• 15 апреля стартует «Курс «SQL-injection Master» ©» от команды The Codeby

    За 3 месяца вы пройдете путь от начальных навыков работы с SQL-запросами к базам данных до продвинутых техник. Научитесь находить уязвимости связанные с базами данных, и внедрять произвольный SQL-код в уязвимые приложения.

    На последнюю неделю приходится экзамен, где нужно будет показать свои навыки, взломав ряд уязвимых учебных сайтов, и добыть флаги. Успешно сдавшие экзамен получат сертификат.

    Запись на курс до 25 апреля. Получить промодоступ ...

Доступ к полю

  • Автор темы Chron
  • Дата начала
C

Chron

Всем привет... Возникла необходимость осуществления следующей задачи... В документе есть ричтекстовое поле... Необходимо позволить группе лиц из заранее известного поля делать вложения в это поле, причем так, чтобы впоследствии они могли удалять только свои вложения (не чужие)... Хотел бы услышать ваших советов по этому поводу... Благодарю..
 
M

morpheus

делать вложения не в тек. документ а в ответные
 
A

alik86

Можно сделать кнопки на добавление и удаление. На добавление кроме всего прочего вешаем запись некого ключа в некое служебное многозначное поле (что-то вроде Пользователь~ИмяВложения). На кнопку удаления соответственно вешаем проверку того, чье вложение пользователь пытается удалить. Можно же?
 

NickProstoNick

Статус как статус :)
Lotus Team
22.08.2008
1 851
27
BIT
0
alik86
Единственное может не имя вложения... а какой-нибудь код... Object ID аттача например... а то геморно будет отслеживать... а вдруг какой-нибудь юзер захочет написать уже существующее имя
 
D

Darker

А если юзер помимо всего два раза щелкнет не на свое вложение? Есть предложение как системное "Удалить" скрыть от него?
 
N

nvyush

Darker
1. Вариант от Morpheus: одно вложение — один документ с одним автором (кмк, самый родной вариант для Lotus).
2. Вычисляемое рт или рт в разделе с контролем доступа, добавление/удаление вложений в бэкэнде.
 
C

Chron

А нельзя как-то отследить вложение по автору вложения... Например, если ты автор вложения, то и делать можешь с ним все, что угодно...
 
N

nvyush

А нельзя как-то отследить вложение по автору вложения... Например, если ты автор вложения, то и делать можешь с ним все, что угодно...
Одно вложение — один документ, защищённый полем Authors. Можно документы с вложениями сделать дочерними главному документу и показывать их во внедрённом представлении.
Защита на уровне разделов с контролем доступа чисто интерфейсная, в бэкэнде пользователь, имеющий к документу права автора имеет возможность менять любое поле (при достаточной сноровке).
 
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!