CMS: Überblick über die Sammlungsberechtigungen

Berechtigungen geben dir die Kontrolle darüber, welche Besucher auf die Daten in deinen Sammlungen zugreifen und mit ihnen interagieren können und was sie dabei tun dürfen.

Deine Website kann z. B. einen Feedback-Bereich haben, in dem Besucher Kommentare posten können, die du in einer Sammlung speicherst. Möglicherweise möchtest du allen Besuchern erlauben, neue Kommentare hinzuzufügen und zu lesen, doch nur der Admin soll bestehende Kommentare aktualisieren oder löschen können.

Die Berechtigungen werden pro Sammlung definiert. Du weist Berechtigungen zu, die festlegen, welche Benutzerrollen welche Aktionen ausführen dürfen. Beispielsweise kannst du Website-Mitgliedern die Berechtigungen erteilen, Inhalte für deine Kommentar-Sammlung zu erstellen, aber nur Admins die Berechtigung geben, Elemente in deiner „Produkte“-Sammlung zu erstellen.

Wenn du voreingestellte Sammlungsberechtigungen auswählst, achte sorgfältig auf die Standardberechtigungen.

Das Berechtigungsmodell für Sammlungen enthält eine Reihe von Voreinstellungen, die automatisch die Berechtigungen für häufige Szenarien festlegen. So sollte zum Beispiel die Einstellung Öffentlich nur für nicht sensible Informationen verwendet werden, z. B. Sammlungen ohne Benutzerdaten. Dies liegt daran, dass die Leseberechtigung für diese Sammlung auf die Rolle Jeder eingestellt ist und alle anderen Aktionen nur auf die Rolle Admin beschränkt sind:

Ein weiteres Beispiel ist die Voreinstellung Formulareinreichung, die die folgenden Berechtigungen definiert:

Wenn du die Einstellung Benutzerdefiniert verwendest, achte darauf, dass die von dir zugewiesenen Berechtigungen mit der Geschäftslogik und der Vertraulichkeitsklassifizierung der Daten in der Sammlung übereinstimmen. So sollten zum Beispiel Sammlungen mit Details über Kunden oder Geschäftskontakte anders behandelt werden als Sammlungen über Produkte.

Es ist wichtig zu beachten, dass je nach den von dir angewendeten Berechtigungen auf Informationen in einer Sammlung zugegriffen werden kann oder diese unabhängig vom Website-Fluss geändert werden können. Deine Website kann z.B. einen „Einreichen“-Button enthalten, damit neue Kommentare in die Kommentarsammlung eingefügt werden. Wenn die Sammlung jedoch so konfiguriert ist, dass jeder die Kommentare löschen kann, wäre dies durch einen direkten Aufruf der Sammlung (Artikel nur auf Englisch verfügbar) möglich, auch ohne einen Button auf der Seite.

Die folgenden Berechtigungen werden unterstützt.

Rollen werden Benutzern basierend auf ihrer Aktivität und ihrem Status auf der Website automatisch zugewiesen. Du kannst nur von dir erstellte benutzerdefinierte Rollen bearbeiten oder löschen.

Derzeit werden Benutzerdefinierte Rollen nicht vom Berechtigungsmodell für Sammlungen unterstützt. Velo-Benutzer können jedoch eine benutzerdefinierte Rolle für eine Sammlung implementieren, indem sie die Sammlungsberechtigung auf „admin“ setzen und Code verwenden, um einen Datenaufruf aus dem Backend mit der suppressAuth-Option durchzuführen. Der Datenaufruf sollte erfolgen, nachdem die benutzerdefinierte Rolle „Mitgliedschaft“ mit der Nutzer-API-Funktionalität von im Code validiert wurde.

Der Administrator behält immer die Berechtigungen für alle Aktionen.

