Naudoc/Zope

Вчера столкнулся с загадкой.

СЭД Наудок, непривилегированный пользователь, скажем, Х видит две папки, которые ему видеть не положено. Проверяю настройки доступа для этих папок и по иерархии – все правильно, доступ для Х закрыт.

Но он их видит. Мало того, он их может редактировать.

Возюкался я целый час, копаясь в настройках папок, пока не вспомнил, что когда-то я из-под этого пользователя сделал две образцовые папки, причем хитрым образом. Через генерацию документа в действии, срабатывающем в переходе жизненного цикла другого документа. Генерируемый документ должен был попадать в подпапку. И если подпапки нет, она создается.

Потом я под учеткой админа эти папки скопировал в другое место и переконфигурировал.

И вот вчера я на них напоролся. Х видит эти папки, хотя и владелец у них уже другой, и доступ к ним сильно ограничен.

Очевидно, настройки security для папок в Naudoc/Zope таковы, что Автор, то есть тот, кто создал папку, назовем его Х, имеет привилегии редактирования в этой папке. Это, казалось бы, банально. Но, если админ эту папку скопирует куда либо еще, после чего поменяет этой папке владельца, задаст через контроль доступа привилегии такие, что Х там вообще отсутствует, тогда Х по прежнему имеет привилегии редактирования в этой папке.

В интерфейсе нигде не видно, что Х имеет отношение к этой папке. Но факт упрямый, Х может с этой папкой сделать что угодно.

Что с этим делать – непонятно. Нет, ну можно как-то через скрипты сбросить все роли и прочие атрибуты, наверное. Я просто убил эти папки и сделал их заново от имени админа.

original post http://vasnake.blogspot.com/2015/02/naudoczope.html