synapse-hub 2.2.4 → 2.4.0

package/examples/practices/testcases/api/book_management_api_test_cases.md

@@ -0,0 +1,144 @@
+# API Test Cases: Book Management Module
+
+> **Target API:** AnhTester Book Management API (v1.0.0)  
+> **Base URL:** `https://book.anhtester.com`  
+> **Auth Scheme:** Bearer Token (JWT via `Authorization: Bearer <accessToken>`)  
+> **Source Spec:** `https://book.anhtester.com/swagger/json`  
+> **Tag / Module:** `Book Management`  
+> **Quy chuẩn áp dụng:** ISO/IEC/IEEE 29119, OWASP API Security Top 10, Equivalence Partitioning (EP), Boundary Value Analysis (BVA), `api_rules.md`.
+
+---
+
+## 📋 Endpoint Catalog (Module Book Management)
+
+| # | HTTP Method | Path | Description | Security | Total Test Cases |
+|---|---|---|---|---|---|
+| 1 | `GET` | `/api/book` | Danh sách sách (Phân trang, Search, Sort, Filter) | Public / Optional | 12 |
+| 2 | `POST` | `/api/book` | Tạo sách mới | Bearer Auth | 20 |
+| 3 | `GET` | `/api/book/{id}` | Chi tiết sách theo ID (Hỗ trợ tăng `viewCount`) | Public / Optional | 7 |
+| 4 | `PATCH` | `/api/book/{id}` | Cập nhật thông tin sách theo ID | Bearer Auth | 13 |
+| 5 | `DELETE` | `/api/book/{id}` | Xóa sách theo ID | Bearer Auth | 6 |
+| **Tổng** | | | | | **58 Test Cases** |
+
+---
+
+## 🔍 Test Cases Chi Tiết Theo Endpoint
+
+### 1. `GET /api/book` — Danh Sách Sách (Pagination, Search, Sorting)
+
+| TC ID | Scenario | Request Parameters | Expected Response | Priority | Testing Technique / Rule |
+|---|---|---|---|---|---|
+| `TC_BOOK_GET_001` | Happy Path — Lấy danh sách mặc định | Không truyền query params | **200 OK**<br>Body: `list` (mảng <= 10 items), `pagination` (`total`, `totalPage`, `currentPage`: 1, `lengthData`) | P1 | Happy Path / Baseline |
+| `TC_BOOK_GET_002` | Pagination — Phân trang `page=2&limit=5` | Query: `page=2&limit=5` | **200 OK**<br>`currentPage`: 2, `lengthData` <= 5 | P1 | Equivalence Partitioning |
+| `TC_BOOK_GET_003` | Search — Tìm kiếm theo tên/mô tả sách | Query: `search=Clean Code` | **200 OK**<br>Tất cả sách trong `list` có tên hoặc description chứa "Clean Code" | P1 | Functional Testing |
+| `TC_BOOK_GET_004` | Search — Tìm kiếm từ khóa không tồn tại | Query: `search=non_existent_book_999` | **200 OK**<br>`list`: `[]`, `pagination.total`: 0 | P2 | Boundary Value Analysis |
+| `TC_BOOK_GET_005` | Sorting — Sắp xếp theo giá (`price`) tăng dần | Query: `sort=price&sortBy=asc` | **200 OK**<br>`list` có giá sách tăng dần từ nhỏ tới lớn | P2 | Functional Testing |
+| `TC_BOOK_GET_006` | Sorting — Sắp xếp theo `viewCount` giảm dần | Query: `sort=viewCount&sortBy=desc` | **200 OK**<br>`list` có sách được xem nhiều nhất xếp ở đầu | P2 | Functional Testing |
+| `TC_BOOK_GET_007` | Sorting — Sắp xếp theo `updatedAt` giảm dần (mặc định) | Query: `sort=updatedAt&sortBy=desc` | **200 OK**<br>`list` được cập nhật mới nhất nằm ở đầu | P2 | Functional Testing |
+| `TC_BOOK_GET_008` | Boundary — `page=99999` vượt tổng số trang | Query: `page=99999` | **200 OK**<br>`list`: `[]`, `currentPage`: 99999 | P2 | Boundary Value Analysis |
+| `TC_BOOK_GET_009` | Negative — `sort` truyền trường không hỗ trợ | Query: `sort=invalid_column` | **400 Bad Request** / **422 Unprocessable Entity** | P3 | Input Validation |
+| `TC_BOOK_GET_010` | Security — XSS Payload trong query `search` | Query: `search=<script>alert(1)</script>` | **200 OK**<br>Sanitized / Kết quả rỗng, không thực thi script | P2 | OWASP API8: Injection |
+| `TC_BOOK_GET_011` | Unrestricted Resource Consumption — Spaming 100 requests | 100 Loop GET requests trong 1s | **429 Too Many Requests** / Rate limit header | P2 | OWASP API4: Unrestricted Resource Consumption |
+| `TC_BOOK_GET_012` | Header — Content Negotiation (`Accept: application/xml`) | Header: `Accept: application/xml` | **406 Not Acceptable** hoặc **200 OK** (JSON default) | P3 | Protocol Standard |
+
+---
+
+### 2. `POST /api/book` — Tạo Sách Mới
+
+| TC ID | Scenario | Request Body / Headers | Expected Response | Priority | Testing Technique / Rule |
+|---|---|---|---|---|---|
+| `TC_BOOK_POST_001` | Happy Path — Tạo sách đầy đủ tất cả thuộc tính | Header: `Authorization: Bearer <valid_token>`<br>Body: `{ "name": "Clean Code Java", "slug": "clean-code-java", "description": "Sách hướng dẫn viết code sạch", "status": "AVAILABLE", "categories": ["Category_ID_1"], "price": 150000, "pictures": ["https://img.com/book.jpg"] }` | **201 Created**<br>Body: `{ "msg": "Book created successfully" }` (hoặc book ID) | P1 | Happy Path |
+| `TC_BOOK_POST_002` | Happy Path — Tạo sách chỉ có các trường bắt buộc (`name`, `status`, `categories`, `price`) | Body: `{ "name": "Refactoring", "status": "AVAILABLE", "categories": ["Category_ID_1"], "price": 120000 }` | **201 Created** | P1 | Equivalence Partitioning |
+| `TC_BOOK_POST_003` | Negative — Auth: Không gửi Bearer Token | Header: Không có `Authorization` | **401 Unauthorized** / **403 Forbidden** | P1 | OWASP API2: Broken Auth |
+| `TC_BOOK_POST_004` | Negative — Auth: Token không hợp lệ | Header: `Authorization: Bearer invalid_token` | **401 Unauthorized** | P1 | OWASP API2: Broken Auth |
+| `TC_BOOK_POST_005` | Field "name" — Thiếu required field `name` | Body: `{ "status": "AVAILABLE", "categories": ["Cat1"], "price": 50000 }` | **400 Bad Request** / **422 Unprocessable Entity** | P1 | Field Validation |
+| `TC_BOOK_POST_006` | Field "name" — Empty string / Whitespace | Body: `{ "name": "   ", "status": "AVAILABLE", "categories": ["Cat1"], "price": 50000 }` | **400 / 422** | P2 | Boundary Value Analysis |
+| `TC_BOOK_POST_007` | Field "categories" — Thiếu required field `categories` | Body: `{ "name": "Book No Cat", "status": "AVAILABLE", "price": 50000 }` | **400 / 422** | P1 | Field Validation |
+| `TC_BOOK_POST_008` | Field "categories" — Mảng rỗng `[]` (Vi phạm `minItems: 1`) | Body: `{ "name": "Book Empty Cat", "status": "AVAILABLE", "categories": [], "price": 50000 }` | **400 / 422**<br>Lỗi danh mục phải có ít nhất 1 phần tử | P1 | Schema MinItems Constraint |
+| `TC_BOOK_POST_009` | Field "price" — Thiếu required field `price` | Body: `{ "name": "Book No Price", "status": "AVAILABLE", "categories": ["Cat1"] }` | **400 / 422** | P1 | Field Validation |
+| `TC_BOOK_POST_010` | Field "price" — Giá số âm (`price: -100`) | Body: `{ "name": "Book Negative Price", "status": "AVAILABLE", "categories": ["Cat1"], "price": -100 }` | **400 / 422** | P1 | Boundary Value Analysis |
