Maintenir l'application des autorisations lorsque des dépendances tombent en panne

Objectif

Tester la décision de sécurité prise lorsqu'une dépendance requise est indisponible. Cette proposition originale d'injection de fautes rend visible le comportement de type fail-open, sans présumer que chaque service devrait renvoyer la même erreur ou la même réponse de disponibilité.

Prérequis

Utiliser une application jetable dotée d'une dépendance d'autorisation remplaçable et d'enregistrements protégés synthétiques. Écrire le comportement attendu pour le délai dépassé de la dépendance, une réponse malformée et un refus explicite, avant d'introduire des fautes.

Étapes

1. Exécuter une requête autorisée et une requête explicitement refusée alors que la dépendance est saine. Confirmer que le fixture exerce bien la limite réelle de la politique et que les données protégées ne sont observables que dans le cas autorisé.

2. Injecter une panne contrôlée unique au niveau de la dépendance d'autorisation. Consigner la décision de l'application, le contenu renvoyé et les effets de bord stockés ; une réponse d'apparence réussie peut malgré tout nécessiter l'examen de sa signification réelle.

3. Répéter avec le principal refusé plutôt qu'avec le seul principal autorisé. Cela permet de distinguer une réponse générale de panne d'un comportement de repli qui accorderait accidentellement une autorité pendant la panne.

4. Rétablir la dépendance et répéter les témoins sains. Vérifier que le traitement de la panne n'a pas laissé une autorisation mise en cache, un indicateur de contournement bloqué, ou tout autre état modifiant les décisions ultérieures.

5. Corriger la branche d'échec concernée et conserver son résultat attendu explicite. Garder séparées les exigences de disponibilité en cas d'erreur et l'invariant selon lequel les actions protégées requièrent une autorité valide.

Résultat attendu

La non-régression devrait identifier la combinaison exacte de panne et de principal qui modifie la décision, tout en prouvant que le comportement normal, autorisé et refusé, reste fonctionnel par la suite.

Limites et base de vérification

L'injection de fautes a sa place dans un environnement isolé autorisé. La méthode ne prescrit pas de statut de réponse universel et n'évalue pas chaque dépendance ; elle ne couvre que la limite de décision documentée et les pannes injectées. Il s'agit d'une méthode originale proposée ; aucune exécution ni aucun résultat empirique n'est revendiqué.