[fix #2818] DossierController: ensure save_draft is authorized

app/controllers/new_user/dossiers_controller.rb

@@ -264,7 +264,7 @@ module NewUser
     end
 
     def save_draft?
-      params[:save_draft]
+      dossier.brouillon? && params[:save_draft]
     end
   end
 end

spec/controllers/new_user/dossiers_controller_spec.rb

@@ -355,6 +355,13 @@ describe NewUser::DossiersController, type: :controller do
         it { expect(response).to render_template(:brouillon) }
         it { expect(flash.notice).to eq('Votre brouillon a bien été sauvegardé.') }
         it { expect(dossier.reload.state).to eq(Dossier.states.fetch(:brouillon)) }
+
+        context 'and the dossier is in construction' do
+          let!(:dossier) { create(:dossier, :en_construction, user: user) }
+
+          it { expect(response).to render_template(:brouillon) }
+          it { expect(flash.alert).to eq(['Le champ l doit être rempli.', 'pj']) }
+        end
       end
     end