+| `TC_BOOK_POST_011` | Field "price" — Giá vượt mức tối đa (`price: 999999999999999`) | Body: `{ "name": "Over Price", "status": "AVAILABLE", "categories": ["Cat1"], "price": 999999999999999 }` | **400 / 422** (Vượt max `9000000000000`) | P2 | Boundary Value Analysis |
+| `TC_BOOK_POST_012` | Field "status" — Giá trị ngoài Enum (không phải `AVAILABLE` / `UNAVAILABLE`) | Body: `{ "name": "Invalid Status", "status": "PENDING", "categories": ["Cat1"], "price": 50000 }` | **400 / 422** | P1 | Enum Validation |
+| `TC_BOOK_POST_013` | Security — SQL Injection trong `name` | Body: `{ "name": "' OR 1=1; DROP TABLE books;--", "status": "AVAILABLE", "categories": ["Cat1"], "price": 50000 }` | **201 Created** (xem như string thường) hoặc **400** | P2 | OWASP API8: Injection |
+| `TC_BOOK_POST_014` | Security — XSS Payload trong `description` | Body: `{ "name": "XSS Book", "description": "<svg onload=alert(1)>", "status": "AVAILABLE", "categories": ["Cat1"], "price": 50000 }` | **201 Created** (Sanitized) / **400** | P2 | OWASP API8: Injection |
+| `TC_BOOK_POST_015` | Security — Mass Assignment (Gửi thuộc tính hệ thống `id`, `viewCount`, `createdAt`) | Body: `{ "name": "Hack Book", "status": "AVAILABLE", "categories": ["Cat1"], "price": 50000, "viewCount": 999999, "id": "custom_id" }` | **201 Created** (nhưng bỏ qua `viewCount`/`id`) hoặc **400** | P1 | OWASP API6: Mass Assignment |
+| `TC_BOOK_POST_016` | Header — Content-Type Mismatch (`text/plain`) | Header: `Content-Type: text/plain` | **415 Unsupported Media Type** | P2 | Protocol Standard |
+| `TC_BOOK_POST_017` | Malformed JSON — Cú pháp JSON lỗi | Body: `{ "name": "Test Book", "price": }` | **400 Bad Request** (JSON Parse Error) | P2 | Syntax Validation |
+| `TC_BOOK_POST_018` | Oversized Payload — JSON body > 10MB | Body chứa description chuỗi 15MB | **413 Payload Too Large** | P3 | System Limits |
+| `TC_BOOK_POST_019` | Concurrency — 2 Request POST tạo trùng slug/name cùng lúc | 2 Parallel threads gửi cùng 1 tên sách | 1 Request **201 Created**, 1 Request **409 Conflict** | P2 | Race Condition / Concurrency |
+| `TC_BOOK_POST_020` | Field "categories" — Truyền danh mục ID không tồn tại | Body: `{ "name": "Invalid Cat", "status": "AVAILABLE", "categories": ["non_existent_cat_999"], "price": 50000 }` | **400 Bad Request** / **404 Not Found** | P1 | Foreign Key Integrity |
+
+---
+
+### 3. `GET /api/book/{id}` — Chi Tiết Sách Theo ID
+
+| TC ID | Scenario | Request Parameters | Expected Response | Priority | Testing Technique / Rule |
+|---|---|---|---|---|---|
+| `TC_BOOK_GET_ID_001` | Happy Path — Lấy chi tiết sách tồn tại (`view=false`) | Path: `id`: ID sách hợp lệ<br>Query: `view=false` | **200 OK**<br>Body: `{ "id", "name", "description", "price", "currentPrice", "viewCount", "status", "categories", "promotions", ... }` | P1 | Happy Path |
+| `TC_BOOK_GET_ID_002` | View Increment — Lấy chi tiết sách kèm tăng lượt xem (`view=true`) | Path: `id`: ID sách hợp lệ<br>Query: `view=true` | **200 OK**<br>`viewCount` mới = `viewCount` cũ + 1 | P1 | Business Logic / State Change |
+| `TC_BOOK_GET_ID_003` | Schema Validation — Response khớp cấu trúc | Path: `id`: ID hợp lệ | **200 OK**<br>Tất cả các thuộc tính bắt buộc có trong schema | P1 | Schema Verification |
+| `TC_BOOK_GET_ID_004` | Negative — `id` không tồn tại | Path: `id`: `non_existent_book_id_999` | **404 Not Found**<br>Body: `{ "msg": "Book not found" }` (hoặc tương tự) | P1 | Negative Testing |
+| `TC_BOOK_GET_ID_005` | Negative — `id` rỗng hoặc ký tự đặc biệt | Path: `id`: `!@#$%^&*()` | **400 Bad Request** / **404 Not Found** | P2 | Boundary Value Analysis |
+| `TC_BOOK_GET_ID_006` | Security — SQL Injection trong path `id` | Path: `id`: `1' OR '1'='1` | **400 Bad Request** / **404 Not Found** | P2 | OWASP API8: Injection |
+| `TC_BOOK_GET_ID_007` | Security — Sensitive Data Exposure Check | Path: `id`: ID hợp lệ | **200 OK**<br>Xác nhận Response **KHÔNG làm lộ** thông tin tác giả nhạy cảm | P1 | OWASP API3: Property Level Auth |
+
+---
+
+### 4. `PATCH /api/book/{id}` — Cập Nhật Sách Theo ID
+
+| TC ID | Scenario | Request Body / Headers | Expected Response | Priority | Testing Technique / Rule |
+|---|---|---|---|---|---|
+| `TC_BOOK_PATCH_001` | Happy Path — Cập nhật tên và giá sách | Path: `id` hợp lệ<br>Header: `Authorization: Bearer <valid_token>`<br>Body: `{ "name": "Clean Code 2nd Edition", "price": 180000 }` | **200 OK**<br>Body: `{ "msg": "Book updated successfully" }` | P1 | Happy Path |
+| `TC_BOOK_PATCH_002` | Partial Update Check — Các trường không gửi được giữ nguyên | Gửi PATCH chỉ sửa `description`<br>Sau đó `GET /api/book/{id}` | **200 OK**<br>`description` đổi mới, `name`, `price`, `categories` giữ nguyên | P1 | PUT vs PATCH Standard |
+| `TC_BOOK_PATCH_003` | State Change — Đổi trạng thái từ `AVAILABLE` sang `UNAVAILABLE` | Body: `{ "status": "UNAVAILABLE" }` | **200 OK** | P1 | State Transition |
+| `TC_BOOK_PATCH_004` | Negative — Auth: Không gửi Bearer Token | Header: Không có `Authorization` | **401 Unauthorized** / **403 Forbidden** | P1 | OWASP API2: Broken Auth |
+| `TC_BOOK_PATCH_005` | Security — BOLA / IDOR (Sửa sách do user/tác giả khác quản lý) | Token của User A, nhưng truyền `id` cuốn sách của User B | **403 Forbidden** (nếu hệ thống có phân quyền quản lý sách) | P1 | OWASP API1: BOLA / IDOR |
+| `TC_BOOK_PATCH_006` | Negative — `id` không tồn tại | Path: `id`: `invalid_book_id_999` | **404 Not Found** | P1 | Negative Testing |
+| `TC_BOOK_PATCH_007` | Field Validation — Cập nhật `price` thành số âm (`-5000`) | Body: `{ "price": -5000 }` | **400 Bad Request** / **422 Unprocessable Entity** | P1 | Boundary Value Analysis |
+| `TC_BOOK_PATCH_008` | Field Validation — Cập nhật `status` thành giá trị ngoài Enum | Body: `{ "status": "DISCONTINUED" }` | **400 / 422** | P1 | Enum Validation |
+| `TC_BOOK_PATCH_009` | Field Validation — Cập nhật `categories` thành mảng rỗng `[]` | Body: `{ "categories": [] }` | **400 / 422** (Vi phạm `minItems: 1`) | P1 | Schema Constraint |
+| `TC_BOOK_PATCH_010` | Boundary — Request body rỗng `{}` | Body: `{}` | **200 OK** (không đổi gì) hoặc **400 Bad Request** | P3 | Edge Case |
+| `TC_BOOK_PATCH_011` | Security — Mass Assignment (Cố tình cập nhật `viewCount`, `createdAt`) | Body: `{ "viewCount": 99999, "createdAt": "2000-01-01T00:00:00Z" }` | **200 OK** (ignore field nhạy cảm) hoặc **400** | P1 | OWASP API6: Mass Assignment |
+| `TC_BOOK_PATCH_012` | Header — Content-Type Mismatch (`text/plain`) | Header: `Content-Type: text/plain` | **415 Unsupported Media Type** | P2 | Protocol Standard |
