Geschützte Werte (Rollen an einfachen Feldern)

Worum es geht

Stell dir eine Gehaltsabrechnung payslip vor. Viele Personen dürfen sie lesen: Name, Monat, Abteilung. Das Feld salary sollen aber nur wenige sehen und noch weniger ändern.

Dafür legst du am einfachen Feld salary eine Rolle fest, z. B. payslip-salary-read. Ein einfaches Feld ist ein Feld mit einem Wert (Text, Zahl, Datum), keine Beziehung zu einem anderen Modell.

An einer Beziehung ist das anders: Dort öffnet eine Feldrolle einen zusätzlichen Weg zum anderen Modell. Siehe Rechte auf Beziehungen (Feldrollen).

Ein Datensatz, zwei Sichten

flowchart LR
    A(["Person mit payslip-read"]) -->|"response: +"| R1["employeeName: Anna<br/>salary: –"]
    B(["Person mit payslip-read<br/>und payslip-salary-read"]) -->|"response: +"| R2["employeeName: Anna<br/>salary: 5000"]

Beide lesen denselben Datensatz. Die erste Person bekommt salary nicht zu sehen, die zweite schon.

Welche Rolle wofür

Eine Rolle wirkt nur für die Operation, für die sie festgelegt ist. Legst du für eine Operation keine Rolle fest, reicht dort die Rolle des Modells.

Die Namen bildet der Generator wie bei allen Feldrollen: Basisrolle, Feldname, Operation. Siehe Wie Rollennamen entstehen.

Lesen

Warum zwei Antworten? + bedeutet „alle einfachen Felder, die ich sehen darf“. Nennst du das Feld beim Namen, willst du genau diesen Wert. Ein leerer Wert wäre dann nicht von „nicht gesetzt“ zu unterscheiden, deshalb lehnt CDMS ab.

Das Feld fehlt überall, wo der Datensatz herauskommt:

• beim Lesen und bei jeder Zeile einer Suche
• in der Antwort auf Anlegen, PUT und PATCH (sie ist ein Lesevorgang)
• wenn du das Modell über eine Beziehung eines anderen Modells liest
• in jeder Version der Änderungshistorie
• in jeder Zeile einer Suche auf einem abstrakten Modell

Schreiben

CDMS prüft beim Schreiben die Änderung, nicht die bloße Nennung des Felds.

Werte, die ein Defaultwert oder ein Hook setzt, prüft CDMS nicht. Sie kommen vom Server, nicht von der Person.

Suchen

Ein Filter nach einem Wert verrät ihn, Schritt für Schritt: „Ist das Gehalt größer als 4000? Größer als 5000?“ Auch eine Sortierung verrät ihn über die Reihenfolge. Deshalb gilt:

• Ein Filter auf ein Feld, das du nicht lesen darfst, ergibt 403 mit der Leserolle des Felds. Das gilt auch in verschachtelten Gruppen.
• Eine Sortierung danach ergibt ebenfalls 403.
• Ein Pfad wie vault.code wird bis zum letzten Feld verfolgt. Trägt code eine Leserolle, brauchst du sie für den Filter.
• Bei einem abstrakten Modell zählt das Feld jedes Untertyps.

Siehe auch Kaputte Filter.

Varianten

Fallen

Wie es weitergeht

• Rollen auf Beziehungen: Rechte auf Beziehungen (Feldrollen)
• Die Ebenen im Zusammenhang: Die drei Ebenen im Überblick
• Welche Felder eine Antwort enthält: Feldauswahl