53 lines
2.1 KiB
Python
53 lines
2.1 KiB
Python
"""Tests — cookies Secure, CORS same-origin implicite, avertissement bind (ROADMAP #87 T3).
|
|
|
|
- `is_secure_cookies()` suit `OBSIGATE_SECURE_COOKIES` (défaut `false` :
|
|
compatibilité logins en HTTP local — les navigateurs ignorent les cookies
|
|
`Secure` en clair).
|
|
- Aucun en-tête CORS permissif n'est émis : sans `CORSMiddleware`, les
|
|
navigateurs appliquent le same-origin par défaut (politique explicite par
|
|
l'absence — vérifiée ici pour qu'un ajout futur de CORS soit conscient).
|
|
"""
|
|
|
|
from __future__ import annotations
|
|
|
|
|
|
def test_secure_cookies_default_false(monkeypatch):
|
|
"""Défaut `false` (logins HTTP locaux préservés)."""
|
|
from backend.auth.router import is_secure_cookies
|
|
|
|
monkeypatch.delenv("OBSIGATE_SECURE_COOKIES", raising=False)
|
|
assert is_secure_cookies() is False
|
|
|
|
|
|
def test_secure_cookies_opt_in(monkeypatch):
|
|
"""`OBSIGATE_SECURE_COOKIES=true` → flag actif (insensible à la casse)."""
|
|
from backend.auth.router import is_secure_cookies
|
|
|
|
for value in ("true", "True", "TRUE", "1", "yes"):
|
|
monkeypatch.setenv("OBSIGATE_SECURE_COOKIES", value)
|
|
assert is_secure_cookies() is (value.lower() == "true")
|
|
|
|
|
|
def test_no_cors_headers_on_api(client):
|
|
"""Pas de `Access-Control-Allow-Origin` : same-origin imposé par le navigateur."""
|
|
resp = client.get("/api/health")
|
|
assert resp.status_code == 200
|
|
assert "access-control-allow-origin" not in {k.lower() for k in resp.headers}
|
|
|
|
|
|
def test_no_cors_headers_on_public_share(client):
|
|
"""Idem sur la page publique de partage."""
|
|
resp = client.get("/s/jeton-inexistant")
|
|
assert resp.status_code == 404
|
|
assert "access-control-allow-origin" not in {k.lower() for k in resp.headers}
|
|
|
|
|
|
def test_security_headers_present(client):
|
|
"""En-têtes de durcissement posés par le middleware (non-régression)."""
|
|
resp = client.get("/api/health")
|
|
assert resp.headers.get("x-content-type-options") == "nosniff"
|
|
assert resp.headers.get("x-frame-options") == "SAMEORIGIN"
|
|
csp = resp.headers.get("content-security-policy", "")
|
|
assert "object-src 'none'" in csp
|
|
assert "frame-ancestors 'self'" in csp
|