- Shipped
- 23 września 2026 01:49 UTC
- Author
- Kamo
- Commit
- f7b2bd5
Cztery powiązane otwory, wszystkie te same kształty: żądanie zawierało uwierzytelnione Członek, a to było traktowane jako wystarczająco. - SessionFacesController.faces - Kto odpowiedział? I - odsiedział sesję Transkrypcja, twarze, skład lub paragony do dowolnego uwierzytelnionego członka ANY org, bez sprawdzania członkostwa w ogóle. Dodano tę samą bramę członkowską - już używać, plus ten Prawidłowy przypadek niebędący członkiem: wnioskodawca SUPPORT_TICKET, cesjonariusz lub Przydzielony własny personel wsparcia org (zbiornika SupportTicketService. GetTicket Obecna zasada). SYSTEM_BUG i EXEC2EXEC nie mają nic extra: kamo-internal nigdy nie czyta się ani przez te punkty końcowe (potwierdzone przeciwko aplikacji/api/support/system-bugs i aplikacji/api/support/exec2exec), a więc Zwykła odmowa członkostwa jest prawidłowa i utrzymuje tego kontrolera z dala od Działka reportera SystemBugThreadService. GetMessages' "limit" jest teraz zaciśnięty do 1.100; 0 funtów używanych do spadkiem do Nieograniczony odczyt całej historii. - MediaController.createMessage zaakceptował wszelkie dostarczone przez klienta "imgId" pętli mocowania z gołym imgRepository.findById i bez własności Sprawdź — Id Ids są gęste, więc każdy plik na platformie (dokładni, pacjent Wykresy, przesłane skarbce) można było dołączyć do czatu, który był już atakujący W, a następnie czytelny z powrotem od wiadomości. Teraz wymaga, aby Img należał do Własna organizacja nadawcy i albo jest zarejestrowana jako własna sesja tej sesji. przystawie (strojone Id-CHAT_ATTACHMENT, assocObjectId?Wykres sesji – patrz ChatAttachmentSat-atach) lub zostały utworzone przez nadawcę A sami. Oddziały SUPPORT_TICKET/SOCIAL tej samej metody, wcześniej Otwarte dla każdego członka na temat teorii, którą zwiedzający i członkowie systemu pokrywali Wymagają teraz dostępu do kuponu / agenty agenta lub połączenia zorg - Anonimowi goście nigdy nie osiągnęli tego punktu końcowego; publikują przez Własna, oddzielnie zachowana trasa PublicChatController. - i każdy WebChatIntegrationKontroller sprawdził tylko "podpisany do jakiegoś orgi". Teraz należy użyć odpowiedniej bramy ekranowej kamo-internal na (MANAGE_ACCESS_RULES dla kluczy API, MANAGE_CHAT_SETTINGS dla widgetu), Zakresy public-chat-key są zatwierdzane na tej samej liście dopuszczalnej Oferty APIManager.tsx — ręcznie wykonany zakres (np. API_SIGNATURE, który Publiczne API e-sygnaturów esigservice akceptuje samoistnie) jest teraz odrzucany Przechowywany dosłownie. - SupportTicketService's - tekst Mutacje sprawdziły, czy dzwoniącego trzymał ACCEPT_SUPPORT_TICKETS lub MANAGE_SUPPORT w IREJ organizacji, nigdy nie, że to był bilet Własny przydzielony org — lead wsparcia w org A może rozwiązać, ponownie przypisać lub eskalacja biletu org B przez id. wymaganie BicketZdługe dotknij mirrors getTicketOpis Żwogodni, cesjonariusz lub przydzielony personel pomocniczy org. StompDestinationAuthz teraz ochraniacze /topic/support/agent/-memberId3 Każdy inny temat w zależności od tego jest (subskrybuj: tylko członkostwo-równość; Wyślij: odmówić wprost, pasujący SupportStompPrzekaźnik Kontroler jest Tylko prawowity pisarz). Testy: SupportTicketAccessControlTest i - przypinaj nowe zasady bezpośrednio (mutacja Ws zweryfikowane: wykastrowanie - 5 z nich czerwony); StompDestinationAuthzTest i okładka Straż STOMP i zaktualizowane strony połączeń. Pełny test "mvn" zielony (1023 testy) przed tym commitem.