Регламенты: пять проверок доступа до поиска и по прямой ссылке
Роль, статус документа и версия прав проверяются до выдачи текста; прямой идентификатор не является разрешением.
Задача
Регламент цены открыт продажам, регламент возврата — поддержке. В наборе есть отозванный документ. Обычный поиск и известный ID должны соблюдать одну политику.
Один PRICE, две роли
Попытка T1 от sales открывает PRICE, а T2 от support получает закрытый результат без текста. При этом support может читать RETURN в T3. Такой набор проверяет не всеобщий запрет, а конкретное разделение прав; пустой интерфейс для всех прошёл бы только самую удобную половину проверки.
Что сделано
Я подготовил пять проверок доступа по роли, статусу и прямому ID и сопоставил фактические исходы с ожиданиями.
Из пяти попыток текст получают только T1 и T3. Чужая роль, пустая роль и отзыв дают пустой результат, включая запрос по известному ID. Оба изменения прав проверены повторным выполнением.
- index.html
- source.json
- source.csv
- result.json
- result.csv
- engine.js
- checks.json
- style.css
Открыть работающий материал · Контрольные примеры CSV · Повторить проверку · Модель и исходные условия