Role a privilégia#
Role rozhoduje, co kdo v systému smí. Je to jediné místo, kde se řídí přístup — jak do administrace, tak k obsahu na webu.
Najdete je v Základy → Uživatelé → Role a privilégia, kde jsou tři obrazovky:
| Obrazovka | Co obsahuje |
|---|---|
| Role | role samotné — kdo může být kdo |
| Privilégia | jednotlivá práva, ze kterých se role skládají |
| Skupiny privilegií | privilegia sdružená do celků kvůli přehlednosti |
Adresy obrazovek jsou psané malými písmeny
Role, oprávnění rolí i skupiny privilegií mají adresy /admin/system-uzivatelske-role/…,
/admin/system-uzivatelske-role-opravneni/… a /admin/system-uzivatelska-skupina/… —
stejně jako ostatní obrazovky administrace. Starší záložky s velkým S na začátku
(/admin/System-uzivatelske-role/…) fungují dál: systém je přesměruje na adresu malými
písmeny, protože velikost písmen v adrese administrace nerozhoduje.
Jak to do sebe zapadá#
Uživatel má jednu nebo víc rolí. Role nese sadu privilegií. Když se uživatel o něco pokusí, systém hledá, jestli mu to některá jeho role dovoluje.
Nemá-li ji žádná, akce se neprovede — v administraci se položka ani nezobrazí v menu.
Předdefinované role#
| Role | Kód | K čemu je |
|---|---|---|
| Nepřihlášený | guest |
kdokoli bez přihlášení |
| Přihlášený uživatel | registrated |
každý přihlášený uživatel |
| Administrátor | admin |
správa systému |
| Vlastník | owner |
podmíněná — platí jen pro toho, kdo daný záznam vytvořil nebo odeslal |
| Příjemce | receiver |
podmíněná — platí jen pro toho, komu je daný záznam určen |
V seznamu rolí, ve výběru rolí u uživatele i v matici oprávnění se role jmenují česky (v angličtině a slovenštině podle jazyka administrace); vlastní role, které si založíte sami, mají název, který jste jim dali.
Příznaky role#
V seznamu má každá role šest přepínačů. Jejich význam není samozřejmý:
Po registraci — role se automaticky přidělí každému, kdo se nově zaregistruje. Má ji Registrovaný.
Přiřaditelná — role se nabízí ve formuláři uživatele. Role bez tohoto příznaku se ručně přidělit nedá.
Implicitní — napojení na stav přihlášení: anonymous (nepřihlášený),
authenticated (přihlášený), none (bez napojení, role se přiděluje výhradně
ručně).
Podmíněná — role se nepřiděluje, odvozuje se za běhu z kontextu: Vlastník a Příjemce. Nejste vlastník obecně, jste vlastník toho jednoho záznamu, který jste založil, a příjemce toho jednoho záznamu, který přišel vám. Proto taková role není Přiřaditelná — ve formuláři uživatele ji záměrně nenajdete. Jak se s ní pracuje, popisuje další oddíl.
Plný rozsah — role, jejíž držitel vidí i chráněná pole záznamů. Ve výchozím nastavení ji má jen Administrátor.
Chráněná (ve formuláři role Chránit posledního držitele) — posledního aktivního uživatele s touto rolí nejde smazat, deaktivovat, zabanovat, zrušit mu účet ani mu roli odebrat. Systém tak nezůstane bez správce. Ve výchozím nastavení ji má Administrátor; podrobnosti v Přehledu uživatelů.
Neznamená to „projde všude“ — privilegia musí mít pořád
Tohle je nejčastější nedorozumění u rolí. Příznak nenahrazuje privilegia: systém se nejdřív zeptá, jestli roli daná akce vůbec náleží, a teprve u akcí, které jí náleží, rozhodne příznak o tom, kolik dat uvidí. Role s plným rozsahem a bez privilegií neumí nic.
Zapíná ale přístup k údajům, které jsou jinak skryté
Právě tenhle příznak odemyká pole jako přístupové údaje k platebním branám nebo otisky hesel. Dáte-li ho brigádníkovi kvůli tomu, že „mu pořád něco chybí“, otevřete mu i tohle — a chybějící právo jste stejně nevyřešil. Chybí-li roli přístup, přidejte jí privilegium, ne plný rozsah.