+| `TC_BOOK_PATCH_013` | Foreign Key Check — Cập nhật `categories` chứa ID không tồn tại | Body: `{ "categories": ["fake_cat_id_999"] }` | **400 Bad Request** / **404 Not Found** | P1 | Data Integrity |
+
+---
+
+### 5. `DELETE /api/book/{id}` — Xóa Sách Theo ID
+
+| TC ID | Scenario | Request / Headers | Expected Response | Priority | Testing Technique / Rule |
+|---|---|---|---|---|---|
+| `TC_BOOK_DELETE_001` | Happy Path — Xóa sách tồn tại thành công | Path: `id` của cuốn sách vừa tạo<br>Header: `Authorization: Bearer <valid_token>` | **200 OK**<br>Body: `{ "msg": "Book deleted successfully" }` | P1 | Happy Path |
+| `TC_BOOK_DELETE_002` | Verification — Gọi GET lại sau khi DELETE | Sau khi DELETE thành công, gọi `GET /api/book/{id}` | **404 Not Found** | P1 | State Verification |
+| `TC_BOOK_DELETE_003` | Security — BOLA / IDOR (Xóa sách của người dùng khác) | Token của User A, nhưng truyền `id` cuốn sách của User B | **403 Forbidden** | P1 | OWASP API1: BOLA / IDOR |
+| `TC_BOOK_DELETE_004` | Negative — Auth: Không gửi Bearer Token | Header: Không có `Authorization` | **401 Unauthorized** / **403 Forbidden** | P1 | OWASP API2: Broken Auth |
+| `TC_BOOK_DELETE_005` | Negative — Xóa sách không tồn tại | Path: `id`: `deleted_or_fake_book_id_999` | **404 Not Found** | P2 | Negative Testing |
+| `TC_BOOK_DELETE_006` | Idempotency Check — Xóa lặp lại cùng 1 Book ID 2 lần liên tiếp | Lần 1: **200 OK**<br>Lần 2 (ngay sau đó): **404 Not Found** | **404 Not Found** ở lần 2 | P2 | Idempotency Check |
+
+---
+
+## 🔄 Dependencies & Execution Order (Chuỗi Phụ Thuộc)
+
+```mermaid
+graph TD
+    A["1. POST /api/login<br>(Lấy Access Token)"] --> B["2. GET /api/category-book<br>(Lấy ID danh mục hợp lệ)"]
+    B --> C["3. POST /api/book<br>(Tạo Sách mới -> Lấy book_id)"]
+    C --> D["4. GET /api/book/{id}?view=true<br>(Xem chi tiết Sách & kiểm tra tăng viewCount)"]
+    D --> E["5. PATCH /api/book/{id}<br>(Cập nhật giá & thông tin Sách)"]
+    E --> F["6. DELETE /api/book/{id}<br>(Xóa Sách vừa tạo)"]
+    F --> G["7. GET /api/book/{id}<br>(Xác nhận 404 Not Found)"]
+```
+
+---
+
+## 📊 Test Data Matrix cho Module Book Management
+
+| Field | Valid Example | Invalid Example | Boundary Example | Security & Protocol Payload |
+|---|---|---|---|---|
+| `name` | `"Clean Code Java"` | `""` (empty), `"   "` (whitespace) | 1 char, 255 chars | `"<script>alert('XSS')</script>"`, `' OR 1=1--` |
+| `description` | `"Sách hướng dẫn lập trình"` | — | Long text (10,000 chars) | `"<svg onload=alert(1)>"` |
+| `categories` | `["cat_id_123"]` | `[]` (empty array), `"not_an_array"` | `["non_existent_id"]` | — |
+| `price` | `150000` | `-100` (âm), `"abc"` (string) | `0`, `9000000000000` (max) | `999999999999999` (over max) |
+| `status` | `"AVAILABLE"`, `"UNAVAILABLE"` | `"PENDING"`, `"INVALID"` | Case sensitivity: `"available"` | — |
+| `pictures` | `["https://img.com/b.jpg"]` | `["not_a_valid_url"]` | `[]` | `"javascript:alert(1)"` |
+| `Headers` | `Content-Type: application/json` | `Content-Type: text/plain` | `Accept: application/xml` | Missing Auth Token / Invalid Token |

package/examples/practices/testcases/api/user_management_api_test_cases.md

@@ -0,0 +1,139 @@
+# API Test Cases: User Management Module (Comprehensive Suite)
+
+> **Target API:** AnhTester Book Management API (v1.0.0)  
+> **Base URL:** `https://book.anhtester.com`  
+> **Auth Scheme:** Bearer Token (JWT via `Authorization: Bearer <accessToken>`)  
+> **Source Spec:** `https://book.anhtester.com/swagger/json`  
+> **Quy chuẩn áp dụng:** ISO/IEC/IEEE 29119, OWASP API Security Top 10, Equivalence Partitioning (EP), Boundary Value Analysis (BVA), Error Guessing, `api_rules.md`.
+
+---
+
+## 📋 Endpoint Catalog (Module User Management)
+
+| # | HTTP Method | Path | Description | Security | Total Test Cases |
+|---|---|---|---|---|---|
+| 1 | `GET` | `/api/user` | Danh sách users (Phân trang, Search, Sort) | Public / Optional | 12 |
+| 2 | `POST` | `/api/user` | Tạo người dùng mới | Bearer Auth | 19 |
+| 3 | `GET` | `/api/user/{id}` | Xem thông tin chi tiết user theo ID | Public / Optional | 6 |
+| 4 | `PATCH` | `/api/user/{id}` | Cập nhật thông tin user theo ID | Bearer Auth | 12 |
+| 5 | `DELETE` | `/api/user/{id}` | Xóa user theo ID | Bearer Auth | 5 |
+| **Tổng** | | | | | **54 Test Cases** |
+
+---
+
+## 🔍 Test Cases Chi Tiết Theo Endpoint
+
+### 1. `GET /api/user` — Danh sách Users
+
+| TC ID | Scenario | Request Parameters | Expected Response | Priority | Testing Technique / Rule |
+|---|---|---|---|---|---|
+| `TC_USER_GET_001` | Happy Path — Lấy danh sách mặc định | Không truyền query params | **200 OK**<br>Body: `list` (mảng <= 10 items), `pagination` (`total`, `totalPage`, `currentPage`: 1, `lengthData`) | P1 | Happy Path / Baseline |
+| `TC_USER_GET_002` | Pagination — Phân trang `page=2&limit=5` | Query: `page=2&limit=5` | **200 OK**<br>`currentPage`: 2, `lengthData` <= 5 | P1 | Equivalence Partitioning |
+| `TC_USER_GET_003` | Search — Tìm kiếm theo tên | Query: `search=AnhTester` | **200 OK**<br>Tất cả users trong `list` có chứa từ khóa "AnhTester" trong `name` hoặc `email` | P1 | Functional Testing |
+| `TC_USER_GET_004` | Search — Tìm kiếm từ khóa không tồn tại | Query: `search=xyz_not_exist_999` | **200 OK**<br>`list`: `[]`, `pagination.total`: 0 | P2 | Boundary Value Analysis |
+| `TC_USER_GET_005` | Sorting — Sắp xếp theo tên tăng dần | Query: `sort=name&sortBy=asc` | **200 OK**<br>`list` sắp xếp theo thứ tự `name` từ A-Z | P2 | Functional Testing |
+| `TC_USER_GET_006` | Sorting — Sắp xếp theo `createdAt` giảm dần | Query: `sort=createdAt&sortBy=desc` | **200 OK**<br>`list` sắp xếp theo ngày tạo mới nhất lên đầu | P2 | Functional Testing |
+| `TC_USER_GET_007` | Boundary — `page=99999` vượt tổng số trang | Query: `page=99999` | **200 OK**<br>`list`: `[]`, `currentPage`: 99999 | P2 | Boundary Value Analysis |
+| `TC_USER_GET_008` | Negative — `limit=0` hoặc số âm | Query: `limit=-1` | **400 Bad Request** hoặc **422 Unprocessable Entity** | P3 | Input Validation |
+| `TC_USER_GET_009` | Negative — `sort` truyền trường không tồn tại | Query: `sort=invalid_field` | **400 Bad Request** / Error message | P3 | Input Validation |
+| `TC_USER_GET_010` | Security — XSS Payload trong query param `search` | Query: `search=<script>alert(1)</script>` | **200 OK**<br>Sanitized / Kết quả rỗng, không thực thi script | P2 | OWASP API8: Injection |
