Produits Entr'ouvert » w.c.s.

Il y a plus de deux ans on vérifiait l'autorisation d'accès à un formulaire (pour le compléter) ainsi :

                for q in (self.user and self.user.roles) or []:
                    if q in self.formdef.roles or q == self.formdef.receiver_id:
                        break
                else:
                    raise errors.AccessForbiddenError()

C'est plutôt clair dans ce code que si l'usager était destinataire du rôle, il avait accès au formulaire.

Il y a deux ans, receiver_id a été généralisé dans workflow_roles, et le code est devenu :

                other_roles = (self.formdef.roles or [])
                if self.formdef.workflow_roles:
                    other_roles.extend(self.formdef.workflow_roles.keys())
                if not user_roles.intersect(other_roles):
                    raise errors.AccessForbiddenError()

Mais mais mais, workflow_roles, il est de la forme {'_receiver': 23}, c'est du coup 'receiver' qui se retrouve dans other_roles, et l'accès ne passera pas.