Podmíněné role: Vlastník a Příjemce#
Většina práv se dává prostě: „přihlášený smí …". U některých záznamů ale záleží na tom, čí záznam to je. Proto existují dvě role, které se nepřidělují lidem, ale určují se u každého záznamu zvlášť:
| Role | Je to ten, kdo … | Příklad |
|---|---|---|
| Vlastník | záznam vytvořil nebo odeslal | autor komentáře nebo hodnocení; odesílatel zprávy |
| Příjemce | je tím, komu záznam přišel | majitel inzerátu u reakce na jeho inzerát; majitel hodnoceného profilu u odpovědi na hodnocení; druhá strana soukromé zprávy |
Zaškrtnutí podmíněné role samo nic nepovolí. Říká: „toto právo mají lidé v této roli, ale ať si to nejdřív ověří kontrola dané oblasti, jestli to skutečně je jejich záznam". Cizí záznam tedy nevyřídí, i když je role zaškrtnutá.
Kde se příjemce a vlastník uplatní#
| Situace | Vlastník | Příjemce |
|---|---|---|
| Reakce na inzerát (inzerce i katalog firem) | odesílatel reakce, ale i majitel inzerátu smí reakci upravit nebo smazat | majitel inzerátu smí otevřít detail reakce; kdo má odkaz z e-mailu, smí ji bez přihlášení označit za přečtenou |
| Odpověď na hodnocení | autor hodnocení smí své hodnocení upravit | majitel hodnoceného profilu smí na hodnocení odpovědět; autor hodnocení odpovědět nesmí |
| Soukromé zprávy | ten, kdo ve vlákně napsal aspoň jednu zprávu | ten, komu v něm nějaká zpráva přišla; po odpovědi je každá strana obojí |
Postup: nastavit, co smí vlastník a co příjemce#
- Otevřete Základy → Uživatelé → Role a privilégia → Skupiny privilegií.
- Otevřete skupinu, kterou chcete upravit (třeba skupinu reakcí na inzerát).
- Ve spodní části je tabulka Privilegia ve skupině: řádek je jedno právo (nahoře název, pod ním technický klíč), sloupec je role.
- Najděte řádek a sloupec Vlastník nebo Příjemce. Je-li zaškrtávací pole aktivní, zaškrtněte ho, nebo zrušte.
- Dejte Uložit. Skupina se uloží celá, i s tabulkou.
- Vyzkoušejte to skutečným účtem: přihlaste se jako příjemce a jako cizí uživatel a ověřte, že cizí uživatel záznam neotevře.
Podmíněné sloupce jsou aktivní jen u řádků, které začínají :Api, a jen tam, kde
daná oblast roli umí vyhodnotit. U ostatních řádků je pole vypnuté (šedé) a po
najetí myší se zobrazí vysvětlení.
| Vypnuté pole znamená | Proč |
|---|---|
řádek není :Api (je to :Admin nebo :Front) |
podmíněná role dává smysl jen u práv, která kontroluje serverová část systému |
řádek je :Api, ale oblast nedokáže určit, kdo je vlastník nebo příjemce |
zaškrtnutí by nic nepovolilo — pro takový záznam systém neví, komu patří |
Když dáte právo i roli „Přihlášený uživatel“, podmínka přestane platit
Nepodmíněné právo vyhrává. Zaškrtnete-li u téhož řádku Přihlášený uživatel, smí akci každý přihlášený a zaškrtnutí Vlastníka nebo Příjemce nic nehlídá. Chcete-li omezit právo jen na vlastníka nebo příjemce, nechte u řádku nezaškrtnuté Nepřihlášený, Přihlášený uživatel i své vlastní role.
Nové zaškrtnutí, které nemá účinek, systém neuloží
Pokusíte-li se zapnout roli u řádku, kde ji oblast nevyhodnotí, uložení se odmítne hláškou, u kterého klíče a které role jde o problém. Skupina se uloží, privilegia ne — zrušte označené pole a uložte znovu.
Dřívější zbytečné zaškrtnutí zůstane vidět s varováním
Je-li v databázi uložené právo, které by nic nepovolilo, tabulka ho ukáže zaškrtnuté, s žlutým trojúhelníkem u klíče; jde odškrtnout. Nic neotevírá, jen zbytečně mate.
Vypnutí Příjemce u odpovědi na soukromou zprávu zastaví první odpověď
U nové konverzace je druhá strana jen Příjemce. Kdo do konverzace dosud nic nenapsal, nemá roli Vlastník. Zrušíte-li u akce odpovědět ve vlákně roli Příjemce, nebude mít druhá strana jak odpovědět. Po první zprávě je už i Vlastníkem.
Odkaz z e-mailu funguje i bez účtu
Tlačítko Označit jako přečtené v e-mailu o reakci se opírá o tajný klíč v odkazu, ne o přihlášení. Smí jen jediné — označit tu jednu reakci za přečtenou. Viz Odpovědi a hlídací pes.
