OpenPNE3 Plugins » opMessagePlugin

■ 他人のメッセージが削除できる動作につきまして

formのパラメータを意図的に変更することで
他人のメッセージを削除できてしまう問題についての確認となります。

この現象につきまして、原因を調べましたところ、action の executeDelete メソッドまたは
MessageDeleteForm クラスにて、削除権限の確認がございませんため、
発生する問題であることを確認しました。

このことを踏まえ以下の 2点について方針の確認をお願いします。

1) 受信、送信、削除メッセージ一覧からのメッセージ削除につきまして (メッセージ複数)

3つメッセージを削除しようとし、そのうちの1つのメッセージの値を
不正に修正した場合、3つのメッセージとも不正な値に修正しました場合がございます。

権限がないmessage_idが含まれる場合の対処について以下のいずれの方針がよろしいでしょうか？
他の方法がございましたら、ご指示いただけますと幸いです。

a. 最小限の実装) エラーメッセージは表示させず、権限のないメッセージのみ削除させない
b. エラーメッセージは表示させず、すべてメッセージを削除させない
c. form のバリデーションを用意し、権限のないメッセージが一つでもある場合は
フォームにより、エラーメッセージを表示させる、権限のないメッセージのみ削除させない
d. form のバリデーションを用意し、権限のないメッセージが一つでもある場合は
フォームにより、エラーメッセージを表示させる、すべてメッセージを削除させない
e. 404 エラーページへリダイレクトする、権限のないメッセージのみ削除させない
f. 404 エラーページへリダイレクトする、すべてメッセージを削除させない

2) メッセージ詳細画面でのメッセージ削除につきまして (メッセージ単一)

権限がない場合の対処について以下のいずれの方針がよろしいでしょうか？
他の方法がございましたら、ご指示いただけますと幸いです。

a. 最小限の実装) エラーメッセージを表示させ、権限のないメッセージは削除させない
b. flashを使い、エラーメッセージを表示させ、権限のないメッセージは削除させない
c. 404エラーページにリダイレクトさせ、権限のないメッセージは削除させない

私としましては、今回の修正につきましては最小限の実装におさえ、
エラーメッセージは表示させないような実装となるのですが、
別の修正で、必要に応じてエラーメッセージを表示させる対応を行えばいいのではないかと
認識しております。いずれも [a.] の実装でいいのではないかと考えております。

お手数ですが修正方針のご確認をお願いいたします。

高橋さんより

メッセージ削除についての修正方針ですが

> 1) 受信、送信、削除メッセージ一覧からのメッセージ削除につきまして (メッセージ複数)
こちらはご提案どおり
> a. 最小限の実装) エラーメッセージは表示させず、権限のないメッセージのみ削除させない
でよろしいかと思います。

> 2) メッセージ詳細画面でのメッセージ削除につきまして (メッセージ単一)
こちらについては、いずれにしても削除させないのですが
表示画面(Show)にて他人のメッセージの場合は404エラーに飛ばしているようですので
> c. 404エラーページにリダイレクトさせ、権限のないメッセージは削除させない
こちらで統一するのが良いのではないかと思いました。

修正の都合上、ご提案通りどちらも[a]案のほうがやりやすいということであれば
それでも構いません。
お手数をお掛けしますがよろしくお願いします。

テストを実施しました。修正を確認しました。