Empeche un staff de se sanctionner lui-meme #2850
Conversation
|
Le cacher dans le template c'est bien, mais coté back-end ce n'est pas interdit, ça signifie que c'est potentiellement faisable via l'API par exemple. |
|
Ah oui c'est tres vrai ca |
|
|
| @@ -428,6 +428,9 @@ def modify_profile(request, user_pk): | |||
| profile = get_object_or_404(Profile, user__pk=user_pk) | |||
| if profile.is_private(): | |||
| raise PermissionDenied | |||
| if request.user.profile == profile: | |||
| messages.error(request, u"Vous ne pouvez pas vous sanctionner vous-même !") | |||
|
|
|
Rapport de QA: pas OK. À priori, je peux toujours faire des bétises via l'API: Je suis moi:
Se bannir sois-même :
(d'ailleurs, je devrais même plus être capable de faire quoique ce soit après, re-BUG) Se mettre sois-même en lecture seule:
(pareil, ça m'empèche de rien faire sur l'API) |
|
Voili voilou, le site et l'API ont le meme comportement :) |
|
Rapport de QA; ok pour moi, cette fois :) |
Empeche un staff de se sanctionner lui-meme
Un staff ne peut plus se sanctionner lui-meme par accident.
QA
Verifier qu'un staff peut bien sanctionner tout le monde (ban, LS) (sauf les robots) mais pas lui-meme.
Verifier via l'API serait bien aussi...