PD-46 — Scénarios de tests contractuels¶

TEST-ID: TC-NOM-01
Référence spec: Flux 1, Critère CA-46-01

GIVEN
  - Un utilisateur owner authentifié avec un JWT valide
  - Un document existant dont il est propriétaire (owner_id = user_id)
WHEN
  - Il demande une URL de téléchargement via GET /documents/:id/download
THEN
  - Le backend retourne HTTP 200 avec une URL pre-signed S3
  - L'URL contient les paramètres X-Amz-Algorithm, X-Amz-Credential, X-Amz-Expires=300
AND
  - Le client peut télécharger le fichier depuis S3 avec cette URL
  - L'événement DOWNLOAD_SUCCESS est journalisé avec user_id, document_id, timestamp

TEST-ID: TC-NOM-02
Référence spec: Flux 2, Critère CA-46-02

GIVEN
  - Un utilisateur authentifié avec un JWT valide
  - Un partage actif existe (is_active=true, expires_at > now, revoked_at IS NULL)
  - Le partage accorde les droits de lecture
WHEN
  - Il demande une URL de téléchargement via GET /documents/:id/download
THEN
  - Le backend retourne HTTP 200 avec une URL pre-signed S3
  - L'URL est valide pour 5 minutes
AND
  - Le téléchargement depuis S3 réussit
  - L'événement DOWNLOAD_SUCCESS est journalisé avec user_id du bénéficiaire

TEST-ID: TC-NOM-03
Référence spec: Flux 3, Critère CA-46-01 (B2B)

GIVEN
  - Un partenaire authentifié via OAuth/OIDC
  - Le token contient tenant_id correspondant au document
  - Le token contient un rôle avec permission "document:download"
WHEN
  - Il demande une URL de téléchargement via GET /documents/:id/download
THEN
  - Le backend retourne HTTP 200 avec une URL pre-signed S3
AND
  - L'événement DOWNLOAD_SUCCESS est journalisé avec user_id ET tenant_id

TEST-ID: TC-ERR-01
Référence spec: Erreur HTTP 401

GIVEN
  - Un utilisateur avec un token JWT invalide (signature incorrecte)
WHEN
  - Il demande GET /documents/:id/download
THEN
  - Le backend retourne HTTP 401
  - Le body contient { "error": "UNAUTHORIZED" }
  - Aucune URL n'est générée
  - Aucun événement audit n'est créé

TEST-ID: TC-ERR-02
Référence spec: Erreur HTTP 403 (non owner, pas de partage)

GIVEN
  - Un utilisateur authentifié valide
  - Le document appartient à un autre utilisateur
  - Aucun partage actif n'existe pour cet utilisateur
WHEN
  - Il demande GET /documents/:id/download
THEN
  - Le backend retourne HTTP 403
  - Le body contient { "error": "FORBIDDEN" }
  - L'événement DOWNLOAD_DENIED est journalisé

TEST-ID: TC-ERR-03
Référence spec: Erreur HTTP 403 (partage révoqué)

GIVEN
  - Un utilisateur authentifié valide
  - Un partage existait mais a été révoqué (revoked_at IS NOT NULL)
WHEN
  - Il demande GET /documents/:id/download
THEN
  - Le backend retourne HTTP 403
  - Le body contient { "error": "SHARE_REVOKED" }
  - L'événement DOWNLOAD_DENIED est journalisé avec raison "SHARE_REVOKED"

TEST-ID: TC-ERR-04
Référence spec: Erreur HTTP 403 (tenant incorrect B2B)

GIVEN
  - Un partenaire B2B authentifié OIDC
  - Le document appartient à un tenant différent du token
WHEN
  - Il demande GET /documents/:id/download
THEN
  - Le backend retourne HTTP 403
  - Le body contient { "error": "TENANT_MISMATCH" }

TEST-ID: TC-ERR-05
Référence spec: Erreur HTTP 403 (rôle insuffisant B2B)

GIVEN
  - Un partenaire B2B authentifié OIDC
  - Le token ne contient pas le rôle "document:download"
WHEN
  - Il demande GET /documents/:id/download
THEN
  - Le backend retourne HTTP 403
  - Le body contient { "error": "INSUFFICIENT_ROLE" }

TEST-ID: TC-ERR-06
Référence spec: Erreur HTTP 404

GIVEN
  - Un utilisateur authentifié valide
  - Le document_id n'existe pas en base
WHEN
  - Il demande GET /documents/:id/download
THEN
  - Le backend retourne HTTP 404
  - Le body contient { "error": "NOT_FOUND" }

TEST-ID: TC-ERR-07
Référence spec: Erreur HTTP 410 (TTL expiré)

GIVEN
  - Un utilisateur a obtenu une URL pre-signed
  - 6 minutes se sont écoulées (TTL = 5 min dépassé)
WHEN
  - Il tente de télécharger depuis S3 avec l'URL expirée
THEN
  - S3 retourne HTTP 403 ou 410 (AccessDenied/ExpiredToken)
  - Le téléchargement échoue

TEST-ID: TC-INV-01
Référence spec: INV-46-01 (TTL + droits)

GIVEN
  - Un utilisateur owner avec URL pre-signed obtenue à T0
  - À T0+3min, ses droits sont révoqués
WHEN
  - À T0+4min, il tente de re-demander GET /documents/:id/download
THEN
  - Le backend retourne HTTP 403 (droits révoqués)
  - L'ancienne URL reste potentiellement valide jusqu'à T0+5min (TTL S3)

TEST-ID: TC-INV-02
Référence spec: INV-46-02 (révocation bloque)

GIVEN
  - Un utilisateur avec partage actif
  - Le partage est révoqué via PUT /shares/:id (revoked_at = now)
WHEN
  - Immédiatement après, il demande GET /documents/:id/download
THEN
  - Le backend retourne HTTP 403 SHARE_REVOKED
  - Pas de nouvelle URL générée

TEST-ID: TC-INV-03
Référence spec: INV-46-03 (téléchargement non interrompu)

GIVEN
  - Un utilisateur owner initie un téléchargement de fichier volumineux (100MB)
  - Le téléchargement est à 50% de progression
WHEN
  - Ses droits sont révoqués pendant le transfert
THEN
  - Le téléchargement en cours se termine normalement
  - Le fichier est complet côté client

TEST-ID: TC-INV-04
Référence spec: INV-46-04 (journalisation)

GIVEN
  - Un téléchargement réussi
WHEN
  - On consulte le registre probatoire
THEN
  - Une entrée DOWNLOAD_SUCCESS existe
  - Contient: user_id, document_id, timestamp, result=SUCCESS
  - Le registre est append-only (immutable)

TEST-ID: TC-INV-05
Référence spec: INV-46-05 (attribution)

GIVEN
  - Un téléchargement B2B par un partenaire
WHEN
  - On consulte l'événement audit
THEN
  - L'événement contient user_id (personne physique)
  - L'événement contient tenant_id (personne morale)

TEST-ID: TC-ZK-01
Référence spec: INV-46-06 (Zero-Knowledge)

GIVEN
  - Un téléchargement via pre-signed URL
  - Monitoring des appels S3 du backend activé (CloudTrail ou logs SDK)
WHEN
  - Le client effectue un téléchargement complet
THEN
  - Le backend ne voit jamais le contenu déchiffré
  - Le backend ne fait pas de proxy/buffering du fichier
  - Le client télécharge directement depuis S3
AND
  - **Observable renforcé** : Aucune opération GetObject S3 n'est effectuée par le backend
  - Seule l'opération de génération de pre-signed URL est visible (signature côté backend)