Repository navigation
Гарды обработчиков страниц пользователей (onCreate/onEdit/onDelete без перепроверки роли) #90
Description
Что
Кнопки create/edit/delete страниц пользователей скрыты для не-админов, но сами обработчики роль не перепроверяют: прямой вызов onCreate/onEdit/onDelete (или прямой goTo формы) под MODER/USER ведёт на форму/удаляет. Видимость не равна защите (аналог #85 для onOpen*).
Решение на усмотрение
Перепроверка isAdmin() в обработчиках (молчаливый возврат по образцу #85).
Найдено мозгоштурмом RBAC.
Part of #29
Activity
vladcheck commentedon Oct 16, 2026
Закрыт по итогам гриля: отдельный слой в обработчиках угрозы не закрывает — инстанс контроллера появляется только через Navigator.goTo, уже защищённый гардом #89. Реальная защита — серверный 403 (#97).