Пользователи и вход в приложение

Два вида аккаунтов

Аккаунт Amazi определяет доступ к проектам и функциям платформы. Пользователи созданного приложения получают ту систему входа и разрешений, которая реализована в самом приложении. Вход в Amazi не создаёт аккаунт в вашем приложении автоматически.

Приглашение участника в проект также не делает его администратором опубликованного приложения. Роли проекта описаны в Совместной работе и доступе, а аккаунт платформы — в Аккаунте и безопасности.

Опишите защищённый сценарий

При запросе авторизации укажите, кто входит в приложение, что разрешено каждой роли и какие данные принадлежат пользователю или организации. Нужны серверные проверки доступа, а не только скрытые кнопки интерфейса.

Например:

Участник видит только свои бронирования. Сотрудник управляет бронированиями назначенного ему филиала. Проверь, что участник не может открыть чужую бронь, изменив её URL.

Способы входа зависят от реализации приложения и подключённых сервисов. Не считайте, что отправка email, SMS или социальный провайдер уже настроены.

Как проверяется поведение после входа

Если запрошенное изменение требует проверки с авторизацией и подходящего аккаунта нет, Amazi может создать явно обозначенного тестового пользователя с минимально необходимой ролью и данными. Это часть проверки задачи, для которой не нужен ваш личный пароль или формальное повторное согласование.

Проверка должна использовать настоящий вход и разрешения приложения. Нельзя отключать защиту, добавлять обходной вход, сбрасывать пароль реального клиента или выдавать себя за существующего пользователя ради проверки.

Если внешний этап подтверждения или недоступный провайдер мешает входу, в результате должно быть указано, какой сценарий остался непроверенным.

Тестовые пользователи — настоящие записи

Управляемая база общая с production. Поэтому для тестовых аккаунтов и данных нужны понятные границы и план очистки. Проверка не должна отправлять реальные приглашения, покупки и уведомления посторонним людям.

Просите подтверждение конкретной роли и действия: переход после входа, успешную разрешённую операцию, отказ в запрещённой и сохранение результата, где оно необходимо. Загрузка страницы входа не доказывает работу защищённого сценария. См. Тестирование и проверка.