inicial incorrecto usando un documento sintético conocido. Inspeccionar tanto la respuesta como el registro después, para detectar cambios que ocurran antes de un rechazo tardío.

4. Repetir una transición con quien llama teniendo la relación incorrecta, como la persona autora del documento cuando se requiere una aprobación independiente. Mantener sin cambios el estado y la carga útil por lo demás.

5. Tras una reparación, volver a ejecutar la tabla e inspeccionar cualquier tarea o notificación emitida asociada a las transiciones. Un cambio de estado denegado no debería desencadenar en silencio la acción protegida posterior.

Resultado esperado

Las pruebas resultantes deberían expresar la autorización como una regla sensible al estado y hacer visibles a quien revisa las transiciones faltantes o no deseadas.

Límites y base de verificación

La tabla refleja la política de producto elegida, no un modelo universal de aprobación. Las transiciones concurrentes y los efectos secundarios externos requieren pruebas adicionales de aislamiento y entrega, más allá de este dispositivo de prueba secuencial. Se trata de un método propuesto original; no se afirma ninguna ejecución ni resultado empírico.