- Navios
- 10 de agosto de 2026 às 18:04 UTC
- Autor
- Kamo
- Enviar
- 987756a
GET /api/calendar/calendars tomou userId como parâmetro de solicitação, então mudando um número no URL leu os calendários de qualquer pessoa — e porque os calendários foram transportados Nenhuma organização, em todos os inquilinos. Pior, nenhuma mutação verificada qualquer coisa: POST encadernou um UserCalendar inteiro para que o chamador escolheu seu proprietário, e PUT e DELETE em calendários e eventos resolvidos por ID sem Teste de propriedade, qualquer que seja. Qualquer membro pode editar ou apagar qualquer um. Organização e membro agora ambos vêm da sessão estabelecida. O MemberCalendarService mantém o caminho de membros. CalendárioServiço fica a fachada de nível de entidade CalDAV e a partilha de sincronização externa, porque autenticar uma conta em vez de uma adesão — uma verdadeira diferença Espectro, não um descuido. O calendário da organização é legível por cada membro e só pode ser escrito com CREATE ORG CALENDAR EVENTS. Uma recusa é 403, não 404: o membro pode ver o calendário, então fingir que não existe seria uma mentira o cliente não pode agir. Um cliente também não pode promover seu próprio calendário enviando isOrgCalendar — essa bandeira é ignorada ao criar. Os carregamentos tornam-se DTO. Membro, organização e utilizador das entidades associações são preguiçosas, então Jackson os tornou nulos e um cliente poderia não dizer de quem era o calendário. O evento DTO carrega é Privado e éRecorrendo mesmo que nada aqui varia neles: o modal liga-se a ambos interruptores, e um valor em falta torna uma entrada controlada descontrolada. listEvents também aceita startDate/endDate. O navegador sempre enviou aqueles contra uma assinatura que encaderne apenas start/end, então cada pedido chegou com Nenhuma janela.