Kdo smí přiřazovat role#
Přidat nebo odebrat uživateli roli smí jen ten, kdo má oprávnění Systém: Uživatelé — nastavení rolí. Ve výchozím nastavení ho má jen Administrátor. Kdo ho nemá, vidí ve formuláři uživatele pole rolí šedé a upraví jen ostatní údaje — viz Kdo smí měnit role.
Postup: dovolit jiné roli měnit role uživatelů#
- Otevřete Základy → Uživatelé → Role a privilégia → Skupiny privilegií.
- Otevřete skupinu setRoles — User (popis Změna rolí uživatele…).
- V tabulce Privilegia ve skupině zaškrtněte u obou řádků (
:Admin:System:User:setRolesa:Api:System:User:setRoles) sloupec role, které chcete právo dát. - Dejte Uložit.
Dávejte ho jen rolím, kterým byste svěřili i správu celého systému: kdo smí měnit role, může sobě nebo komukoli jinému přidělit roli Administrátor.
Rozvrhy a statistiky na ploše#
Některá privilegia mají jen Administrátor a jiným rolím je musíte přidat sami ve Skupinách privilegií (postup je stejný jako výše):
| Privilegium | Co hlídá | Kdo ho má ve výchozím stavu |
|---|---|---|
:Admin:Company:Schedule:show (Moje firma: Rozvrhy — zobrazení) |
Rozvrhy, pohled Měsíc | Administrátor |
:Admin:Company:Schedule:day, …:week, …:year (Moje firma: Rozvrhy — denní / týdenní / roční pohled) |
Rozvrhy, pohledy Den, Týden a Rok (v pohledu Den se zakládají rezervace) | Administrátor |
…:statistics (např. :Admin:Eshop:Order:statistics, :Admin:Invoicer:Invoice:statistics, :Admin:System:Payment:statistics) |
widgety plochy s grafy, součty a žebříčky dané agendy | Administrátor; :Admin:Eshop:Order:statistics navíc každá role, která smí otevřít stránku statistik e-shopu (:Admin:Eshop:Statistics:show) |
Privilegia statistik jsou ve skupinách pojmenovaných statistics — … (například
statistics — Order, statistics — Invoice). Existují pro objednávky, reklamace,
faktury, platby, uživatele, adresy newsletteru, komentáře a inzeráty v inzerci i v katalogu
firem. Widget se statistikou se ukáže jen tomu, kdo má zároveň právo k datům samotným
(například k seznamu objednávek) i příslušné privilegium …:statistics.
Založení vlastní role#
- přidat v seznamu rolí.
- Název a kód. Kód je technický, bez diakritiky a mezer.
- Přiřaditelná zapnout, ať jde role vybrat u uživatele.
- Po registraci nechat vypnuté, pokud ji nemají dostat všichni noví.
- Podmíněná a Plný rozsah nechat vypnuté.
- Uložit a přidělit privilegia.
Doporučená nastavení#
Redaktor — píše obsah, nesahá na peníze: stránky, články, novinky, galerie. Bez e-shopu, fakturace, plateb, uživatelů a nastavení.
Správce e-shopu — vyřizuje objednávky: objednávky, produkty, ceny, sklad, reklamace. Bez uživatelů, rolí a nastavení systému.
Účetní — doklady: fakturace celá, objednávky ke čtení. Bez obsahu a nastavení.
Raději přidávat než ubírat
Založte roli s minimem práv a doplňujte, na co si člověk stěžuje, že nemůže. Opačný postup — dát vše a pak ubírat — nechá dveře otevřené v místech, na která si nikdo nevzpomene.
Ověření, co role skutečně umí#
Nastavení není totéž co skutečnost. Než roli předáte:
- Založte si testovací účet a přidělte mu ji.
- Přihlaste se pod ním v jiném prohlížeči (nebo v anonymním okně) — jinak přijdete o vlastní přihlášení.
- Projděte, co je v menu.
- Zkuste otevřít adresu, na kterou role nemá mít právo. Nesmí projít.
Skryté menu není totéž co zákaz
Že položka není v menu, ještě neznamená, že se na ni nedá dostat adresou. Ověřujte prokliknutím, ne pohledem na menu.
Proč kolega vidí něco jiného#
Nejčastěji:
- má jinou roli,
- má víc rolí a práva se sčítají,
- jeho role má privilegium, které jste přehlédl,
- váš web nemá ten modul zapnutý (pak ho nevidí nikdo).