Système de gestion de contenu (CMS) : Aperçu des autorisations des collections

Les autorisations vous permettent de contrôler quels visiteurs sont autorisés à accéder aux données de vos collections et à interagir avec elles, ainsi que ce qu'ils sont autorisés à faire.

Par exemple, votre site peut avoir une section d'avis où les visiteurs peuvent poster des commentaires que vous stockez dans une collection. Vous pouvez autoriser tous les visiteurs à ajouter de nouveaux commentaires, à tous les visiteurs à lire les commentaires et uniquement à l'administrateur de mettre à jour ou de supprimer les commentaires existants.

Les autorisations sont définies par collection. Vous attribuez des autorisations qui déterminent quels rôles d'utilisateur peuvent effectuer quelles actions. Par exemple, vous pouvez accorder des autorisations de création aux membres du site pour votre collection «commentaires», mais n'autorisez que les administrateurs à créer des éléments dans votre collection «articles».

Lorsque vous choisissez des autorisations de collection prédéfinies, prêtez une attention particulière aux autorisations par défaut.

Le modèle d'autorisations de collection contient un certain nombre de paramètres prédéfinis qui définissent automatiquement les autorisations pour les scénarios courants. Par exemple, le paramètre Publique ne doit être utilisé que pour les informations non sensibles, telles que les collections sans données d'utilisateur. En effet, l'autorisation de lecture de cette collection sera paramétrée sur le rôle Tout le monde et toutes les autres actions seront limitées au rôle Administrateur :

Un autre exemple est le préréglage d'envoi de formulaire, qui définit les autorisations suivantes :

Lorsque vous utilisez le paramètre Personnalisé, assurez-vous que les autorisations que vous attribuez correspondent à la logique métier et à la collection de confidentialité des données de la collection. Par exemple, les collections avec des informations sur les clients ou les prospects doivent être traitées différemment des collections sur les articles.

Il est important de noter que, selon les autorisations que vous appliquez, les informations d'une collection peuvent être consultées ou modifiées quel que soit le flux du site. Par exemple, votre site peut inclure un bouton d'envoi pour que les nouveaux commentaires soient insérés dans la collection de commentaires. Cependant, si la collection est configurée pour permettre à quiconque de supprimer les commentaires, il serait possible de le faire par un appel direct à la collection, même sans bouton sur la page.

Les autorisations suivantes sont compatibles.

Les rôles sont automatiquement attribués aux utilisateurs en fonction de leur activité et de leur statut sur le site. Vous ne pouvez modifier ou supprimer que les rôles personnalisés que vous créez.

Pour le moment, les rôles personnalisés ne sont pas pris en charge par le modèle d'autorisation de la collection. Cependant, les utilisateurs de Velo peuvent implémenter un rôle personnalisé sur une collection en paramétrant l'autorisation de la collection sur «admin» et en utilisant du code pour effectuer un appel de données depuis le backend avec l'option suppressAuth. L'appel de données doit être effectué après la validation du rôle personnalisé d'adhésion avec la fonctionnalité API wix-users dans le code.

L' administrateur conserve toujours les autorisations pour toutes les actions.

Le rôle d'auteur du membre du site est différent des autres rôles en ce sens qu'il s'applique à des éléments spécifiques d'une collection au lieu de l'appliquer à l'échelle du site. L'auteur du membre du site est un membre du site qui a créé un élément spécifique et qui reçoit donc des autorisations supplémentaires pour cet élément qui n'auraient pas été accordées autrement.

Lorsque vous prévisualisez votre site, vous le faites dans le rôle d' administrateur . Pour interagir avec un autre type d'utilisateur, publiez d'abord votre site, puis accédez à votre site en ligne et connectez-vous en tant qu'utilisateur différent (Membre du site) ou ne vous connectez pas du tout (Tout le monde). N'oubliez pas que, si Sandbox est activé sur votre site, votre site en ligne fonctionne avec les collections live et non avec les collections sandbox que vous voyez dans le CMS ou lors de l'aperçu de votre site. 

Lorsque vous définissez les autorisations pour votre collection, vous pouvez choisir dans une liste de préréglages. Les paramètres prédéfinis définissent automatiquement les autorisations pour un certain nombre de scénarios courants, comme indiqué dans le tableau ci-dessous.

En fonction du préréglage que vous sélectionnez, chaque rôle se voit attribuer des autorisations qui correspondent aux besoins du scénario. Vous pouvez toujours sélectionner Utilisation personnalisée pour personnaliser les autorisations accordées à un rôle.

Lorsque vous interagissez avec vos collections à l'aide de l 'API de données, vous pouvez choisir de contourner le modèle des autorisations dans certains cas. L'argument facultatif WixDataOptions peut être envoyé à l'appel de la fonction API avec la propriété suppressAuth définie sur true. Cela entraînera l'exécution de la fonction sans vérifier si l'utilisateur actuel dispose des autorisations nécessaires. Vous ne pouvez contourner les autorisations que lorsque vous effectuez des appels API à partir du code backend. Les appels d'API côté client exécuteront toujours des contrôles d'autorisation, quelles que soient les options passées.

Une collection peut contenir des commentaires ainsi que l'adresse e-mail du créateur du commentaire. Les visiteurs doivent pouvoir consulter les commentaires, mais seul l'administrateur doit pouvoir consulter les adresses e-mail. Dans ce cas, il faut paramétrer les autorisations de lecture sur la collection de commentaires sur « Administrateur ». La suppression d'autorisation nous aidera à permettre aux visiteurs de voir les commentaires sans leur donner la permission de « lire » la collection des commentaires.

Cela peut être fait en écrivant un module web dans un fichier jsw dans le back-end qui appellera la collection comments avec la propriété suppressAuth définie sur true, puis filtrera la réponse et ne retournera que les champs souhaités (commentaires) au client pour le visiteur à afficher, sans les autres champs de la collection, plus précisément sans les e-mails.

Un autre exemple d'utilisation de suppressAuth est celui où vous souhaitez autoriser un [rôle personnalisé (un membre spécifique du site ou un groupe spécifique de membres du site) l'accès à une collection qui est définie avec des autorisations d'administrateur.

Dans le deuxième exemple, le module web doit vérifier l'identité ou le rôle du membre du site avant d'appeler les données. Dans le premier exemple, le module web doit filtrer les résultats avant de renvoyer les données au client.