- Dikirim
- 15 Agustus 2026 pukul 03.43 UTC
- Penulis
- Kamo
- Commit
- 75253b1
ContactRestController memeriksa kepemilikan dengan hati-hati - orgOf, userOf, assertBookIsMine, assertGroupIsMine, dan 404 daripada 403 sehingga id orang lain tidak pernah dikonfirmasi untuk ada - dan diperiksa tidak benar sama sekali di 26 titik akhir. VIEW _ CONTACTS dipaksa hanya dengan navRegistry menyembunyikan aplikasi dalam browser, jadi anggota yang Peran ditahan itu ditolak halaman dan dilayani oleh API; KREATE, EDIT dan DELETE KONTACTS gated apa-apa di mana saja. Kepemilikan dan hak-hak yang komplementer, tidak berlebihan: kepemilikan memutuskan yang kontak, hak memutuskan apakah kata kerja diijinkan sama sekali. Keduanya lari sekarang. assertRight membaca hak sesi telah membawa, dari atribut yang sama Extractor organik dan UserIdExtractor dibaca, sehingga jawabannya adalah apa pun model keamanan organisasi diselesaikan untuk anggota ini. Gagal ditutup pada hilang sesi, hilang array hak cipta, atau nilai hak cipta dari tipe salah - a sesi yang tidak dapat diklasifikasikan tidak satu untuk gelombang melalui. Allah berlalu, pencocokan setiap pemeriksaan hak lainnya di platform. Buku, grup dan operasi mereka mengikuti kontak yang mereka pegang: membuat buku atau sebuah grup adalah CREATE _ CONTACTS, memindahkan kontak antara mereka adalah EDIT _ CONTACTS, dan kedua hapus tapak plus bulk-delete adalah DELETE _ CONTACTS. Impor adalah penciptaan dan tiga jalur ekspor dibaca. Tidak ada benih. Semua tiga kata kerja melacak VIEW _ CONTACTS tepat - 28 peran, 47 anggota - dan tidak ada anggota memegang orang tua tanpa mereka, sehingga tidak ada yang kehilangan apa-apa.