Authentification, autorisations & durcissement
Voir tous les tagsGET /api/v1/green/summary, /green/budgets et /green/report étaient
enregistrés sans l'intergiciel de session que toutes les autres routes de
signal utilisent. Sur une installation dont l'authentification est pourtant
activée, les trois répondaient 200 à un appelant sans aucune session.
Deux questions que l'on se pose dès la première semaine d'exploitation — où mes données sont-elles réellement stockées ? et que peut faire ce rôle ? — ont désormais chacune leur écran.
La v0.4.0 termine le cycle de vie des comptes entamé en v0.2 : les utilisateurs peuvent maintenant être modifiés, réinitialisés et supprimés depuis l'interface, et chacun peut changer son propre mot de passe. En passant cette surface en revue, trois manières d'entrer dans un compte qui n'auraient pas dû fonctionner sont apparues — les trois sont refermées. À leurs côtés, une installation qui avait silencieusement perdu sa migration de schéma se répare désormais toute seule.