HeuJung
cf1d8ab52c
sir.kr 커뮤니티 제보(Xbuilder 님 외)와 전수조사 발굴분을 코어·게시판· 이커머스·페이지·ckeditor5 전반에 반영. - 통합 검색 하이라이트: 코어 SearchHighlighter 로 원문 이스케이프 후 강조 (저장형 XSS 차단, board/ecommerce/page 3중복제 통합) - 공개 최신글·인기글·관리자 대시보드: 읽기권한 없는 게시판·블라인드·비활성 게시판 글 필터. 비밀글은 기존 공개 정책대로 제목 노출 유지(본문만 보호) - 게시판 관리 대시보드 권한 게이트, 이커머스 쿠폰 다운로드·리뷰 대상·주문옵션 확정 스코프 강화, 취소/환불 항목 검증 회원/비회원 대칭 - 만료 토큰 거부(SetLocale), 회원 탈퇴·정보관리 실패 시 내부 오류 원문 마스킹 - 예외→응답 매핑 정비(generic catch 상태코드), ckeditor 업로드 권한 게이트 정리 정책 정합 정정: 착수 계획이 "비밀글 제목 노출=취약점"으로 전제해 공개 최신글· 대시보드에 넣었던 is_secret 필터는, 저장소가 확정한 "제목 공개, 본문만 보호" 정책(2026-01-02/02-04/06-18/06-19)과 배치되어 되돌림. 읽기권한·블라인드 필터는 유지. Chrome MCP 실측(T1~T10) + 회귀 테스트로 확인.
90 lines
2.8 KiB
PHP
90 lines
2.8 KiB
PHP
<?php
|
|
|
|
namespace Modules\Sirsoft\Ecommerce\Tests\Feature\SearchPreset;
|
|
|
|
use Modules\Sirsoft\Ecommerce\Tests\ModuleTestCase;
|
|
|
|
/**
|
|
* 검색 프리셋 라우트 권한 회귀 테스트 (N-6)
|
|
*
|
|
* presets 라우트 4종은 형제 그룹(brands/product-labels) 규약대로 products 권한
|
|
* 미들웨어로 보호되어야 한다. index=products.read, store/update/destroy=products.update.
|
|
*/
|
|
class SearchPresetPermissionTest extends ModuleTestCase
|
|
{
|
|
private const INDEX_URL = '/api/modules/sirsoft-ecommerce/admin/presets';
|
|
|
|
/**
|
|
* products.read 권한이 없는 관리자는 프리셋 목록 조회가 403.
|
|
*
|
|
* @scenario case=presets_permission
|
|
*
|
|
* @effects presets_require_product_permission
|
|
*/
|
|
public function test_index_forbidden_without_products_read(): void
|
|
{
|
|
$admin = $this->createAdminUser();
|
|
|
|
$this->actingAs($admin, 'sanctum')
|
|
->getJson(self::INDEX_URL)
|
|
->assertStatus(403);
|
|
}
|
|
|
|
/**
|
|
* products.read 권한이 있는 관리자는 프리셋 목록 조회가 200.
|
|
*
|
|
* @scenario case=presets_permission
|
|
*
|
|
* @effects presets_require_product_permission
|
|
*/
|
|
public function test_index_allowed_with_products_read(): void
|
|
{
|
|
$admin = $this->createAdminUser(['sirsoft-ecommerce.products.read']);
|
|
|
|
$this->actingAs($admin, 'sanctum')
|
|
->getJson(self::INDEX_URL)
|
|
->assertStatus(200);
|
|
}
|
|
|
|
/**
|
|
* products.update 권한이 없는 관리자는 프리셋 생성이 403.
|
|
*
|
|
* @scenario case=presets_permission
|
|
*
|
|
* @effects presets_require_product_permission
|
|
*/
|
|
public function test_store_forbidden_without_products_update(): void
|
|
{
|
|
$admin = $this->createAdminUser(['sirsoft-ecommerce.products.read']);
|
|
|
|
$this->actingAs($admin, 'sanctum')
|
|
->postJson(self::INDEX_URL, [
|
|
'name' => '내 프리셋',
|
|
'conditions' => ['status' => 'active'],
|
|
])
|
|
->assertStatus(403);
|
|
}
|
|
|
|
/**
|
|
* products.update 권한이 있는 관리자는 프리셋 생성이 허용된다.
|
|
*
|
|
* @scenario case=presets_permission
|
|
*
|
|
* @effects presets_require_product_permission
|
|
*/
|
|
public function test_store_allowed_with_products_update(): void
|
|
{
|
|
$admin = $this->createAdminUser(['sirsoft-ecommerce.products.update']);
|
|
|
|
$response = $this->actingAs($admin, 'sanctum')
|
|
->postJson(self::INDEX_URL, [
|
|
'name' => '내 프리셋',
|
|
'conditions' => ['status' => 'active'],
|
|
]);
|
|
|
|
// 권한 게이트를 통과했으므로 403 이 아니어야 하며, 정상 생성(201)된다.
|
|
$this->assertNotSame(403, $response->status());
|
|
$response->assertStatus(201);
|
|
}
|
|
}
|