Backlog Courrier

En tant qu’administrateur de Maarch possédant les privilèges d’administration des utilisateurs sur tous les groupes, et appartenant à une entité donnée de l’arborescence de l’organisation,

Je peux actuellement (Maarch Courrier 21.03.21) éditer le rôle d’un utilisateur appartenant à une entité hors de mes entités et sous-entités.

Par exemple :

• Barbara Bain est admin, et dans l’entité PJS ;
• Tony Tong est agent, et dans l’entité SP (sous PJS) et dans DSI (pas sous PJS) ;
• Barbara Bain peut modifier le rôle de Tony Tong dans SP => OK ;
• Barbara Bain peut aussi modifier le rôle de Tony Tong dans DSI qui n’est pas dans son périmètre => KO.

Correction suggérée : la fonction UserController::updateEntity() appelle UserController::hasUsersRights(), la modifier pour prendre en compte un paramètre supplémentaire entity permettant d’assurer que la modification concerne bien un utilisateur de nos entités ou sous-entités ET que l’entité concernée est dans ce sous-arbre.