Segurança de API

adopt Kiln

pedidos := {
    "42": {"id": "42", "dono": "ana", "total": 120},
    "43": {"id": "43", "dono": "bia", "total": 900}
}

// Quem e o usuario sai do TOKEN, e nunca do corpo ou da query.
// O Kiln entrega os cabecalhos em minusculas, como o HTTP/2 os escreve.
action usuario_de(cabecalhos):
    yield {"t-ana": "ana", "t-bia": "bia"}[cabecalhos["authorization"] ?? ""] ?? void

server api on 0:
    route GET "/pedidos/:id":
        quem := usuario_de(headers)
        given quem is void:
            respond 401 json {"erro": "entre primeiro"}
        p := pedidos[params["id"]] ?? void
        // 404 tambem para o pedido de OUTRA pessoa: 403 confirmaria que existe.
        given p is void or p["dono"] isnt quem:
            respond 404 json {"erro": "pedido nao encontrado"}
        respond json p

assert Kiln.test(api, "GET", "/pedidos/42", void, {"Authorization": "t-ana"})["status"] is 200
assert Kiln.test(api, "GET", "/pedidos/43", void, {"Authorization": "t-ana"})["status"] is 404
assert Kiln.test(api, "GET", "/pedidos/42")["status"] is 401
out "BOLA fechado: o dono e conferido por objeto"