Dovendo sviluppare un sistema di ticketing, dove il role management è basilare, mi sono messo a studiare le ACL di joomla un po' più in profondità. Una volta compreso il concetto volevo vedere come veniva poi sviluppato in pratica... cosa c'è di meglio che vedere cosa fanno gli altri?
Semplice... fare da soli! Molte estensioni sembrano sviluppate senza tenere conto di una cosa basilare che riporto direttamente dalle parole di Dexter:
"....as discussed elsewhere, it is important to remember that the feature of showing users only those toolbar that they have permission for is a user interface benefit but does not protect againist a hacker trying an unauthorized action.
These toolbar actions can still be attempted by a user who edit the php $_REQUEST variable directly in the browser, even if the button is not present...."
... aggiungo io... i controlli vanno implementati non nella view ma nei controller e nei model....
M.
