INOBIC — démonstration locale de contrôle d’accès par ressource

Exemple pédagogique créé le 7 novembre 2026 avec assistance de Codex.
Aucune mission client, aucun audit indépendant, aucune certification.
Données entièrement synthétiques. Le programme n’ouvre aucun port et n’utilise
aucun environnement Azure ni système tiers. Le code Before.cs est volontairement
incomplet : ne pas le déployer. L’archive est du code source, pas un service actif.

Prérequis : SDK .NET 10. Le test initial a utilisé le SDK 10.0.105.
Exécution depuis ce répertoire :
  dotnet build -c Release
  dotnet run -c Release --no-build -- --before
  dotnet run -c Release --no-build
Le premier run doit terminer avec le code 1 (contrôles en échec attendus).
Le second doit terminer avec le code 0. La sortie JSON expose chaque assertion.

Les mêmes cas contrôlent le statut et l’absence de données sur refus.
La règle métier du laboratoire réserve une facture à son propriétaire dans son
organisation. Une vraie application peut avoir d’autres rôles/autorisations.

Limites : ClaimsPrincipal simulé. Aucune validation OAuth/JWT, signature, issuer,
audience, durée de vie ou fournisseur d’identité. Aucun middleware ASP.NET,
Entity Framework, réseau, base réelle, pipeline cloud ou déploiement testé.
Le correctif présuppose des identités issues d’une authentification fiable ;
il ne remplace pas une politique d’autorisation complète ni un audit du SI.

Les empreintes SHA-256 et résultats accompagnant l’archive permettent la
reproduction et le contrôle d’intégrité ; ils ne constituent pas une attestation
indépendante ni une signature d’un organisme tiers.
