关于“群组成员”调用的API范围问题

错误
1

  • 创建 API 密钥

  • 将范围设置为管理组并输入组的 ID（例如，10 表示 trust_level_0）

  • 尝试调用 API

curl -H \"Api-Key: ***\" https://test.example.com/groups/trust_level_0/members.json

–

403 {\"errors\":[\"您无权查看所请求的资源。API 用户名或密钥无效。\"],\"error_type\":\"invalid_access\"}

尝试 ID
curl -H \"Api-Key: ***\" https://test.example.com/groups/10/members.json

–

403 {\"errors\":[\"您无权查看所请求的资源。API 用户名或密钥无效。\"],\"error_type\":\"invalid_access\"}

原因是范围将调用限制为参数 id
但对于这个特定的调用，参数称为 name。因此它永远不会起作用。

image
image332×410 10.5 KB

通过黑客攻击数据库并将范围更改为 {\"name\": [\"trust_level_0\"]} 可以使此调用正常工作（但会破坏所有其他调用）。

3 个赞
2

嗯，感觉我们需要添加 GET /g/by-id/:id/members，然后将其替换到作用域中。

在此处添加一个pr-welcome标签。

1 个赞