Associare ordini e fatture nell’account cliente
Definisca fonti e autorizzazioni per ordini e fatture. Un caso di test compilato copre accesso diretto e cambio dell’azienda selezionata.
L’elenco degli ordini nell’account cliente dovrebbe mostrare solo le operazioni accessibili alla persona autenticata nel contesto aziendale selezionato. Per una fattura serve anche l’associazione corretta al documento e alla sua fonte. Un pulsante di download visibile non risolve da solo questo compito.
Definire prima l’ambito dei dati
Shopify presenta cronologia e sedi aziendali come funzioni dell’account. Questo non promette che ogni account contenga tutti gli ordini del sistema di gestione aziendale (ERP) e i file delle fatture. Specifichi quali ordini e periodi include la Sua applicazione e quale sistema fornisce le fatture. Un ordine importato può essere visibile mentre il documento manca ancora.
Colleghi esplicitamente ordine, account aziendale e riferimento della fattura. Un numero documento simile o lo stesso nome aziendale non sono un’associazione affidabile. Un ordine può avere più documenti associati; l’interfaccia deve mostrare quelli effettivamente forniti con nomi comprensibili.
Concordare un caso di accesso dettagliato
Tutti gli identificatori e i risultati della tabella sono requisiti fittizi per un portale previsto. Non descrivono un test eseguito o la configurazione predefinita di un prodotto.
Situazione iniziale | Richiesta | Risultato atteso |
|---|---|---|
L’account di test può vedere l’azienda | Ordine | Dati visibili nel contesto aziendale corretto |
Lo stesso account ha diritto ai documenti di | Fattura associata | È recuperabile esattamente questo documento |
L’account appartiene solo all’azienda | Accesso diretto a | Nessun file altrui o dettaglio documentale protetto |
Manca la fonte della fattura per | Aprire l’area fatture | Documento al momento non disponibile; nessuna fattura inventata |
Esegua la verifica con account e documenti di test adatti. Deve coprire anche l’accesso diretto al file quando la fattura dell’altra azienda non compare affatto nell’elenco.
Applicare i diritti a ogni richiesta
OWASP richiede un controllo di autorizzazione sull’oggetto richiesto. Controlli quindi sul server utente, azienda consentita, associazione documentale e azione richiesta. Un filtro nel browser o un identificatore difficile da indovinare non sostituisce questa decisione. Anche il percorso al file deve rispettare la regola di accesso.
Definisca cosa accade a una nuova richiesta dopo un cambiamento dei diritti. In un cambio azienda autorizzato, gli ordini in cache dell’azienda precedente non devono apparire come dati della nuova selezione. Controlli quindi elenchi, dettagli e riferimenti di download dopo il cambio.
Spiegare i dati mancanti
Distingua una cronologia vuota da una fonte irraggiungibile. Anche «fattura non ancora disponibile» e «accesso non consentito» sono stati diversi; la visualizzazione deve preservare la riservatezza concordata. Il portale non dovrebbe inventare uno stato di pagamento o trattare un file mancante come conferma dell’operazione commerciale.
La prova stabilisce viste consentite e richieste bloccate. Associazione all’ordine, fonte documentale e accesso devono essere coerenti per integrare in modo affidabile la funzione nell’account cliente.
Fonti
Continuate a leggere
Tutti gli articoli
E-commerce con ASES
Negozi online, marketplace e portali B2B