фильтрация в лукапе через плагин: показать всё, что скрыто :)

[Eugene.Ostroukhov]

Приветы.

Задача - в лукапе показывать весь список записей, независимо от того, есть ли права у пользователя на записи или нет (в ролях секьюрити настроено на чтение как подразделение и дочерние, а не организация: соотв. записи соседних подразделения не видятся, а хотелось бы)
Список поиска дополнительно фильтруется через настройки формы ("фильтрация связанных записей"), как раз по подразделению, в котором хотим поискать связанные записи.

Как думаю должно быть реализовано - плагин на RetrieveMultiple (https://blogs.msdn.microsoft.com/ukc...-modify-views/)
только изменять queryExpression не надо, нам надо чтобы сам запрос выполнился из-под пользователя с ролью "сисадмин". чтобы безусловно видеть все записи, а не через всякие OwningBusinessUnit и fn_POARetrieveMultiple(@SystemUserId0, @ObjectTypeCode0)) процедуру.

установил этот плагин (он по сути пустой - без кода, пре-степ, синхронный) - сделал Impersonating User у Step-а - на чувака, с сисадмин ролью.

Под "урезанным" пользователем - все равно ничего не показывается.
Плагин в executionContext + factory/IOrgService показывает правильный гуид в UserId (т.е. имперсонация сработала)

Почему так? чего то не догоняю.
Может в плагине надо как-то контекст или фактори сервиса изменить ?

или может я вообще не в ту степь поехал, и можно сделать как-то попроще?

[a33ik]

Плагин без кода, если вы ничего не подменяете - бесполезен. Хотите решить задачу быстро и малой кровью - выполните запрос, который приходит в контексте и подмените результат. Рекомендую также не забывать, что RetrieveMultiple используется не только из лукапа.

[Eugene.Ostroukhov]

Цитата:

Сообщение от a33ik

Плагин без кода, если вы ничего не подменяете - бесполезен. Хотите решить задачу быстро и малой кровью - выполните запрос, который приходит в контексте и подмените результат.

как подменить?
отправить в postOperation ?

Цитата:

Сообщение от a33ik

Рекомендую также не забывать, что RetrieveMultiple используется не только из лукапа.

да, фильтров я потом навешаю, если найду достаточно ограничений, кроме ApplicationOrigin того же

[Eugene.Ostroukhov]

Цитата:

Сообщение от Eugene.Ostroukhov

как подменить?
отправить в postOperation ?

ага, вижу BusinessEntityCollection в post-operation

остается вопрос как точно определить лукап ли это.
было бы вообще здорово различать урлы (где вызывается лукап) , ибо не на всех формах нужно, а в паре мест всего

[Eugene.Ostroukhov]

Цитата:

Сообщение от Eugene.Ostroukhov

ага, вижу BusinessEntityCollection в post-operation

остается вопрос как точно определить лукап ли это.
было бы вообще здорово различать урлы (где вызывается лукап) , ибо не на всех формах нужно, а в паре мест всего

урл сгодится через HttpContext.Current.
всем спасибо

[Артем Enot Грунин]

Вы решаете довольно странную задачу. Почему бы просто не дать пользователю соответствующие права? Технически можно настроить роль, где права на AppendTo будут выше чем Read для связываемой записи, но что-то мне подсказывает, это будет часто приводить к ошибкам доступа.

[Eugene.Ostroukhov]

Цитата:

Сообщение от Артем Enot Грунин

Вы решаете довольно странную задачу. Почему бы просто не дать пользователю соответствующие права? Технически можно настроить роль, где права на AppendTo будут выше чем Read для связываемой записи, но что-то мне подсказывает, это будет часто приводить к ошибкам доступа.

логика такая, что люди работают в своем подразделении и ничего другое их касаться не должно. как обычно, т.е.
кроме одного момента: они связывают свои данные, с related данными соседних отделов.
так, чтобы в итоге получилась паутина связей между данными разрозненных объектов.

[Артем Enot Грунин]

В диалоге лукапа они могут использовать личные представления. Это позволит пользователю увидеть все данные связанного объекта не попадая на карточку. Будете скрывать поля из поиска?

[Артем Enot Грунин]

p.s. Можно запретить менять представление в настройках лукапа.

[Eugene.Ostroukhov]

Цитата:

Сообщение от Артем Enot Грунин

В диалоге лукапа они могут использовать личные представления. Это позволит пользователю увидеть все данные связанного объекта не попадая на карточку. Будете скрывать поля из поиска?

не совсем понял, к чему речь
к тому, что кроме представления поиска еще свои может использовать и видеть чужие при этом?
1) они вряд ли когда-то до этого догадаются
2) они не умеют делать свои представления

Цитата:

Сообщение от Артем Enot Грунин

p.s. Можно запретить менять представление в настройках лукапа.

знаю, а вот кроме своих представлений надо запретить другие, эт точно)
спасибо!

[Артем Enot Грунин]

Да, я говорил о возможной утечке безопасности, которая возможна при попытке ограничить доступ средствами UI или "поднимать" привилегии при выполнении определенной операции