Ajouter les tests d'authentification des routes de lecture existantes #12

New issue

Closed

opened 2026-08-15 20:09:18 +00:00 by maximus · 0 comments

maximus commented

2026-08-15 20:09:18 +00:00

Owner

Ajouter les tests 401 manquants sur les quatre routes de lecture. Constat verifie en revision : les 14 tests existants frappent tous /defenseurs/findings — /health, /defenseurs et /reports/scans n'ont aucune couverture d'authentification. Ces tests decrivent le comportement ACTUEL et doivent passer sur le code tel quel.

Fichiers concernes

__tests__/auth.test.js (creer)
__tests__/findings.test.js (lire comme patron : serveur http reel + tmpDir)

Depends on

aucune

Criteres d'acceptation

Sans en-tete Authorization : 401 sur /health, /defenseurs, /defenseurs/findings, /reports/scans
Avec un mauvais token : 401 sur les quatre routes
Route inconnue : 404 ; methode non permise sur une route existante : 404
Ces tests passent sur le code actuel, sans le modifier d'une ligne

Review caveats

SECURITE + ARCHITECTURE (CRITIQUE) : sans ce filet, le refactor de routage de l'issue suivante pourrait exposer publiquement les rapports Defenseurs de tout le parc sans faire echouer un seul test. C'est le risque le plus lourd de la vague.

Decisions prises en planification

A livrer AVANT l'issue d'ingestion : c'est la condition d'entree du refactor, pas une tache de finition.

Spec source

la-compagnie-maximus/spec-plan-monitoring-postes.md + spec-decisions-monitoring-postes.md (depot different : ce body est auto-suffisant, ne pas compter sur le fichier) (Issue 2)

Ajouter les tests 401 manquants sur les quatre routes de lecture. Constat verifie en revision : les 14 tests existants frappent tous `/defenseurs/findings` — `/health`, `/defenseurs` et `/reports/scans` n'ont aucune couverture d'authentification. Ces tests decrivent le comportement ACTUEL et doivent passer sur le code tel quel. ## Fichiers concernes - `__tests__/auth.test.js` (creer) - `__tests__/findings.test.js` (lire comme patron : serveur http reel + tmpDir) ## Depends on - aucune ## Criteres d'acceptation - [ ] Sans en-tete `Authorization` : 401 sur `/health`, `/defenseurs`, `/defenseurs/findings`, `/reports/scans` - [ ] Avec un mauvais token : 401 sur les quatre routes - [ ] Route inconnue : 404 ; methode non permise sur une route existante : 404 - [ ] Ces tests passent sur le code actuel, sans le modifier d'une ligne ## Review caveats - SECURITE + ARCHITECTURE (CRITIQUE) : sans ce filet, le refactor de routage de l'issue suivante pourrait exposer publiquement les rapports Defenseurs de tout le parc sans faire echouer un seul test. C'est le risque le plus lourd de la vague. ## Decisions prises en planification - A livrer AVANT l'issue d'ingestion : c'est la condition d'entree du refactor, pas une tache de finition. ## Spec source la-compagnie-maximus/spec-plan-monitoring-postes.md + spec-decisions-monitoring-postes.md (depot different : ce body est auto-suffisant, ne pas compter sur le fichier) (Issue 2)