Files
Gnuboard7/modules/_bundled/sirsoft-ecommerce/tests/Feature/Order/GuestCancelItemValidationTest.php
T
HeuJung cf1d8ab52c fix(security): 보안 제보 14건 + 유사 결함 전수조사 수정
sir.kr 커뮤니티 제보(Xbuilder 님 외)와 전수조사 발굴분을 코어·게시판·
이커머스·페이지·ckeditor5 전반에 반영.

- 통합 검색 하이라이트: 코어 SearchHighlighter 로 원문 이스케이프 후 강조
 (저장형 XSS 차단, board/ecommerce/page 3중복제 통합)
- 공개 최신글·인기글·관리자 대시보드: 읽기권한 없는 게시판·블라인드·비활성
 게시판 글 필터. 비밀글은 기존 공개 정책대로 제목 노출 유지(본문만 보호)
- 게시판 관리 대시보드 권한 게이트, 이커머스 쿠폰 다운로드·리뷰 대상·주문옵션
 확정 스코프 강화, 취소/환불 항목 검증 회원/비회원 대칭
- 만료 토큰 거부(SetLocale), 회원 탈퇴·정보관리 실패 시 내부 오류 원문 마스킹
- 예외→응답 매핑 정비(generic catch 상태코드), ckeditor 업로드 권한 게이트 정리

정책 정합 정정: 착수 계획이 "비밀글 제목 노출=취약점"으로 전제해 공개 최신글·
대시보드에 넣었던 is_secret 필터는, 저장소가 확정한 "제목 공개, 본문만 보호"
정책(2026-01-02/02-04/06-18/06-19)과 배치되어 되돌림. 읽기권한·블라인드 필터는 유지.
Chrome MCP 실측(T1~T10) + 회귀 테스트로 확인.
2026-08-17 15:46:38 +09:00

125 lines
4.2 KiB
PHP

<?php
namespace Modules\Sirsoft\Ecommerce\Tests\Feature\Order;
use Illuminate\Support\Facades\Hash;
use Modules\Sirsoft\Ecommerce\Enums\OrderStatusEnum;
use Modules\Sirsoft\Ecommerce\Models\ClaimReason;
use Modules\Sirsoft\Ecommerce\Models\Order;
use Modules\Sirsoft\Ecommerce\Models\OrderAddress;
use Modules\Sirsoft\Ecommerce\Models\OrderOption;
use Modules\Sirsoft\Ecommerce\Services\GuestOrderAuthService;
use Modules\Sirsoft\Ecommerce\Tests\ModuleTestCase;
/**
* 비회원 주문취소 per-item 검증 회귀 테스트 (N-1)
*
* 비회원 부분취소도 회원판 CancelOrderRequest 와 동일 강도로 각 항목이 대상 주문에
* 속하는지, 취소 수량이 보유 수량을 넘지 않는지 검증해야 한다.
*/
class GuestCancelItemValidationTest extends ModuleTestCase
{
private const PASSWORD = 'guest12';
private const PHONE = '010-1234-5678';
/**
* 취소 가능한 비회원 주문 + 유효 토큰을 만들어 [주문, 토큰]을 반환합니다.
*
* @return array{0: Order, 1: string}
*/
private function makeGuestOrderWithToken(string $orderNumber): array
{
$order = Order::factory()->forGuest()->create([
'order_number' => $orderNumber,
'order_status' => OrderStatusEnum::PAYMENT_COMPLETE,
'guest_lookup_password_hash' => Hash::make(self::PASSWORD),
]);
OrderAddress::factory()->shipping()->forOrder($order)->create([
'orderer_phone' => self::PHONE,
]);
/** @var GuestOrderAuthService $service */
$service = app(GuestOrderAuthService::class);
$token = $service->authenticate($order->order_number, self::PHONE, self::PASSWORD, '10.0.0.2')['token'];
return [$order, $token];
}
/**
* 사용자가 선택 가능한 refund 사유 코드를 반환합니다.
*/
private function refundReasonCode(): string
{
return (string) ClaimReason::where('type', 'refund')
->where('is_active', true)
->where('is_user_selectable', true)
->value('code');
}
private function cancelUrl(Order $order): string
{
return "/api/modules/sirsoft-ecommerce/guest/orders/{$order->order_number}/cancel";
}
/**
* 다른 주문에 속한 옵션 id 로 부분취소를 시도하면 422.
*
* @scenario case=guest_cancel_validation
*
* @effects guest_cancel_items_validated_per_item
*/
public function test_foreign_option_id_is_rejected_422(): void
{
[$order, $token] = $this->makeGuestOrderWithToken('ORD-GC-1');
$otherOrder = Order::factory()->forGuest()->create(['order_number' => 'ORD-GC-OTHER']);
$foreignOption = OrderOption::factory()->forOrder($otherOrder)->create([
'option_status' => OrderStatusEnum::PAYMENT_COMPLETE,
'quantity' => 3,
]);
$response = $this->postJson(
$this->cancelUrl($order),
[
'reason' => $this->refundReasonCode(),
'items' => [['order_option_id' => $foreignOption->id, 'cancel_quantity' => 1]],
],
['X-Guest-Order-Token' => $token]
);
$response->assertStatus(422)
->assertJsonValidationErrors(['items.0.order_option_id']);
}
/**
* 보유 수량을 초과하는 부분취소 수량은 422.
*
* @scenario case=guest_cancel_validation
*
* @effects guest_cancel_items_validated_per_item
*/
public function test_over_quantity_is_rejected_422(): void
{
[$order, $token] = $this->makeGuestOrderWithToken('ORD-GC-2');
$option = OrderOption::factory()->forOrder($order)->create([
'option_status' => OrderStatusEnum::PAYMENT_COMPLETE,
'quantity' => 2,
]);
$response = $this->postJson(
$this->cancelUrl($order),
[
'reason' => $this->refundReasonCode(),
'items' => [['order_option_id' => $option->id, 'cancel_quantity' => 5]],
],
['X-Guest-Order-Token' => $token]
);
$response->assertStatus(422)
->assertJsonValidationErrors(['items.0.cancel_quantity']);
}
}