Re: [spip-dev] Accès restreint : protection des documents HS

2020-05-08 Par sujet RastaPopoulos
Le 07/05/2020 à 20:53, nicod_ a écrit :
> Parfois il y a un htaccess à la racine de /IMG (le rewrite ci dessus), 
> parfois dans chaque sous répertoire (deny all), je ne détermine pas bien 
> pourquoi (le code est assez... complexe à suivre).

Le pourquoi normalement c'est :
- si protection des documents le plugin cherche en priorité à poser uniquement 
le htaccess de IMG qui doit tout rediriger vers l'action PHP (plus aucune URL 
de document servie brute)
- mais il teste si ça marche vraiment, en demandant un fichier qui doit 
renvoyer OK seulement si depuis l'action PHP
- si ça n'a PAS marché, alors il pose des htaccess de deny (c'est le core qui 
fait ça) dans tous les sous-dossiers, et il supprime celui de IMG puisque ne 
marche pas

Les raisons pour lesquelles ça ne marche pas peuvent être multiples, par ex :
- des problèmes de droits, et donc le fichier n'est pas posé du tout
- des problèmes de config Apache ou ce genre, et donc les réécritures ne 
fonctionnent pas et donc ça n'appelle pas l'action PHP

Toujours est-il que si les rewrite ne fonctionnent pas et que donc pas d'action 
PHP, alors ce sont les deny dans les sous-dossiers.

Mais si le htaccess IMG a bien fonctionné, alors les vrais URL de documents 
redirigent toujours vers l'action PHP *qu'il y ait la query string avec le hash 
ou pas*.

Le fait qu'il y ait le hash, est une facilité, où l'autorisation (matérialisée 
par le hash) est calculée en amont au moment de #URL_DOCUMENT, et du coup si 
c'est le cas, quand on cherche à accéder au document, il ne vérifie plus 
l'autorisation car déjà ok (sauf si constante).
Mais si on demande les fichiers sans le hash, ça marche aussi : ça passe bien 
par l'action de même, et ça vérifie alors l'autorisation sur le moment de 
l'accès (y compris sans la constante donc).

Les htpasswd par contre sont sans rapport avec les documents et donc les 
htaccess de IMG (lui-même ou sous-dossiers).

-- 
RastaPopoulos

___
liste: https://listes.rezo.net/mailman/listinfo/spip-dev
doc: https://www.spip.net/
dev: https://core.spip.net/
irc://irc.freenode.net/spip


[spip-dev] [Pousseur] Erreur sur paquet-ressourcotheque

2020-05-08 Par sujet salvatore
Erreur lors du commit :
> git stash -q 2>&1
> git pull --rebase 2>&1
La branche courante master est à jour.
> if [[ $(git stash list) ]]; then git stash pop -q 2>&1; fi;
> git push 2>&1
remote: Fetching revisions from SVN repository:
remote:
remote: SubGit ERROR REPORT (SubGit version 3.3.9 ('Bobique') build #4351):
remote:
remote: You've received this message because SubGit (http://subgit.com/) is 
installed in your repository
remote: and an error that needs to be dealt with has occurred in SubGit 
translation engine.
remote:
remote: TEMPORARY ERROR:
remote: Failed to push some refs to Subversion repository.
remote: branch 'refs/heads/v1' unexpectedly refers to commit 
94664e8b7bd91481ad434b3e69628592bf319482 which is not synchronized with SVN 
repository
remote:
remote:
remote: CURRENT STATE:
remote: Both Git and Subversion repository are open for pushes or 
commits.
remote: Your commit was not committed, but you may retry it.
remote:
remote: TO RECOVER:
remote:   A) Address the problem if possible and then retry commit
remote: OR
remote:   B) Run on the server
remote:  $ subgit uninstall 
/var/git/gitea/spip/repositories/spip-contrib-squelettes/ressourcotheque.git/.
remote:
remote: IMPORTANT: As soon as SubGit is uninstalled, both Git and 
Subversion repositories
remote:will become open, but no synchronization will take 
place.
remote:
remote: TO REPORT:
remote: Report an issue at http://issues.tmatesoft.com/
remote: You may find logs on the server at 
'/var/git/gitea/spip/repositories/spip-contrib-squelettes/ressourcotheque.git/./subgit/logs'
remote:
remote: THANK YOU!
To https://git.spip.net/spip-contrib-squelettes/ressourcotheque.git
 ! [remote rejected] master -> master (pre-receive hook declined)
error: impossible de pousser des références vers 
'https://salvatore%40rezo.net:x...@git.spip.net/spip-contrib-squelettes/ressourcotheque.git'

