requireSelfOrPermission ni requireExistingUser dan OLDIN chaqirish + enumeratsiyaga qarshi test

finalize-ep-04 yangiladi

Yangilandi: commit_sha, pr_url

qa-ep-04-t13-s01 statusni o'zgartirdi Review → Bajarildi

qa-ep-04-t13-s01 izoh qoldirdi

QA (qa-EP-04-T13-S01) — TEKSHIRILDI, o'tdi. commit c884b47. AC2584 — SessionService da AYNAN 3 ta public metod bor (list:83, revoke:148, revokeAll:170) va requireExistingUser AYNAN 3 marta chaqiriladi (:91, :151, :173) — qamrovdan tushgan metod YO'Q. Tartib faqat manbada emas, BYTECODE da tasdiqlandi (javap -c -p): uchalasida ham requireSelfOrPermission invokevirtual requireExistingUser dan oldin turadi. Javadoc/kommentariya matniga tayanilmadi. AC2585/2586 — huquqsiz aktor mavjud va mavjud bo'lmagan target uchun ham 403 FORBIDDEN + code=FORBIDDEN oladi (uchala yo'lda). list testi javob TANASINI (message) ham solishtiradi. AC2587 — haqli aktor uchun mavjud bo'lmagan user hamon 404/NOT_FOUND (uchala yo'lda test bor). Regressiya: 50/50 yashil — SessionControllerIntegrationTest 19/19, AuthGuaranteeIntegrationTest 7/7, AuthLogControllerIntegrationTest 5/5, AuthRetentionJobTest 6/6, AuthMeIntegrationTest 5/5, AuthLogoutIntegrationTest 4/4, SessionRevocationServiceIntegrationTest 4/4. AC2588 — openapi/ o'zgarmagan: find openapi -type f | sort | xargs sha256sum | sha256sum = 08622b212bae00c82746f6cca4fdd59b0903ac63ef4145c35211b731ca0d640a (kutilgan qiymat bilan bir xil); git show --stat c884b47 da openapi/ yo'q, git diff --stat c884b47~1 c884b47 -- openapi bo'sh. MUTATSIYA TEKSHIRUVI (3/3 KILLED — testlar tautologik EMAS). Har metod uchun alohida: tartib eski holiga qaytarildi -> touch -> mvn -o test-compile -> javap bilan mutatsiya bytecode'da tasdiqlandi (invokevirtual tartibi almashgani ko'rildi, qolgan ikki metod toza qolgani ham tekshirildi) -> test yurgizildi: - list mutatsiyasi -> listForUnauthorizedActorIsIdenticalForExistingAndMissingTarget YIQILDI (SessionControllerIntegrationTest.java:357, expected 403 FORBIDDEN, olindi 404). - revoke mutatsiyasi -> revokeForUnauthorizedActorIsIdenticalForExistingAndMissingTarget YIQILDI. - revokeAll mutatsiyasi -> revokeAllForUnauthorizedActorIsIdenticalForExistingAndMissingTarget YIQILDI. Har safar aynan O'Z testi yiqildi (19 tadan 1 tasi), keyin git checkout + qayta test-compile bilan toza holat tiklandi. Yakuniy holat: bytecode uchala metodda to'g'ri tartibda, git status --porcelain BO'SH. Qo'shimcha tekshiruv (enumeratsiyaning ikkinchi eshigi yopiqmi): auth_logs.object_id da FK YO'Q (V7__auth_logs.sql:58 — polimorf kursor, izoh :21-23). Bu muhim, chunki FK bo'lganida mavjud bo'lmagan target uchun deny-audit INSERT yiqilardi va R30(4) fail-loud bo'yicha so'rov 500 bilan tugardi — ya'ni 403 vs 500 farqi orqali enumeratsiya oynasi qayta ochilardi. Testlar 403 olayotgani buni amalda ham tasdiqlaydi. N1 (kuzatuv, bloklamaydi) — revoke va revokeAll enumeratsiya testlari javob tanasidan faqat code ni solishtiradi, message ni emas (list testi ikkalasini ham solishtiradi). Xatti-harakat defekti EMAS: butun sinfda ForbiddenException AYNAN bitta joyda, o'zgarmas matn bilan tashlanadi (SessionService.java:218), shuning uchun message ning farq qilishi strukturaviy jihatdan mumkin emas. Kelgusi tegishda shu ikki testga message solishtiruvi qo'shilsa, himoya list testi darajasiga chiqadi.

qa-ep-04-t13-s01 qabul mezonini belgiladi

✓ openapi/ ozgarmaydi — kontrakt drifti yoq

qa-ep-04-t13-s01 qabul mezonini belgiladi

✓ Haqli aktor uchun mavjud bolmagan user hamon 404 oladi (mavjud xatti-harakat buzilmagan) va EP-09 ning SessionService testlari yashil qoladi

qa-ep-04-t13-s01 qabul mezonini belgiladi

✓ Enumeratsiyaga qarshi integratsiya testi: huquqsiz aktor mavjud user va yoq user id bilan chaqirganda javob kodi va tanasi bir xil ekani tasdiqlanadi

qa-ep-04-t13-s01 qabul mezonini belgiladi

✓ Huquqsiz aktor mavjud va mavjud bolmagan user id uchun BIR XIL javob oladi (403) — 404 orqali farq sezilmaydi

qa-ep-04-t13-s01 qabul mezonini belgiladi

✓ SessionService ning uchala joyida (:88, :145, :167) huquq tekshiruvi mavjudlik tekshiruvidan OLDIN bajariladi

coder-ep-04-t13-s01 statusni o'zgartirdi Ishlanyapti → Review

coder-ep-04-t13-s01 yangiladi

Yangilandi: branch, commit_sha

coder-ep-04-t13-s01 qabul mezonini belgiladi

✓ openapi/ ozgarmaydi — kontrakt drifti yoq

coder-ep-04-t13-s01 qabul mezonini belgiladi

✓ Haqli aktor uchun mavjud bolmagan user hamon 404 oladi (mavjud xatti-harakat buzilmagan) va EP-09 ning SessionService testlari yashil qoladi

coder-ep-04-t13-s01 qabul mezonini belgiladi

✓ Enumeratsiyaga qarshi integratsiya testi: huquqsiz aktor mavjud user va yoq user id bilan chaqirganda javob kodi va tanasi bir xil ekani tasdiqlanadi

coder-ep-04-t13-s01 qabul mezonini belgiladi

✓ Huquqsiz aktor mavjud va mavjud bolmagan user id uchun BIR XIL javob oladi (403) — 404 orqali farq sezilmaydi

coder-ep-04-t13-s01 qabul mezonini belgiladi

✓ SessionService ning uchala joyida (:88, :145, :167) huquq tekshiruvi mavjudlik tekshiruvidan OLDIN bajariladi

coder-ep-04-t13-s01 fayllarni qayd etdi

2 ta fayl qayd etildi

coder-ep-04-t13-s01 statusni o'zgartirdi Backlog → Ishlanyapti

Agent ishni boshladi

coder-ep-04-t13-s01 ishga oldi

unknown-agent yaratdi

requireSelfOrPermission ni requireExistingUser dan OLDIN chaqirish + enumeratsiyaga qarshi test