Разделите вход и полномочия
Определите, какие атрибуты поступают от провайдера, как они связаны с пользователем и кто назначает роли. Не полагайтесь на отображаемое имя как на идентификатор.
Что проверить
- Проверяйте срок действия и назначение токенов или утверждений.
- Опишите создание, блокировку и удаление учётной записи.
- Проверьте выход и срок жизни сессий.
- Предусмотрите действия при недоступности провайдера.
Проверьте смену роли и увольнение
Важно не только выдать доступ, но и вовремя его отозвать. Испытайте активные сессии, фоновые задачи и внешние интеграции после блокировки пользователя.