+| `TC_USER_GET_011` | Rate Limiting — Gửi 100 requests liên tục trong 1 giây | Loop 100 GET requests | **429 Too Many Requests** (nếu có Rate Limiter) hoặc Header `X-RateLimit-Remaining` giảm dần | P2 | OWASP API4: Unrestricted Resource Consumption |
+| `TC_USER_GET_012` | Header — Content Negotiation (`Accept: application/xml`) | Header: `Accept: application/xml` | **406 Not Acceptable** hoặc **200 OK** (trả JSON mặc định) | P3 | Protocol Standard / HTTP Header |
+
+---
+
+### 2. `POST /api/user` — Tạo User Mới
+
+| TC ID | Scenario | Request Body / Headers | Expected Response | Priority | Testing Technique / Rule |
+|---|---|---|---|---|---|
+| `TC_USER_POST_001` | Happy Path — Tạo user với đầy đủ các trường | Header: `Authorization: Bearer <valid_token>`<br>Body: `{ "name": "Auto User", "email": "auto_user_1712049200@test.com", "password": "<TEST_PASSWORD>", "phone": "0987654321", "address": "Hà Nội", "isActive": true }` | **201 Created**<br>Body: `{ "msg": "User created successfully" }` (hoặc object user) | P1 | Happy Path |
+| `TC_USER_POST_002` | Happy Path — Tạo user chỉ có required fields (`name`, `email`) | Body: `{ "name": "Minimal User", "email": "auto_min_1712049200@test.com" }` | **201 Created**<br>Password tự động dùng default `<DEFAULT_TEST_PWD>` | P1 | Equivalence Partitioning |
+| `TC_USER_POST_003` | Negative — Auth: Không gửi Bearer Token | Header: Không có `Authorization` | **401 Unauthorized** / **403 Forbidden** | P1 | OWASP API2: Broken Authentication |
+| `TC_USER_POST_004` | Negative — Auth: Token không hợp lệ / hết hạn | Header: `Authorization: Bearer invalid_token_123` | **401 Unauthorized** | P1 | OWASP API2: Broken Authentication |
+| `TC_USER_POST_005` | Field "name" — Thiếu required field `name` | Body: `{ "email": "noname@test.com" }` | **400 Bad Request** / **422 Unprocessable Entity** | P1 | Field-Level Validation |
+| `TC_USER_POST_006` | Field "name" — Empty string / Whitespace | Body: `{ "name": "   ", "email": "test@test.com" }` | **400 / 422** | P2 | Boundary Value Analysis |
+| `TC_USER_POST_007` | Field "email" — Thiếu required field `email` | Body: `{ "name": "No Email" }` | **400 / 422** | P1 | Field-Level Validation |
+| `TC_USER_POST_008` | Field "email" — Sai định dạng email | Body: `{ "name": "Test", "email": "invalid_email_format" }` | **400 / 422** | P1 | Syntax Validation |
+| `TC_USER_POST_009` | Field "email" — Email trùng lặp | Body: Email của user đã tồn tại trong DB | **400 / 409 Conflict** | P1 | Business Logic / Data Integrity |
+| `TC_USER_POST_010` | Field "isActive" — Gửi sai data type (string thay vì boolean) | Body: `{ "name": "Test", "email": "valid@test.com", "isActive": "yes" }` | **400 / 422** | P2 | Type Mismatch Validation |
+| `TC_USER_POST_011` | Field "avatarUrl" — URL sai định dạng | Body: `{ "name": "Test", "email": "valid@test.com", "avatarUrl": "not_a_valid_url" }` | **400 / 422** | P2 | Format Validation |
+| `TC_USER_POST_012` | Field "password" — Password siêu dài (10,000 chars) | Body: `{ "name": "Test", "email": "longpass@test.com", "password": "A".repeat(10000) }` | **400 / 422** (Ngăn ngừa ReDoS/Memory Exhaustion) | P2 | OWASP API4 / Stress Test |
+| `TC_USER_POST_013` | Security — SQL Injection trong `name` | Body: `{ "name": "' OR 1=1--", "email": "sqli_1712049200@test.com" }` | **201 Created** (xem như string thường) hoặc **400** | P2 | OWASP API8: Injection |
+| `TC_USER_POST_014` | Security — XSS Payload trong `address` | Body: `{ "name": "XSS Test", "email": "xss_1712049200@test.com", "address": "<img src=x onerror=alert(1)>" }` | **201 Created** (Sanitized) / **400** | P2 | OWASP API8: Injection |
+| `TC_USER_POST_015` | Security — Mass Assignment (Gửi trường nhạy cảm không phép) | Body: `{ "name": "Hacker", "email": "hacker@test.com", "role": "ADMIN", "isAdmin": true, "id": "custom_id_123" }` | **201 Created** (nhưng bỏ qua `role`/`isAdmin`/`id`) hoặc **400** | P1 | OWASP API6: Mass Assignment |
+| `TC_USER_POST_016` | Header — Sai `Content-Type` (`text/plain`) | Header: `Content-Type: text/plain` | **415 Unsupported Media Type** / **400 Bad Request** | P2 | Protocol Standard |
+| `TC_USER_POST_017` | Malformed JSON — Cú pháp JSON bị lỗi | Body: `{ "name": "Test", "email": }` | **400 Bad Request** (JSON Parse Error) | P2 | Error Handling |
+| `TC_USER_POST_018` | Payload Size — Payload vượt quá giới hạn (e.g. > 10MB) | Body JSON dung lượng 15MB | **413 Payload Too Large** | P3 | System Limits |
+| `TC_USER_POST_019` | Concurrency — 2 Request POST tạo cùng 1 email gửi đồng thời | 2 Parallel threads gửi cùng 1 email tại cùng 1 milisecond | 1 Request trả về **201 Created**, 1 Request trả về **409 Conflict** | P2 | Race Condition / Concurrency |
+
+---
+
+### 3. `GET /api/user/{id}` — Chi Tiết User Theo ID
+
+| TC ID | Scenario | Path Parameter | Expected Response | Priority | Testing Technique / Rule |
+|---|---|---|---|---|---|
+| `TC_USER_GET_ID_001` | Happy Path — Lấy thông tin user tồn tại | `id`: ID hợp lệ của user sẵn có | **200 OK**<br>Body: `{ "id", "name", "email", "avatarUrl", "phone", "address", "isActive", "createdAt", "updatedAt" }` | P1 | Happy Path |
+| `TC_USER_GET_ID_002` | Schema Check — Kiểm tra đầy đủ các thuộc tính trong Response | `id`: ID hợp lệ | **200 OK**<br>Các trường `id`, `name`, `email`, `isActive`, `createdAt`, `updatedAt` không bị null | P1 | Schema Validation |
+| `TC_USER_GET_ID_003` | Negative — `id` không tồn tại | `id`: `non_exist_user_id_99999` | **404 Not Found**<br>Body: `{ "msg": "User not found" }` | P1 | Negative Testing |
+| `TC_USER_GET_ID_004` | Negative — `id` rỗng hoặc ký tự đặc biệt | `id`: `!@#$%^&*()` | **400 Bad Request** / **404 Not Found** | P2 | Boundary Value Analysis |
+| `TC_USER_GET_ID_005` | Security — SQL Injection trong path `id` | `id`: `1' OR '1'='1` | **400 Bad Request** / **404 Not Found** | P2 | OWASP API8: Injection |
+| `TC_USER_GET_ID_006` | Security — Sensitive Data Exposure Check | `id`: ID hợp lệ | **200 OK**<br>Xác nhận Response **KHÔNG chứa** `password`, `hash`, `token`, hoặc `secretKey` | P1 | OWASP API3: Broken Object Property Level Authorization |
+
+---
+
+### 4. `PATCH /api/user/{id}` — Cập Nhật User Theo ID
+
+| TC ID | Scenario | Request | Expected Response | Priority | Testing Technique / Rule |
+|---|---|---|---|---|---|
+| `TC_USER_PATCH_001` | Happy Path — Cập nhật tên và số điện thoại | Path: `id` hợp lệ<br>Header: `Authorization: Bearer <valid_token>`<br>Body: `{ "name": "Updated Name", "phone": "0912345678" }` | **200 OK**<br>Body: `{ "msg": "User updated successfully" }` | P1 | Happy Path |
