[3.8.x]

AHIP 1.1 - HTML в сообщениях в разделах, где это запрещено.

Описание: Разрешает группе пользователей или уникальным пользователям размещать сообщения и редактировать сообщения в формате HTML в разделах, где это запрещено настройками раздела.

Дополнения: Во вложениях не обязательный файл функций functions_ahip.php , которой позволяет интегрировать функциональность этого хака в другие продукты.
Функции:

• ahip_htmlallow_by_forumid($userid, $forumid)
  Проверяет есть ли у пользователя разрешения размещать сообщения в разделе при установленном продукте AHIP.
  Возвращает boolean
• ahip_update_allowed($postid, $message = '')
  Вносит записи в БД для отображения сообщения в формате HTML в разделах, где это запрещено настройками.
  Возвращает boolean
• ahip_update_disabled($postid)
  Удаляет записи в БД для прекращения отображения сообщения в формате HTML в разделах, где это запрещено настройками.
  Возвращает boolean

Использование: Загрузить файл в каталог includes. Подключения файла функций AHIP:

PHP Code:

require_once(DIR . '/includes/functions_ahip.php'); 


История версий:

• 1.1
  • Добавлено - Запрет вывода кнопок цитирования сообщения в формате HTML для пользователей у которых отсутствуют такие права.
  • Исправлено - Правильное сохранения вида сообщения при соместном использовании как HTML так и Bbcode в сообщении.
  • Исправлено - Корректный вывод сообщения при быстром ответе, пользователю разметившему сообщение, при использовании AJAX в быстром ответе.

Проблема, описанная busyava и xorex, устранена. Подробно

SMak044, а те пользователи, которым запрещено использовать HTML смогут увидеть написанное в сообщениях на форуме, и как будут редактировать сообщения с HTML те пользователи, которые не имеют прав на HTML?

Originally Posted by Luntick

SMak044, а те пользователи, которым запрещено использовать HTML смогут увидеть написанное в сообщениях на форуме, и как будут редактировать сообщения с HTML те пользователи, которые не имеют прав на HTML?

Да видеть будут. Дело в том, что контроль использования html в сообщениях происходит в момент записи сообщения в БД. В этот момент или будет создаваться запись в таблице постпарсед или нет.
При редактировании сообщения идет проверка на разрешения создавать сообщения в html и если они есть, то так и произойдет, если нет, то естественно не будет сохранено.
Но я не думаю, что ты дашь разрешение, кому то редактировать сообщения кого то другого у кого были права на размещения сообщения в html, без таких прав....

вариант с угоном привелегированного аккаунта не рассматривается?

Originally Posted by kerk

вариант с угоном привелегированного аккаунта не рассматривается?

а как я это могу предотвратить, экаун это экаунт, если он угнан и подлежит блокировке или смене пароля. Если у пользователя есть права на редактирование чужих сообщений, то скорее всего модератор и админ. В каждом форуме можно дать права на html или уникальным пользователям или группе пользователей, при этом приоритет для настройки в разделе, если там нет, то тогда из настроек продукта.
Да и угон у превилигированного пользователя экаунта, это не ординарное событие, которое будет замечено. Если у модераторов нет прав на html, то у админа такое право скорее всего будет или у конкретного человека оно будет, что исправит ситуацию.

Originally Posted by SMak044

Но я не думаю, что ты дашь разрешение, кому то редактировать сообщения кого то другого у кого были права на размещения сообщения в html, без таких прав

Я имел ввиду так же вот это

Originally Posted by SMak044

Разрешает группе пользователей или уникальным пользователям

С админами понятно, а если я дал право модератору, то его пост уже не смогут отредактировать. То есть уникальные пользователи, похоже применения не найдут.

Luntick добавил 18.09.2012 в 15:16

Originally Posted by kerk

вариант с угоном привелегированного аккаунта не рассматривается?

Так аналогично такая возможность уже есть с размещением объявлений в которых по умолчанию разрешён формат HTML. Если те же пользователи получат возможность создавать сообщения в HTML, то ничего не изменится в части безопасности.

Originally Posted by Luntick

С админами понятно, а если я дал право модератору, то его пост уже не смогут отредактировать. То есть уникальные пользователи, похоже применения не найдут.

Почему... Собственно хаку все равно кто это будет.

1. Сначала идет проверка на разрешение использовать группы пользователя из настроек продукта. Если использование групп разрешено, то проверка идет в пункт 2. Если нет то в пункт 9.
2. Идет проверка наличия списка групп в настройке раздела. Если такой список есть, то пункт 4. Если нет то пункт 3.
3. Идет проверка наличия списка групп в настройке продукта. Если такой список есть, то пункт 4. Если нет то пункт 5.
4. Создание массива разрешенных групп и переход к пункту 5.
5. Идет проверка на разрешение использовать уникальных пользователей из настроек продукта. Если использование уникальных пользователей разрешено, то проверка идет в пункт 6. Если нет то в пункт 9
6. Идет проверка наличия списка уникальных пользователей в настройке раздела. Если такой список есть, то пункт 8. Если нет то пункт 7.
7. Идет проверка наличия списка уникальных пользователей в настройке продукта. Если такой список есть, то пункт 8. Если нет то пункт 9.
8. Создание массива разрешенных уникальных пользователей и переход к пункту 9.
9. Проверка пользователя на принодлежность к разрешенной группе. Если принадлежит, то ему разрешено использовать html. если нет, то пункт 10
10. Проверка пользователя на принодлежность к списку уникальных пользователей. Если принадлежит, то ему разрешено использовать html.

То есть редактировать может любой, кто получит такие права. И не обязательно использовать группы пользователей, можно сделать список уникальных пользователей, для каждого раздела, а в настройках продукта сделать только группу админов. То есть ты можешь дать для каждого раздела права модераторам через список пользователей и не вносить туда грыппы.
Во всяком случае мне показалось, что сделать именно так будет логично.

крутил вертел настройки и ставил так же, как и на скрине.
все одно. пишет всем пользователям, даже если они из разных групп (над окном ввода ответа):
Вам разрешено использовать в сообщениях HTML

busyava, Исправлено.... В первом сообщении обновленные файлы.

Сюда бы добавить отключение кнопки цитаты в тех сообщениях которые отредактированы HTML-ом, в этом хаке такое реализовано.

Возвращать

PHP Code:

$post['replylink'] = NULL; 


и

PHP Code:

$show['multiquote_post'] = NULL; 


если пост сохранен с HTML


Опцию в настройках раздела лучше по умолчанию оставить выключенной, даже если она ни на что не влияет когда пустая.