From 93453fec88d6221e8177a0e4bab9a093a27e4090 Mon Sep 17 00:00:00 2001
From: msyu <msyu@mail.ru>
Date: Wed, 24 Sep 2025 14:09:14 +0300
Subject: [PATCH] 144 specification_id checks

---
 v1/Application.cfc                            |  2 +-
 v1/resources/instance.cfc                     |  3 +-
 v1/resources/instance_operation_cfs_param.cfc | 39 ++++++++++++++++++-
 .../instance_operation_cfs_param_ls.cfc       | 27 +++++++++++--
 v1/resources/instance_operation_ls.cfc        | 13 +++++++
 v1/resources/instance_operation_run.cfc       | 12 ++++++
 6 files changed, 89 insertions(+), 7 deletions(-)

diff --git a/v1/Application.cfc b/v1/Application.cfc
index 9f245d0..90ad3eb 100644
--- a/v1/Application.cfc
+++ b/v1/Application.cfc
@@ -51,7 +51,7 @@
 		
 		//variables.framework.docs={};
 		variables.framework.docs.APIName="svc-api";
-		variables.framework.docs.APIVersion="0.144"; /*auth_header*/ /*$ git config --global --unset user.password*/
+		variables.framework.docs.APIVersion="0.145";  /*$ git config --global --unset user.password*/
 		
 		variables.framework.globalHeaders = structNew();
 		variables.framework.globalHeaders["Access-Control-Expose-Headers"] = "Location"; 
diff --git a/v1/resources/instance.cfc b/v1/resources/instance.cfc
index e8e6497..d6a7175 100644
--- a/v1/resources/instance.cfc
+++ b/v1/resources/instance.cfc
@@ -275,7 +275,8 @@
 			order by sop.sort, p.param
 		</cfquery>
 		
-		<!--- *** здесь уместна параноидальная проверка прав --->
+		<!--- *** здесь уместна параноидальная проверка прав 
+		потому что можно сослаться на чужой инстанс и увидеть какие-то лишние детали--->
 		<cfquery name="local.qDependentInstance">
 			select 
 			<m:field_set titleMapOut="local.dependentInstanceTitleMap" lengthOut="local.fieldCount">
diff --git a/v1/resources/instance_operation_cfs_param.cfc b/v1/resources/instance_operation_cfs_param.cfc
index 206b4b2..36879ba 100644
--- a/v1/resources/instance_operation_cfs_param.cfc
+++ b/v1/resources/instance_operation_cfs_param.cfc
@@ -3,6 +3,18 @@
 В данном случае никакого смысла смотреть на все CFS параметры нет, только в рамках операции
 Но: мы не хотели бы менять положение сущности в дереве. Либо она в корне, либо она ниже. И получится, когда мы выбираем один параметр, нам ни к чему контекст - мы к нему однозначно адресуемся.
 Проголосуем за отсутстие избыточности?
+--->
+
+<!--- Все методы неявно получают 
+arguments.usrId 
+arguments.contragentId 
+arguments.contractId 
+arguments.specificationId 
+
+arguments.requestArguments.usrId=usrCustomerInfo.usrId; //Integer!
+arguments.requestArguments.contragentId=usrCustomerInfo.contragentId; //Integer
+arguments.requestArguments.contractId=usrCustomerInfo.contractId; //Integer
+arguments.requestArguments.specificationId=usrCustomerInfo.specificationId; //Integer
 --->
 
