Разобрали баги в мобильном приложении для подписания документов — и там есть показательный кейс:
Пользователь отклоняет документ → потом нажимает “Sign anyway” → выбирает OTP
➡️ и получает 403 + JSON с ошибкой
Что здесь происходит:
🔵 Система разрешает пользователю пойти по сценарию, где у него уже нет прав (документ отклонён), но вместо нормальной обработки показывает ответ сервера «как есть».
Почему это проблема:
— нарушена логика доступа
— фронт не обрабатывает ошибки
— пользователь видит внутренности API
💡 Если пользователь может зайти в запрещённый сценарий → это не просто ошибка, а проблема в access control.
🔗 Источник
📍 Навигация: [Вакансии]
🐸 Библиотека тестировщика
#разбор_полетов