Produits Entr'ouvert » w.c.s.

Si on passe par une condition d'affichage du champ, il faut savoir que techniquement le champ peut exister sur la page : il est juste caché. Un simple "view-source" permettrait à un usager de quand même voir des informations auxquelles il n'est pas prévu qu'il ait accès -- c'est j'imagine ce qu'on veut faire ici. Je ne suis donc pas chaud à mettre cette possibilité en avant.

(note à Frédéric, qui objectera que c'est pas vrai si la condition qui n'utilise pas de "form_var_truc" : oui, d'accord. Justement j'imagine une condition qui ferait un "form_var_truc = "chose" and session_user|has_role:"bidule", et boum)

on passe par une condition d'affichage du champ, il faut savoir que techniquement le champ peut exister sur la page : il est juste caché.

Je pense utile de rappeler ça.

un usager de quand même voir des informations auxquelles il n'est pas prévu qu'il ait accès

Mais on parle d'un champ, normalement ça ne dévoile pas d'informations. (et d'accord, oui, de loin, on pourrait imaginer un champ commentaire affiché avec des instructions "confidentielles" pour les agents).

Il est effectivement bon de rappeler qu'il est possible de savoir que le champ existe par une lecture du source de la page.
Dans mon user story, le « sans qu'un utilisateur n'ayant pas ce/s rôle/s puisse afficher le champ » faisait plutôt référence au fait que l'on pourra pas tester/remplir l'ensemble des champs du formulaire si on dispose pas du/des/ rôle/s de la condition.

Si l'on souhaite vraiment une confidentialité forte du/des champ/s, il sera probablement préférable de faire appel au mécanisme des pages conditionnelles, avec la même condition sur le/s rôle/s de l'utilisateur connecté, voir carrément de faire un autre formulaire qui sera réservé à un rôle.

Côté combo on a eu |has_role:... via #15847.

Une solution serait quelque chose comme :

--- a/wcs/users.py
+++ b/wcs/users.py
@@ -90,6 +90,14 @@ class User(StorableObject):
     def get_roles(self):
         return (self.roles or [])

+    def get_roles_names(self):
+        from .roles import Role
+        for role_id in self.get_roles():
+            try:
+                yield Role.get(role_id).name
+            except KeyError:  # role has been deleted
+                pass
+
     def set_attributes_from_formdata(self, formdata):
         users_cfg = get_cfg('users', {})

qui permet de faire une condition comme

"Agent" in session_user.get_roles_names

ou plus génériquement avec une fonction "truc" dans le workflow :

form_role_truc_name in session_user.get_roles_names

Le session_user fait que ça va marcher lors de la soumission, mais ces conditions ne sont plus correctes par la suite quand la demande est analysée par un autre utilisateur.

(Je reste vraiment pas intéressé par proposer ce hack sauf aux personnes de bonne volonté qui comprendront les tenants et aboutissants)

Mais pourquoi pas |has_role:"...", par unité avec Combo ?

Frédéric Péters a écrit :

Mais pourquoi pas |has_role:"...", par unité avec Combo ?

Parce que je faignantise et que j'ai vraiment pas envie de faire de la pub à cette feature que je vois déjà utilisée de travers. Mais ok, je vais la faire, et on verra bien...