IG Harness管理操作の権限境界――role guardとrate limitを別々に試験する

ログイン済み利用者が別accountのfriendやtracked linkへアクセスする経路と、高頻度操作をどの層で止めるか。

コードから観測できること

1. auth、role guard、rate limitが独立middlewareで、accounts/friends/tracked linksにはauthz testがある。
2. resource IDを知っていることと閲覧権限は別である。URLのaccount指定だけでなく、DB取得後の所有関係を照合する必要がある。
3. rate limitは権限の代替ではなく、認可済み操作の頻度制御である。先に頻度制限しても低頻度の越権要求は防げない。

再現・追加測定の手順

1. 2 accountと複数roleを用意する
2. 一覧・詳細・更新に他account IDを指定する
3. 同じ操作を並列・連続実行する
4. 403/404/429とDB副作用を表へする

この資料だけでは証明できないこと

1. status codeを隠しても応答時間差がresource存在を漏らす場合がある。
2. Cloudflare edge分散下のrate limitは単一processテストと異なる。

このページは新しいcommit、実測ログ、API仕様変更が得られた時点で更新します。古い観測条件と現在仕様を混同しないため、固定commitへのリンクを残します。