159 lines
4.1 KiB
Markdown
159 lines
4.1 KiB
Markdown
# Bug Report — PolyMPR
|
|
|
|
> Généré le 2026-04-23
|
|
|
|
---
|
|
|
|
## 🔴 Critique
|
|
|
|
### #1 — Schema mismatch : module mobility entièrement cassé
|
|
|
|
**Fichier** : `routes/(apps)/mobility/api/insert_mobility.ts`
|
|
|
|
Références à des colonnes inexistantes dans le schéma Drizzle :
|
|
|
|
| Utilisé dans le code | Colonne réelle |
|
|
| ---------------------- | ------------------ |
|
|
| `students.userId` | `students.numEtud` |
|
|
| `students.firstName` | `students.nom` |
|
|
| `students.lastName` | `students.prenom` |
|
|
| `students.promotionId` | `students.idPromo` |
|
|
| `promotions.endyear` | `promotions.annee` |
|
|
| `promotions.current` | _(n'existe pas)_ |
|
|
|
|
Le module crashe à l'exécution. À corriger en alignant les noms de colonnes avec
|
|
le schéma.
|
|
|
|
---
|
|
|
|
### #2 — Auth manquante sur de nombreux endpoints
|
|
|
|
Les endpoints suivants n'ont aucune vérification `eduPersonPrimaryAffiliation` :
|
|
|
|
- `routes/(apps)/notes/api/notes.ts` (GET, POST)
|
|
- `routes/(apps)/notes/api/ue-modules.ts` (GET, POST)
|
|
- `routes/(apps)/notes/api/ues.ts` (GET, POST)
|
|
- `routes/(apps)/notes/api/ues/[idUE].ts` (GET, PUT, DELETE)
|
|
- `routes/(apps)/admin/api/users.ts` (GET, POST)
|
|
- `routes/(apps)/admin/api/users/[id].ts` (GET, PUT, DELETE)
|
|
- `routes/(apps)/admin/api/modules/[idModule].ts` (GET, PUT, DELETE)
|
|
- `routes/(apps)/admin/api/roles.ts` (GET, POST)
|
|
- `routes/(apps)/admin/api/roles/[idRole].ts` (GET, PUT, DELETE)
|
|
- `routes/(apps)/admin/api/permissions.ts` (GET)
|
|
- `routes/(apps)/mobility/api/insert_mobility.ts`
|
|
|
|
Tous ces endpoints exposent des données sensibles sans vérifier les permissions.
|
|
|
|
---
|
|
|
|
## 🟠 Haut
|
|
|
|
### #3 — Bug Drizzle ORM : `.where()` avec plusieurs `eq()` sans `and()`
|
|
|
|
**Fichier** : `routes/(apps)/notes/api/ajustements/[numEtud]/[idUE].ts` — lignes
|
|
34, 72, 100
|
|
|
|
`.where()` n'accepte qu'un seul argument. Passer plusieurs `eq()` séparés par
|
|
des virgules ne génère pas le SQL attendu (seule la première condition est prise
|
|
en compte).
|
|
|
|
```ts
|
|
// ❌ Incorrect
|
|
.where(eq(ajustements.numEtud, numEtud), eq(ajustements.idUE, idUE))
|
|
|
|
// ✅ Correct
|
|
.where(and(eq(ajustements.numEtud, numEtud), eq(ajustements.idUE, idUE)))
|
|
```
|
|
|
|
---
|
|
|
|
### #4 — Bug Drizzle ORM : `.where()` à 3 conditions sans `and()`
|
|
|
|
**Fichier** :
|
|
`routes/(apps)/notes/api/ue-modules/[idModule]/[idUE]/[idPromo].ts` — handler
|
|
GET (~ligne 41)
|
|
|
|
Même problème que #3, mais avec 3 conditions. Les handlers PUT et DELETE ont
|
|
déjà `and()`, seul le GET est affecté.
|
|
|
|
```ts
|
|
// ❌ Incorrect
|
|
.where(
|
|
eq(ueModules.idModule, idModule),
|
|
eq(ueModules.idUE, idUE),
|
|
eq(ueModules.idPromo, idPromo),
|
|
)
|
|
|
|
// ✅ Correct
|
|
.where(
|
|
and(
|
|
eq(ueModules.idModule, idModule),
|
|
eq(ueModules.idUE, idUE),
|
|
eq(ueModules.idPromo, idPromo),
|
|
),
|
|
)
|
|
```
|
|
|
|
---
|
|
|
|
## 🟡 Moyen
|
|
|
|
### #5 — `and()` passé avec des valeurs `undefined`
|
|
|
|
**Fichier** : `routes/(apps)/notes/api/ue-modules.ts`
|
|
|
|
```ts
|
|
and(
|
|
idPromo ? eq(ueModules.idPromo, idPromo) : undefined,
|
|
idUE ? eq(ueModules.idUE, idUE) : undefined,
|
|
);
|
|
```
|
|
|
|
Drizzle tolère les `undefined` dans `and()` dans certaines versions, mais ce
|
|
n'est pas garanti. Mieux vaut construire les conditions dynamiquement avant de
|
|
les passer.
|
|
|
|
---
|
|
|
|
### #6 — Validation `!numEtud` rejette faussement `0`
|
|
|
|
**Fichier** : `routes/(apps)/notes/api/notes.ts` — handler POST
|
|
|
|
```ts
|
|
// ❌ Rejette numEtud = 0
|
|
if (note === undefined || !numEtud || !idModule)
|
|
|
|
// ✅ Correct
|
|
if (note === undefined || numEtud === undefined || numEtud === null || !idModule)
|
|
```
|
|
|
|
---
|
|
|
|
### #7 — `Number(idRole)` sans vérification `isNaN`
|
|
|
|
**Fichier** : `routes/(apps)/admin/api/users.ts`
|
|
|
|
Si `idRole` est une chaîne non numérique, `Number()` retourne `NaN` ce qui
|
|
provoque une erreur SQL.
|
|
|
|
```ts
|
|
// ❌ Pas de vérification
|
|
const rows = idRole
|
|
? await db.select().from(users).where(eq(users.idRole, Number(idRole)))
|
|
: await db.select().from(users);
|
|
|
|
// ✅ Valider avant usage
|
|
const role = Number(idRole);
|
|
if (isNaN(role)) return new Response(..., { status: 400 });
|
|
```
|
|
|
|
---
|
|
|
|
### #8 — Réponses d'erreur en texte brut au lieu de JSON
|
|
|
|
**Fichier** : `routes/(apps)/notes/api/notes.ts`
|
|
|
|
Certaines réponses d'erreur retournent une string sans
|
|
`content-type: application/json`, incohérent avec le reste de l'API qui retourne
|
|
`{ error: "..." }`.
|