- Shipped
- 15. August 2026 um 06:15 UTC
- Author
- Kamo
- Commit
- 0e5b16e
MANAGE_MATERIALS und MANAGE_SOCIAL_MEDIA gezählt als im Audit und jeder Website war eine .tsx-Datei. Dahinter 29 Endpunkte überprüften Eigentum und kein Recht: sechs Material-Controller und SocialTimelineController. Lesen Sie VIEW_MATERIALS oder VIEW_SOCIAL_MEDIA, schreibt man die MANAGE richtig. Die Aufnahme eines Materials Ansichtsereignisses wird absichtlich als gelesen - es ist Telemetrie produziert durch Blick auf ein Material, so gating es auf MANAGE würde Analytik für brechen genau die Leute, um die es in der Analytik geht. Das Vermischen eines öffentlichen Links geht der andere Weg: Es ist eine Offenlegungsentscheidung, keine Lektüre. servePublic bleibt geöffnet. Es dient eine unterzeichnete, zeitlich begrenzte Verbindung, Authentifizierung von Token und hat keine Sitzung, um ein Recht von zu lesen, so gating es würde jede brechen gemeinsamer Link. MetaOAuthController, SocialInboundController und das interne Soziale Endpunkt sind aus dem gleichen Grund unberührt - ein OAuth Callback, ein Anbieter webhook und ein interner Anrufer haben kein Mitglied. AuthHelper.requireR ist hier neu und von der ersten Zeile ausfallsicher.