Что такое ролевая модель?

Что такое ролевая модель в контексте IT и тестирования?

Ролевая модель (Role-Based Access Control, RBAC) — это подход к управлению доступом к системе, в котором права и разрешения назначаются не конкретным пользователям, а ролям. Пользователи получают доступ к функционалу и данным в системе путём присвоения им одной или нескольких ролей. Это фундаментальный концепт безопасности и организации процессов в сложных приложениях и корпоративных системах.

Основные компоненты ролевой модели:

1. Пользователь (User): Аккаунт (человек, система или служба), который взаимодействует с приложением.
2. Роль (Role): Набор прав и обязанностей в системе (например, "Администратор", "Менеджер", "Гость", "Аналитик").
3. Разрешение (Permission): Конкретное право на выполнение операции (например, user.create, report.view, settings.edit).
4. Связь "Пользователь-Роль": Назначение ролей пользователям. Один пользователь может иметь несколько ролей, одна роль может быть назначена многим пользователям.

Практический пример для QA Engineer

Представьте веб-приложение для управления проектами (типа Jira или Asana). Его ролевая модель может выглядеть так:

Роли и их разрешения:
- Администратор:
  - user.invite
  - user.delete
  - project.create
  - project.delete
  - settings.global.edit

- Менеджер проекта:
  - task.create
  - task.assign
  - report.generate
  - project.settings.edit

- Разработчик:
  - task.view_assigned
  - task.status.update
  - comment.add

- Гость (или Наблюдатель):
  - project.view
  - task.view
  - comment.view

Почему ролевая модель критически важна для тестирования?

Как QA Engineer, я рассматриваю ролевую модель как один из ключевых нефункциональных требований, который требует тщательной проверки. Вот почему:

• Тестирование безопасности и контроля доступа: Это ядро проверки. Нужно убедиться, что:

    *   **Пользователь с ролью "Гость" не может** удалить проект или пригласить нового пользователя.
    *   **Разработчик не может** получить доступ к финансовым отчётам, доступным только для "Менеджера".
    *   **Администратор имеет** полный доступ ко всем функциям (но иногда и его права должны быть ограничены в рамках принципа наименьших привилегий).

• Снижение риска "Privilege Escalation": Это одна из самых опасных уязвимостей, когда пользователь получает несанкционированный доступ к функциям более высокой роли (например, через манипуляцию параметрами в запросе: POST /api/deleteUser?id=123). Тестирование на проникновение (penetration testing) ролевой модели — обязательная часть работы.
• Валидация бизнес-логики: Правила видимости данных часто привязаны к ролям. Например, менеджер видит задачи всей команды, а разработчик — только свои. Это напрямую влияет на сценарии использования.

Как я тестирую ролевую модель на практике?

1. Анализ требований: Составление матрицы доступа (таблица "Роль -> Разрешение").
2. Разработка тест-кейсов:

    *   **Позитивные**: Каждая роль корректно выполняет разрешённые действия.
    *   **Негативные и негативные с повышенными привилегиями**: Систематические попытки выполнить действия другой, более привилегированной роли.

1. Автоматизация проверок:

    *   Использую **API-тесты** (например, на Python с `pytest` и `requests`) для быстрой проверки доступа эндпоинтов под разными учетными данными.

import pytest
import requests

BASE_URL = "https://api.example.com"
USER_CREDENTIALS = {
    "admin": {"login": "admin@test.com", "password": "admin_pass"},
    "manager": {"login": "manager@test.com", "password": "manager_pass"},
    "guest": {"login": "guest@test.com", "password": "guest_pass"}
}

def get_auth_token(role):
    creds = USER_CREDENTIALS[role]
    resp = requests.post(f"{BASE_URL}/auth", json=creds)
    return resp.json()["token"]

@pytest.mark.parametrize("role, expected_status", [
    ("admin", 200),    # Админ имеет право
    ("manager", 403),  # Менеджер — нет
    ("guest", 403)     # Гость — нет
])
def test_user_deletion_access(role, expected_status):
    """Тест: Попытка удаления пользователя доступна только админу."""
    token = get_auth_token(role)
    headers = {"Authorization": f"Bearer {token}"}
    response = requests.delete(f"{BASE_URL}/users/123", headers=headers)
    assert response.status_code == expected_status, f"Роль '{role}' получила неожиданный доступ!"

1. Тестирование в UI: Проверка, что элементы интерфейса (кнопки, меню) скрыты или недоступны для неправомочных ролей.
2. Проверка комбинированных ролей: Если пользователю можно назначить несколько ролей, важно проверить, что разрешения корректно объединяются (union), а не конфликтуют.

Вывод для QA-специалиста

Понимание и тщательное тестирование ролевой модели — это не просто "чек-лист", а комплексный процесс, затрагивающий безопасность, юзабилити и бизнес-логику приложения. Уязвимости в этой области ведут к утечке данных, нарушению целостности системы и прямым финансовым потерям. Поэтому при тестировании любого нетривиального приложения ролевая модель всегда находится в фокусе моих усилий, начиная с этапа проектирования тестов и заканчивая регрессионными и нагрузочными проверками.