Probar la autorización a través de las relaciones con el recurso, no de los nombres de rol

Objetivo

Comprobar si quien realiza la llamada puede actuar sobre un objeto concreto a través de la relación que el producto realmente promete. Este método de laboratorio propuesto trata las etiquetas de rol como atributos de la fixture, no como el oráculo de la prueba.

Requisitos previos

Usar un gestor de proyectos aislado con cuentas sintéticas: quien posee el proyecto, un miembro del proyecto y una cuenta sin relación con él. Crear un issue que pertenezca al proyecto y escribir las reglas previstas de lectura, edición y transferencia antes de emitir las solicitudes.

Pasos

1. Construir una tabla cuyas filas identifiquen quien llama, el proyecto, el issue, la operación y la decisión esperada. Incluir a un miembro de otro proyecto con el mismo nombre de rol; las etiquetas coincidentes no deben sustituir silenciosamente a la pertenencia real.

2. Ejecutar primero una operación permitida y verificar su cambio de estado real. Una solicitud rechazada tiene poco valor diagnóstico si el endpoint, la configuración de autenticación o la propia fixture están rotos.

3. Cambiar solo la relación de quien llama, manteniendo fijos el objetivo y la operación. Capturar la decisión e inspeccionar el issue sintético después de la solicitud, en lugar de aceptar un mensaje de error como prueba de que no hubo cambio.

4. Cambiar la pertenencia manteniendo estables los identificadores de cuenta e issue. Repetir la matriz de modo que las expectativas sigan las relaciones actuales y no las identidades usadas al crear la fixture.

5. Cuando aparezca una discrepancia, rastrear qué relación llegó hasta la decisión de autorización. Añadir esa combinación exacta de relación como caso de regresión, y volver a ejecutar la operación originalmente permitida tras la reparación.

Resultado esperado

La tabla resultante debería distinguir los fallos de política de las fixtures rotas y documentar un invariante concreto a nivel de objeto para cada operación.

Límites y base de verificación

Esta matriz cubre únicamente las relaciones modeladas. Las políticas separadas de tenant, de ciclo de vida y de acceso delegado necesitan sus propias filas; una matriz de roles que se supera no puede establecer una cobertura completa de autorización. Este es un método propuesto original; no se afirma haberlo ejecutado ni haber obtenido ningún resultado empírico.