Les trez veulent pouvoir accéder à l'historique complet des comptes #13 et LIQ #293

New issue

Closed

opened 2021-10-02 11:39:50 +02:00 by mpepin · 5 comments

mpepin commented

2021-10-02 11:39:50 +02:00

(Migrated from git.eleves.ens.fr)

Pas de question de vie privée en jeu ici (il me semble ?) :

LIQ compte les consos en liquide ;
#13 et un compte spécial utilisé uniquement pour de la trésorerie.

Pas de question de vie privée en jeu ici (il me semble ?) : - LIQ compte les consos en liquide ; - #13 et un compte spécial utilisé uniquement pour de la trésorerie.

dlesbre commented

2021-12-15 10:07:02 +01:00

(Migrated from git.eleves.ens.fr)

Je peux essayer de faire ça vu que c'est moi qui avait fait la limite de date dans l'historique.

Les trez ont un compte/des permissions particulières pour les identifier, ou je donne la capacité a tous ceux uqi ont la permission kfet.access_old_history ?

Je peux essayer de faire ça vu que c'est moi qui avait fait la limite de date dans l'historique. Les trez ont un compte/des permissions particulières pour les identifier, ou je donne la capacité a tous ceux uqi ont la permission `kfet.access_old_history` ?

dlesbre commented

2021-12-15 20:37:45 +01:00

(Migrated from git.eleves.ens.fr)

mentioned in merge request !508

mpepin commented

2022-06-16 16:57:27 +02:00

(Migrated from git.eleves.ens.fr)

Je viens de voir que ce truc avait été réglé, cimer 👍

Il faudrait le passer en prod, ça m'a été demandé récemment.

Je viens de voir que ce truc avait été réglé, cimer :+1: Il faudrait le passer en prod, ça m'a été demandé récemment.

mpepin commented

2022-06-16 17:01:04 +02:00

(Migrated from git.eleves.ens.fr)

renommer #13 en #14
changer mon trigramme en #13
consulter mon historique complet avec la permission trésorier

Je pense qu'il serait judicieux de rajouter (si ce n'est pas déjà fait) un test pour interdire de modifier le trigramme #13 ou de l'attribuer à quelqu'un

Au fait, je me pose une question : est-ce que cette feature ne donnerait pas un moyen détourné d'accéder à l'historique de n'importe qui ? J'ai l'impression qu'en l'état actuel des choses, une personne malveillante avec les permissions appropriées pourrait : 1. renommer `#13` en `#14` 2. changer mon trigramme en `#13` 3. consulter mon historique complet avec la permission trésorier Je pense qu'il serait judicieux de rajouter (si ce n'est pas déjà fait) un test pour interdire de modifier le trigramme `#13` ou de l'attribuer à quelqu'un

lstephan commented

2022-06-16 17:11:20 +02:00

(Migrated from git.eleves.ens.fr)

Normalement c'est déjà le cas; cf ici et là

Normalement c'est déjà le cas; cf [ici](https://git.eleves.ens.fr/klub-dev-ens/gestioCOF/-/blob/master/kfet/models.py#L143) et [là](https://git.eleves.ens.fr/klub-dev-ens/gestioCOF/-/blob/master/kfet/views.py#L347)