# Sécurité logique sur les actions de l'utilisateur actuel

**URL:** <https://meta.discourse.org/t/logical-security-over-current-user-actions/171089>\
**Category:** Development\
**Created:** [Novembre 23, 2020, 10:15 UTC](https://meta.discourse.org/t/logical-security-over-current-user-actions/171089 "2020-11-23T22:15:22Z")\
**Posts on this page:** 1\
**Showing post:** 8

<div class="post-metadata">

**Author:** ![feabila](https://avatars.discourse-cdn.com/v4/letter/f/e9bcb4/32.png) [@feabila](https://meta.discourse.org/u/feabila)\
**Post date:** [Novembre 25, 2020, 9:08 UTC](https://meta.discourse.org/t/logical-security-over-current-user-actions/171089/8 "2020-11-25T21:08:30Z")

</div>

**Yoo Robert !**

J’ai analysé le code du plugin et la base de code concernant les contrôles des publications (actions), afin de déterminer où je pourrais le plus intervenir pour renforcer la sécurité.

Comme analysé ! Du côté du front-end, plusieurs étapes vérifient si l’utilisateur peut modifier ou non la publication, telles que :

- 1ère étape : SiteSetting.post\_menu\_hidden\_items
- 2e étape : attrs.canEdit
- 3e étape : editPost() - !post.can\_edit - controllers/topic

Cependant, même si le front-end est manipulé, une fois que la requête est envoyée au serveur back-end dans **posts\_controller.rb** , dans la méthode :

```
def update

```

Le serveur re-requête la publication via Rails, comme ultime vérification :

- !guardian.public\_send(“can\_edit?”, post)
- guardian.ensure\_can\_edit!(post)
- PostRevisor

Merci pour tes éclairages !  
C’est super.

---

_[View the full topic](https://meta.discourse.org/t/logical-security-over-current-user-actions/171089)._