# Ruta 03 · Sesión 03 — Autorización por acción, grupo y recurso

Uso educativo: caso ficticio de reserva de espacios. Todos los actores y datos son ejemplos.

## Objetivo

Crear una matriz de autorización y casos de prueba de aislamiento entre grupos.

## Escenario

R-A pertenece a G-A y a U-01. R-B pertenece a G-B. U-02 coordina G-A. S-AVISO solo notifica. La API permite indicar reserva y grupo en la URL.

## Trabajo opcional

1. Define permisos por acción y estado.
2. Combina U-01, U-02 y S-AVISO con R-A y R-B.
3. Incluye listados, campos protegidos y pertenencia retirada.
4. Describe dónde se aplica la política y cómo evitas cambios concurrentes.

## Plantilla

| Sujeto | Grupo validado | Acción | Recurso | Estado | Decisión | Evidencia |
|---|---|---|---|---|---|---|
| U-01 | G-A | Consultar | R-A propia | Pendiente | Permitir | Completar |
| U-01 | G-A | Consultar | R-B de G-B | Pendiente | Denegar | Completar |
| S-AVISO | Técnico | Aprobar | R-A | Pendiente | Denegar | Completar |

## Solución orientativa

- U-01 consulta R-A; se deniega consultar R-B aunque envíe groupId de G-B.
- U-02 coordina G-A y no obtiene acceso a G-B por su rol.
- S-AVISO no aprueba reservas; los campos de grupo y aprobación los controla el servidor.
- Revalidar política y versión al escribir; probar listados y exportaciones con datos de ambos grupos.

## Evidencia propia

- Decisión y justificación:
- Prueba positiva:
- Prueba negativa:
- Resultado observado (o esperado si no ejecutas la prueba):
- Riesgo pendiente y responsable:

## Referencias

- [OWASP Authorization](https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html)
- [OWASP ASVS 5.0.0](https://owasp.org/www-project-application-security-verification-standard/)

## Procedencia y reutilización

Material elaborado para el proyecto personal de Andrez Higuera con apoyo de ChatGPT. Contiene información neutral y escenarios ficticios con fines educativos. Responsable editorial: Andrez Higuera. La mención de estándares y organizaciones en las referencias no implica afiliación, patrocinio ni certificación.

**Recurso:** ACA-REC-15 · **Versión editorial:** 1.0 · **Revisión:** 27 de septiembre de 2026.

Los textos educativos, ejercicios, plantillas y soluciones propios de este recurso se ofrecen bajo Creative Commons Atribución-NoComercial 4.0 Internacional (CC BY-NC 4.0). Al compartirlos o adaptarlos, conserve la atribución y los avisos aplicables, incluya el enlace al original y a la licencia, e indique los cambios. Los componentes de terceros identificados por separado conservan sus condiciones. Esta licencia no concede derechos sobre marcas ni implica respaldo institucional.

[Original](https://briefing.andrezhiguera.cl/academia/recursos/15-matriz-autorizacion.md) · [Licencia CC BY-NC 4.0](https://creativecommons.org/licenses/by-nc/4.0/) · [Alcance y condiciones](https://briefing.andrezhiguera.cl/academia/condiciones-de-uso).