___
liste: https://listes.rezo.net/mailman/listinfo/spip-dev
doc: https://www.spip.net/
dev: https://core.spip.net/
irc://irc.freenode.net/spip

Re: [spip-dev] [Ecriveur] Erreur sur paquet-ressourcotheque

2020-05-08 Par sujet Maïeul Rouquette

Le 09/05/2020 à 01:23, salvat...@rezo.net a écrit :

*Traduire SPIP*

Erreur : il y a deja un fichier 
salvatore/modules/paquet-ressourcotheque—ressourcotheque-6c443/paquet-ressourcotheque.commit.json 
avec des commits en attente






— Envoyé par Traduire SPIP 




J'imagine que c'est lié au plantage de gitea, mais comment résoudre?

___
liste: https://listes.rezo.net/mailman/listinfo/spip-dev
doc: https://www.spip.net/
dev: https://core.spip.net/
irc://irc.freenode.net/spip

[spip-dev] [Ecriveur] Erreur sur paquet-ressourcotheque

2020-05-08 Par sujet salvatore
Erreur : il y a deja un fichier 
salvatore/modules/paquet-ressourcotheque--ressourcotheque-6c443/paquet-ressourcotheque.commit.json
 avec des commits en attente

___
liste: https://listes.rezo.net/mailman/listinfo/spip-dev
doc: https://www.spip.net/
dev: https://core.spip.net/
irc://irc.freenode.net/spip

Re: [spip-dev] git.spip.net et reboot hardu

2020-05-08 Par sujet tcharlss

Yo azerttyu,

Juste pour confirmer le souci sur le dépôt d'albums dont je te parlais 
l'autre jour.
La page sur gitea est en erreur 500, et en git pushant j'obtiens 
l'erreur suivante :


remote: error: corrupt loose object 
'870f4fc84476b77df3a6dc8b1a4e66deb4d05d33'
remote: fatal: loose object 870f4fc84476b77df3a6dc8b1a4e66deb4d05d33 
(stored in 
/var/git/gitea/spip/repositories/spip-contrib-extensions/albums.git/./objects/incoming-2Ir5S5/87/0f4fc84476b77df3a6dc8b1a4e66deb4d05d33) 
is corrupt


Le 06/05/2020 à 15:00, cam.lafit a écrit :

Bonjour

Ce matin le serveur a dû être rebooté. L'opération semble avoir eu un 
impact sur une partie des données. Il semble que malgré un extinction 
normale le système de fichier n'aie pas pas apprécié ceci.


Par conséquent il est possible que certains dépots retourne des 
erreurs 500 ou des messages concernant des objets git corrompus ou 
manquants. Merci dans ce cas de m'en informer pour que je puisse les 
traiter au cas par cas.


Km

___
liste: https://listes.rezo.net/mailman/listinfo/spip-dev
doc: https://www.spip.net/
dev: https://core.spip.net/
irc://irc.freenode.net/spip
___
liste: https://listes.rezo.net/mailman/listinfo/spip-dev
doc: https://www.spip.net/
dev: https://core.spip.net/
irc://irc.freenode.net/spip

Re: [spip-dev] Accès restreint : protection des documents HS

2020-05-08 Par sujet nicod_

Le 08/05/2020 à 18:39, nicod_ a écrit :

Le 07/05/2020 à 20:53, nicod_ a écrit :
Mais sur un autre SPIP 3.2 en particulier, ça passe direct, on peut 
télécharger quand même les docs, je chercher à comprendre pourquoi...


J'ai compris le problème, il y a effectivement un bug dans certains cas.

Quand on a activé la constante, une requête est lancée pour vérifier si 
le document est attaché à un objet lui même attaché à une rubrique 
restreinte :
https://git.spip.net/spip-contrib-extensions/acces_restreint/src/tag/v4.0.0/inc/accesrestreint_autoriser.php#L269 



Exemple de requête générée :
http://spip.pastebin.fr/62681

Si le document a uniquement un lien vers un article ou une rubrique, ça 
marche comme prévu : la requête ne renvoie rien et un visiteur non 
connecté ne voit pas le doc.


