• Познакомьтесь с пентестом веб-приложений на практике в нашем новом бесплатном курсе

    «Анализ защищенности веб-приложений»

    🔥 Записаться бесплатно!

  • CTF с учебными материалами Codeby Games

    Обучение кибербезопасности в игровой форме. Более 200 заданий по Active Directory, OSINT, PWN, Веб, Стеганографии, Реверс-инжинирингу, Форензике и Криптографии. Школа CTF с бесплатными курсами по всем категориям.

Запрет View

  • Автор темы xKlonx
  • Дата начала
X

xKlonx

Можно ли как - нибудь запретить удаление записей во вьюхе по ролям ???
 
T

TIA

Запись во вьюхе - документ. В DatabaseScript есть событие QueryDocumentDelete. В нём и можно проверить права на удаление документов.
 

Medevic

Что это ? :)
Green Team
10.12.2004
3 334
1
BIT
4
Только это не помешает удалить через скрипт.
 
A

Akupaka

Только это не помешает удалить через скрипт.
тогда надо этим ролям доступу не давать... вернее, давать доступ, кроме этих ролей...
а вообще, лучше удаление доков физически вообще убрать, а менять форму или признак добавлять в документ, что он удален и не отображать в обычных видах.
 

ToxaRat

Чёрный маг
Green Team
06.11.2007
3 332
42
BIT
0
главное что в обычном клиенте есть дебаггер и зайдя в базу по дебаггу можно отключить скрипт и тогда можно удалять вся и всех :)
 
A

Akupaka

Тогда документы и во вьюшке не будут видны
не, ну на чтение при этом можно же дать доступ :)

главное что в обычном клиенте есть дебаггер и зайдя в базу по дебаггу можно отключить скрипт и тогда можно удалять вся и всех
можно закрыть дизайн
 

lmike

нет, пердело совершенство
Lotus Team
27.08.2008
7 933
609
BIT
178
тогда надо этим ролям доступу не давать... вернее, давать доступ, кроме этих ролей...
а вообще, лучше удаление доков физически вообще убрать, а менять форму или признак добавлять в документ, что он удален и не отображать в обычных видах.
целиком поддерживаю...
выше автора не д.б. доступа у юзеров
и удаление - "вредная" фича...
стабы, треши, софт-удаление - всё имеет свои особенности и "неприятности"...
и это извечный вопрос - "я удалил документ и почистил трэш - как мне восстановить документ" :)
к этому добавим "потерянные" респонсы...
ужос
 
T

turumbay

Можно ли как - нибудь запретить удаление записей во вьюхе по ролям ???
Резюмируя вышесказанное:
- можно отключить эту возможность в интерфейсе, используя queryDocumentDelete. При этом грамотный пользователь все равно сможет удалять документы. Если это устраивает( а так тоже бывает ) , то вперед...
- можно понизить неугодных в acl, запретив им удаление документов. Этот вариант более правильный, но есть нюансы:
продвинутый пользователь, имеющий право редактировать документ может ( при желании ) тупо затереть все поля в документе ( или, например, изменить документ таким образом, чтоб документ не попадал во вьюху и т.п. ). В большинстве случаев это считается криминалом и борьба с этим выносится на уровень СБ организации.
Для защиты от дурака хватит queryDocumentDelete. А для минимальной защиты от злоумышленника необходимо применять следующий набор средств: авторз+ридерз+бэкап+угроза физической расправы.
 
T

turumbay

зы: можно поле сделать Protected, тогда у умеющего все меньше возможностей, если ТУД корректен...
дык я ж писал про минимум защиты :)
есть еще шифрование полей, электронная подпись и прочие прелести жизни. но есть подозрение, что построение качественной защиты от внутреннего врага исключительно программными средствами невозможно.
 
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!