Matrica uloga

Potpun pregled onoga što svaka uloga u ovom wikiju dopušta i ne dopušta, razinu po razinu. Ova je stranica jedini izvor vrijednosti ovlaštenja; sve ostale stranice upućuju ovamo umjesto da vrijednosti ponavljaju.

Razine se pitaju ovim redoslijedom i svaka smije samo odbiti. Uloga na razini 3 ne može dodijeliti ono što je razina 1 uskratila.

Osnovna ljestvica. Vrijedi za svaku stranicu i svaki imenski prostor i jedina je razina koja radi i bez ijedne komponente ove kuće.

DokuWiki vrednuje najodređenije pravilo, a ne najviše. Redom:

1. Pravilo za ovaj račun na ovoj stranici.
2. Pravilo za grupu ovog računa na ovoj stranici — ako ih je više, pobjeđuje najviše.
3. Ista dva koraka u sljedećem višem imenskom prostoru, sve do korijena.
4. Ništa ne odgovara: bez pristupa.

Pravilo računa nadjačava svako grupno pravilo iste razine, čak i ako je niže. Tako se pojedinačni račun isključuje iz područja koje je njegovoj grupi otvoreno.

Ova razina ne pita tko ste, nego koliko je dobro ova jedna sjednica to dokazala. Najčešći je razlog da ste prijavljeni i svejedno odbijeni.

Zahtjev se veže na opseg. Postoji osam vrsta:

• namespace — sve stranice ispod prefiksa.
• plugin, module, view — komponenta, modul u njoj, pojedinačni prikaz.
• command, adminAction — naredba, odnosno administrativna radnja.
• group, user — vezani uz onoga tko traži umjesto uz cilj: „ova grupa uvijek treba TOTP”.

Ako ih se poklapa više, vrijedi najviši. Sjednica koja je dokazala MAIL_OTP zadovoljava MFA_ANY i MAIL_OTP, ali ne i TOTP.

email_users može metodu samo dodati, nikada oduzeti. Datoteka pravila koja nedostaje ili je nečitljiva stoga nikoga ne može zaključati.

Unutar projekta vrijedi vlastita, uređena ljestvica. Ona određuje koja se radna područja pojavljuju u navigaciji i tko smije mijenjati popis članova projekta.

Najprije grupni sloj, zatim ACL. Pobjeđuje prvo poklapanje:

1. Superadministracija → admin.
2. Član grupe @dwdo_<projekt>_maintainers → maintainer.
3. Član grupe @dwdo_<projekt>_contributors → contributor.
4. Član grupe @dwdo_<projekt>_readers → reader.
5. Inače: prevesti ACL vrijednost na korijenu projekta — od 16 → maintainer, od 2 → contributor, od 1 → reader, inače none.

Prefiks dwdo_ može se podesiti (roleprefix). Uloga se uvijek utvrđuje na korijenu projekta, nikada na stranici koju upravo gledate — ona je svojstvo projekta, a ne poziva.

Radna područja koja uloga ne doseže skrivaju se u navigacijskoj traci. To je odluka o prikazu, a ne zaštita: odredišna stranica sama provjerava svoje ovlaštenje. Nestala stavka stoga znači „ovdje za vas nema ničega“, a ne „ovdje je nešto skriveno”.

Pojedine komponente dodatno vode vlastitu ljestvicu jer njihov predmet nije wiki stranica.

Četiri stepenice jedne ljestvice, izražene istim brojevima kao razina 1 — nema, dakle, drugog spremišta ovlaštenja, nego jedan ACL redak po grupi na točki montiranja.

Za nove točke montiranja postoje četiri predloška:

team je jedina razina čije grupe ovise o projektu. Pravi je izbor čim više zatvorenih projekata stoji jedan uz drugi: ostale tri poznaju samo „nitko“, „svi prijavljeni” i „svi“.

Matrica sposobnosti umjesto ljestvice, jer je šest sposobnosti doista neovisno.

Razrješenje, pobjeđuje prvo poklapanje:

1. Superadministracija → uvijek dopušteno.
2. Ako je dbadmin_readonly na 1, write i design su odbijeni — i ondje gdje ih matrica dodjeljuje.
3. Pravilo za vezu nadjačava globalno; unutar jednog opsega pravilo računa nadjačava svako grupno pravilo. Grupna pravila istog opsega se zbrajaju.
4. Nema odgovarajućeg pravila → odbijeno.

Više komponenata za pojedine radnje dodatno traži jamstvo sjednice prema razini 2, neovisno o ovlaštenju koje račun ima.

Zaslon članova projekta jedini je koji ne treba globalnu administraciju. Zato je on odredište na koje se usmjerava zahtjev za pristupom projektu — vidi Kamo zahtjev ide.

Vlastita komponenta svoje odbijanje vješa na istu infrastrukturu umjesto da piše vlastitu rečenicu. Dovoljna su dva poziva.

Odbijanje zbog nedostajućeg ovlaštenja:

$req = plugin_load('helper', 'wkrequest');
if (is_object($req) && method_exists($req, 'accessPanel')) {
    echo $req->accessPanel([
        'resourceLabel' => $naslov,
        'required'      => $req->permissionLabel(AUTH_READ),
        'current'       => $req->currentPermissionLabel($idStranice),
        'draft'         => [
            'type'     => 'ACCESS_REQUEST',
            'owner'    => 'mojdodatak',
            'handler'  => 'mojdodatak:postavke',
            'resource' => $idStranice,
        ],
        'alternatives'  => [['label' => $drugiPut, 'href' => $url]],
    ]);
}

Odbijanje zbog nedostajućeg drugog faktora:

echo $req->stepUpPanel([
    'requirement' => 'MFA_ANY',
    'origin'      => 'mojdodatak:brisanje',
    'back'        => $urlPovratka,
]);

Prijava, „moji otvoreni zahtjevi” i povratni put dodaju se a da pozivno mjesto na njih ne mora misliti; svaki od njih sam se proglašava nedostupnim u položaju u koji ne pristaje i tada se izostavlja.

Da bi zahtjev stigao na pravo mjesto, komponenta prijavljuje svoj administrativni zaslon:

$controller->register_hook('WKREQUEST_REGISTER_HANDLERS', 'BEFORE', $this, 'registerRequestHandlers');
// ...
$event->data['handlers'][] = [
    'owner' => 'mojdodatak',
    'id'    => 'postavke',
    'label' => $this->getLang('menu'),
    'url'   => wl('', ['do' => 'admin', 'page' => 'mojdodatak'], true, '&'),
    'types' => ['ACCESS_REQUEST', 'ADMIN_ACTION_REQUEST'],
];

Ako komponenta zatvoreno područje poznaje bolje od jezgre, ploču izoštrava umjesto da pokraj nje nacrta drugu:

$controller->register_hook('WKREQUEST_REFINE_DENIED', 'BEFORE', $this, 'refineDeniedRequest');

$event->data tada nosi id, resourceLabel, required, current, facts, alternatives i draft. Vraćene vrijednosti preuzimaju se pojedinačno; neupotrebljiva se odbacuje i ostaje općeniti odgovor.

Mjesta na kojima model danas pruža manje nego što ostatak ove stranice nagovješćuje. Navedena su jer praznina koju nitko ne imenuje izgleda kao čitateljeva pogreška.

• Uloge i ovlaštenja — ulaz i putokaz.
• How to: zatražiti pristup — put od odbijanja do zahtjeva.
• Zašto mi to nije dopušteno? — simptomi i njihovi uzroci.