सत्र से कॉलर लें, क्वेरी स्ट्रिंग से नहीं

शिप

10 अगस्त 2026 को 6:04 pm बजे UTC

लेखक

Kamo

Commit

987756a

GET/api/calendar/calendars ने उपयोगकर्ता को एक अनुरोध पैरामीटर के रूप में स्वीकार किया, इसलिए बदलना यूआरएल में एक संख्या किसी के कैलेंडर को पढ़ती है - और क्योंकि कैलेंडर किए गए थे हर किरायेदार में कोई संगठन नहीं। Worse, कोई उत्परिवर्तन चेक कुछ भी: POST ने एक संपूर्ण उपयोगकर्ताकैलेंडर को बाध्य किया ताकि कॉलर ने अपना मालिक चुना, और दोनों कैलेंडरों और घटनाओं पर PUT और DELETE ने आईडी द्वारा बिना किसी के हल नहीं किया स्वामित्व परीक्षण whatsoever. कोई भी सदस्य किसी को संपादित या हटा सकता है। संगठन और सदस्य अब दोनों स्थापित सत्र से आते हैं। सदस्यकैलेंडरसेवा सदस्य-स्किप पथ रखती है। कैलेंडर सेवा रहता है इकाई-स्तर मुखौटा CalDAV और बाहरी सिंक शेयर, क्योंकि उन सदस्यता के बजाय एक खाता प्रमाणित करें - वास्तव में एक अलग गुंजाइश, एक नजर नहीं। संगठन कैलेंडर हर सदस्य द्वारा पढ़ा जा सकता है और केवल लिखने योग्य है CREATE ORG CALENDAR EVENTS के साथ। एक इनकार 403 है, नहीं 404: सदस्य कर सकते हैं कैलेंडर देखें, इसलिए यह दिखा रहा है कि यह मौजूद नहीं है, क्लाइंट झूठ होगा कार्य नहीं कर सकता। ग्राहक भी भेजने के द्वारा अपने कैलेंडर को बढ़ावा नहीं दे सकता हैऑर्गकैलेन्डर - यह ध्वज बनाने पर ध्यान नहीं दिया जाता है। पेलोड डीटीओ बन जाते हैं। संस्था के सदस्य, संगठन और उपयोगकर्ता एसोसिएशन आलसी हैं, इसलिए जैक्सन ने उन्हें नल के रूप में प्रस्तुत किया और एक ग्राहक उन्हें शून्य के रूप में प्रस्तुत किया यह नहीं बताता कि किसके कैलेंडर को आयोजित किया गया है। घटना DTO isPrivate है और हालांकि यहां कुछ भी उन पर भिन्न नहीं है: मोडल दोनों को बांधता है स्विच, और एक लापता मान एक नियंत्रित इनपुट अनियंत्रित हो जाता है। सूचीईवेंट स्टार्ट डेट / एंड डेट को भी स्वीकार करता है। ब्राउज़र हमेशा उन लोगों को भेजा है एक हस्ताक्षर के खिलाफ जो केवल स्टार्ट / एंड को बाध्य करता है, इसलिए हर अनुरोध के साथ आया बिल्कुल नहीं।.