Documentación de Proyecto Sincro

SeguridadSesionTest extends ApiTestCase
in package

Seguridad de la sesión: binding con User-Agent, regeneración del identificador tras el login y ausencia de sesión tras un login fallido.

Tags
see
api::requireAuthApi
requires

PHP 8.0 Uso de tipado estricto y funciones de strings

requires

PHPUnit.

Attributes
#[Group]
'general'
#[Group]
'seguridad'

Table of Contents

Properties

$cookieJar  : CookieJar
$debug  : bool
$http  : Client

Methods

testLoginFallidoNoCreaSesionValida()  : void
Un login fallido no debe dejar una sesión utilizable.
testLoginRegeneraElIdentificadorDeSesion()  : void
El identificador de sesión debe regenerarse tras un login correcto, para impedir ataques de fijación de sesión.
testRespuestaDeLoginNoDevuelveLaContrasena()  : void
La contraseña nunca debe aparecer en la respuesta del login, ni siquiera en los datos del usuario devueltos.
assertNoFiltraDetallesInternos()  : void
Verifica que un mensaje de error no filtra detalles internos del servidor (SQL, rutas de archivo, clases o trazas de excepción).
assertRespuestaApi()  : void
Verifica que la respuesta cumple el contrato mínimo de la API: JSON válido con una clave booleana 'ok'.
credenciales()  : array{0: string, 1: string}
Devuelve las credenciales de test del entorno.
idSesion()  : string|null
Devuelve el identificador de sesión actual del cookieJar, si existe.
iniciarSesion()  : void
Inicia sesión con las credenciales del entorno.
nuevoCliente()  : Client
Crea un cliente HTTP que comparte el cookieJar del test.
post()  : array{0: int, 1: array}
Ejecuta un POST contra la API y devuelve [statusCode, bodyArray].
setUp()  : void
Carga el entorno de test, el cookieJar y el cliente HTTP.
trace()  : void
Imprime una traza de ejecución con contexto, dirección y payload.

Properties

Methods

testLoginFallidoNoCreaSesionValida()

Un login fallido no debe dejar una sesión utilizable.

public testLoginFallidoNoCreaSesionValida() : void
Tags
throws
GuzzleException

testLoginRegeneraElIdentificadorDeSesion()

El identificador de sesión debe regenerarse tras un login correcto, para impedir ataques de fijación de sesión.

public testLoginRegeneraElIdentificadorDeSesion() : void
Tags
throws
GuzzleException

testRespuestaDeLoginNoDevuelveLaContrasena()

La contraseña nunca debe aparecer en la respuesta del login, ni siquiera en los datos del usuario devueltos.

public testRespuestaDeLoginNoDevuelveLaContrasena() : void
Tags
throws
GuzzleException

assertNoFiltraDetallesInternos()

Verifica que un mensaje de error no filtra detalles internos del servidor (SQL, rutas de archivo, clases o trazas de excepción).

protected assertNoFiltraDetallesInternos(array<string|int, mixed> $body[, string $contexto = '' ]) : void
Parameters
$body : array<string|int, mixed>

: Cuerpo decodificado

$contexto : string = ''

: Texto identificativo para el mensaje de fallo

assertRespuestaApi()

Verifica que la respuesta cumple el contrato mínimo de la API: JSON válido con una clave booleana 'ok'.

protected assertRespuestaApi(array<string|int, mixed> $body[, string $contexto = '' ]) : void
Parameters
$body : array<string|int, mixed>

: Cuerpo decodificado

$contexto : string = ''

: Texto identificativo para el mensaje de fallo

credenciales()

Devuelve las credenciales de test del entorno.

protected credenciales([bool $admin = false ]) : array{0: string, 1: string}
Parameters
$admin : bool = false

: true para las credenciales de administrador

Return values
array{0: string, 1: string}

idSesion()

Devuelve el identificador de sesión actual del cookieJar, si existe.

protected idSesion() : string|null

Se busca por coincidencia parcial para soportar session.name personalizado.

Return values
string|null

iniciarSesion()

Inicia sesión con las credenciales del entorno.

protected iniciarSesion([bool $admin = false ]) : void

Marca el test como skipped si no están configuradas.

Parameters
$admin : bool = false

: true para iniciar como administrador

Tags
throws
GuzzleException

nuevoCliente()

Crea un cliente HTTP que comparte el cookieJar del test.

protected nuevoCliente([array<string|int, mixed> $headers = [] ]) : Client

Permite sobreescribir cabeceras (útil para probar el binding de UA).

Parameters
$headers : array<string|int, mixed> = []

: Cabeceras adicionales o sobreescritas

Return values
Client

post()

Ejecuta un POST contra la API y devuelve [statusCode, bodyArray].

protected post(string $endpoint, array<string|int, mixed> $params) : array{0: int, 1: array}
Parameters
$endpoint : string

: Punto de entrada

$params : array<string|int, mixed>

: Parametros de la peticion

Tags
throws
GuzzleException
Return values
array{0: int, 1: array}

setUp()

Carga el entorno de test, el cookieJar y el cliente HTTP.

protected setUp() : void

El cookieJar se recrea en cada test para garantizar aislamiento.

trace()

Imprime una traza de ejecución con contexto, dirección y payload.

protected trace(string $contexto, string $mensaje[, mixed|null $payload = null ]) : void

Los valores sensibles se sustituyen por '***'.

Parameters
$contexto : string

: Contexto del mensaje

$mensaje : string

: Mensaje

$payload : mixed|null = null

: Carga del mensaje


        

        
    




    

    

                                

                

                                
    

        On this page

        
    


                

                            

            

    

        

            
Search results