Matthieu
559a3a9b11
Suite fonctionnelle M2 assertant sur le CORPS JSON (jamais les annotations),
jumelle de la suite clients M1 :
- contrat de sérialisation : 4 régressions M1 re-testées (RIB gaté absent pour
Commerciale, booléens triageProvider/isArchived présents, embed
categories[].code/name, embed sites[].name/postalCode objet) + enveloppe AP4
(member/totalItems/view, archivés exclus) + suppression du contact inline ;
- matrice RBAC réelle (app:seed-rbac) bureau/compta/commerciale/usine 200/403,
gating accounting par omission de clé, mode strict PATCH (RG-2.16) ;
- RG-2.03/2.04/2.05/2.06/2.07/2.08/2.09/2.10/2.11/2.12/2.14/2.15/2.17 ;
- sous-ressources contacts/adresses/ribs (CRUD, sécurité, normalisation) ;
- anti N+1 liste (compte de requêtes constant), audit Supplier + RIB iban/bic.
Fix de contrat découvert et corrigé (sinon DoD figée sur un contrat faux) :
les référentiels comptables (TvaMode/PaymentType/PaymentDelay/Bank) ne portaient
que le groupe client:read:accounting (M1) → sur un fournisseur ils sortaient en
IRI nu. Ajout de supplier:read:accounting → objet {id, code, label} embarqué.
makefile : test-db-setup recrée l'index partiel uq_supplier_company_name_active
(droppé par schema:update comme pour le client) — oubli M2.
DoD § 4.0.bis : réponses JSON RÉELLES (liste + détail admin/commerciale) collées,
capturées via SupplierSerializationContractTest.
46 lines
1.7 KiB
PHP
46 lines
1.7 KiB
PHP
<?php
|
|
|
|
declare(strict_types=1);
|
|
|
|
namespace App\Tests\Module\Commercial\Api;
|
|
|
|
use App\Module\Commercial\Domain\Entity\Supplier;
|
|
|
|
/**
|
|
* Mode strict PATCH multi-groupes fournisseur (M2, RG-2.16) — preuve fonctionnelle
|
|
* HTTP, SANS dependre d'un role metier : un user portant
|
|
* `commercial.suppliers.manage` mais PAS `commercial.suppliers.accounting.manage`
|
|
* qui envoie un PATCH melant un champ principal (companyName) et un champ
|
|
* comptable (siren) recoit 403 sur TOUT le payload — aucun champ applique (pas de
|
|
* filtrage silencieux). Jumeau de ClientPatchStrictTest (M1).
|
|
*
|
|
* @internal
|
|
*/
|
|
final class SupplierPatchStrictTest extends AbstractSupplierApiTestCase
|
|
{
|
|
public function testMixedGroupsPatchWithoutAccountingPermissionIsForbidden(): void
|
|
{
|
|
$seed = $this->seedSupplier('Strict Mix');
|
|
$credentials = $this->createUserWithPermission('commercial.suppliers.manage');
|
|
$client = $this->authenticatedClient($credentials['username'], $credentials['password']);
|
|
|
|
$client->request('PATCH', '/api/suppliers/'.$seed->getId(), [
|
|
'headers' => ['Content-Type' => self::MERGE],
|
|
'json' => [
|
|
'companyName' => 'Renamed Strict',
|
|
'siren' => '123456789',
|
|
],
|
|
]);
|
|
|
|
// RG-2.16 : 403 strict (le champ comptable siren exige accounting.manage).
|
|
self::assertResponseStatusCodeSame(403);
|
|
|
|
// Aucun champ applique : le companyName d'origine est intact.
|
|
$em = $this->getEm();
|
|
$em->clear();
|
|
$reloaded = $em->getRepository(Supplier::class)->find($seed->getId());
|
|
self::assertNotNull($reloaded);
|
|
self::assertSame('STRICT MIX', $reloaded->getCompanyName());
|
|
}
|
|
}
|