- Змішані
- 23 вересня 2026 р. о 01:21 UTC
- Авторизація
- Kamo
- Про нас
- 168cc8a
CheckFileInfo був єдиним кінцевим пунктом WOPI, який одночасно порівнював доступ до токену документ на шляху запиту та перереєстрований доступ до живого доступу; GetFile, PutFile, PutRelativeFile, RenameFile і замок/unlock/refresh/get-lock override тільки перевірили підпис токени та витривалість, потім діяли на будь-який imgId вгору в URL. Token minted by POST /api/docs/open/{imgId} для одного документа хто був законно відкритий, може читати або переписати будь-який інший документ у будь-яка організація шляхом редагування шляху, і може заблокувати, розблокувати або зонувати замок з будь-якого документа таким же чином. Читання-тільки поділитися власним дійсним жетоном одержувача може також переписати документ безпосередньо, обходячи прапорець користувача checkFileInfo вже розповіли редактора для виконання клієнтського боку. Кожен кінцевий пункт WOPI тепер вимагає суб'єкта JWT токени (imgId) ВопіТокенСервіс вивіски в м'ятий час) щоб зрівняти шлях Гиміда, і re-checks DocumentService.canUserAccess (читає: GetFile, GET LOCK) або canUserWrite (записи: PutFile, PutRelativeFile, RenameFile, LOCK/UNLOCK/ REFRESH LOCK) проти бази даних, а не довіряючи вимог токена — доступ може бути відкликаний або завершений після того, як токени передається, так що жива перевірка є суворо сильніший, ніж статичний дозвіл. Згущений токен-аутентичний byte читати /писати зараз записано через DocumentAccessAuditor таким же чином вже недійсним токени. Новий тест: WopiControllerAccessTest (11 випадків, що охоплюють кожну кінцеву точку вище); мутаційно-перевернуті ВопіController зміни локально, які перетворює всі 11 червоних, потім відновлюється. WopiControllerAuditTest і WopiEditSessionTest оновлюється для того, щоб перевірити наявний доступ, оскільки всі наявні випадки Прийміть довідник.