# Partie 4 — Plan de tests

## Vue d'ensemble

| Catégorie | Cas documentés | Automatisés (pytest) | Résultat réel (2026-08-20) |
|---|---|---|---|
| Tests unitaires (UT) | 17 | 17 | 17/17 réussis |
| Tests d'intégration (IT) | 11 | 11 | 11/11 réussis |
| Tests de sécurité (TS) | 6 | 6 | 6/6 réussis |
| Tests de déploiement (TD) | 6 | Manuels (checklist) | Voir Partie 3 |
| Tests fonctionnels (TF) | 4 | Manuels / scénarios | Voir ci-dessous |
| **Total automatisé** | **34** | **34 exécutés** | **34/34 réussis** |

Exécution réelle : `pytest tests/ -v` contre une base MariaDB 10.11 dédiée
(`gesthub_test`), sortie complète dans `docs/evidence/pytest_output.txt`.
Contrairement à des tests reposant sur des mocks de la couche SQL, cette
suite détecte aussi les erreurs de requête (colonnes, contraintes) — c'est
d'ailleurs ainsi qu'ont été trouvés les 3 bugs mentionnés en Annexe A1.

## Détail des tests unitaires (UT)

| ID | Fonction testée | Entrée | Résultat attendu |
|---|---|---|---|
| UT-01 | `annonce_service.create_annonce` | titre/contenu valides | Ligne créée, id retourné |
| UT-02 | `create_annonce` | titre vide | `ValidationError` |
| UT-03 | `create_annonce` | contenu vide/espaces | `ValidationError` |
| UT-04 | `update_annonce` | annonce existante | Champs mis à jour |
| UT-05 | `update_annonce` / `delete_annonce` | id inexistant | `AnnonceNotFoundError` |
| UT-06 | `fichier_service.step2_check_size` | fichier > taille max / vide | `FileValidationError` |
| UT-07 | `step4_check_extension` | extension interdite / autorisée | Erreur / extension renvoyée |
| UT-08 | `step5_generate_safe_name` / `step1_check_presence` | deux appels / fichier absent | Noms uniques / erreur |
| UT-09 à UT-12 | `auth_service.is_admin` | avec/sans groupe `/admin`, `None`, sans champ `groups` | `True`/`False` cohérents |
| (suppl.) | `handle_upload` bout en bout | fichier PDF valide | Upload complet réussi |

## Détail des tests d'intégration (IT) — client de test Flask

| ID | Route | Cas | Résultat attendu |
|---|---|---|---|
| IT-01 | `GET /api/annonces` | sans session | 401 |
| IT-02 | `GET /api/annonces` | utilisateur standard | 200, liste vide |
| IT-03 | `POST /api/annonces` | utilisateur standard (non admin) | 403 |
| IT-04 | `POST /api/annonces` puis `GET` | admin | 201, annonce visible |
| IT-05 | `PUT /api/annonces/{id}` | admin | 200 |
| IT-06 | `DELETE /api/annonces/{id}` | admin | 200 |
| IT-07 | `GET /api/is_admin` | admin vs standard | reflète le groupe réel |
| IT-08 | `POST /api/fichiers/upload` | sans fichier joint | 400 |
| IT-09 | `POST /api/evenements` | date_fin < date_debut | 400 |
| IT-10 | `GET /` | sans session | 302 vers `/login` |
| (suppl.) | `POST /api/annonces` | titre manquant | 400 |

## Détail des tests de sécurité (TS) — OWASP Top 10 2021

| ID | Vecteur | Résultat attendu | Résultat réel |
|---|---|---|---|
| TS-01 | Injection SQL dans le titre d'une annonce | Payload stocké tel quel, table intacte | Réussi |
| TS-02 | Accès à `/api/fichiers` et `/api/annonces` (POST) sans token | 401 | Réussi |
| TS-03 | Cookie de session falsifié (non signé) | Traité comme non authentifié, 401 | Réussi |
| TS-04 | Contenu `<script>` dans une annonce | Échappé au rendu Jinja2, jamais exécutable | Réussi |
| TS-05 | Téléchargement d'un fichier appartenant à un autre utilisateur | 403 (sauf admin) | Réussi |
| TS-06 | Exposition de ports internes dans `docker-compose.yml` | Seul `caddy` expose des ports | Réussi |

