- Порезанный
- 18 октября 2026 г. в 18:55 UTC
- Автор
- Kamo
- Обещать
- e2b81bd
Коммерческие счета: Инвойс-контроллер InvoicingService не проверяет право по дизайну (ожидает) Служба безопасности владеет сессией и правами) и ничего ей не передала. /api/security/commerce-счета это дверь: список, один и PDF взять VIEW SUBSCRIPTION INVOICES (или MANAGE ); Заказ, оформление, аннулирование и получение кредита MANAGE SUBSCRIPTION INVOICES (@RequireRight). Орг и актер приходят только с сессии; идентификаторы проверяются до того, как они достигнут пути. Нет закладки: существующие права, нет экрана. Billing: BillingService забирает личность у X-Org-Id/X-Member-Id, поэтому не является владельцем сеанса браузера (SI) Инструментальная плоскость) нуждается в надежном прыжке. /api/security/billing передаёт только фиксированный список — собственный план/охват/ право на участие / оповещения, каталог плана, **************** и место организации присваивать/удалять — штамповка обоих заголовков с сессии; BillingService решает каждый (собственный счет, владелец, VIEW /MANAGE ORG BILLING), а для записи места здесь также нужен владелец или MANAGE ORG BILLING. Способы оплаты, Покупка/отмена мест, изменение плана и выставление счетов никогда не передаются. Заполнение: MANAGE ANALYTICS (440) высевается из VIEW ANALYTICS на загрузке, которая вводит его (каждый Пользователь аналитики может изменить его под общим входом в систему; VIEW /MANAGE ORG BILLING не передается никому.