Produits Entr'ouvert » w.c.s.

Peut-être partiel mais il y a déjà un bout qui tente de prévenir ça, dans test_form_autosave on peut lire :

    # make sure autosave() doesn't destroy data that would have been submitted
    # in the meantime

Le moment particulier étant j'imagine caché dans :

mais dans de rare cas

et ça serait :

        # reload session to make sure _ajax_form_token is still valid
        session = get_session_manager().get(get_session().id)
        if not session:
            return result_error('cannot get ajax form token (lost session)')
        if not session.has_form_token(get_request().form.get('_ajax_form_token')):
            return result_error('obsolete ajax form token (late check)')

# ici on pense avoir vérifié juste à temps, au plus proche, que le _ajax_form_token était ok
# mais raté, pile maintenant il ne l'est plus.
        try:
            self.save_draft(form_data, page_no)

Frédéric Péters a écrit :

Le moment particulier étant j'imagine caché dans :

mais dans de rare cas

et ça serait :

[...]

Oui, mais je pense vraiment que ça ne sert à rien d'essayer de faire plus compliqué coté serveur, on y arrivera pas, on écrit de toute façon en session sans verrou ni aucune protection contre les accès concurrents; c'est peine perdue. Par contre on peut se protéger efficacement coté front, en évitant de lancer plusieurs requêtes en même dans la même page (AJAX + </submit>), ça on peut l'empêcher facilement.

En même temps que j'écrivais tout ça j'ai pensé qu'on pourrait aussi éviter qu'autosave modifie les données en session, ce qui corrigerait il me semble les deux tickets (#58028 et #58027) en même temps :

diff --git a/wcs/forms/root.py b/wcs/forms/root.py
index 28449a96..8fe03c7a 100644
--- a/wcs/forms/root.py
+++ b/wcs/forms/root.py
@@ -1324,14 +1324,18 @@ class FormPage(Directory, FormTemplateMixin):
         session = get_session()
         if not session:
             return result_error('missing session')

         self.feed_current_data(magictoken)

         form_data = session.get_by_magictoken(magictoken, {})
+        # prevent autosave to write into session concurrently with user's
+        # submits, only do it when initializing the draft formdata.
+        if form_data.get('draft_formdata_id'):
+            form_data = form_data.copy()
         if not form_data:
             return result_error('missing data')

         try:
             page = self.pages[page_no]
         except IndexError:
             # XXX: this should not happen but if pages use conditionals based

L'idée étant qu'une fois qu'on a établi le lien entre les données en session et le draft via la donnée spéciale "draft_formdata_id" on ne modifie plus les données en session dans autosave(), on travaille uniquement sur une copie. Normalement après la première page ou le premier autosave on sait qu'on aura plus de concurrence entre submit() et autosave, c'est toujours les données en session qui gagnent, on peut avoir un draft qui diffère de l'état actuel de la session, mais ça ne durera pas jusqu'à la soumission finale, puisqu'à chaque soumission on mettra à jour le draft avec les bonnes données validées.

PS: j'avais écrit tout ça avant de travailler sur la solution proposée plus haut mais j'ai oublié de poster.

Pourquoi ne pas juste systématiquement poser "request.ignore_session = True" et enregistrer la session de manière explicite au seul moment où elle change, cette partie qui serait de l'ordre de :

@@ -1360,6 +1360,7 @@ class FormPage(Directory, FormTemplateMixin):

     def save_draft(self, data, page_no=None):
         filled = self.get_current_draft() or self.formdef.data_class()()
+        new_draft = bool(filled.id is None)
         if filled.id and filled.status != 'draft':
             raise SubmittedDraftException()
         filled.data = data
@@ -1380,7 +1381,10 @@ class FormPage(Directory, FormTemplateMixin):
             if not filled.user_id:
                 get_session().mark_anonymous_formdata(filled)

-        data['draft_formdata_id'] = filled.id
+        if new_draft:
+            data['draft_formdata_id'] = filled.id
+            get_session().store()
+

?

Il y a un autre moment à gérer, quand il est fait get_session().mark_anonymous_formdata(filled) il faut enregistrer la session. (j'ai poussé une nouvelle branche qui ajoute ça).

Automatic expiration