[SHARE] Sécurité et accès direct via URL.Droits utilisateurs

[smaleyrie]

Bonjour,
j'étudie en ce moment les possibilités d'Alfresco share,
je travaille avec la 3.0

J'ai remarqué que la gestion utilisateurs était pas complète (a mon sens, gestion des compte que dans Alfresco GED, et pas dans share, dans share, que les droits sur les sites …)

Bref, j'ai testé et ai été surpris de ce scénario :

Je me log avec un utilisateur : tom

j'accède donc à mon dashboard (url : http://localhost:8080/share/page/user/tom/dashboard)

La, je modifie directement l'adresse en http://localhost:8080/share/page/user/admin/dashboard pour aller voir le dashboard admin, ce qui doit m'être interdit

Et ben, ça marche….

Et il en est de même pour accéder a des sites privé dont je ne suis pas collaborateur.

Bref, je me demandais si ces problèmes de sécurité m'étaient propre, ou est ce que tout le monde a ça ?

Est ce normal ?

De plus, est-il possible sans modifier du code de faire en sorte que certains utilisateur seulement crée dans Alfresco GED puissent accéder à SHARE ?

Bref, vous l'avez compris, j'ai besoin de plus de renseignement sur ces droits utilisateurs et problemes de sécurité.

ps : j'ai mémé essayer sur la version hébergé en ligne d'alfresco ce problème, et avec mon compte, j arrive à accéder au dashboard admin aussi… Bizarre..

Merci a ceux qui auront des réponses, et me donneront de quoi creuser plus ces questions.

[michaelh]

Bonjour,

Je ne reproduit pas le comportement que vous décrivez.

Ce que j'arrive à faire :
- Accéder à ce qui semble être le tableau de bord d'un utilisateur, mais qui présente en fait mes données, pas les siennes (la disposition est bien la sienne par contre).
- Accéder au tableau de bord du site, mais sans afficher les données non plus, et avec une erreur dès que j'essaie d'accéder à de l'information (ex : partie documentaire)

En bref, je n'accède jamais à des données sur lesquels je n'ai pas de droit d'accès même si le fait de récupérer la disposition générale en donne l'impression.
Pouvez-vous le confirmer ?

[smaleyrie]

Bonjour,

oui, en effet, il s'agit bien de ce probleme
Je me suis mal exprimé, ou est mal decrit mon probleme
En effet, les portels qui contiennent des infos propres aux utilisateur ne sont pas visibles
Par contre, les portlets de type web view, flux rss, eux, on les voi…
Je trouvais ca donc assez étrange.
J'aurai préféré une page d'erreur avec : Accès refusé, vous n'étes pas le bon utilisateur quelque chose comme ca…

Je trouve donc, que meme dans l'état, c'est un probleme majeur…

Qu'en pensez vous ?
Merci pour vos réponses…