91d7cde4c1
LTI authentifie l'élève et le fait rejoindre sa classe (même code que le code/QR existant), pas lancer un lab précis - relecture du CLAUDE.md qui liste LTI avec les autres façons d'ajouter des élèves. packbackbooks/lti-1p3-tool (Apache-2.0, recommandé par le CLAUDE.md), trois ponts vers Redis/cookies/MariaDB, élève retrouvé par identité Moodle stable pour ne jamais créer de doublon. Enregistrement d'une plateforme/d'un déploiement par commande Artisan (opération rare, faite à la main par Adam), jamais une page d'administration. Corrige au passage un vrai bug préexistant trouvé en vérifiant en réel sur le serveur : withoutMiddleware(ValidateCsrfToken::class) sur une route ne retire jamais le vrai middleware CSRF (ValidateCsrfToken est un alias déprécié de PreventRequestForgery, pas la classe réellement enregistrée) - /csp-rapport avait le même défaut depuis l'étape 14, invisible faute de surveillance. Corrigé pour les deux par la bonne méthode (validateCsrfTokens except, dans bootstrap/app.php). Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
78 lines
4.1 KiB
PHP
78 lines
4.1 KiB
PHP
<?php
|
||
|
||
use Illuminate\Support\Facades\Process;
|
||
use Illuminate\Support\Facades\Route;
|
||
|
||
// Toutes les pages publiques sans paramètre doivent s'afficher : la page
|
||
// /cours a été en erreur 500 de l'étape 8 à l'étape 12 sans que personne
|
||
// ne le voie.
|
||
test('chaque page publique s’affiche sans erreur', function () {
|
||
$pages = collect(Route::getRoutes())
|
||
->filter(fn ($r) => in_array('GET', $r->methods(), true)
|
||
&& $r->getName() !== null
|
||
&& ! str_contains($r->uri(), '{')
|
||
&& ! collect($r->gatherMiddleware())->contains(fn ($m) => is_string($m) && str_starts_with($m, 'auth')))
|
||
->reject(fn ($r) => str_starts_with($r->uri(), 'horizon') || str_starts_with($r->uri(), '_') || str_starts_with($r->uri(), 'interne/') || str_starts_with($r->uri(), 'lti/connexion') || $r->uri() === 'up')
|
||
// Redirections voulues (ex. /statut vers le site de statut ; pages de
|
||
// suivi d'une demande pour rejoindre une classe, sans demande en cours).
|
||
->reject(fn ($r) => $r->getActionName() === '\\Illuminate\\Routing\\RedirectController'
|
||
|| in_array($r->getName(), ['rejoindre.attente', 'rejoindre.bienvenue'], true));
|
||
|
||
expect($pages)->not->toBeEmpty();
|
||
|
||
$echecs = $pages->mapWithKeys(fn ($r) => [$r->uri() => $this->get('/'.ltrim($r->uri(), '/'))->getStatusCode()])
|
||
->reject(fn ($code) => $code === 200);
|
||
|
||
expect($echecs->all())->toBe([]);
|
||
});
|
||
|
||
// Étape 14 : la politique de confidentialité affirme qu'aucune page ne fait
|
||
// partir l'adresse IP du visiteur chez un fournisseur de polices.
|
||
test('aucune page publique ne charge de police depuis un service externe', function () {
|
||
$pages = collect(Route::getRoutes())
|
||
->filter(fn ($r) => in_array('GET', $r->methods(), true) && $r->getName() !== null && ! str_contains($r->uri(), '{'))
|
||
->reject(fn ($r) => collect($r->gatherMiddleware())->contains(fn ($m) => is_string($m) && str_starts_with($m, 'auth')))
|
||
->reject(fn ($r) => str_starts_with($r->uri(), 'interne/') || str_starts_with($r->uri(), 'lti/connexion'));
|
||
|
||
foreach ($pages as $route) {
|
||
$html = $this->get('/'.ltrim($route->uri(), '/'))->getContent();
|
||
expect($html)->not->toMatch('#fonts\.(googleapis|gstatic|bunny)\.(com|net)#', "page /{$route->uri()}");
|
||
}
|
||
});
|
||
|
||
test('aucune feuille de style publique n’importe de ressource externe', function () {
|
||
foreach (glob(public_path('css/*.css')) as $fichier) {
|
||
expect(file_get_contents($fichier))->not->toMatch('#@import\s+url\(\s*["\']?https?://#', basename($fichier));
|
||
}
|
||
});
|
||
|
||
// /ide a eu une erreur de syntaxe JavaScript de l'étape 8 à l'étape 14 (des
|
||
// « !! » devenus « . » dans la maquette) : chaque script en ligne de chaque
|
||
// page publique est maintenant analysé par Node.
|
||
test('les scripts en ligne des pages publiques sont du JavaScript valide', function () {
|
||
if (Process::run('node --version')->failed()) {
|
||
$this->markTestSkipped('Node absent');
|
||
}
|
||
|
||
$pages = collect(Route::getRoutes())
|
||
->filter(fn ($r) => in_array('GET', $r->methods(), true) && $r->getName() !== null && ! str_contains($r->uri(), '{'))
|
||
->reject(fn ($r) => collect($r->gatherMiddleware())->contains(fn ($m) => is_string($m) && str_starts_with($m, 'auth')))
|
||
->reject(fn ($r) => $r->getActionName() === '\Illuminate\Routing\RedirectController')
|
||
->reject(fn ($r) => str_starts_with($r->uri(), 'interne/') || str_starts_with($r->uri(), 'lti/connexion'));
|
||
|
||
$erreurs = [];
|
||
foreach ($pages as $route) {
|
||
preg_match_all('#<script(?![^>]*\bsrc=)[^>]*>(.*?)</script>#s', $this->get('/'.ltrim($route->uri(), '/'))->getContent(), $scripts);
|
||
foreach ($scripts[1] as $i => $code) {
|
||
$fichier = tempnam(sys_get_temp_dir(), 'js').'.js';
|
||
file_put_contents($fichier, $code);
|
||
$resultat = Process::run(['node', '--check', $fichier]);
|
||
unlink($fichier);
|
||
if ($resultat->failed()) {
|
||
$erreurs[] = "/{$route->uri()} script {$i} : ".strtok($resultat->errorOutput(), "\n");
|
||
}
|
||
}
|
||
}
|
||
|
||
expect($erreurs)->toBe([]);
|
||
});
|