Agenttest og aflevering
Agenten får servervalideret adgang til den konkrete app/opgave. Kortlivede agentidentiteter er adskilt fra menneskers login og bundet til app, miljø, kørsel, build, testsession og tilladt rolle. Udvid ikke egne grants eller genbrug ejerens session. apps_api_test og browseren deler opgavens faste PostgreSQL-preview-database; apps_api_data bruger samme vedvarende database. Alle tre følger preview-datarettighederne. Data forsvinder ikke ved lukning: mærk testposter entydigt og slet kun egne poster. Live bruges aldrig til test. Brug apps_browser_api_test med sessionId til den valgte browsers konkrete database. I isoleret browser findes window.appAuth.isTest og getSession()/getUser(). En testadapter må kun bruges ved denne eksplicitte testidentitet. Manglende token, netværksfejl eller et preview-domæne må aldrig aktivere demo-login, administrator eller lokal falsk gemning. Testidentiteten beviser ikke rigtigt OIDC-login, Google, MFA, invitation eller logout. Ved auth-ændringer test: anonym afvisning, udløbet/forkert issuer/forkert audience/ændret token, viewer-skrivning, to brugeres dataadskillelse og fremmede organisations-/objekt-id'er. Test rolleændring/blokering og callback/logout, når det faktiske menneskelige login er tilgængeligt. Registrér faktisk testrolle, miljø og build; en fast member-test kan ikke godkende admin/viewer. Opryd kun egne testposter i den database, der blev brugt. Rapportér hverken rigtigt login eller fuld sikkerhed som verificeret ud fra et ready-build eller syntetisk test. Afklar kun nødvendige manglende ejeroplysninger/hemmeligheder; færdiggør øvrigt arbejde først.