gitea
338ec24e90
Testy / Testy warstwy logicznej (silnik) (pull_request) Successful in 10m20s
Testy / Testy warstwy prezentacji (dostęp do baz) (pull_request) Successful in 9m29s
Testy / Testy warstwy bazodanowej (ochrona baz) (pull_request) Successful in 9m26s
Testy / Testy astrodemo (pull_request) Successful in 9m25s
Testy / Testy astroklient (pull_request) Successful in 9m25s
Testy / Build obrazu silnika B (swisseph) (pull_request) Successful in 6s
Testy / Kontrola składni wszystkich warstw (pull_request) Successful in 5s
build / build (push) Successful in 12s
Testy / Testy warstwy logicznej (silnik) (push) Successful in 10m21s
Testy / Testy warstwy prezentacji (dostęp do baz) (push) Successful in 9m29s
Testy / Testy warstwy bazodanowej (ochrona baz) (push) Successful in 9m25s
Testy / Testy astrodemo (push) Successful in 9m25s
Testy / Testy astroklient (push) Successful in 9m25s
Testy / Build obrazu silnika B (swisseph) (push) Successful in 6s
Testy / Kontrola składni wszystkich warstw (push) Successful in 4s
Astroklient przedstawiał się na stronie głównej jako „astrololo" — w tytule karty i w nagłówku. To najpoważniejszy z możliwych śladów: mówi klientowi wprost, że trzyma okrojoną wersję czegoś większego, i podaje frazę, po której da się wyszukać, czego mu nie dano. Cała reszta izolacji przestaje mieć znaczenie, gdy produkt sam się przedstawia nazwą rodzica. Wzięło się stąd, że nazwa była wpisana na sztywno w szablony, a szablony są WSPÓLNE — dokładnie ta sama przyczyna, co przy zaszytym w base.html warunku na administratora. Nazwa mieszka teraz w module `produkt.py`, który nakładka produktu nadpisuje; szablony o nią pytają, zamiast ją znać. astrodemo NIE było dotknięte: ma własne kopie szablonów i pokazuje „astrodemo". DRUGIE ŹRÓDŁO WYCIEKU, mniej oczywiste: nazwa siedziała też w identyfikatorach JavaScriptu, które widzi każdy, kto otworzy narzędzia deweloperskie — zdarzenie `astrololo:coords` i klucz `astrololo.form.v1` w localStorage. Przemianowane na neutralne `kosmogram:*`; te identyfikatory nie mają powodu nosić nazwy rodziny produktów. SKUTEK UBOCZNY: zmiana klucza w localStorage kasuje raz zapamiętane wersje robocze formularza. Sprawdzone, że NIE wyciekają: nagłówki X-Astrololo-* jadą wyłącznie między warstwami, a dokumentacja OpenAPI (gdzie zostaje tytuł aplikacji FastAPI) oddaje 404 także zalogowanemu. TEST rozdziela to, co widzi człowiek, od identyfikatorów wewnętrznych. Nazwa rdzenia wolno występować w nazwach loggerów, materiale do wyprowadzania kluczy i nagłówkach międzywarstwowych; nie wolno w szablonach, zasobach ani w treści odpowiedzi. Zakaz na wszystko byłby albo obejściem przez zmianę nazw kluczy kryptograficznych, albo martwą regułą wyłączaną przy pierwszej okazji. Sprawdzony w obie strony: po cofnięciu nakładki test pada. Testy: astroklient 15, presentation 368, astrodemo 28, logic 342, data 42, render 41. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
47 lines
1.9 KiB
Python
47 lines
1.9 KiB
Python
"""Astroklient jest produktem, a nie pełną aplikacją z wyłączonymi kawałkami.
|
|
|
|
Sprawdzamy trzy rzeczy, i wszystkie na ZŁOŻONYM drzewie, nie na kodzie w repo:
|
|
czego w nim nie ma, że to, co zostało, działa, i że nie zostało po niczym słowo.
|
|
"""
|
|
from __future__ import annotations
|
|
|
|
def test_the_build_starts_at_all(wynik):
|
|
assert wynik["dziala"]["/"] == 200
|
|
|
|
|
|
def test_every_astrological_screen_works(wynik):
|
|
assert all(k == 200 for k in wynik["dziala"].values()), wynik["dziala"]
|
|
|
|
|
|
def test_what_it_lacks_does_not_exist_rather_than_being_refused(wynik):
|
|
"""404, nie 403 i nie 500. Odmowa z powodem jest informacją, że coś tam jest."""
|
|
assert all(k == 404 for k in wynik["nie_ma"].values()), wynik["nie_ma"]
|
|
|
|
|
|
def test_the_catalogue_describes_this_product(wynik):
|
|
assert set(wynik["ekrany"]) == {"Horoskop", "Interpretacje", "Kalendarz",
|
|
"Synastria", "Sygnifikatory", "Pliki"}
|
|
|
|
|
|
def test_no_account_can_hold_a_permission_this_product_does_not_have(wynik):
|
|
"""Uprawnienia liczą się z KATALOGU, więc opisują ten obraz. Gdyby była tu
|
|
lista wpisana ręcznie, zostałaby po usuniętych funkcjach."""
|
|
assert "ai" not in wynik["uprawnienia"]
|
|
assert "export" not in wynik["uprawnienia"]
|
|
assert "admin" not in wynik["uprawnienia"]
|
|
assert "chart" in wynik["uprawnienia"] and "significators" in wynik["uprawnienia"]
|
|
|
|
|
|
def test_navigation_has_no_dead_links(wynik):
|
|
assert wynik["nawigacja"] == len(wynik["ekrany"])
|
|
|
|
|
|
def test_login_still_tells_right_password_from_wrong(wynik):
|
|
assert wynik["logowanie_dziala"] and wynik["zle_haslo_odmowa"]
|
|
|
|
|
|
def test_the_pool_comes_from_the_session_not_from_the_form(wynik):
|
|
"""Pula jedzie z zalogowanego konta. Gdyby brała się z żądania, wystarczyłoby
|
|
podstawić cudzy login, żeby czytać cudze pliki — sonda właśnie to próbuje."""
|
|
assert wynik["pula"] == "klient"
|