 	<cfsilent>
@@ -113,10 +125,35 @@
 				from instance_operation_cfs_param iop
 				join instance_operation io on iop.instance_operation_uid=io.instance_operation_uid			
 				where iop.instance_operation_cfs_param_uid=<cfqueryparam cfsqltype="cf_sql_other" value="#arguments.instanceOperationCfsParamUid#" null=#!isValid('guid',arguments.instanceOperationCfsParamUid)#/>
-			</cfquery>	
+			</cfquery>				
 			<cfif left(local.qCheck.submit_result,1) EQ "2"><!--- 201 etc --->
 				<cfreturn representationOf(this.helper.formatMessage("Operation already started", "Parameter deletion disabled for started operation")).withStatus(422)/>
 			</cfif>
+			
+			<!--- <cfquery name="local.qCheckSpecification" result="local.result">
+				select si.specification_id
+				from instance_operation_cfs_param iop
+				join instance_operation io on iop.instance_operation_uid=io.instance_operation_uid	
+				join instance e on (io.instance_uid=e.instance_uid)
+				left outer join specification_item si on (e.specification_item_id=si.specification_item_id)				
+				where iop.instance_operation_cfs_param_uid=<cfqueryparam cfsqltype="cf_sql_other" value="#arguments.instanceOperationCfsParamUid#" null=#!isValid('guid',arguments.instanceOperationCfsParamUid)#/>
+				AND si.specification_id=<cfqueryparam cfsqltype="cf_sql_integer" value=#arguments.specificationId#/>
+			</cfquery>
+ 			<cfif local.qCheckSpecification.recordCount EQ 0>
+				<cfreturn representationOf(this.helper.formatMessage("Instance not accessible", "Instance does not belong to the current specification, contract or contragent")).withStatus(403)/>
+			</cfif>	 --->
+			<cfquery name="local.qCheckAccess" result="local.result">
+				select count(*) as cnt
+				from instance_operation_cfs_param iop 
+				join instance_operation io on (iop.instance_operation_uid=io.instance_operation_uid)
+				join instance e on (io.instance_uid=e.instance_uid)
+				join specification_item si on (e.specification_item_id=si.specification_item_id)
+				where iop.instance_operation_cfs_param_uid=<cfqueryparam cfsqltype="cf_sql_other" value="#arguments.instanceOperationCfsParamUid#" null=#!isValid('guid',arguments.instanceOperationCfsParamUid)#/>
+				AND si.specification_id=<cfqueryparam cfsqltype="cf_sql_integer" value=#arguments.specificationId#/> 
+			</cfquery>	
+			<cfif local.qCheckAccess.cnt EQ 0>
+				<cfreturn representationOf(this.helper.formatMessage("Instance not accessible", "Instance of this CFS parameter is not accessible to the current user (at least does not belong to the default specification)")).withStatus(403)/>
+			</cfif>			
 		
 			<cfquery name="local.qSave">
 				delete from instance_operation_cfs_param 
diff --git a/v1/resources/instance_operation_cfs_param_ls.cfc b/v1/resources/instance_operation_cfs_param_ls.cfc
index 686f91b..3f846b2 100644
--- a/v1/resources/instance_operation_cfs_param_ls.cfc
+++ b/v1/resources/instance_operation_cfs_param_ls.cfc
@@ -3,6 +3,20 @@
 В данном случае никакого смысла смотреть на все CFS параметры нет, только в рамках операции
 Но: мы не хотели бы менять положение сущности в дереве. Либо она в корне, либо она ниже. И получится, когда мы выбираем один параметр, нам ни к чему контекст - мы к нему однозначно адресуемся.
 Проголосуем за отсутстие избыточности?
+--->
+<!--- Проверять принадлежность инстанса текущему клиенту 
+При выборке CFS параметров проверятся принадлежность текущей спецификации пользователя
+--->
+<!--- Все методы неявно получают 
+arguments.usrId 
+arguments.contragentId 
+arguments.contractId 
+arguments.specificationId 
+
+arguments.requestArguments.usrId=usrCustomerInfo.usrId; //Integer!
+arguments.requestArguments.contragentId=usrCustomerInfo.contragentId; //Integer
+arguments.requestArguments.contractId=usrCustomerInfo.contractId; //Integer
+arguments.requestArguments.specificationId=usrCustomerInfo.specificationId; //Integer
 --->
 
 	<cfsilent>
@@ -176,18 +190,23 @@
 			
 			<!--- Проверка: параметр от нашего ли сервиса *** и операции --->
  			<cfquery name="local.qInstanceService" result="local.result">
-				select e.service_id, io.operation  
+				select e.service_id, io.operation, si.specification_id  
 				from instance_operation io 
 				join instance e on (io.instance_uid=e.instance_uid)
+				left outer join specification_item si on (e.specification_item_id=si.specification_item_id)
 				where io.instance_operation_uid=<cfqueryparam cfsqltype="cf_sql_other" value="#arguments.instanceOperationUid#"/>
-			</cfquery>	  			
+			</cfquery>
+			
 			<cfquery name="local.qTemplateSvc" result="local.result">
 				select so.svc_id, so.operation  
 				from svc_operation_cfs_param sop 
 				join svc_operation so on (sop.svc_operation_id=so.svc_operation_id)
 				where sop.svc_operation_cfs_param_id=<cfqueryparam cfsqltype="cf_sql_integer" value="#arguments.svcOperationCfsParamId#"/>
 			</cfquery>	 
- 			<cfif local.qInstanceService.service_id NEQ local.qTemplateSvc.svc_id>
+ 			<cfif local.qInstanceService.specification_id NEQ arguments.specificationId>
+				<cfreturn representationOf(this.helper.formatMessage("Instance not accessible", "Instance does not belong to the current specification, contract or contragent")).withStatus(403)/>
+			</cfif>	
+			<cfif local.qInstanceService.service_id NEQ local.qTemplateSvc.svc_id>
 				<cfreturn representationOf(this.helper.formatMessage("Invalid CFS parameter", "Parameter specified does not belong to this service")).withStatus(400)/>
 			</cfif>	
 			<cfif local.qInstanceService.operation NEQ local.qTemplateSvc.operation>
@@ -252,7 +271,7 @@
 		<cfif local.qSvcOperationCfsParam.is_required GT 0 AND len(arguments.paramValue) EQ 0>
 			<cfthrow type="invalidParamValue" message="Missing required parameter (#local.qSvcOperationCfsParam.svc_operation_cfs_param#)"/>		
 		<cfelseif len(arguments.paramValue) AND NOT validateDataType(arguments.paramValue,local.qSvcOperationCfsParam.data_type)>
-			<cfthrow type="invalidParamValue" message="Invalid format (#local.qSvcOperationCfsParam.svc_operation_cfs_param#)"/>			
+			<cfthrow type="invalidParamValue" message="Invalid format (#local.qSvcOperationCfsParam.svc_operation_cfs_param#)"/>
 		</cfif>
 		