+| `TC_USER_PATCH_002` | Partial Update Check — Các trường không gửi giữ nguyên | Gửi PATCH chỉ cập nhật `address`<br>Sau đó `GET /api/user/{id}` | **200 OK**<br>Trường `address` đổi mới, `name` và `email` giữ nguyên | P1 | PUT vs PATCH Standard |
+| `TC_USER_PATCH_003` | Happy Path — Đổi trạng thái `isActive` thành `false` | Body: `{ "isActive": false }` | **200 OK** | P1 | Functional Testing |
+| `TC_USER_PATCH_004` | Negative — Auth: Không gửi Bearer Token | Header: Không có `Authorization` | **401 Unauthorized** / **403 Forbidden** | P1 | OWASP API2: Broken Authentication |
+| `TC_USER_PATCH_005` | Security — BOLA / IDOR (Sửa profile của User khác) | Token của User A, nhưng truyền `id` của User B trong URL | **403 Forbidden** (User không có quyền sửa tài khoản khác) | P1 | OWASP API1: Broken Object Level Authorization (BOLA/IDOR) |
+| `TC_USER_PATCH_006` | Negative — `id` không tồn tại | Path: `id`: `invalid_id_999` | **404 Not Found** | P1 | Negative Testing |
+| `TC_USER_PATCH_007` | Negative — Cập nhật email thành email trùng với user khác | Body: `{ "email": "existing_other_user@test.com" }` | **400 Bad Request** / **409 Conflict** | P1 | Business Logic |
+| `TC_USER_PATCH_008` | Negative — Cập nhật email sai định dạng | Body: `{ "email": "not_an_email" }` | **400 / 422** | P2 | Format Validation |
+| `TC_USER_PATCH_009` | Boundary — Request body rỗng `{}` | Body: `{}` | **200 OK** (không đổi gì) hoặc **400 Bad Request** | P3 | Edge Case |
+| `TC_USER_PATCH_010` | Security — Mass Assignment (Truyền field `role` / `createdAt`) | Body: `{ "role": "SUPER_ADMIN", "createdAt": "2000-01-01T00:00:00Z" }` | **200 OK** (ignore các field này) hoặc **400** | P1 | OWASP API6: Mass Assignment |
+| `TC_USER_PATCH_011` | Security — Revoke Refresh Tokens khi thay đổi password | PATCH thay đổi `password`<br>Dùng token/refresh token cũ thực hiện request | **401 Unauthorized** | P1 | Token Lifecycle Security |
+| `TC_USER_PATCH_012` | Header — Content-Type Mismatch | Header: `Content-Type: text/plain` | **415 Unsupported Media Type** | P2 | Protocol Standard |
+
+---
+
+### 5. `DELETE /api/user/{id}` — Xóa User Theo ID
+
+| TC ID | Scenario | Request | Expected Response | Priority | Testing Technique / Rule |
+|---|---|---|---|---|---|
+| `TC_USER_DELETE_001` | Happy Path — Xóa user tồn tại thành công | Path: `id` của user vừa tạo<br>Header: `Authorization: Bearer <valid_token>` | **200 OK**<br>Body: `{ "msg": "User deleted successfully" }` | P1 | Happy Path |
+| `TC_USER_DELETE_002` | Verification — Gọi GET lại sau khi DELETE | Sau khi DELETE thành công, gọi `GET /api/user/{id}` | **404 Not Found** | P1 | State Verification |
+| `TC_USER_DELETE_003` | Security — BOLA / IDOR (Xóa tài khoản của User khác) | Token của User A, nhưng truyền `id` của User B | **403 Forbidden** | P1 | OWASP API1: BOLA / IDOR |
+| `TC_USER_DELETE_004` | Negative — Xóa user không tồn tại | Path: `id`: `deleted_or_fake_id_999` | **404 Not Found** | P2 | Negative Testing |
+| `TC_USER_DELETE_005` | Idempotency Check — Xóa lặp lại cùng 1 ID 2 lần liên tiếp | Lần 1: **200 OK**<br>Lần 2 (ngay sau đó): **404 Not Found** | **404 Not Found** ở lần 2 | P2 | Idempotency Check |
+
+---
+
+## 🔄 Dependencies & Execution Order (Chuỗi Phụ Thuộc)
+
+```mermaid
+graph TD
+    A["1. POST /api/login<br>(Lấy Access Token)"] --> B["2. GET /api/user<br>(Lấy danh sách user hiện có)"]
+    B --> C["3. POST /api/user<br>(Tạo User mới -> Lấy user_id)"]
+    C --> D["4. GET /api/user/{id}<br>(Kiểm tra thông tin User vừa tạo)"]
+    D --> E["5. PATCH /api/user/{id}<br>(Cập nhật thông tin User)"]
+    E --> F["6. DELETE /api/user/{id}<br>(Xóa User vừa tạo)"]
+    F --> G["7. GET /api/user/{id}<br>(Xác nhận 404 Not Found)"]
+```
+
+---
+
+## 📊 Test Data Matrix Nâng Cao
+
+| Field | Valid Example | Invalid Example | Boundary Example | Security & Protocol Payload |
+|---|---|---|---|---|
+| `name` | `"Nguyen Van A"` | `""` (empty), `"   "` (whitespace) | `"A"` (1 char), 255 chars | `"<script>alert('XSS')</script>"`, `' OR 1=1--` |
+| `email` | `"auto_user_1712049200@test.com"` | `"user@domain"`, `"no_at_sign.com"` | Shortest valid email: `"a@b.co"` | `' OR 1=1--` |
+| `password` | `"<TEST_PASSWORD>"` | `""` | Default: `"<DEFAULT_TEST_PWD>"` | `"A".repeat(10000)` (ReDoS Check) |
+| `phone` | `"0912345678"` | `"abc_not_number"` | `"0"` | `"+84912345678"` |
+| `avatarUrl` | `"https://example.com/avatar.jpg"` | `"not_a_valid_url"` | `"ftp://server/file"` | `"javascript:alert(1)"` |
+| `isActive` | `true` / `false` | `"yes"` (string) | `null` | — |
+| `Headers` | `Content-Type: application/json` | `Content-Type: text/plain` | `Accept: application/xml` | Missing Auth Token / Invalid Token |

package/examples/practices/testcases/crm/test_cases_crm_login.md

@@ -0,0 +1,148 @@
+# TEST CASES — CRM LOGIN MODULE
+
+| Thông tin | Chi tiết |
+|-----------|----------|
+| **Dự án** | CRM (Perfex CRM - Anh Tester Demo) |
+| **Module** | Login |
+| **URL** | https://crm.anhtester.com/admin/authentication |
+| **Phương pháp** | AI-RBT (Risk-Based Testing) — FULL 6 bước |
+| **Ngày tạo** | 2026-04-08 |
+| **Tổng số TC** | 30 |
+
+---
+
+## TỔNG HỢP RISK LEVEL
+
+| Module | Risk Level | Số TC |
+|--------|-----------|-------|
+| M2: Login Authentication | 🔴 High | 13 |
+| M5: Security | 🔴 High | 6 |
+| M3: Forgot Password | 🟡 Medium | 5 |
+| M4: Logout | 🟡 Medium | 2 |
+| M1: Login Form UI | 🟢 Low | 4 |
+
+---
+
+## TRACEABILITY MATRIX
+
+| Requirement | Test Cases |
+|------------|------------|
+| AC-01 | TC_005 |
+| AC-02 | TC_006 |
+| AC-03 | TC_007 |
+| AC-04 | TC_008 |
+| AC-05 | TC_009 |
+| AC-06 | TC_010, TC_011, TC_012 |
+| AC-07 | TC_013, TC_014 |
+| AC-08 | TC_018 |
+| AC-09 | TC_019 |
+| AC-10 | TC_020 |
+| AC-11 | TC_023 |
+| NFR-01 | TC_003, TC_028 |
+| NFR-02 | TC_002 |
+| NFR-03 | TC_030 |
+| NFR-04 | TC_001 |
+| NFR-05 | TC_001, TC_004 |
+| Gap (no AC) | TC_015, TC_016, TC_017, TC_021, TC_022, TC_024, TC_025, TC_026, TC_027, TC_029 |
+
+---
+
+## BẢNG TEST CASES
+
+### M1: Login Form UI (🟢 Low Risk)
+
+| TC ID | Module | Risk Level | Test Title | Pre-Condition | Test Steps | Expected Result | Priority | Test Data |
+|-------|--------|-----------|------------|---------------|------------|-----------------|----------|-----------|
