Anomalie #1872: Select condition create backdoor access to all data - Wikitty - Nuiton

Anomalie #1872

Evolution #1871: Change query in Security service to add condition on user logged for right management

Select condition create backdoor access to all data

Added by Benjamin Poussin over 1 year ago. Updated 4 months ago.

Status:

Nouveau

Start date:

01/03/2012

Priority:

Normal

Due date:

Assignee:

% Done:

Category:

API

Estimated time:

1.00 hour

Target version:

Spent time:

Description

Si on utilise la condition select, les données sont extraites directement au plus bas niveau (WikittySearchEngine) lorsqu'on arrive au service de securite, il ne peut donc plus verifier si l'utilisateur avait le droit ou non de lecture sur ce champs.

Il faudrait donc conserver dans le WikittyQueryResult en plus de la liste des résultats, une map qui indique pour chaque resultat depuis qu'elle wikitty(id) il est issu. Mais cela est compliqué, car les selects sont issu de facet, il faudrait donc faire une autre requete pour retrouver les id :(.

L'autre facon de faire serait de forcer l'ajout dans les requetes par le service de security les conditions tel que decrit dans le ticket #1871 si la requete est une requete select.

Cette deuxieme solution est beaucoup plus viable et plus simple