 		<cfif len(arguments.paramValue) AND listLen(local.qSvcOperationCfsParam.value_list) GT 0 AND NOT listFind(local.qSvcOperationCfsParam.value_list, arguments.paramValue)>
diff --git a/v1/resources/instance_operation_ls.cfc b/v1/resources/instance_operation_ls.cfc
index 8e5238c..ebae8f4 100644
--- a/v1/resources/instance_operation_ls.cfc
+++ b/v1/resources/instance_operation_ls.cfc
@@ -28,6 +28,18 @@
 			<cfif local.qCheckOperation.cnt EQ 0>
 				<cfthrow type="invalidParamValue" message="Operation unsupported for this service/instance" detail="#arguments.operation#"/>
 			</cfif>
+			
+			<cfquery name="local.qCheckAccess" result="local.result">
+				select count(*) as cnt
+				from instance e 
+				join specification_item si on (e.specification_item_id=si.specification_item_id)
+				where e.instance_uid=<cfqueryparam cfsqltype="cf_sql_other" value="#arguments.instanceUid#" null=#!isValid('guid',arguments.instanceUid)#/>
+				AND si.specification_id=<cfqueryparam cfsqltype="cf_sql_integer" value=#arguments.specificationId#/> 
+			</cfquery>	
+			<cfif local.qCheckAccess.cnt EQ 0>
+				<!--- *** вместо выбрасывания исключения мы сразу прерываем выполнение метода --->
+				<cfreturn representationOf(this.helper.formatMessage("Instance not accessible", "Instance is not accessible to the current user (at least does not belong to the default specification)")).withStatus(403)/>
+			</cfif>
 			<!--- *** Добавить проверку разрешенных переходов, например, create нельзя сделать на развернутом экземпляре
 			*** Вероятно, допустимые переходы нужно либо специфицировать в документации, либо явно опубликовать (инстанс может публиковать список допустимых операций) --->
 			
@@ -70,6 +82,7 @@
 		/>				
 	</cffunction>	
 	
+	<!--- *** NOT USED --->
 	<cffunction name="checkResourceRealmId" returntype="void" hint="deprecated">
 	<!--- В данном случае мы проверяем соответствие платформы сервису, а не операции, поэтому вопрос, нужен ли для данной операции параметр resourceRealm, надо решать вне этой функции  --->
 		<cfargument name="resourceRealmId" type="numeric" required=true/>
diff --git a/v1/resources/instance_operation_run.cfc b/v1/resources/instance_operation_run.cfc
index 806b222..d5f8055 100644
--- a/v1/resources/instance_operation_run.cfc
+++ b/v1/resources/instance_operation_run.cfc
@@ -22,6 +22,18 @@
 			<!---NOT NULL fields--->
 			<cfset this.helper.keyExistsAndValid(arguments, "instanceOperationUid", "guid")/>
 			
+			<cfquery name="local.qCheckAccess" result="local.result">
+				select count(*) as cnt
+				from instance_operation io 
+				join instance e on (io.instance_uid=e.instance_uid)
+				join specification_item si on (e.specification_item_id=si.specification_item_id)
+				where io.instance_operation_uid=<cfqueryparam cfsqltype="cf_sql_other" value="#arguments.instanceOperationUid#" null=#!isValid('guid',arguments.instanceOperationUid)#/>
+				AND si.specification_id=<cfqueryparam cfsqltype="cf_sql_integer" value=#arguments.specificationId#/> 
+			</cfquery>	
+			<cfif local.qCheckAccess.cnt EQ 0>
+				<cfreturn representationOf(this.helper.formatMessage("Instance not accessible", "Instance is not accessible to the current user (at least does not belong to the default specification)")).withStatus(403)/>
+			</cfif>
+			
 			<cfquery name="local.qSvcOperation" result="local.result">
 				select io.operation, s.svc_id, so.svc_operation_id  
 				from instance_operation io