+| CRM_LOGIN_TC_001 | M1: Login Form UI | 🟢 Low | Verify trang Login hiển thị đầy đủ các thành phần giao diện | Không | 1. Mở trình duyệt Chrome<br>2. Truy cập URL: `https://crm.anhtester.com/admin/authentication`<br>3. Quan sát toàn bộ trang Login | 1. Trình duyệt mở thành công<br>2. Trang Login tải hoàn chỉnh<br>3. Hiển thị đầy đủ:<br>- Logo "Anh Tester - Automation Testing"<br>- Tiêu đề "Login" (H1)<br>- Trường "Email Address" (textbox)<br>- Trường "Password" (textbox)<br>- Checkbox "Remember me" (không tick mặc định)<br>- Nút "Login" (xanh dương, full width)<br>- Link "Forgot Password?" (màu cam) | Medium | N/A |
+| CRM_LOGIN_TC_002 | M1: Login Form UI | 🟢 Low | Verify trường Password hiển thị dạng masked | Không | 1. Truy cập trang Login<br>2. Click vào trường Password<br>3. Nhập: `TestPassword123`<br>4. Quan sát hiển thị ký tự trong trường Password | 1. Trang Login hiển thị<br>2. Trường Password được focus<br>3-4. Ký tự hiển thị dạng dấu chấm (●●●) hoặc dấu sao (***), KHÔNG hiển thị plaintext | Medium | Password: `TestPassword123` |
+| CRM_LOGIN_TC_003 | M1: Login Form UI | 🟢 Low | Verify CSRF token hidden field tồn tại trong form | Không | 1. Truy cập trang Login<br>2. Inspect HTML form bằng DevTools (F12)<br>3. Tìm hidden field có name="csrf_token_name" | 1. Trang Login hiển thị<br>2. DevTools mở thành công<br>3. Tồn tại `<input type="hidden" name="csrf_token_name">` với value không rỗng, value là chuỗi token duy nhất | Low | N/A |
+| CRM_LOGIN_TC_004 | M1: Login Form UI | 🟢 Low | Verify giao diện responsive trên viewport nhỏ | Không | 1. Truy cập trang Login trên Chrome<br>2. Mở DevTools → Toggle Device Toolbar<br>3. Chọn viewport: iPhone 14 (390×844)<br>4. Quan sát bố cục trang Login<br>5. Chuyển sang viewport: iPad (768×1024)<br>6. Quan sát bố cục | 1-2. DevTools mở thành công<br>3-4. Form Login hiển thị đầy đủ, không bị tràn, nút Login full width, các trường input đọc được<br>5-6. Form Login hiển thị đẹp, căn giữa, responsive | Low | Viewport 1: 390×844<br>Viewport 2: 768×1024 |
+
+---
+
+### M2: Login Authentication (🔴 High Risk)
+
+| TC ID | Module | Risk Level | Test Title | Pre-Condition | Test Steps | Expected Result | Priority | Test Data |
+|-------|--------|-----------|------------|---------------|------------|-----------------|----------|-----------|
+| CRM_LOGIN_TC_005 | M2: Login Auth | 🔴 High | Đăng nhập thành công với Email và Password hợp lệ | Tài khoản admin đã tồn tại trong hệ thống | 1. Truy cập trang Login<br>2. Nhập Email: `admin@example.com`<br>3. Nhập Password: `123456`<br>4. Click nút "Login" | 1. Trang Login hiển thị<br>2. Email được nhập vào trường<br>3. Password được nhập (hiển thị masked)<br>4. Đăng nhập thành công:<br>- Chuyển hướng đến Dashboard (`/admin/`)<br>- Trang hiển thị tiêu đề "Dashboard"<br>- Không hiển thị thông báo lỗi | Critical | Email: `admin@example.com`<br>Password: `123456` |
+| CRM_LOGIN_TC_006 | M2: Login Auth | 🔴 High | Đăng nhập thất bại - Để trống trường Email | Không | 1. Truy cập trang Login<br>2. Để trống trường Email<br>3. Nhập Password: `123456`<br>4. Click nút "Login" | 1. Trang Login hiển thị<br>2. Trường Email trống<br>3. Password được nhập<br>4. Hiển thị thông báo lỗi server-side:<br>- Text: **"The Email Address field is required."**<br>- Trong thẻ `<div class="alert alert-danger text-center">`<br>- Vẫn ở lại trang Login | High | Email: (trống)<br>Password: `123456` |
+| CRM_LOGIN_TC_007 | M2: Login Auth | 🔴 High | Đăng nhập thất bại - Để trống trường Password | Không | 1. Truy cập trang Login<br>2. Nhập Email: `admin@example.com`<br>3. Để trống trường Password<br>4. Click nút "Login" | 1. Trang Login hiển thị<br>2. Email được nhập<br>3. Trường Password trống<br>4. Hiển thị thông báo lỗi server-side:<br>- Text: **"The Password field is required."**<br>- Trong thẻ `<div class="alert alert-danger text-center">`<br>- Vẫn ở lại trang Login | High | Email: `admin@example.com`<br>Password: (trống) |
+| CRM_LOGIN_TC_008 | M2: Login Auth | 🔴 High | Đăng nhập thất bại - Để trống cả Email và Password | Không | 1. Truy cập trang Login<br>2. Để trống trường Email<br>3. Để trống trường Password<br>4. Click nút "Login" | 1. Trang Login hiển thị<br>2-3. Cả hai trường trống<br>4. Hiển thị **đồng thời 2 thông báo** lỗi server-side:<br>- **"The Email Address field is required."**<br>- **"The Password field is required."**<br>- Cả 2 trong `<div class="alert alert-danger text-center">`<br>- Vẫn ở lại trang Login | High | Email: (trống)<br>Password: (trống) |
+| CRM_LOGIN_TC_009 | M2: Login Auth | 🔴 High | Đăng nhập thất bại - Email sai định dạng (thiếu @) | Không | 1. Truy cập trang Login<br>2. Nhập Email: `invalidemail`<br>3. Nhập Password: `123456`<br>4. Click nút "Login" | 1. Trang Login hiển thị<br>2. Email nhập không có ký tự @<br>3. Password được nhập<br>4. Trình duyệt **chặn form submit** và hiển thị HTML5 tooltip:<br>- **"Please include an '@' in the email address."** (hoặc tương đương theo ngôn ngữ trình duyệt)<br>- Form KHÔNG được gửi lên server<br>- Đây là client-side validation | High | Email: `invalidemail`<br>Password: `123456` |
+| CRM_LOGIN_TC_010 | M2: Login Auth | 🔴 High | Đăng nhập thất bại - Email đúng định dạng nhưng không tồn tại | Không | 1. Truy cập trang Login<br>2. Nhập Email: `notexist_20260408@example.com`<br>3. Nhập Password: `WrongPass!456`<br>4. Click nút "Login" | 1. Trang Login hiển thị<br>2-3. Dữ liệu được nhập<br>4. Hiển thị thông báo lỗi server-side:<br>- Text: **"Invalid email or password"**<br>- Trong `<div class="alert alert-danger text-center">`<br>- Vẫn ở lại trang Login | High | Email: `notexist_20260408@example.com`<br>Password: `WrongPass!456` |
+| CRM_LOGIN_TC_011 | M2: Login Auth | 🔴 High | Đăng nhập thất bại - Email đúng + Password sai | Tài khoản admin@example.com tồn tại | 1. Truy cập trang Login<br>2. Nhập Email: `admin@example.com`<br>3. Nhập Password: `SaiMatKhau!789`<br>4. Click nút "Login" | 1. Trang Login hiển thị<br>2-3. Dữ liệu được nhập<br>4. Hiển thị thông báo:<br>- Text: **"Invalid email or password"**<br>- Thông báo **KHÔNG** tiết lộ rằng email tồn tại<br>- Vẫn ở lại trang Login | High | Email: `admin@example.com`<br>Password: `SaiMatKhau!789` |
+| CRM_LOGIN_TC_012 | M2: Login Auth | 🔴 High | Đăng nhập thất bại - Email sai + Password đúng | Tài khoản admin@example.com tồn tại, password: 123456 | 1. Truy cập trang Login<br>2. Nhập Email: `wrong_admin@example.com`<br>3. Nhập Password: `123456`<br>4. Click nút "Login" | 1. Trang Login hiển thị<br>2-3. Dữ liệu được nhập<br>4. Hiển thị thông báo:<br>- Text: **"Invalid email or password"**<br>- Thông báo **KHÔNG** tiết lộ rằng password đúng<br>- Vẫn ở lại trang Login | High | Email: `wrong_admin@example.com`<br>Password: `123456` |
