- Shipped
- 23 settembre 2026 alle ore 03:50 UTC
- Author
- Kamo
- Commit
- bb3ff15
Non c'e' problema. sessione — qualsiasi membro autenticato potrebbe creare una casella di posta condivisa, cancellarne uno, o concedersi (o chiunque) l'accesso a uno che non sono mai stati dati, e SharedMailboxMailController poi legge e invia attraverso quella riga di accesso. Org scoping già esisteva allo strato di servizio; niente sopra di esso mai chiesto se il chiamante è stato permesso di gestire caselle di posta condivise a tutti. I cinque richiedono ora MANAGE EMAIL ACCOUNTS, l'equivalente destro di MailboxController personal-mailbox admin azioni già far rispettare (2026-08-14) — stessa schermata di impostazioni, stessa classe di azione. Il punto finale della lista non è rifiutato per un chiamante senza il diritto: cambia forma invece, rispondere solo alle caselle di posta a cui il membro è stato concesso l'accesso (il set /my-access già risposte), mai la lista dell'intero org. ****************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************** altrimenti successo (200) invece di essere rifiutato (403), e la lista non privata tornerebbe ogni casella di posta nell'org invece che solo il chiamante.