Die Rolle Autor (Mitglied) unterscheidet sich von den anderen Rollen dadurch, dass sie sich auf bestimmte Elemente in einer Sammlung bezieht, anstatt sich auf die gesamte Website zu beziehen. Der Autor (Mitglied) ist ein Website-Mitglied, das ein bestimmtes Element erstellt hat und daher zusätzliche Berechtigungen für dieses Element erhält, die andernfalls nicht erteilt worden wären.

Wenn du eine Vorschau deiner Website erstellst, tust du dies in der Rolle des Administrators. Um als eine andere Art von Benutzer zu interagieren, veröffentliche zuerst deine Website, rufe deine Live-Website auf und melde dich dann entweder als ein anderer Benutzer(Website-Mitglied) oder gar nicht (Jeder) an. Denke daran, dass, auch wenn die Sandbox für deine Website aktiviert ist, deine Live-Website mit den Live-Sammlungen arbeitet und nicht mit den Sandbox-Sammlungen, die du im CMS oder in der Vorschau deiner Website siehst. 

Wenn du die Berechtigungen für deine Sammlung festlegst, kannst aus einer Liste von Voreinstellungen wählen. Die Voreinstellungen legen automatisch die Berechtigungen für eine Reihe von häufigen Szenarien fest, wie in der Tabelle unten dargestellt.
 
Basierend auf der ausgewählten Voreinstellung werden jeder Rolle Berechtigungen zugewiesen, die den Anforderungen des Szenarios entsprechen. Du kannst jederzeit die Option Benutzerdefinierte Anwendung wählen, um die Berechtigungen anzupassen, die einer Rolle gewährt werden.

Wenn du mit deiner Sammlung über die Data-API interagierst (Artikel nur auf Englisch verfügbar), kannst du dich entscheiden, das Berechtigungsmodell in bestimmten Fällen zu umgehen. Das optionale Argument WixDataOptions kann an den API-Funktionsaufruf gesendet werden, wenn die Eigenschaft suppressAuth auf true gesetzt ist. Dadurch wird die Funktion ausgeführt, ohne zu prüfen, ob der aktuelle Benutzer über die richtigen Berechtigungen verfügt. Du kannst Berechtigungen nur umgehen, wenn du API-Aufrufe über Backend-Code durchführst. Clientseitige API-Aufrufe führen immer Berechtigungsprüfungen durch, unabhängig davon, welche Optionen bestanden werden. 

Eine Sammlung kann sowohl Kommentare als auch die E-Mail-Adresse des Kommentarerstellers enthalten. Besucher sollten die Kommentare sehen können, aber nur der Admin sollte in der Lage sein, die E-Mail-Adressen einzusehen. In einem solchen Fall muss man die Leseberechtigungen für die Kommentarsammlung auf „Admin“ setzen. Die Berechtigungsunterdrückung hilft uns, den Besuchern zu ermöglichen, die Kommentare anzuzeigen, ohne Besuchern die Berechtigung zu erteilen, die Kommentarsammlung zu „lesen“.

Dies kann durch das Schreiben eines Webmoduls in einer jsw-Datei im Backend geschehen, das die Kommentarsammlung mit der Eigenschaft suppressAuth auf true aufruft und dann die Antwort herausfiltert und nur die gewünschten Felder (Kommentare) an den Client zurückgibt, damit der Besucher sie sehen kann, ohne dass die anderen Felder der Sammlung, insbesondere die E-Mail-Adressen, angezeigt werden.

Ein weiteres Beispiel für die Verwendung von suppressAuth ist, wenn du einer [benutzerdefinierten Rolle (einem bestimmten Website-Mitglied oder einer bestimmte Gruppe von Website-Mitgliedern) Zugriff auf eine Sammlung gewähren möchtest, die mit Admin-Berechtigungen ausgestattet ist.

Im zweiten Beispiel muss das Webmodul die Identität oder die Rolle des Website-Mitglieds überprüfen, bevor es die Daten aufruft. Im ersten Beispiel muss das Webmodul die Ergebnisse herausfiltern, bevor es die Daten an den Client zurückgibt.