- Змішані
- 2 серпня 2026 р. о 18:21 UTC
- Авторизація
- Kamo
- Про нас
- f344bef
PUT і DELETE на /api/security/job-titles/{id} і /api/security/departments/{id} Вирішені без сеансу на всіх — вони читають UUID з шляху і називають прямо через послугу. Оскільки ResourceServerConfig дозволяє кожному запиту та APIService relays /api/security/** без шлюзу, як було досягнуто неупереджений з інтернету. UpdateJobTitleRequest і UpdateDepartmentПошук як прави про перенесення[] і рольІдс[], тому PUT був дистанційним примітивом проекції привілеїв; DELETE знищили інші об'єкти доступу до орендаря. Застосувати такі ж драбини, що кріпляться GET /{id} обробники в цих файлах вже використовується: no session => 401, невідомий id => 404, ряд за межі org => 403, і в кожному негативному випадку сервіс ніколи не досягається. Не звертайтесь тут: автентифікований учасник org ще може редагувати свій власний Заголовки роботи org без особливого права, оскільки не існує такого права рольВимірювання. Впровадження одного з потреб KamoInitializer пробіг плюс грант, тому належить до роботи авторизації дені-за замовчуванням, а не цієї фіксації.