Question

我遇到一个问题，我需要能够通过portal_catalog通过匿名用户进行搜索和检索来访问自定义内容，但不能由他们查看。

我使用自定义内容类型和自定义工作流程，我得到的很可能是权限问题。我通过ZMI定义了一个自定义工作流程 - ＆gt; portal_workflow然后将其作为XML定义导出到源代码中。我将匿名用户的权限设置为“访问内容信息”，但不是“查看”。请注意，代码段中的“有效”是启用了该权限的工作流状态 - sales_workflow

大脑查找适用于“经理”角色，但当角色切换为“匿名”时，目录会返回一个空列表。

import unittest2 as unittest


from . import INTEGRATION_TESTING
from AccessControl import getSecurityManager

from plone.app.testing import setRoles, logout
from plone.app.testing import TEST_USER_ID

from Products.CMFCore.utils import getToolByName

def drop_to_anonymous(self):
    """
    Drop site roles to anonymous user only.
    Note this is a class method and not a function
    assign this method as a class member and then call it
    """
    logout()
    setRoles(self.portal, TEST_USER_ID, ['Anonymous'])
    user = getSecurityManager().getUser()
    roles =  user.getRolesInContext(self.portal)
    self.assertListEqual(['Anonymous'], roles)

class TestSalesRepWorkflow(unittest.TestCase):
    layer = INTEGRATION_TESTING
    drop_to_anonymous = drop_to_anonymous
    def setUp(self):
        self.portal = self.layer['portal']
        self.wftool = getToolByName(self.portal, 'portal_workflow')
        self.catalog = getToolByName(self.portal, 'portal_catalog')
    def test_workflow_lookup_anon(self):
        setRoles(self.portal, TEST_USER_ID, ['Manager'])
        self.portal.invokeFactory(
                                'CustomProduct',
                                'prod1',
                                title="Product 1"
                                )
        prod1 = self.portal['prod1']
        self.wftool.doActionFor(prod1, action='activate')
        review_state = self.wftool.getInfoFor(prod1, 'review_state')
        prod1.reindexObject()
        self.assertEqual('active', review_state)
        lookup = self.catalog(portal_type='CustomProduct', Title='Product 1',
                            review_state='active')
        #This test passes with managerial permissions
        self.assertEqual(len(lookup), 1)
        #Repeat the same test in 'Anonymous' role
        self.drop_to_anonymous()
        lookup1 = self.catalog(portal_type='CustomProduct', Title='Product 1',
                            review_state='active')
        #When dropped to anonymous role, the test fails, 
        #lookup returns an empty list
        self.assertEqual(len(lookup1), 1)

有没有办法在不重新修改权限的情况下修复此问题？

使用unrestrictedSearchResults似乎可以修复搜索，但每当我尝试在大脑上运行'getObject'时，会出现以下错误：

Unauthorized: You are not allowed to access 'XXX' in this context

Answer 1

您的active州需要向匿名提供“查看”权限。目前仅限于这些角色：

<state state_id="active" title="">
 <!-- other information elided here --> 
 <permission-map name="View" acquired="False">
   <permission-role>Manager</permission-role>
   <permission-role>Owner</permission-role>
   <permission-role>Reviewer</permission-role>
   <permission-role>SalesRep</permission-role>
   <permission-role>Site Administrator</permission-role>
  </permission-map>

如果没有View权限，匿名即使在给定active状态时也看不到您的对象，也不能在该目录中找到它们。

您可以使用目录的.unrestrictedSearchResults()方法覆盖目录的此行为：

lookup1 = self.catalog.unrestrictedSearchResults(
    portal_type='SalesProduct', Title='Product 1', review_state='active')

此方法不能在受限制的代码中使用。

匿名用户可以完全访问返回的大脑对象，但是您不能对它们使用getObject()方法，因为它将使用当前用户的权限遍历它。如果你需要从大脑中获取实际对象，还有一个特殊的私有方法来获取没有这些限制的实际对象，称为._unrestrictedGetObject()：

obj = brain._unrestrictedGetObject()

此方法再次仅适用于不受限制的代码。

使用自定义工作流访问门户网站内容，没有“查看”权限

1 个答案: