- Shipped
- 23 settembre 2026 alle ore 07:49 UTC
- Author
- Kamo
- Commit
- 0893174
****************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************** controllare da qualche parte sulla strada, e controllare che il CALLER ha avuto una sessione ma ha passato solo il membro di destinazioneId ad AliasService, mai l'org del chiamante. In entrambi i casi, qualsiasi membro autenticato di qualsiasi organizzazione potrebbe enumerare qualsiasi altra organizzazione mailbox assegnazioni o alias semplicemente camminando ids membro. # Now take the caller's orgId and Filtri mailboxs by # Lo stesso modo in cui... filtra gia' la ricerca equivalente. per il membro registrato; # Ora esegue il repository org-scoped query (findByMemberIdAndOrgId) il raccoglitore composto già utilizza invece dell'unscoped TrovaByMemberId. Un membro al di fuori dell'org del chiamante ora semplicemente non corrisponde a niente, esattamente come uno senza mailbox/aliases, piuttosto che rispondere con i dati di un altro inquilino. Deliberatamente non è stato anche portato dietro un diritto: un solo chiamante di kamo-internal ****************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************** Controlla, non e' cosi'. schermo realmente richiede rischiato romperlo per i molti ruoli che tengono ACCESS MAIL senza il più stretto diritto — una decisione del prodotto che questa soluzione non fa. Non e' vero. E' una cosa che non va. AliasControllerMemberScopeTest fallisce senza cambiamento — un membro id in un'altra organizzazione Attualmente restituisce le file reali di quell'organizzazione invece di una lista vuota.