Mais si le document a un lien vers un autre objet (un auteur par 
exemple) dans spip_documents_liens, la requête renvoie bien 
l'id_document, et l'autorisation est donc donnée, ce qui n'est pas du 
tout ce qu'on veut.


En fait, cette logique pourrait se discuter...

Si le doc est attaché à un article restreint, mais également à un autre 
objet qui lui n'est pas restreint, par exemple, que faire ?

Apparemment, tu considères que dans ce cas on le diffuse.
Dans mon cas, j'attache des documents à des auteurs, pour de la traçabilité.

On peut avoir d'autres objets qui dépendent de rubriques, donc 
potentiellement restreints aussi, mais là, ils peuvent utiliser le 
pipeline accesrestreint_objets_accessibles_where.


Je pense comprendre le principe, mais simplement, est ce que cette 
clause zzzd.objet NOT IN ('rubrique','article','breve','forum') pourrait 
être optionnelle par exemple ?


--
nicod_
___
liste: https://listes.rezo.net/mailman/listinfo/spip-dev
doc: https://www.spip.net/
dev: https://core.spip.net/
irc://irc.freenode.net/spip


Re: [spip-dev] r124584 - _plugins_/saisies/trunk

2020-05-08 Par sujet RastaPopoulos
Le 08/05/2020 à 18:48, JLuc a écrit :
> Mais il me semble qu'il faut === et non ==
> dans strpos($flux['args']['form'], 'configurer_') == 0

Ah merde oui merci c'est ce que je voulais, c'est parce qu'au départ j'avais 
fait l'inverse avec !== qui était bien strict et en inversant la condition j'ai 
mal remis…

-- 
RastaPopoulos

___
liste: https://listes.rezo.net/mailman/listinfo/spip-dev
doc: https://www.spip.net/
dev: https://core.spip.net/
irc://irc.freenode.net/spip

Re: [spip-dev] r124584 - _plugins_/saisies/trunk

2020-05-08 Par sujet JLuc

Le 08/05/2020 à 17:51, spip-zone-com...@rezo.net a écrit :

Author: RastaPopoulos Date: 2020-05-08 15:51:42 + (Fri, 08 May 2020) New 
Revision: 124584
Modified:
_plugins_/saisies/trunk/saisies_pipelines.php
Petit ajout sympa permettant de remplir les champs avec la config quand on 
detecte que c'est un form configurer_XXX. (issue9 maieul) Si on necessite la 
bonne version de saisies, on n'a donc plus besoin de remplir soi-meme avec des 
lire_config dans le defaut, ca simplifiera 99% des cas.


Super !

Mais il me semble qu'il faut === et non ==
dans strpos($flux['args']['form'], 'configurer_') == 0

JL


Details: https://zone.spip.org/trac/spip-zone/changeset/124584




___
liste: https://listes.rezo.net/mailman/listinfo/spip-dev
doc: https://www.spip.net/
dev: https://core.spip.net/
irc://irc.freenode.net/spip


Re: [spip-dev] Accès restreint : protection des documents HS

2020-05-08 Par sujet nicod_

Le 07/05/2020 à 20:53, nicod_ a écrit :
Mais sur un autre SPIP 3.2 en particulier, ça passe direct, on peut 
télécharger quand même les docs, je chercher à comprendre pourquoi...


J'ai compris le problème, il y a effectivement un bug dans certains cas.

Quand on a activé la constante, une requête est lancée pour vérifier si 
le document est attaché à un objet lui même attaché à une rubrique 
restreinte :

https://git.spip.net/spip-contrib-extensions/acces_restreint/src/tag/v4.0.0/inc/accesrestreint_autoriser.php#L269

Exemple de requête générée :
http://spip.pastebin.fr/62681

Si le document a uniquement un lien vers un article ou une rubrique, ça 
marche comme prévu : la requête ne renvoie rien et un visiteur non 
connecté ne voit pas le doc.