## Tests fonctionnels (TF) — scénarios de bout en bout (procédure manuelle)

| ID | Scénario | Procédure |
|---|---|---|
| TF-01 | Connexion complète SSO | Ouvrir `/`, être redirigé vers Keycloak, se connecter, revenir authentifié |
| TF-02 | Cycle de vie d'une annonce | Admin crée, modifie, épingle, supprime une annonce ; vérifier l'affichage pour un standard |
| TF-03 | Cycle de vie d'un fichier | Uploader un fichier valide, le télécharger, le supprimer ; tenter un type de fichier interdit |
| TF-04 | Déconnexion | Se déconnecter, vérifier l'invalidation de la session côté Keycloak (back-channel logout) |

## Grille de recette (15 critères)

| # | Critère | OUI/NON | Observations |
|---|---|---|---|
| 1 | Connexion SSO fonctionnelle | OUI | Flux testé manuellement en session 5 (13/05/2025) |
| 2 | Redirection non-authentifié → `/login` | OUI | IT-10 |
| 3 | Contrôle des rôles admin/standard | OUI | IT-03, IT-07, TS-02 |
| 4 | CRUD annonces complet | OUI | IT-04, IT-05, IT-06 |
| 5 | Épinglage des annonces | OUI | Colonne `epinglee`, tri en base |
| 6 | Upload de fichier avec validation | OUI | UT-06, UT-07, upload bout en bout |
| 7 | Téléchargement sécurisé | OUI | TS-05 |
| 8 | Suppression de fichier contrôlée | OUI | `fichier_service.delete_fichier` |
| 9 | Création/suppression d'événements | OUI | IT-09 |
| 10 | Widgets déplaçables et persistés | OUI | `services/block_service.py`, capture d'écran |
| 11 | HTTPS opérationnel | Projection | Nécessite le domaine réel en production (non vérifiable en local) |
| 12 | Persistance des données après redémarrage | Projection | Vérifiable via TD-05 en environnement réel |
| 13 | Déploiement reproductible (`docker compose up -d`) | OUI | Partie 3 |
| 14 | Aucune violation flake8 | OUI | Annexe A1 |
| 15 | Suite de tests automatisés au vert | OUI | 33/33 (annexe A1, présent document) |

**13 critères sur 15 vérifiés en conditions réelles**, 2 nécessitant un
environnement de production (domaine + certificat réel) non reproductible
dans le cadre de la rédaction de ce dossier.

**[⇒] Projection méthodologique — PV de recette.** En contexte professionnel,
cette grille serait signée par le client ou le Product Owner et constituerait
le PV de recette formel exigé par IGS/IPI ; sur ce projet personnel, elle
reste une auto-évaluation outillée par des tests automatisés.

## Tableau des risques de sécurité (analyse DevSecOps, OWASP Top 10 2021)

| Risque | Criticité | Probabilité | Mitigation implémentée | Preuve |
|---|---|---|---|---|
| Accès non autorisé à une route admin | Haute | Moyenne | Décorateur `require_admin`, vérification du groupe `/admin` à chaque requête | TS-02, IT-03 |
| Injection SQL | Haute | Basse (mitigée) | Requêtes 100 % paramétrées (PyMySQL, `%s`), aucune concaténation | TS-01 |
| Fuite du `CLIENT_SECRET` OIDC | Haute | Basse | Secrets dans `.env`, exclu de Git (`.gitignore`) | `web/.env.example` |
| Upload de fichier malveillant | Moyenne | Moyenne | Vérification MIME réelle (python-magic) + extension + taille | UT-06, UT-07 |
| CSRF sur les formulaires | Moyenne | Basse | Cookies `SameSite` par défaut de Flask, API JSON (pas de formulaire HTML classique exposé) | — |
| Exposition des ports internes | Moyenne | Basse | Seul Caddy publie des ports, réseau Docker interne | TS-06 |
| Session non invalidée après déconnexion | Moyenne | Basse | `back-channel logout` Keycloak, `session.clear()` côté Flask | `routes/auth.py::logout` |