TikiWikiの匿名ユーザーからAjaxリクエストサービスを停止するにはどうすればよいですか？

Question

私はイベントトラッカーカレンダーと呼ばれるようにAjaxサービスを実行していました。 [MYSERVER] /チキ・tracker_calendarリスト？trackerId = 30 & beginField =たstartDate & endField = endDateに& resourceField =タイトル& coloringField =ヌル&フィルター=％0D％0A％7Bfilter％20field％3D％22tracker_field_eventCategory％22％20content％ ？ ティキ-tracker_calendarリストをtrackerId = 30 & beginField =たstartDate &：3次元％22％22％7Dのの％0D％0Aは1490626987241

攻撃者を活用する場合、これと入力します_ = = 1488085200 &終了= 1491710400 &を開始& endField = endDate & start = 0 & end = 9999999999 トラッカー30のすべてのイベントが返されます。 入力しようとしました： `if（！ ISSET（$ユーザー））

{

ヘッダ（ '場所：index.phpを'）;

ダイ;

ファイルで

} ` ：ライン35

で

/var/www/html/tikisvn15/tiki-ajax_services.phpそれは動作します。他の方法はありますか？私の変更によりAjaxサービスが他のコンポーネントから停止するのでしょうか？

Answer 1

Tikiパーミッションシステムを使ってどのグループを見ることができるかを設定できます。 TrackerCalendarが検索を使用しているため - あなたはユーザー（ログインしていない）匿名のために見えないあなたのトラッカーを設定した後、あなたが（>検索コントロールパネル上の）検索インデックスを再構築する必要がありますことをSee the documentation here

注広範にインデックス

このような任意のユーザーチェックをtikiコードに入れないようにすることをおすすめします。これは、動作が停止するため、なぜうまくいかないのでしょうか。