Mais si le document a un lien vers un autre objet (un auteur par 
exemple) dans spip_documents_liens, la requête renvoie bien 
l'id_document, et l'autorisation est donc donnée, ce qui n'est pas du 
tout ce qu'on veut.


Cela vient des deux clauses OR ((zzzd.objet NOT IN 
('rubrique','article','breve','forum')), qui remontent donc un 
enregistrement s'il y a un lien vers un auteur, une patate ou autre.


C'est généré ici :
https://git.spip.net/spip-contrib-extensions/acces_restreint/src/tag/v4.0.0/public/accesrestreint.php#L256

Cedric, si tu as suivi mon raisonnement (que je peux reproduire 
maintenant), qu'en penses tu ?



--
nicod_
___
liste: https://listes.rezo.net/mailman/listinfo/spip-dev
doc: https://www.spip.net/
dev: https://core.spip.net/
irc://irc.freenode.net/spip


Re: [spip-dev] Tuto "Créer des champs extras depuis un plugin perso avec l’aide de Saisies"

2020-05-08 Par sujet Maïeul Rouquette

Le 08/05/2020 à 16:32, RastaPopoulos a écrit :

Le 08/05/2020 à 15:46, jeanmarie a écrit :

Si ok, j'ajoute un exemple plus complet d'un fichier "/base/prefixe.php" à 
partir de https://contrib.spip.net/Champs-Extras-3-API-et-creations pour essayer d'être 
plus exhaustif. Mais doit-on être complètement exhaustif ici ? Et sinon, où trouver tous 
les champs et leurs syntaxes propres ?

Ensuite, il restera à l'articuler avec l'article existant : 
https://contrib.spip.net/Champs-Extras-3-API-et-creations#Creer-un-plugin-en-utilisant-les-API-de-Champs-Extras


Je pense qu'il faut deux exemples, et que ça suffit. Un "simple", là le premier 
à juste deux champs ça va. Et un deuxième plus complexe avec plus de choses utilisées 
(suffit de copier un de l'ancien article). Ça reste des exemples, le but c'est pas 
forcément d'utiliser 100% de ce qui existe non plus hein… Ya la doc pour liste 
exhaustivement les fonctionnalités pour ça.

Pour l'ancien article, je pense qu'il faut alors supprimer totalement les 
exemples, ne laisser que la documentation donc (la liste des fonctions 
fournies, etc), et faire un lien vers l'article d'exemples.


je vais dans le sens de Rastapopulous

___
liste: https://listes.rezo.net/mailman/listinfo/spip-dev
doc: https://www.spip.net/
dev: https://core.spip.net/
irc://irc.freenode.net/spip

Re: [spip-dev] Tuto "Créer des champs extras depuis un plugin perso avec l’aide de Saisies"

2020-05-08 Par sujet Luis

On 08/05/2020 15:46, jeanmarie wrote:

Salut,

Le 04/05/2020 à 15:00, Maïeul Rouquette a écrit :


Ok, si ça va à tout le monde, je prépare l'article d'exemples et on 
avise...


         jeanmarie


oui moi ca me va :)


voici un 1er jet dans lequel je n'ai repris que mon exemple en essayant 
d'être le plus pédagogique possible sans trop compliquer le tout (pas 
simple) : https://contrib.spip.net/ecrire/?exec=article_article=5274


Donc, questions :

  * est-ce que tout vous semble ok techniquement ?
  * est-ce que vous voyez des manques ?
  * quid des autorisations que je n'ai pas utilisées car j'ai fait avec
"restrictions" ? Quelle est la différence ?

Si ok, j'ajoute un exemple plus complet d'un fichier "/base/prefixe.php" 
à partir de https://contrib.spip.net/Champs-Extras-3-API-et-creations 
pour essayer d'être plus exhaustif. Mais doit-on être complètement 
exhaustif ici ? Et sinon, où trouver tous les champs et leurs syntaxes 
propres ?