+| CRM_LOGIN_TC_013 | M2: Login Auth | 🔴 High | Đăng nhập thành công với "Remember me" - Phiên duy trì sau đóng browser | Tài khoản admin đã tồn tại | 1. Truy cập trang Login<br>2. Nhập Email: `admin@example.com`<br>3. Nhập Password: `123456`<br>4. Tick checkbox "Remember me"<br>5. Click nút "Login"<br>6. Verify Dashboard hiển thị<br>7. Đóng hoàn toàn trình duyệt<br>8. Mở lại trình duyệt<br>9. Truy cập: `https://crm.anhtester.com/admin/` | 1. Trang Login hiển thị<br>2-3. Dữ liệu được nhập<br>4. Checkbox được tick<br>5-6. Đăng nhập thành công, Dashboard hiển thị<br>7-8. Trình duyệt đóng và mở lại<br>9. Truy cập trực tiếp Dashboard **KHÔNG** bị redirect về trang Login, phiên vẫn còn hiệu lực (duy trì 1 ngày) | Critical | Email: `admin@example.com`<br>Password: `123456`<br>Remember me: ✅ Tick |
+| CRM_LOGIN_TC_014 | M2: Login Auth | 🔴 High | Đăng nhập KHÔNG tick "Remember me" - Phiên hết khi đóng browser | Tài khoản admin đã tồn tại | 1. Truy cập trang Login<br>2. Nhập Email: `admin@example.com`<br>3. Nhập Password: `123456`<br>4. KHÔNG tick "Remember me" (mặc định)<br>5. Click nút "Login"<br>6. Verify Dashboard hiển thị<br>7. Đóng hoàn toàn trình duyệt<br>8. Mở lại trình duyệt<br>9. Truy cập: `https://crm.anhtester.com/admin/` | 1. Trang Login hiển thị<br>2-3. Dữ liệu được nhập<br>4. Checkbox KHÔNG được tick<br>5-6. Đăng nhập thành công<br>7-8. Trình duyệt đóng và mở lại<br>9. Bị redirect về trang Login (`/admin/authentication`), phiên đã hết | High | Email: `admin@example.com`<br>Password: `123456`<br>Remember me: ❌ Không tick |
+| CRM_LOGIN_TC_015 | M2: Login Auth | 🔴 High | Boundary - Nhập Email cực dài (1000+ ký tự) | Không | 1. Truy cập trang Login<br>2. Nhập Email: chuỗi 1001 ký tự `aaaaaa...aaa@example.com` (996 ký tự 'a' + @example.com)<br>3. Nhập Password: `123456`<br>4. Click nút "Login" | 1. Trang Login hiển thị<br>2. Email dài được nhập (có thể bị cắt tùy browser)<br>3. Password được nhập<br>4. Hệ thống xử lý an toàn:<br>- Hiển thị thông báo lỗi HOẶC từ chối<br>- **KHÔNG crash, KHÔNG lỗi 500** | Medium | Email: 1001 ký tự (`aaa...a@example.com`)<br>Password: `123456` |
+| CRM_LOGIN_TC_016 | M2: Login Auth | 🔴 High | Boundary - Nhập Password cực dài (1000+ ký tự) | Không | 1. Truy cập trang Login<br>2. Nhập Email: `admin@example.com`<br>3. Nhập Password: chuỗi 1001 ký tự `Aaaaaa...aaa1!` (lặp ký tự)<br>4. Click nút "Login" | 1. Trang Login hiển thị<br>2. Email được nhập<br>3. Password dài được nhập (masked)<br>4. Hệ thống xử lý an toàn:<br>- Hiển thị "Invalid email or password" HOẶC từ chối<br>- **KHÔNG crash, KHÔNG lỗi 500** | Medium | Email: `admin@example.com`<br>Password: 1001 ký tự |
+| CRM_LOGIN_TC_017 | M2: Login Auth | 🔴 High | Truy cập trang Login khi đã đăng nhập → redirect Dashboard | Đã đăng nhập thành công, đang ở Dashboard | 1. Đăng nhập thành công với `admin@example.com`<br>2. Verify đang ở Dashboard<br>3. Thay đổi URL thủ công thành: `https://crm.anhtester.com/admin/authentication`<br>4. Nhấn Enter | 1-2. Đang ở Dashboard<br>3-4. Hệ thống tự động redirect về Dashboard (`/admin/`), **KHÔNG** hiển thị form Login khi đã authenticated | Medium | Email: `admin@example.com`<br>Password: `123456` |
+
+---
+
+### M3: Forgot Password (🟡 Medium Risk)
+
+| TC ID | Module | Risk Level | Test Title | Pre-Condition | Test Steps | Expected Result | Priority | Test Data |
+|-------|--------|-----------|------------|---------------|------------|-----------------|----------|-----------|
+| CRM_LOGIN_TC_018 | M3: Forgot Password | 🟡 Medium | Click "Forgot Password?" chuyển đến trang khôi phục | Đang ở trang Login | 1. Truy cập trang Login<br>2. Click link "Forgot Password?" | 1. Trang Login hiển thị<br>2. Chuyển hướng đến URL: `https://crm.anhtester.com/admin/authentication/forgot_password`<br>- Hiển thị trường "Email Address"<br>- Hiển thị nút "Confirm" | High | N/A |
+| CRM_LOGIN_TC_019 | M3: Forgot Password | 🟡 Medium | Gửi email khôi phục với email đã đăng ký | Đang ở trang Forgot Password, tài khoản admin@example.com tồn tại | 1. Truy cập trang Forgot Password<br>2. Nhập Email: `admin@example.com`<br>3. Click nút "Confirm" | 1. Trang Forgot Password hiển thị<br>2. Email được nhập<br>3. Hệ thống xử lý yêu cầu:<br>- Hiển thị thông báo xác nhận (ví dụ: email khôi phục đã được gửi)<br>- KHÔNG hiển thị thông báo lỗi | High | Email: `admin@example.com` |
+| CRM_LOGIN_TC_020 | M3: Forgot Password | 🟡 Medium | Để trống Email trên trang Forgot Password → HTML5 validation | Đang ở trang Forgot Password | 1. Truy cập trang Forgot Password<br>2. Để trống trường Email<br>3. Click nút "Confirm" | 1. Trang Forgot Password hiển thị<br>2. Trường Email trống<br>3. Trình duyệt hiển thị HTML5 validation tooltip (trường có thuộc tính `required`):<br>- **"Please fill out this field."** (hoặc tương đương)<br>- Form KHÔNG được gửi lên server | High | Email: (trống) |
+| CRM_LOGIN_TC_021 | M3: Forgot Password | 🟡 Medium | Nhập email chưa đăng ký trên trang Forgot Password | Đang ở trang Forgot Password | 1. Truy cập trang Forgot Password<br>2. Nhập Email: `khongtontai_20260408@example.com`<br>3. Click nút "Confirm" | 1. Trang Forgot Password hiển thị<br>2. Email được nhập<br>3. Hệ thống hiển thị thông báo chung (không tiết lộ email có tồn tại hay không):<br>- KHÔNG hiển thị "Email not found" hoặc tương tự<br>- Hành vi giống như email hợp lệ (bảo mật) | Medium | Email: `khongtontai_20260408@example.com` |
+| CRM_LOGIN_TC_022 | M3: Forgot Password | 🟡 Medium | Nhập email sai định dạng trên trang Forgot Password | Đang ở trang Forgot Password | 1. Truy cập trang Forgot Password<br>2. Nhập Email: `emailkhonghople`<br>3. Click nút "Confirm" | 1. Trang Forgot Password hiển thị<br>2. Email sai định dạng được nhập<br>3. Trình duyệt hiển thị HTML5 validation tooltip:<br>- **"Please include an '@' in the email address."**<br>- Form KHÔNG được gửi lên server | Medium | Email: `emailkhonghople` |
+
+---
+
+### M4: Logout (🟡 Medium Risk)
+
+| TC ID | Module | Risk Level | Test Title | Pre-Condition | Test Steps | Expected Result | Priority | Test Data |
+|-------|--------|-----------|------------|---------------|------------|-----------------|----------|-----------|
+| CRM_LOGIN_TC_023 | M4: Logout | 🟡 Medium | Đăng xuất từ Dashboard → quay về trang Login | Đã đăng nhập thành công, đang ở Dashboard | 1. Đăng nhập thành công<br>2. Verify đang ở Dashboard<br>3. Click vào profile dropdown (góc trên bên phải)<br>4. Click "Logout" | 1-2. Đang ở Dashboard<br>3. Dropdown menu hiển thị<br>4. Đăng xuất thành công:<br>- Chuyển hướng về trang Login (`/admin/authentication`)<br>- Form Login hiển thị<br>- KHÔNG còn hiển thị Dashboard | Critical | Email: `admin@example.com`<br>Password: `123456` |
