[Majeur] Logout impossible (404 « Token not found », cookies conservés) si le refresh token n'existe plus #112

New issue

Closed

opened 2026-10-28 10:32:06 +00:00 by asventi · 0 comments

asventi commented

2026-10-28 10:32:06 +00:00

Owner

Gravité : Majeur
Rapports QA d'origine : AUTH-16, PROFILE-05

Le logout devrait toujours effacer les cookies et réussir côté client, même si le token est déjà révoqué.

Détails des rapports

[AUTH-16] Le bouton Logout de l'UI échoue (page "Error 404 Token not found", cookies conservés) si le refresh token n'existe plus côté serveur — Gravité : Majeur

Où : GET /api/auth/logout
Étapes : 1. Se connecter, 2. perdre le refresh token côté serveur (login ailleurs, refresh refusé, 2e logout) alors que l'access token est encore valide (≤10 min). 3. GET /auth/logout -> 404 {"errorCode":"TOKEN_NOT_FOUND","detail":"No token has the user id ..."} sans purge des cookies (les cookies ne sont retirés que dans le chemin succès). UI reproduite : session ouverte, puis le refresh est supprimé côté serveur (logout depuis un autre client) ; clic sur Settings > Logout -> GET /api/auth/logout -> 404, la page est remplacée par la carte "Error 404 / Token not found / No token has the user id ...", l'utilisateur reste connecté (cookies AccessToken+RefreshToken toujours présents, reload -> toujours sur /). Preuve : screens/auth_36_logout_404.png.
Cause probable : LogoutEndpoint.cs:14-19, LogoutQuery.cs:14-17.

[PROFILE-05] Déconnexion impossible (404, cookies conservés) quand le refresh token a déjà été supprimé par une autre session — Gravité : Mineur

Où : GET /api/auth/logout (bouton "Log out" du profil, users/api/users.ts:293)
Étapes : mêmes que PROFILE-04 (A et B connectés, B se déconnecte), puis session A : GET /api/auth/logout.
Attendu : 204 + cookies supprimés.
Obtenu : 404 TOKEN_NOT_FOUND "No token has the user id …", les cookies ne sont pas effacés ; GET /api/me répond toujours 200 pour A. Côté UI, userLogout lève (request() throw sur !ok) donc pas de redirection vers /login : l'utilisateur ne peut pas se déconnecter jusqu'à expiration du token.
Cause probable : backend/API/Auth/Logout/LogoutEndpoint.cs:12-17 + LogoutQuery.cs (NotFound traité comme erreur) ; routes/me.ts action logout.

Trouvé par une campagne de tests QA automatisés (agents Claude, Playwright) sur l'environnement de dev. Les captures citées sont locales et non jointes.

**Gravité :** Majeur **Rapports QA d'origine :** AUTH-16, PROFILE-05 Le logout devrait toujours effacer les cookies et réussir côté client, même si le token est déjà révoqué. ## Détails des rapports <details><summary>[AUTH-16] Le bouton Logout de l'UI échoue (page "Error 404 Token not found", cookies conservés) si le refresh token n'existe plus côté serveur — Gravité : Majeur</summary> - Où : `GET /api/auth/logout` - Étapes : 1. Se connecter, 2. perdre le refresh token côté serveur (login ailleurs, refresh refusé, 2e logout) alors que l'access token est encore valide (≤10 min). 3. `GET /auth/logout` -> `404 {"errorCode":"TOKEN_NOT_FOUND","detail":"No token has the user id ..."}` sans purge des cookies (les cookies ne sont retirés que dans le chemin succès). UI reproduite : session ouverte, puis le refresh est supprimé côté serveur (logout depuis un autre client) ; clic sur Settings > Logout -> `GET /api/auth/logout -> 404`, la page est remplacée par la carte "Error 404 / Token not found / No token has the user id ...", l'utilisateur reste connecté (cookies AccessToken+RefreshToken toujours présents, reload -> toujours sur `/`). Preuve : `screens/auth_36_logout_404.png`. - Cause probable : `LogoutEndpoint.cs:14-19`, `LogoutQuery.cs:14-17`. </details> <details><summary>[PROFILE-05] Déconnexion impossible (404, cookies conservés) quand le refresh token a déjà été supprimé par une autre session — Gravité : Mineur</summary> - Où : `GET /api/auth/logout` (bouton "Log out" du profil, `users/api/users.ts:293`) - Étapes : mêmes que PROFILE-04 (A et B connectés, B se déconnecte), puis session A : `GET /api/auth/logout`. - Attendu : 204 + cookies supprimés. - Obtenu : 404 `TOKEN_NOT_FOUND` "No token has the user id …", les cookies ne sont pas effacés ; `GET /api/me` répond toujours 200 pour A. Côté UI, `userLogout` lève (`request()` throw sur !ok) donc pas de redirection vers /login : l'utilisateur ne peut pas se déconnecter jusqu'à expiration du token. - Cause probable : `backend/API/Auth/Logout/LogoutEndpoint.cs:12-17` + `LogoutQuery.cs` (NotFound traité comme erreur) ; `routes/me.ts` action logout. </details> --- _Trouvé par une campagne de tests QA automatisés (agents Claude, Playwright) sur l'environnement de dev. Les captures citées sont locales et non jointes._

asventi added the

bug

label

2026-10-28 10:44:15 +00:00

asventi self-assigned this

2026-10-29 16:50:27 +00:00

asventi closed this issue

2026-10-29 16:52:08 +00:00