[spip-dev] sécurité de page=table:forum et page=table:messages

Dev
1

Dans le modèle de sécurité classique de SPIP les administrateurs n'ont
PAS le droit d'aller lire les messages privés de leurs petits
camarades. Ces tables doivent donc être protégées des regards via la
nouvelle feature.

Possibilités :
- les filtrer au niveau de la feature
- utiliser autoriser('webmestre')
- exiger une activation délibérée

-- Fil

2

Je suis plutot pour la 2e: vertebrer est avant tout destiné à l'installateur qui peut ainsi vérifier facilement que ses tables (surtout sur base externe) sont accessibles, et comprendre les possibilités de SPIP. Tout est fait pour qu'il puisse sauvegarder le squelette produit s'il veut effectivement donner accès à la dite table.

Committo,Ergo:Sum

3

> Possibilités :
> - les filtrer au niveau de la feature
> - utiliser autoriser('webmestre')
> - exiger une activation délibérée

Je suis plutot pour la 2e: vertebrer est avant tout destiné à
l'installateur qui peut ainsi vérifier facilement que ses tables
(surtout sur base externe) sont accessibles, et comprendre les
possibilités de SPIP. Tout est fait pour qu'il puisse sauvegarder le
squelette produit s'il veut effectivement donner accès à la dite table.

OK ; dans ce cas autoriser('webmestre') doit devenir une feature
officielle de SPIP, pas seulement un truc du plugin Autorité. Par
défaut ce serait l'auteur id=1 (et à condition qu'il soit 0minirezo
non restreint)

-- Fil

4

> > Possibilités :
> > - les filtrer au niveau de la feature
> > - utiliser autoriser('webmestre')
> > - exiger une activation délibérée
>
> Je suis plutot pour la 2e: vertebrer est avant tout destiné à
> l'installateur qui peut ainsi vérifier facilement que ses tables
> (surtout sur base externe) sont accessibles, et comprendre les
> possibilités de SPIP. Tout est fait pour qu'il puisse sauvegarder le
> squelette produit s'il veut effectivement donner accès à la dite table.

OK ; dans ce cas autoriser('webmestre') doit devenir une feature
officielle de SPIP, pas seulement un truc du plugin Autorité. Par
défaut ce serait l'auteur id=1 (et à condition qu'il soit 0minirezo
non restreint)

C'est fait en [10996]

-- Fil