- Navios
- 23 de setembro de 2026 às 02:12 UTC
- Autor
- Kamo
- Enviar
- fbdc871
Mais três da mesma forma. - WebRTCSignaling Controlador retransmitido A usar apenas a carga. sessionGuid próprio, sem nada verificado sobre o chamador CONNECTED - **************** são exactamente como controlado pelo cliente como a própria sessão guid. Cada responsável agora se recusa a retransmitir a menos que o O próprio membro da sessão do STOMP (marcado no CONNECT, nunca fornecido pelo cliente) é membro dessa sessão. O companheiro SUBSCRIBE-lad gap in StompDestinationAuthz (/tópico/webrtc/session/ e /tópico/chat/session/ não estão guardados lá) precisa de uma mudança no WebSocketConfig.preSend, que esta tarefa explicitamente reservada para um agente diferente que fixa um registo descobrindo nesse arquivo — deixado sozinho aqui para evitar a colisão; sinalizando para o coordenador. - Está bem. updateWebinarType, deleteWebinarType, addPresenter, updatePresenter, removerPresenter, addReminder e RemoveReminder tudo verificado MANAGEM SUPPORT na própria org do chamador, mas nunca a comparou com o org de propriedade real do ID — um gestor em qualquer lugar a plataforma poderia editar, excluir ou restaff qualquer outro webinar de org catálogo por id. Adicionado ******************* lembreteOwnerOrgId (a mesma forma que a restrição existenteOwnerOrgId) e um needIfNotOwn* verifica o controlador antes de cada mutação. getScheduledWebinars(typeId) retornou o nome e e-mail de cada participante qualquer org elegível para a inscrição do tipo — que, para um tipo de empresa-mãe, podem ser várias orgs de crianças não relacionadas com nada a ver um com o outro; agora omite a lista (attendeeCount é tudo WebinarScheduleWizard.tsx nunca renderizado a partir dele) em vez de ligar o endpoint em si, que teria quebrado esse fluxo legítimo de reservas cross-org. cancelarWebinar não tinha nenhum direito de verificação; agora o apresentador atribuído ou a reserva O próprio titular do MANAGEM SUPPORT pode cancelar, mais ninguém. - E o CanvaRecipeController. apenas que o chamador foi assinado na org, combinando nenhum dos seus próprios Página de configurações de materiais (MANAGEM MATERIAIS, +MANAGEM SOCIAL MEDIA uma vez são fixados objectivos sociais). runAsMemberId foi armazenado na íntegra do organismo requerente — qualquer identificação de membro em qualquer org — para que possa ser feita uma tabela para executar a geração de Canva recorrente, e auto-post para o próprio org social contas, usando um token Canva de membro completamente não relacionado. Agora validado contra a própria organização do chamador, e CanvaScheduleSweep verifica novamente o mesmo fato no tempo de execução no caso de uma linha antecede a correção ou um membro posterior muda org. Ensaios: **************************** WebinarCrossOrgOwnershipTest and **************************** pino as novas regras contra os controladores/serviços reais (MockMvc sobre um simulado service/AuthHelper, correspondência de GamesEntitlementEndpointTest raciocínio próprio por que o próprio portão deve ser real). Mutação verificada: castrando o verificação de propriedade na atualizaçãoWebinarType e na execuçãoAsMemberId org verificar cada Virou exactamente o teste feito para ele vermelho. Teste completo `mvn` verde antes deste commit.