Lailatul Badriyah

Severity / Prioritas	Major / P1
Status	Terbuka
Lingkungan	https://restful-booker.herokuapp.com (demo publik)
Test case terkait	TC-CRT-05

Langkah reproduksi

1. Kirim:

   POST /booking
   Content-Type: application/json
   Accept: application/json
   
   {
     "firstname": "A", "lastname": "B",
     "totalprice": -100, "depositpaid": true,
     "bookingdates": { "checkin": "2026-11-01", "checkout": "2026-11-02" }
   }
   

Hasil yang diharapkan

400 Bad Request dengan pesan bahwa totalprice harus nol atau lebih besar.

Hasil aktual

200 OK; booking tersimpan dengan "totalprice": -100.

Dampak

Nominal negatif merusak laporan pendapatan dan bisa disalahgunakan untuk membuat kredit atau pengembalian dana.

Saran perbaikan

Validasi totalprice >= 0 saat membuat dan mengubah (POST, PUT, PATCH).

Lihat sumber di GitHub

Severity / Prioritas	Major / P1
Status	Terbuka
Lingkungan	https://restful-booker.herokuapp.com (demo publik)
Test case terkait	TC-CRT-06

Langkah reproduksi

1. Kirim POST /booking dengan "bookingdates": { "checkin": "2026-11-10", "checkout": "2026-11-01" } dan data lain yang valid.

Hasil yang diharapkan

400 Bad Request: checkout harus setelah checkin.

Hasil aktual

200 OK; booking tersimpan dengan checkout sembilan hari sebelum checkin.

Dampak

Masa menginap yang tidak valid merusak perhitungan ketersediaan kamar dan harga berdasarkan jumlah malam.

Saran perbaikan

Validasi checkout > checkin saat membuat dan mengubah.

Lihat sumber di GitHub

Langkah reproduksi

POST /booking dengan "firstname": "" -> 200 OK, booking tersimpan dengan nama kosong.

Severity / Prioritas	Major / P1
Status	Terbuka
Lingkungan	https://restful-booker.herokuapp.com (demo publik)
Test case terkait	TC-CRT-08, TC-CRT-09

Langkah reproduksi

Kasus A - tipe data salah

1. POST /booking dengan "totalprice": "abc" dan data lain yang valid.

Kasus B - format tanggal salah

1. POST /booking dengan "checkin": "not-a-date" dan data lain yang valid.

Hasil yang diharapkan

400 Bad Request yang menjelaskan field yang tidak valid.

Hasil aktual

Keduanya mengembalikan 200 OK dan datanya rusak tanpa pemberitahuan:

Input	Nilai yang tersimpan
"totalprice": "abc"	"totalprice": null
"checkin": "not-a-date"	"checkin": "0NaN-aN-aN"

Dampak

Data rusak secara diam-diam: pemanggil mengira booking sudah tersimpan dengan benar. Laporan dan logika tanggal di hilir menerima null atau tanggal yang tidak bisa dibaca.

Saran perbaikan

Validasi tipe data dan format tanggal ISO-8601 (YYYY-MM-DD) sebelum menyimpan, lalu kembalikan pesan error per field.

Lihat sumber di GitHub

Severity / Prioritas	Major / P1
Status	Terbuka
Lingkungan	https://restful-booker.herokuapp.com (demo publik)
Test case terkait	TC-CRT-03

Langkah reproduksi

1. Kirim:

   POST /booking
   Content-Type: application/json
   Accept: application/json
   
   { "firstname": "OnlyName" }
   

Hasil yang diharapkan

400 Bad Request yang menyebutkan field wajib yang hilang (lastname, totalprice, depositpaid, bookingdates).

Hasil aktual

500 Internal Server Error dengan body yang generik.

Dampak

Kode 5xx memberi tahu client bahwa server yang gagal, bukan permintaannya yang salah. Ini mengotori monitoring error dan membuat pengguna API tidak punya petunjuk untuk memperbaiki permintaannya.

Saran perbaikan

Validasi body permintaan dan kembalikan 400 beserta rinciannya, bukan membiarkan exception merambat.

Lihat sumber di GitHub

Severity / Prioritas	Minor / P2
Status	Terbuka
Lingkungan	https://restful-booker.herokuapp.com (demo publik)
Test case terkait	TC-AUTH-02, TC-AUTH-03

Langkah reproduksi

1. Kirim:

   POST /auth
   Content-Type: application/json
   
   { "username": "admin", "password": "wrong" }
   

Hasil yang diharapkan

401 Unauthorized.

Hasil aktual

200 OK dengan body {"reason":"Bad credentials"} (tanpa token). Body kosong {} menghasilkan perilaku yang sama.

Dampak

Client dan API gateway yang menganggap 2xx sebagai sukses bisa salah menafsirkan login yang gagal. Pemantauan login gagal dan rate limiting yang berbasis status code tidak akan berfungsi.

Saran perbaikan

Kembalikan 401 Unauthorized untuk kredensial yang tidak valid dan 400 untuk permintaan yang formatnya salah.

Lihat sumber di GitHub

Langkah reproduksi

DELETE /booking/{id} dengan token valid -> 201 Created; permintaan yang sama diulang -> 405 Method Not Allowed.