WSO2 ES のアセットは、アクセス制御なしで直接 URLによって取得されます。
匿名ユーザーにアクセス許可を割り当てなくても、ユーザーがアセットへの URL を取得すると、その URL を知っている全員がリソースをダウンロードできます。
アセットへのアクセス制御を実装する予定はありますか?
リソースを提供する前にアクセス権がチェックされるはずなので、これはバグのようです。許可された役割のリストは、ext/config/ フォルダーにある構成ファイルで指定されます。その使用例は、/store/config/ext/gadget.json にあります。
"storage": {
"images_banner": {
"lifecycle": {
"created": ["private_{overview_provider}"],
"in-review": ["reviewer", "private_{overview_provider}"],
"published": ["Internal/everyone", "private_{overview_provider}", "reviewer","anon"],
"unpublished": ["private_{overview_provider}"]
}
},
"images_thumbnail": {
"lifecycle": {
"created": ["private_{overview_provider}"],
"in-review": ["reviewer", "private_{overview_provider}"],
"published": ["Internal/everyone", "private_{overview_provider}", "reviewer","anon"],
"unpublished": ["private_{overview_provider}"]
}
}
}
この問題について JIRA に記録しました [1]。次のリリースで修正する予定です。
[1] https://wso2.org/jira/browse/STORE-383
ありがとう、サメーラ