Ideellbok

Arbetet påbörjat efter godkänd serververifiering av #106. Första inventeringen visar kvarvarande legacykontext i budgetmutationer och ett antal sena domänendpoints samt övergångsresolvers. Genomförs domängruppvis med befintliga regressioner, därefter kodsökning, full svit och dokumentationsuppdatering.

Övergångsresolvers och klientstyrda orgNumber/asUserId-läsningar har tagits bort ur domän-API:erna. Budgetflödet är flyttat till sessionskontext. En ny källkodsregression bevakar att Context API förblir enda ingång för uttryckligt föreningsval. Arkitekturdokument, API-exempel och PlantUML-diagram är uppdaterade. Lokalt godkänt: PHP-lint, session-context-source, i18n audit och Vite production build. Serverregression och full svit återstår efter deploy.

Commit 78881bc är pushad till origin/main. Återstår: deploy på Webserver och riktad/bred serverregression innan Resolved och Verification.

Första serververifieringen gav 8/9 gröna områden. Produktbeteendet var korrekt men ett äldre test väntade fortfarande HTTP 403 för asUserId; slutkontraktet ska ignorera parametern och använda sessionen. Regressionen jämför nu normal och manipulerad payload för att bevisa oförändrad aktör/data. Fix pushad i 8627610; riktad omkörning återstår.

Serververifiering godkänd efter commit 8627610. Den första deploykörningen gav 8/9 godkända områden och identifierade ett föråldrat testantagande. Riktad omkörning av systemadmin-imitation passerar nu samtliga kontroller, inklusive att manipulerade legacy-parametrar ger exakt den vanliga användarens sessionsbundna svar och att regressionssessioner städas. Samtliga nio riktade deployområden är därmed gröna. Full regressionssvit återstår före Ready for deploy.

Full regressionssvit körd på servern: 41/43 områden godkända. De två avvikelserna låg i OCR API execution och Overview session context och berodde på äldre testantaganden att query/body-parametern orgNumber skulle styra eller ge 403. Slutkontraktet ignorerar legacy orgNumber/asUserId och använder aktiv sessionskontext. Regressionerna jämför nu normala och manipulerade anrop och kräver identisk status och payload/body, samtidigt som anonym åtkomst och dataläckage fortsatt bevakas. PHP-lint och session-context-source passerar lokalt. Fix pushad i commit da53efb; riktad serveromkörning och därefter full svit återstår.

Riktad serveromkörning efter deploy av da53efb är godkänd: OCR API execution and access samt Overview session context and isolation passerade, 2/2 på 1,2 sekunder. Legacyparametrar kunde inte styra föreningskontext eller ge dataåtkomst. Sista återstående kvalitetsgrind är en ny full regressionssvit på samma commit.

Slutlig full serverregression är godkänd på commit da53efb: 43 av 43 testområden passerade, 0 fel, total körtid 2 minuter 24 sekunder. Detta inkluderar OCR, autentisering, sessionskontext, systemadmin och imitation, föreningsisolering, rapporter, dimensioner, bilagor, utlägg, verifikat, databaslås och e-postflöden. Acceptanskriterierna för slutverifieringen är uppfyllda.