Super !
Mais s'il y a un Récapitulatif, ne devrait-il pas être exhaustif ?
À savoir, incorporer aussi les fichiers
/base/prefixe.php
/prefixe_administrations.php

___
liste: https://listes.rezo.net/mailman/listinfo/spip-dev
doc: https://www.spip.net/
dev: https://core.spip.net/
irc://irc.freenode.net/spip


Re: [spip-dev] Tuto "Créer des champs extras depuis un plugin perso avec l’aide de Saisies"

2020-05-08 Par sujet RastaPopoulos
Le 08/05/2020 à 15:46, jeanmarie a écrit :
> Si ok, j'ajoute un exemple plus complet d'un fichier "/base/prefixe.php" à 
> partir de https://contrib.spip.net/Champs-Extras-3-API-et-creations pour 
> essayer d'être plus exhaustif. Mais doit-on être complètement exhaustif ici ? 
> Et sinon, où trouver tous les champs et leurs syntaxes propres ?
> 
> Ensuite, il restera à l'articuler avec l'article existant : 
> https://contrib.spip.net/Champs-Extras-3-API-et-creations#Creer-un-plugin-en-utilisant-les-API-de-Champs-Extras

Je pense qu'il faut deux exemples, et que ça suffit. Un "simple", là le premier 
à juste deux champs ça va. Et un deuxième plus complexe avec plus de choses 
utilisées (suffit de copier un de l'ancien article). Ça reste des exemples, le 
but c'est pas forcément d'utiliser 100% de ce qui existe non plus hein… Ya la 
doc pour liste exhaustivement les fonctionnalités pour ça.

Pour l'ancien article, je pense qu'il faut alors supprimer totalement les 
exemples, ne laisser que la documentation donc (la liste des fonctions 
fournies, etc), et faire un lien vers l'article d'exemples.

-- 
RastaPopoulos

___
liste: https://listes.rezo.net/mailman/listinfo/spip-dev
doc: https://www.spip.net/
dev: https://core.spip.net/
irc://irc.freenode.net/spip

Re: [spip-dev] Tuto "Créer des champs extras depuis un plugin perso avec l’aide de Saisies"

2020-05-08 Par sujet jeanmarie

Salut,

Le 04/05/2020 à 15:00, Maïeul Rouquette a écrit :


Ok, si ça va à tout le monde, je prépare l'article d'exemples et on 
avise...


         jeanmarie


oui moi ca me va :)


voici un 1er jet dans lequel je n'ai repris que mon exemple en essayant 
d'être le plus pédagogique possible sans trop compliquer le tout (pas 
simple) : https://contrib.spip.net/ecrire/?exec=article_article=5274


Donc, questions :

 * est-ce que tout vous semble ok techniquement ?
 * est-ce que vous voyez des manques ?
 * quid des autorisations que je n'ai pas utilisées car j'ai fait avec
   "restrictions" ? Quelle est la différence ?

Si ok, j'ajoute un exemple plus complet d'un fichier "/base/prefixe.php" 
à partir de https://contrib.spip.net/Champs-Extras-3-API-et-creations 
pour essayer d'être plus exhaustif. Mais doit-on être complètement 
exhaustif ici ? Et sinon, où trouver tous les champs et leurs syntaxes 
propres ?


Ensuite, il restera à l'articuler avec l'article existant : 
https://contrib.spip.net/Champs-Extras-3-API-et-creations#Creer-un-plugin-en-utilisant-les-API-de-Champs-Extras


A vos retours...

                jean marie

___
liste: https://listes.rezo.net/mailman/listinfo/spip-dev
doc: https://www.spip.net/
dev: https://core.spip.net/
irc://irc.freenode.net/spip

Re: [spip-dev] Socle Interministériel de Logiciels Libres

2020-05-08 Par sujet Pierre KUHN

Le 07/05/2020 à 18:18, nicod_ a écrit :

Le 07/05/2020 à 16:35, RastaPopoulos a écrit :

Le 07/05/2020 à 16:08, Stephane Santon a écrit :

N'est-ce pas un référent "agent public de l'état" ??


Ah j'avais compris un truc comme ça moi aussi, que pour proposer, 
fallait plutôt faire partie d'un organisme public, puisque le but 
c'est de proposer des choses vraiment utilisés et suivis


Mais y'a des gens qui bossent dans des ministères dans la team, non ?


Bonjour,

Une académie prends le poste, j'attends un retour la dessus.

Cdt.

___
liste: https://listes.rezo.net/mailman/listinfo/spip-dev
doc: https://www.spip.net/
dev: https://core.spip.net/
irc://irc.freenode.net/spip