64 lines
2.8 KiB
Python
64 lines
2.8 KiB
Python
"""Fusion #69 — Alertes unifiées (chantier 2, Flowdeck).
|
|
|
|
Source réelle de Flowdeck : GET /api/notifications (non lues =
|
|
actives, `url` relative pour le lien profond), déjà exposée et
|
|
inchangée ici. Couverts : placeholder Alertes disparu, module servi,
|
|
CSP connect-src avec les origines soeurs, CORS (origines soeurs
|
|
ajoutées à allow_origins ; tiers sans en-tête).
|
|
"""
|
|
|
|
SOEURS = ("https://og.dracodev.net", "https://flowdeck.dracodev.net",
|
|
"https://tiktak.dracodev.net", "https://kanbante.dracodev.net")
|
|
|
|
|
|
def test_barre_alertes_sans_placeholder_et_module_servi(client):
|
|
# Les pages applicatives authentifiées ne sont pas atteignables
|
|
# telles quelles dans la sandbox (l'écran de connexion est servi
|
|
# pour "/" comme pour "/dashboard") : on vérifie donc le gabarit
|
|
# livré lui-même, plus les fichiers statiques servis.
|
|
from pathlib import Path
|
|
|
|
gabarit = Path("app/templates/_draco_bar.html").read_text()
|
|
assert "Alertes unifiées : arrive avec la fédération" not in gabarit
|
|
assert "draco-alertes.js" in gabarit
|
|
assert "draco-alertes.css" in gabarit
|
|
assert "DRACO_ALERTES.open()" in gabarit
|
|
js = client.get("/static/js/draco-alertes.js")
|
|
assert js.status_code == 200
|
|
assert "DRACO_ALERTES" in js.text
|
|
assert "api/notifications" in js.text
|
|
css = client.get("/static/css/draco-alertes.css")
|
|
assert css.status_code == 200
|
|
assert "draco-alertes-overlay" in css.text
|
|
|
|
|
|
def test_csp_connect_src_contient_les_soeurs(client):
|
|
# La CSP est posée sur toute réponse HTML, y compris l'écran de
|
|
# connexion servi ici : elle prouve les origines soeurs en
|
|
# connect-src pour les pages de l'hôte.
|
|
r = client.get("/")
|
|
csp = r.headers.get("content-security-policy", "")
|
|
assert "connect-src" in csp
|
|
for origine in SOEURS:
|
|
assert origine in csp, csp
|
|
|
|
|
|
def test_notifications_api_et_cors_soeur(client):
|
|
r = client.get("/api/notifications")
|
|
assert r.status_code == 200
|
|
body = r.json()
|
|
assert isinstance(body["notifications"], list)
|
|
assert "unread" in body
|
|
r2 = client.options("/api/notifications",
|
|
headers={"Origin": "https://tiktak.dracodev.net",
|
|
"Access-Control-Request-Method": "GET"})
|
|
assert r2.headers.get("access-control-allow-origin") == "https://tiktak.dracodev.net"
|
|
assert r2.headers.get("access-control-allow-credentials") == "true"
|
|
r3 = client.get("/api/notifications",
|
|
headers={"Origin": "https://tiktak.dracodev.net"})
|
|
assert r3.headers.get("access-control-allow-origin") == "https://tiktak.dracodev.net"
|
|
r4 = client.options("/api/notifications",
|
|
headers={"Origin": "https://evil.example",
|
|
"Access-Control-Request-Method": "GET"})
|
|
assert "access-control-allow-origin" not in r4.headers
|