Leserfeld: kann trotzdem Doks sehen

[Manfred Dillmann]

Hallo!

@Andreas:
Danke für das Suchen in der KB. Da findet man wenigstens die entsprechenden Antworten... ;-)

@Semeaphoros:
>>In so eine Situation wie TMC hier geraten ist, bin ich ganz einfach nie reingelaufen, somit ergab sich kein Anlass daran zu zweifeln und somit auch kein Testbedarf.<<

DAS würde aber im Umkehrschluss bedeuten, dass (fallst Du selbst was in Notes programmierst) in jeder Deiner Applikationen durch Deine falsche Annahme ggf. Sicherheitslücken sind. Autoren könnten Dokumente lesen, die sie nicht lesen dürfen... ich kann mir eigentlich nicht vorstellen, das man in diese "Falle" nicht schon mit den einfachsten Anwendungen "reingelaufen" ist... aber egal. Jetzt ist ja alles geklärt... :-)

>>diese Aussage über die Autorenfelder? Diese Aussage ist derart verbreitet...<<

Liegt wohl an den Begriffen Leserfelder und Autorenfelder. Wen im ersten steht darf lesen und wer im zweiten steht darf Editieren.

Ist vielleicht wie mit der ACL-Ebene Autor:
Hier wird immer in den Admin-Kursen erzählt: Wer diese Ebene hat, darf Dokumente erstellen, ändern und löschen. DAS stimmt ja aber nur, wenn der Entwickler ein "Autorenfeld" in der Maske hat, in der MINDESTENS der Ersteller (z.B. Berechnet beim Anlegen) eingetragen wird...

Gruss
Manfred

[Semeaphoros]

Manfred:
Theoretisch hast Du recht, dass da ein Sicherheitsloch sein könnte, kann Dir aber sagen, das ist nicht der Fall. Wie Du schon selber festgestellt hast, ist in den meisten Fällen gegeben, dass wer editieren darf, das Dok später auch lesen darf. Die andere Variante habe ich bisher jeweils mit einer separaten Datenbank gelöst, in der der "Depositor" in der ACL als Default definiert ist (so wie bei der mail.box), dann braucht man sich schlussendlich gar nicht um Lese- und Autorenfelder zu kümmern.

Stimmt, die ACL wird auch häufig falsch interpretiert, inklusive Instruktoren.

Ich werde trotzdem versuchen, herauszufinden, wo diese Geschichte auftaucht und falls ich was entdecke, werde ich berichten.

[Semeaphoros]

Der zweite KB-Text ist wirklich gut. Da gibt es eigentlich nur eines zu ergänzen, das sich zwar bei genauer Interpretation aus dem Text ergibt, sich aber trotzdem lohnt, separat erwähnt zu werden:

Besitzt ein Document mindestens ein nicht leeres Leserfeld oder eine Leserzugriffsliste (Doc-Eigenschaften), beschränkt sich der Zugriff ausschliesslich auf die Namen, die in allen Lese-Feldern, Autor-Feldern und der Lese-Zugriffsliste aufgeführt (oder per Rolle oder Gruppe referenziert) sind. Alle anderen Namen werden ausgeschlossen.

Besitzt das Dokument hingegen nur ein nicht leeres Autorenfeld, dann ist das nicht ausschliesslich, die Namen im Autorenfeld bekommen zwar in jedem Fall auch Leserechte, das Lesen ist aber im Gegensatz zu einem Lesefeld nicht auf diese Namen beschränkt.

Weiter: Ein leeres Leserfeld ist gleichbedeutend mit dem Eintrag "*", beide geben allen Lesezugriff, hingegen ein leeres Autorfeld gibt niemandem Edit-Zugriff, der nur Autor-Rechte in der Datenbank hat (ab Editor spielt es ja keine Rolle). Hier muss ein * eingetragen sein, wenn man allen Autoren auch Zugriff geben will.

Damit hätten wir glaube ich das Thema vollständig abgesteckt.

[Jörg P.]

Hi,

folgenden Artikel finde ich noch ganz passend zum Thema:

The 11 Rules Concerning Readers and Authors Fields :
http://www.breakingpar.com/bkp/home.nsf/Doc?OpenNavigator&U=87256B280015193F87256B820062DA63

(Link auf die Original-URL funzt leider irgndwie nicht)

[g202e]

Hey Harvey,

nun habe ich den ganzen Thread gelesen und wollte gerade den Link posten, aber du warst schneller.
Aber mit diesen 11 Regeln lässt sich jedenfalls besser arbeiten als mit der Hilfe!