控制window action的访问权限?



  • 请问如何控制window action的安全性?
    现在只要用户在地址栏输入action记录的id值,就可以看到对应的视图了。
    虽然用户可能没有权限创建或修改记录,但是看到某些窗口信息总归不好。
    比如Sales/Setting的window action记录的id为283.普通用户在地址栏修改action参数的值为283就能看到所有的设置的值。官方可以指定window action的组,但是仅仅用来控制是否在界面上显示。



  • window action 属于 框架,必须对 public 开放 read 权限, 否则 所有的弹窗均不能 正常工作。

    所以 ir.* 开头的模型,都必须对 public 开放 read 权限; 例如

    0_1488262992271_upload-058f5ea1-c8dc-42d3-9909-cdc35cfa0b4a



  • 谢谢jeffery回复。可能odoo本身就是这么设计的,个人觉得这种权限的策略设计太过宽松了。普通用户在地址栏敲个window action的id就可以看到管理员的配置页面及配置的内容,实在是很难让我接受。



  • @iooop 你也可以将地址栏加密,这样他们就不晓得具体的参数,可以变相的解决这个问题


登录后回复
 

与 Odoo 中文社区 的连接断开,我们正在尝试重连,请耐心等待