Risposta.

Il test manuale dei diritti di accesso e dei ruoli consente di verificare che i diversi tipi di utenti abbiano il corretto livello di accesso alle funzionalità e ai dati dell'applicazione.

Storia della domanda

Con la crescita del numero di utenti e dei loro scenari di lavoro, anche le applicazioni più semplici hanno adottato un modello dei ruoli. Errori nei diritti portano spesso a gravi perdite di dati o limitazioni delle operazioni aziendali. Da qui è emersa la necessità di testare accuratamente i ruoli manualmente.

Problema

Passare sopra gli errori nelle restrizioni di accesso ai dati sensibili;
Configurazione errata dei ruoli, permettendo agli utenti di compiere azioni non autorizzate (ad esempio, accesso a funzioni amministrative per utenti normali);
Difficoltà nel verificare ruoli combinati o scenari di accesso non standard.

Soluzione

Documentare tutti i ruoli esistenti e le relative azioni per ciascun ruolo;
Creare set di test per ciascun ruolo, inclusi i crossover di ruolo condizionali;
Verificare l'accesso non solo alle funzionalità, ma anche a diverse parti dei dati (CRUD);
Validare sia l'accesso diretto (tramite UI) che i tentativi di accesso tramite link diretti o API.

Caratteristiche chiave:

Copertura a tutto tondo degli scenari: ogni tipo di utente deve essere testato in tutti i ruoli e azioni possibili;
Test dei ruoli limite e combinati: spesso gli errori si manifestano con l'overlap dei diritti di diversi ruoli;
Verifica dell'oltrepassamento delle interfacce standard: testare l'accesso diretto a pagine/azioni a cui l'utente ufficialmente non ha accesso.

Domande ingannevoli.

È sufficiente testare solo i ruoli principali (ad esempio, "Amministratore" e "Utente")?

No. Proprio nei ruoli intermedi, raramente utilizzati e combinati si nascondono più frequentemente i difetti.

È sufficiente la restrizione dell'UI (pulsanti e elementi nascosti) per garantire la sicurezza?

No. Il controllo dell'UI non protegge dai tentativi di accesso diretto per indirizzo o tramite API, i diritti devono essere limitati a livello di logica server.

È necessario testare i diritti di accesso attraverso diversi canali dell'applicazione (ad esempio, sia tramite web che tramite app mobile)?

Assolutamente sì. Spesso le differenze nell'implementazione portano a differenze nel comportamento e errori nelle restrizioni dei diritti.

Errori tipici e anti-pattern

Testare solo ruoli standard
Orientamento esclusivo all'interfaccia esterna, senza validazione delle restrizioni server
Negligenza verso ruoli non standard e combinati

Esempio dalla vita reale

Caso negativo

È stato controllato solo l'UI e solo tre ruoli principali. Di conseguenza, utenti con combinazioni di ruoli non standard hanno ottenuto accesso a funzioni amministrative tramite un collegamento diretto.

Vantaggi:

Test rapido
Semplicità del processo

Svantaggi:

Vulnerabilità critica rilevata in produzione
Violazione della sicurezza e della fiducia degli utenti

Caso positivo

Per il test sono stati creati utenti di test con diverse combinazioni di ruoli, è stata effettuata un'audit dell'API e dell'accesso diretto. Gli errori sono stati trovati e corretti prima del rilascio.