• 15 апреля стартует «Курс «SQL-injection Master» ©» от команды The Codeby

    За 3 месяца вы пройдете путь от начальных навыков работы с SQL-запросами к базам данных до продвинутых техник. Научитесь находить уязвимости связанные с базами данных, и внедрять произвольный SQL-код в уязвимые приложения.

    На последнюю неделю приходится экзамен, где нужно будет показать свои навыки, взломав ряд уязвимых учебных сайтов, и добыть флаги. Успешно сдавшие экзамен получат сертификат.

    Запись на курс до 25 апреля. Получить промодоступ ...

Профильные документы

  • Автор темы K-Fire
  • Дата начала
K

K-Fire

Хочу запретить изменение полей профиля. Т.е. чтобы юзер с администраторскими правами имел возможность редактировать содержимое, остальные юзеры нет.
Создаю профиль через специальную форму, запихиваю туда авторское поле. Все нормально, обычные юзеры открывая профиль @command(EditProfile) документ редактировать не могут. Однако пробую через @SetProfileField() - это команда обходит авторское поле, и обычный юзер изменяет значение поля.

Что делать, кто подскажет? От профилей избавляться очень не хочется, нужно высокое быстродействие, а безопасность не должна нарушаться, особенно для пользователей имеющих дизайнерский доступ.
 
A

allex

Ограничь это ролью и соответственно editmode
 
O

Omh

Я вот думаю, а Readers/Authors поля работают в профайлах?
 
K

K-Fire

В общем порыл редбуки, там сказано что для выполнения @SetProfileField нужно только уровень доступа Автор, авторские поля игнорируются.

Интересно, какому индусу такое в голову пришло? <_<
 
D

dobozy

В общем порыл редбуки, там сказано что для выполнения @SetProfileField нужно только уровень доступа Автор, авторские поля игнорируются.

Интересно, какому индусу такое в голову пришло?

Если честно, странно!
Помню у меня были обратные проблемы :). А профиль персонифицированный или общий?
Советую открыть базу NotesPeek-ом и посмотреть внутринности профиля там.
Возможные проблемы:
1. При вызове @SetProfileField вы передаёте profilename, которого еще нет и он это собака его создаёт.
2. Доступ всё-таки у юзера выше чем Автор.
3. Нет реально поля типа Authors. Проверьте через NotesPeek.



Еще в догонку вспомнил.
При создании профиля, явно создайте поля типа Authors и присвойте туда роль скажем [Admin].
 
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!