Produits Entr'ouvert » w.c.s.

Le message "API ouverte" doit être faux, et il doit y avoir un contrôle d'accès, ça a peut-être évolué avec le temps mais ça serait une bonne chose, on ne veut pas d'API ouverte.

En fait non, j'imagine que passerelle signe l'appel, et dans ce cas on contrôle ce qui est spécifié :

                if not ('_signed_calls' in self.trigger.roles and is_url_signed()):
                    raise errors.AccessForbiddenError('insufficient roles') 

bref c'est "API ouverte mais il ne faut pas signer les appels pour que ça soit le cas", éventuellement ici le commentaire levé pourrait être différent pour le cas où il n'y a rien dans trigger.roles, si tu veux faire ce patch.

pour ne pas introduire de régression

Il faut préciser de quoi tu parles; veux-tu dire que le code de #88875 a modifié un comportement ?

Non, #88875 n'était pas encore déployé quand j'ai ouvert ce ticket à propos de la régression (ici maelis, puis famille #90089).
Pardon d'embrouiller le ticket, je voulais juste dire que la version actuelle du code déporte la détection des erreurs
et que je ne me voyais pas ajouter la détection d'un cas d'erreur en dehors.

        if not self.trigger.check_executable(self.formdata, user):
            raise errors.AccessForbiddenError('insufficient roles')

ticket à propos de la régression

pourquoi parles-tu de régression, quel moment as-tu identifié où c'était ok et puis plus ok ?

J'ai reçu dans les traces la 403 (que j'aurais du noter dans le ticket).
https://sentry.entrouvert.org/entrouvert/publik/issues/124145/
C'était la même que celle donnée dans #90089.

En recette les appels aux triggers qui passaient avant ne passeraient plus.
https://sentry.entrouvert.org/entrouvert/publik/issues/?query=hook
En prod, ça passe encore.

(édit: à quel moment -> Apr 26, 2024 11:19:43 AM UTC)

https://sentry.entrouvert.org/entrouvert/publik/issues/124145/

Il est marqué que ça commence "April 26 2024 13:19:43 CEST"; la release contenant #88875 (et autres) est tagguée à 11:11, déployée un peu après (notée déployée par scrutiny à 12:17.

Non, #88875 n'était pas encore déployé

Tu es vraiment sûr ?

Non, pardon. Je n'avais pas l'info de scrutiny
(et je n'ai pas reproduis pour pouvoir trouver le commit qui introduirait la régression).

Bref, c'est sans doute bel et bien #88875, qui remplace :

-        if self.trigger.roles:
(...)
+        if self.roles is None:
+            return True

et ça doit passer à côté du cas liste vide.

Je n'avais pas l'info de scrutiny.

C'est l'heure à laquelle #88875#note-8, le ticket en question est marqué déployé.