- Verschifft
- 18. Oktober 2026 um 18:49 UTC
- Autor
- Kamo
- Ausschuss
- 85e7f89
BillingService autorisiert 'eigenes Konto oder Organisationsinhaber' und nie ein Recht konsultiert, so dass die Der Besitzer konnte keine Rechnungserwähnung an einen Verwalter oder eine SI übergeben. AccountOrgScopeInterceptor lässt jetzt auch ein Mitglied der Organisation des Kontos durch MANAGE_ORG_BILLING (jede Anfrage) oder VIEW_ORG_BILLING (Lesungen). Beide sind an niemanden gesetzt, so dass niemand etwas gewinnt oder verliert, bis der Besitzer gewährt sie; die Cross-Organisation und Sub-Ressource-Checks sind unverändert, und eine Rechte-Nachforschung, dass scheitert schließt. GET /api/billing/Konten aufgeführt jedes Konto in der Organisation zu jedem Mitglied, obwohl Pläne & Billing Shows only isSelf || isOrganizationOwner; es gibt sie jetzt alle an den Besitzer oder einen Halter zurück von beiden Rechten, und sonst nur die Anrufer eigenen.