Vérifier que les routes de ressources imbriquées rattachent les enfants au parent déclaré

Objectif

Valider une relation que des agents de programmation peuvent omettre lors de la construction de points de terminaison imbriqués : l'enfant demandé doit appartenir au parent demandé selon le contrat de l'application. Il s'agit d'une conception de montage de test originale.

Prérequis

Utiliser un gestionnaire de tickets jetable avec des projets et des tickets synthétiques séparés. Le compte de test ne doit avoir accès qu'à un seul projet. Définir si une paire parent-enfant incohérente est rejetée ou résolue via une route canonique documentée.

Étapes

1. Créer une paire parent-enfant autorisée et la récupérer normalement. Consigner l'identifiant du ticket, l'identifiant du parent et la visibilité prévue, sans copier de contenu privé d'un espace de travail réel.

2. Conserver l'identifiant du parent autorisé mais substituer l'identifiant d'un ticket appartenant à l'autre projet synthétique. Examiner à la fois l'objet renvoyé et toute décision d'autorisation.

3. Répéter l'opération pour les opérations de mutation prises en charge par le montage de test, comme le renommage d'un ticket. Relire ensuite les deux enregistrements de ticket via leurs propriétaires pour détecter une écriture dissimulée derrière une réponse d'erreur.

4. Exercer toute route alias qui omet le parent. Documenter sa politique indépendante plutôt que de supposer qu'une route imbriquée sûre rend automatiquement sûre la route plus courte.

5. Corriger la vérification de relation à la frontière d'accès aux données ou de politique choisie par l'application. Relancer les cas de paire valide, de paire incohérente et d'alias avec les mêmes identités de montage de test.

Résultat attendu

Une régression utile exprime directement la relation permise et rejette une paire incohérente sans rejeter accidentellement toute requête imbriquée.

Limites et base de vérification

Cette procédure fournit délibérément des identifiants de montage de test connus. Elle ne formule aucune affirmation sur la devinabilité, la découverte ou l'exploitabilité des identifiants contre un service déployé. Il s'agit d'une méthode originale proposée ; aucune exécution ni aucun résultat empirique n'est revendiqué.