Kiểm tra quyền
Thử được ca cho phép và ca phải từ chối.
Thử quyền bằng tình huống bị từ chối
Thử cả người được phép và người bị từ chối. Chặn ở nơi nhận yêu cầu, trước khi đọc hoặc ghi dữ liệu. Bài lab dùng dữ liệu giả; kiểm tra một hàm chưa chứng minh hệ thống đăng nhập an toàn.
Giấu tay nắm cửa không làm căn phòng có khóa.
Chặn trước khi đọc dữ liệu
Nút bị ẩn chưa đủ. Gọi thẳng API bằng tài khoản khác để thử. Backend phải từ chối trước khi trả nội dung; log cũng không được lộ nội dung đó.
Khóa cửa cần chặn người vào, không chỉ che biển tên phòng.
Thực hành
Sửa chính sách đọc phiếu và tự thử ca bị chặn.
Chỉ sửa canReadTicket trong model.mjs: owner/member và admin có id hợp lệ được đọc; người khác hoặc actor thiếu/sai bị chặn. Giữ test gốc, chạy test access. Nêu rõ bài chưa có auth/backend thật.
Tự kiểm tra
Đủ ca owner, người khác, admin và khách.
Không gọi quy tắc quyền trong lab là bảo mật production.