GuidoandClaude Opus 4.8
1b7107b9bd
Backend: - Modelle + Migration 0002: accounts, account_identifiers, category_groups, categories, transactions, exchange_rates (alle owner-gescoped). - EZB-Kursdienst (90-Tage/Historie) + Backfill-Skript; Umrechnung EUR<->CHF zum Buchungsdatum mit lokalem Cache und manueller Übersteuerung; EUR-Pivot (amount_eur_cents) eingefroren. - Kontostände + Netto-Vermögen (Umrechnung in Hauptwährung). - Router: accounts (inkl. IBAN-Identifikatoren), categories (Gruppen+Kategorien), transactions (Ausgabe/Einnahme/Transfer, cross-currency), rates. - Gruppierte Standard-Kategorien je Nutzer beim Anlegen. - pytest-Suite: Währung, Salden, Cross-Currency-Transfer, Nutzer-Isolation. Frontend: - Seiten Konten, Kategorien, Buchungen; Icon-Chip, Geldbetrag mit Umrechnung, Icon-/Farbwähler, Modal; erweitertes SVG-Icon-Set (Konto-/Kategorie-Icons). - Währungs-/Datumsformatierung (EUR de-DE, CHF de-CH), i18n DE/EN erweitert. - Live-Umrechnungs-Vorschau im Transfer-Formular. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
34 lines
1.4 KiB
Python
34 lines
1.4 KiB
Python
import secrets
|
|
from datetime import date
|
|
|
|
|
|
def test_users_are_isolated(admin):
|
|
from fastapi.testclient import TestClient
|
|
from app.main import app
|
|
|
|
# Admin legt ein Konto an.
|
|
acc = admin.post("/api/accounts", json={"name": "AdminKonto", "currency": "EUR"}).json()
|
|
|
|
# Frischen Nutzer anlegen und getrennt einloggen.
|
|
username = "iso_" + secrets.token_hex(4)
|
|
password = "pw_" + secrets.token_hex(4)
|
|
assert admin.post("/api/users", json={"username": username, "password": password, "role": "user"}).status_code == 201
|
|
|
|
other = TestClient(app)
|
|
assert other.post("/api/auth/login", data={"username": username, "password": password}).status_code == 200
|
|
|
|
# Sieht keine fremden Konten/Buchungen.
|
|
assert other.get("/api/accounts").json() == []
|
|
assert other.get("/api/transactions").json() == []
|
|
# Zugriff auf fremdes Konto -> 404 (nicht 403: existiert für ihn schlicht nicht).
|
|
assert other.get(f"/api/accounts/{acc['id']}").status_code == 404
|
|
# Buchung auf fremdes Konto -> 404.
|
|
r = other.post("/api/transactions", json={
|
|
"type": "expense", "date": str(date.today()), "account_id": acc["id"], "amount_cents": 100,
|
|
})
|
|
assert r.status_code == 404
|
|
# Eigene Startkategorien sind vorhanden.
|
|
assert len(other.get("/api/categories").json()) >= 6
|
|
# Kein Admin: darf keine Nutzer listen.
|
|
assert other.get("/api/users").status_code == 403
|