+| CRM_LOGIN_TC_024 | M4: Logout | 🟡 Medium | Sau logout, nhấn nút Back → không quay lại được Dashboard | Vừa đăng xuất thành công, đang ở trang Login | 1. Đăng nhập thành công<br>2. Đăng xuất (Logout)<br>3. Verify đang ở trang Login<br>4. Nhấn nút **Back** trên trình duyệt<br>5. Quan sát trang hiển thị | 1-2. Đăng nhập và đăng xuất thành công<br>3. Đang ở trang Login<br>4-5. Hệ thống **redirect về trang Login**, KHÔNG hiển thị lại Dashboard:<br>- Session đã bị hủy hoàn toàn<br>- Dữ liệu Dashboard KHÔNG hiển thị từ cache | High | Email: `admin@example.com`<br>Password: `123456` |
+
+---
+
+### M5: Security (🔴 High Risk)
+
+| TC ID | Module | Risk Level | Test Title | Pre-Condition | Test Steps | Expected Result | Priority | Test Data |
+|-------|--------|-----------|------------|---------------|------------|-----------------|----------|-----------|
+| CRM_LOGIN_TC_025 | M5: Security | 🔴 High | SQL Injection vào trường Email | Không | 1. Truy cập trang Login<br>2. Nhập Email: `' OR 1=1 --`<br>3. Nhập Password: `anything`<br>4. Click nút "Login" | 1. Trang Login hiển thị<br>2-3. Dữ liệu injection được nhập<br>4. Hệ thống xử lý an toàn:<br>- **KHÔNG** đăng nhập thành công<br>- Hiển thị thông báo lỗi validation HOẶC "Invalid email or password"<br>- **KHÔNG** lỗi SQL / lỗi 500<br>- **KHÔNG** tiết lộ cấu trúc database | Critical | Email: `' OR 1=1 --`<br>Password: `anything` |
+| CRM_LOGIN_TC_026 | M5: Security | 🔴 High | XSS Script Injection vào trường Email | Không | 1. Truy cập trang Login<br>2. Nhập Email: `<script>alert('XSS')</script>`<br>3. Nhập Password: `123456`<br>4. Click nút "Login"<br>5. Quan sát trang kết quả | 1. Trang Login hiển thị<br>2-3. Dữ liệu XSS được nhập<br>4-5. Hệ thống xử lý an toàn:<br>- **KHÔNG** execute script (không popup alert)<br>- Script được escape/sanitize<br>- Hiển thị thông báo lỗi bình thường<br>- **KHÔNG** lỗi 500 | Critical | Email: `<script>alert('XSS')</script>`<br>Password: `123456` |
+| CRM_LOGIN_TC_027 | M5: Security | 🔴 High | SQL Injection vào trường Password | Không | 1. Truy cập trang Login<br>2. Nhập Email: `admin@example.com`<br>3. Nhập Password: `' OR '1'='1`<br>4. Click nút "Login" | 1. Trang Login hiển thị<br>2-3. Dữ liệu injection được nhập<br>4. Hệ thống xử lý an toàn:<br>- **KHÔNG** đăng nhập thành công<br>- Hiển thị "Invalid email or password"<br>- **KHÔNG** lỗi SQL / lỗi 500 | Critical | Email: `admin@example.com`<br>Password: `' OR '1'='1` |
+| CRM_LOGIN_TC_028 | M5: Security | 🔴 High | CSRF token bị xóa/thay đổi → form submit bị từ chối | Không | 1. Truy cập trang Login<br>2. Mở DevTools (F12) → Inspect form<br>3. Tìm hidden field `csrf_token_name`<br>4. Thay đổi value thành: `invalid_token_12345`<br>5. Nhập Email: `admin@example.com`<br>6. Nhập Password: `123456`<br>7. Click nút "Login" | 1-3. CSRF token field tìm thấy<br>4. Value bị thay đổi thành token giả<br>5-6. Dữ liệu hợp lệ được nhập<br>7. Hệ thống **từ chối request**:<br>- KHÔNG đăng nhập thành công<br>- Hiển thị lỗi CSRF hoặc trang lỗi 403<br>- Bảo vệ chống CSRF hoạt động đúng | High | Email: `admin@example.com`<br>Password: `123456`<br>CSRF Token: `invalid_token_12345` |
+| CRM_LOGIN_TC_029 | M5: Security | 🔴 High | Đăng nhập sai nhiều lần liên tiếp (Brute-force) | Không | 1. Truy cập trang Login<br>2. Nhập Email: `admin@example.com` + Password: `SaiPass_1` → Click Login<br>3. Lặp lại bước 2 với password khác: `SaiPass_2`, `SaiPass_3`, ..., `SaiPass_10`<br>4. Quan sát sau 10 lần đăng nhập sai liên tiếp | 1. Trang Login hiển thị<br>2-3. Mỗi lần hiển thị "Invalid email or password"<br>4. **Ghi nhận hiện trạng** (RISK):<br>- Nếu hệ thống KHÔNG lockout → ghi bug/risk<br>- Hệ thống không crash, không lỗi 500 | High | Email: `admin@example.com`<br>Passwords: `SaiPass_1` → `SaiPass_10` (10 lần sai liên tiếp) |
+| CRM_LOGIN_TC_030 | M5: Security | 🔴 High | Thông báo lỗi không tiết lộ email tồn tại hay không | Tài khoản admin@example.com tồn tại | 1. Truy cập trang Login<br>2. Nhập Email: `admin@example.com` (tồn tại) + Password sai: `WrongP@ss1`<br>3. Click Login → ghi nhận thông báo lỗi A<br>4. Nhập Email: `khongtontai@example.com` (không tồn tại) + Password: `WrongP@ss1`<br>5. Click Login → ghi nhận thông báo lỗi B<br>6. So sánh thông báo A và B | 1. Trang Login hiển thị<br>2-3. Thông báo A: "Invalid email or password"<br>4-5. Thông báo B: "Invalid email or password"<br>6. **Thông báo A = thông báo B** (giống hệt nhau):<br>- KHÔNG phân biệt "Email not found" vs "Wrong password"<br>- Thiết kế bảo mật đúng chuẩn | High | Email tồn tại: `admin@example.com`<br>Email không tồn tại: `khongtontai@example.com`<br>Password sai: `WrongP@ss1` |
+
+---
+
+## TỔNG HỢP AMBIGUITIES ĐÃ GIẢI QUYẾT
+
+| # | Ambiguity | Giải quyết bằng |
+|---|-----------|-----------------|
+| AMB-01 | Không có account lockout | Assumption → TC_029 verify hiện trạng, ghi risk |
+| AMB-02 | Không có min/max Password | Assumption → TC_016 test boundary 1001 ký tự |
+| AMB-03 | Không có max Email | Assumption → TC_015 test boundary 1001 ký tự |
+| AMB-04 | Hành vi email không tồn tại (Forgot Password) | Assumption → TC_021 verify thông báo chung |
+| AMB-05 | Thời hạn link khôi phục | Không sinh TC (không thể verify manual) |
+| AMB-06 | Thời gian Remember me | User trả lời: **1 ngày** → TC_013 |
+| AMB-07 | Redirect khi đã authenticated | Assumption → TC_017 |
+| AMB-08 | Back button sau logout | Assumption → TC_024 |
+| AMB-09 | Copy-paste password | Không sinh TC riêng (hành vi mặc định browser) |
+| AMB-10 | Không có CAPTCHA | Ghi nhận risk trong TC_029 |
+| AMB-11 | Checkbox value="estimate" | Assumption → test chức năng thực tế (TC_013, TC_014) |
+| AMB-12 | Nội dung email khôi phục | Không sinh TC (ngoài scope UI test) |
+
+---
+
+## THỐNG KÊ
+
+| Tiêu chí | Số lượng |
+|----------|----------|
+| **Tổng TC** | **30** |
+| Critical Priority | 5 (TC_005, TC_013, TC_023, TC_025, TC_026) |
+| High Priority | 14 |
+| Medium Priority | 8 |
+| Low Priority | 3 |
+| Kỹ thuật EP (Equivalence Partitioning) | TC_005-TC_012 (phân nhóm: đúng/sai/trống) |
+| Kỹ thuật BVA (Boundary Value) | TC_015, TC_016 (email/password cực dài) |
+| Kỹ thuật Decision Table | TC_006-TC_008 (tổ hợp Email trống + Password trống) |
+| Kỹ thuật State Transition | TC_013, TC_014, TC_017, TC_023, TC_024 (trạng thái login/logout/session) |