Безопасность в ежедневном регрессе: четыре проверки прав доступа
Чужой идентификатор, истёкшая сессия, скрытая кнопка и повторный запрос.
quality.spec.ts
test('the next big thing',
async ({ page }) => {
await expect(page)
.toHaveTitle('QA Orbit');
});Редакционный пример
Эта демонстрационная публикация не является сообщением об обнаруженной уязвимости.
Чем полезно для QA
Скрытый элемент интерфейса не защищает данные. В регрессе необходимо проверить серверное поведение с разными ролями и владельцами объектов.
Четыре сценария
Создайте два учебных аккаунта. Попробуйте обратиться к объекту второго аккаунта из сессии первого. Повторите запрос без сессии. Отправьте запрос после выхода. Выполните действие редактора под обычным пользователем.
Проверяйте код ответа и отсутствие изменения данных. Используйте только согласованный стенд и искусственные данные. Отдельно фиксируйте, что именно ожидается по контракту: отказ, отсутствие объекта или другая документированная реакция.
Источник материалаOWASP Web Security Testing Guide
Разобрались? Отметьте прогресс.