Fehler: Admin kann PM einem Moderator zuweisen, der keinen Zugriff auf die PM hat

Beitragen Fehler
1

I have noticed what I think is a bug with the Discourse Assign - #117 plugin. It is possible for an admin to assign a PM to a moderator who does not have access to the PM. They are notified, but when they click through to see the PM they cannot see it and get an error.

The answer, it seems to me, should be to add the assignee to the message at the same time, or to display an error to the assigner to let them know the assignee is not in the message and cannot be assigned the message.

This obviously does not affect admins who can see all PMs.

5 „Gefällt mir“
Tickets Plugin :tickets:
2

I can repro this. An assign notification is generated despite the user not having access to the PM assigned. Same issue occurs in categories with security that mods can’t access.

5 „Gefällt mir“
3

Oh yeah interesting edge case what can we do here @sam?

4 „Gefällt mir“
4

I think a minimum change here is to pop up an error saying moderator has no access to the PM when the admin / mod tries to assign.

This particular edge case will become much less of an edge case when we unlock “assign” to designated groups that are not mods.

4 „Gefällt mir“
5

Mir ist heute wieder aufgefallen, dass ich viele Nachrichten Moderatoren zugewiesen habe, die keinen Zugriff darauf haben und diese daher nicht weiterverfolgt haben. Ups.

2 „Gefällt mir“
6

LOL, können wir uns auf einfache Weise gegen das oben Genannte schützen, @sam?

3 „Gefällt mir“
7

Das ist jetzt passiert. Vielleicht kann @Roman das weiterverfolgen.

5 „Gefällt mir“
9

Ich habe einen PR erstellt, um zusätzliche Regeln durchzusetzen, wenn versucht wird, ein Thema zuzuweisen:

  • Der Benutzer, dem wir zuweisen wollen, muss die Berechtigung zum Zuweisen haben.
  • Der Benutzer, dem wir zuweisen wollen, muss Zugriff auf das Thema haben.

Der Versuch, einem dieser Benutzer zuzuweisen, führt zu einem Fehler:

48
48649×134 6.17 KB

Ich denke, wir sollten auch Benutzer ohne Zugriff aus den Ergebnissen des Zuweisungs-Modals entfernen. Dafür muss ich die Benutzersuche-API des Kerns etwas erweitern.

Hier ist der PR:

Ich werde jemanden finden, der ihn vor dem Zusammenführen prüft.

6 „Gefällt mir“