- Expédié
- 18 octobre 2026 à 18:55 UTC
- Auteur
- Kamo
- S'engager
- e2b81bd
Factures de commerce: Facturation CommerceInvoiceController de Service ne vérifie pas le droit par conception (il s'attend SecurityService à posséder la session et les droits) et rien ne lui a transmis. /api/sécurité/factures commerciales est cette porte: liste, un et le PDF prennent VIEW SUBSCRIPTION INVOICES (ou MANAGE ); rédaction à partir d'un travail ou commander, finaliser, annuler et crédit prendre MANAGE SUBSCRIPTION INVOICES (@RequireRight). Org et acteur viennent à partir de la session seulement; les ids sont validés avant qu'ils atteignent un chemin. Pas de remplissage: droits existants, pas d'écran. Facturation: BillingService prend l'identité de X-Org-Id/X-Member-Id, donc un titulaire de session non-navigateur (SI outil avion) a besoin d'un hop de confiance. /api/security/facture relais une liste fixe seulement — propre plan/couverture/ éligibilité/alertes, le catalogue du régime, l'org's **************** et le siège assigner/supprimer — estampiller les deux en-têtes de la session; FacturationService décide chacun (compte propre, propriétaire, VIEW /MANAGE ORG BILLING), et un siège écrire ici a aussi besoin du propriétaire ou MANAGE ORG BILLING. Modalités de paiement l'achat/annulation de sièges, les changements de plan et les groupes de facturation ne sont jamais relayés. Remplissage: MANAGE ANALYTICS (440) est semé à partir de VIEW ANALYTICS sur la botte qui l'introduit (chaque L'utilisateur de l'analytique pourrait le modifier sous la connexion partagée); VIEW /MANAGE ORG BILLING sont semées à personne.