131 lines
5.5 KiB
Python
131 lines
5.5 KiB
Python
"""Tests — cookies Secure, CORS same-origin explicite, avertissement bind (ROADMAP #87 T3/T8).
|
|
|
|
- `is_secure_cookies()` : `OBSIGATE_SECURE_COOKIES=true|false|auto` (défaut
|
|
`auto` : Secure si la requête arrive en https, sinon pas de flag — les
|
|
navigateurs ignorent les cookies `Secure` en clair).
|
|
- CORS same-origin EXPLICITE : `CORSMiddleware(allow_origins=[])` — aucun
|
|
`Access-Control-Allow-*` n'est émis même avec un `Origin` cross-origin,
|
|
et les preflights sont rejetés (400).
|
|
"""
|
|
|
|
from __future__ import annotations
|
|
|
|
|
|
def test_secure_cookies_default_auto(monkeypatch):
|
|
"""Défaut `auto` : sans requête → pas de flag (logins HTTP locaux préservés)."""
|
|
from backend.auth.router import is_secure_cookies
|
|
|
|
monkeypatch.delenv("OBSIGATE_SECURE_COOKIES", raising=False)
|
|
assert is_secure_cookies() is False
|
|
|
|
|
|
def test_secure_cookies_forced_values(monkeypatch):
|
|
"""`true`/`1`/`yes` → flag ; `false`/`0`/`no` → pas de flag (insensible à la casse)."""
|
|
from backend.auth.router import is_secure_cookies
|
|
|
|
for value in ("true", "True", "TRUE", "1", "yes", "on"):
|
|
monkeypatch.setenv("OBSIGATE_SECURE_COOKIES", value)
|
|
assert is_secure_cookies() is True
|
|
for value in ("false", "False", "FALSE", "0", "no", "off"):
|
|
monkeypatch.setenv("OBSIGATE_SECURE_COOKIES", value)
|
|
assert is_secure_cookies() is False
|
|
|
|
|
|
def test_no_cors_headers_on_api(client):
|
|
"""Pas de `Access-Control-Allow-Origin` : same-origin imposé par le navigateur."""
|
|
resp = client.get("/api/health")
|
|
assert resp.status_code == 200
|
|
assert "access-control-allow-origin" not in {k.lower() for k in resp.headers}
|
|
|
|
|
|
def test_no_cors_headers_on_public_share(client):
|
|
"""Idem sur la page publique de partage."""
|
|
resp = client.get("/s/jeton-inexistant")
|
|
assert resp.status_code == 404
|
|
assert "access-control-allow-origin" not in {k.lower() for k in resp.headers}
|
|
|
|
|
|
def test_cross_origin_get_emits_no_acao(client):
|
|
"""#87 T8 : même avec un `Origin` cross-origin, aucun ACAO (refus explicite)."""
|
|
resp = client.get("/api/health", headers={"Origin": "http://evil.example"})
|
|
assert resp.status_code == 200
|
|
assert "access-control-allow-origin" not in {k.lower() for k in resp.headers}
|
|
|
|
|
|
def test_cross_origin_preflight_rejected(client):
|
|
"""#87 T8 : preflight cross-origin → 400 (origine non autorisée)."""
|
|
resp = client.options(
|
|
"/api/health",
|
|
headers={
|
|
"Origin": "http://evil.example",
|
|
"Access-Control-Request-Method": "GET",
|
|
},
|
|
)
|
|
assert resp.status_code == 400
|
|
|
|
|
|
def test_security_headers_present(client):
|
|
"""En-têtes de durcissement posés par le middleware (non-régression)."""
|
|
resp = client.get("/api/health")
|
|
assert resp.headers.get("x-content-type-options") == "nosniff"
|
|
assert resp.headers.get("x-frame-options") == "SAMEORIGIN"
|
|
csp = resp.headers.get("content-security-policy", "")
|
|
assert "object-src 'none'" in csp
|
|
assert "frame-ancestors 'self'" in csp
|
|
|
|
|
|
def _csp_directives(csp: str) -> dict[str, list[str]]:
|
|
"""Découpe une politique CSP en ``{directive: [sources]}``."""
|
|
directives: dict[str, list[str]] = {}
|
|
for part in csp.split(";"):
|
|
tokens = part.split()
|
|
if tokens:
|
|
directives[tokens[0]] = tokens[1:]
|
|
return directives
|
|
|
|
|
|
def test_csp_frame_src_allows_agent_console(client, monkeypatch):
|
|
"""BUG-119 : le « mode console » du panneau Spark charge la console du
|
|
service d'agents (``https://agent.dracodev.net``) dans une iframe —
|
|
``frame-src`` doit autoriser cette origine, sinon le navigateur bloque
|
|
le chargement (« This content is blocked »). Les sources historiques
|
|
(``'self'`` et ``blob:``, visualiseur PDF) restent en place et aucune
|
|
autre origine n'est admise.
|
|
|
|
#223 : la configuration est neutralisée ici (défaut officiel) —
|
|
l'origine n'est plus figée dans le code, voir le test via config
|
|
ci-dessous."""
|
|
monkeypatch.delenv("DRACO_AGENT_URL", raising=False)
|
|
monkeypatch.delenv("AGENT_EVENEMENTS_URL", raising=False)
|
|
resp = client.get("/api/health")
|
|
csp = resp.headers.get("content-security-policy", "")
|
|
directives = _csp_directives(csp)
|
|
assert directives.get("frame-src") == [
|
|
"'self'",
|
|
"blob:",
|
|
"https://agent.dracodev.net",
|
|
]
|
|
assert "https://agent.dracodev.net" in directives.get("connect-src", [])
|
|
|
|
|
|
def test_csp_agent_origine_via_config(client, monkeypatch):
|
|
"""#223 : ``frame-src``/``connect-src`` suivent l'origine de l'agent
|
|
**configurée** — dérivée d'``AGENT_EVENEMENTS_URL`` (config réelle
|
|
du poste, noms en ``-dev`` en dev), ou de ``DRACO_AGENT_URL`` qui
|
|
prime. Aucun nom d'environnement n'est codé en dur."""
|
|
monkeypatch.delenv("DRACO_AGENT_URL", raising=False)
|
|
monkeypatch.setenv(
|
|
"AGENT_EVENEMENTS_URL", "https://agent-dev.dracodev.net/api/v1/evenements")
|
|
resp = client.get("/api/health")
|
|
directives = _csp_directives(resp.headers.get("content-security-policy", ""))
|
|
assert directives.get("frame-src") == [
|
|
"'self'", "blob:", "https://agent-dev.dracodev.net"]
|
|
assert "https://agent-dev.dracodev.net" in directives.get("connect-src", [])
|
|
assert "https://agent.dracodev.net" not in directives.get("connect-src", [])
|
|
|
|
monkeypatch.setenv("DRACO_AGENT_URL", "https://agent.example.net")
|
|
resp = client.get("/api/health")
|
|
directives = _csp_directives(resp.headers.get("content-security-policy", ""))
|
|
assert directives.get("frame-src") == [
|
|
"'self'", "blob:", "https://agent.example.net"]
|