search

KohaSuomi / Koha

(KOHA) Koha is a free software integrated library system (ILS). Koha is distributed under the GNU GPL version 3 or later. Note: this is a synced mirror of the official Koha repo.
https://koha-community.org/
GNU General Public License v3.0
7 stars 13 forks source link

Virkailijatilin voimassaoloajan pidentämiseen rajoitus #906

Open pknuuti opened 1 year ago

pknuuti commented 1 year ago

Kehitysehdotukseni

vanha tiketti Redminessä https://tiketti.koha-suomi.fi/issues/3915 Virkailijatilin voimassaoloajan muokkaamista pitäisi rajoittaa siten, että kaikki eivät pääsisi muokkaamaan oman tilinsä voimassaoloaikaa. Ei ole tarkoituksenmukaista, että tilapäinen henkilö voi laittaa tilinsä voimassaoloajaksi useita vuosia. Virkailijatilin voimassaoloaikaa pitäisi voida muokata vain pääkäyttäjä tai tietyillä oikeuksilla oleva virkailija. Käsitelty pääkäyttäjäpalaverissa 7.11.2023

Jotain muuta?

No response

AnneliO commented 1 year ago

Koha-Suomen asiantuntijaryhmä 20.11.2023: Yritetään edistää yhteisössä, että käyttäjä ei voi vaihtaa itse oman tunnuksensa voimassaoloaikaa.

Sitä odotellessa:

AnneliO commented 7 months ago

@pknuuti tekisitkö tästä tiketin yhteisön Bugzillaan?

Salasanan vanhenemistoiminnosta on menossa testit tiketissä koha-23 #98.

pknuuti commented 7 months ago

https://bugs.koha-community.org/bugzilla3/show_bug.cgi?id=36661

lmstrand commented 2 months ago

Tämän voisi lisätä pluginiin, jossa rajoitetaan virkailijatilillä muutettavien kenttien tietojen muokkausta (IntranetUserJS: Restrict patron modification by category).

AnneliO commented 2 months ago

Tämän voisi lisätä pluginiin, jossa rajoitetaan virkailijatilillä muutettavien kenttien tietojen muokkausta (IntranetUserJS: Restrict patron modification by category).

Tässä pitää huomioida, että voimassaoloaikaa pitää pystyä säätämään muutkin kuin superlibrarian-oikeuksilla olevat käyttäjät. Jos sen saa kytkettyä staffaccess-käyttäjäoikeuteen, niin tämä ratkaisu voisi ehkä toimia.

lmstrand commented 2 months ago

Tuon oikan tarkistusta ei voi tehdä javascriptillä tietojen lisäys/muokkaussivuilla. Pitäisi siis kooditasolla toteuttaa.

lmstrand commented 2 months ago

Tähän on tehty muutos nexteille. ksdev/ks-0191-G906-restrict-patronedit-expiry-to-staffaccess

Nyt kun mitä tahansa asiakastietoa muokataan, voimassaoloaika on piilotettuna ellei muokkaajalla ole staffaccess-oikeutta määritettynä. Testasin asiakastietueen muokkaamista, kun staffaccess-oikeus puuttui ja voimassaolokenttä on määritetty pakolliseksi ja se on piilossa. Asiakkaan muokkaaminen ja tallentaminen onnistui. En testannut, jos kenttä on oikeasti tyhjä ja pakollinen.

lmstrand commented 2 months ago

ps. asiakkaan luonnin pitäisi toimia kuten ennenkin eikä voimassaoloaika ole piilossa, oli staffaccess-oikkaa tai ei.

pknuuti commented 1 month ago

Testasin Vaaran nextillä. Henkilöllä oli vain oikeus käsitellä asiakastietoja, mutta ei ollut staffaccess-oikeutta. Henkilö ei päässyt tekemään VIRKAILIJA-tunnuksella olevaa asiakasta eikä hänelle näkynyt olemassaolevan virkailijan voimassaoloajan päättymisaikaa muokkausnäytöllä. Kun tein saman henkilön tunnuksella uuden henkilöasiakkaan, jäin tallennuksen jälkeen hämmästelemään sitä, että uusi asiakas tallennettiin ilman mitään herjausta sotutunnuksen puuttumisesta. Eikös se nextilläkin pitäisi olla vai onko nyt mennyt joku rikki?

AnneliO commented 1 month ago

Sotuteekki-liitännäisessä ei ollut nexteillä mukana viimeisimmät päivitykset. Nyt on, joten kokeiletko Päivi uudelleen tuolta osin?

pknuuti commented 1 month ago

Ei edelleenkään herjaa mitään, vaikka henkilöasiakkaalle ei ole tallennettuna hetua eli sotuavain puuttuu. Keksitty asiakas https://vaara-next.koha-suomi.fi/cgi-bin/koha/members/moremember.pl?borrowernumber=11016356

lmstrand commented 1 month ago

Ei edelleenkään herjaa mitään, vaikka henkilöasiakkaalle ei ole tallennettuna hetua eli sotuavain puuttuu. Keksitty asiakas https://vaara-next.koha-suomi.fi/cgi-bin/koha/members/moremember.pl?borrowernumber=11016356

Tämä osoittautui ongelmaksi: https://github.com/KohaSuomi/koha-plugin-intranetjs-validate-mobile-uncheck-message-transports/issues/1#issuecomment-2385246705

pknuuti commented 1 month ago

Nyt toimii sotuavaimen tarkistuksen osalta.

Kati-Helle commented 1 month ago

Tulisiko myös estää tämä tapa virkailijatilin voimassaolon pidentämiseen? Muita toimintoja/Asiakkaan käyttöoikeuden jatkaminen

kuva

lmstrand commented 1 month ago

Hyvä huomio. Lisäsin myös tuohon valintaan staffacces-oikan vaatimuksen. Testattavissa nexteillä.

Kati-Helle commented 1 month ago

Kiitos lisäyksestä. Nyt myöskään asiakastiedon ominaisuus 'Muita toimintoja/Asiakkaan käyttöoikeuden jatkaminen' ei toimi ilman staffaccess-oikeutta kuva

Rvallim0 commented 1 month ago

Vaskin nextillä testattu, ilman staffaccess-oikeuksia virkailija pystyy asiakasta luodessa määrittämään vanhemispäivän. Olemassa olevaa asiakastietuetta muokatessa vanhenemispäivämäärä on piilotettu, eikä asiakkaan käyttöoikeutta pysty jatkamaan Muita toimintoja -pudotusvalikostakaan, testattu henkilöasiakkaalla ja virkailijalla. Staffaccess-oikeudella pystyy muokkaamaan olemassa olevan asiakastietueen vanhenemispäivämäärää henkilöasiakkaalla sekä virkalijalla, ja asiakkuutta pystyy jatkamaan pudotusvalikosta.

Kati-Helle commented 1 month ago

Virkailjatilin voimassaoloajan ja muidenkin asiakastyyppien voimassaoloajan pidentäminen onnistuu asiakkaan Tiedot-välilehdellä, vaikka käyttäjätunnuksella ei ole Stafaccess-oikeutta (esim. käyttäjätunnuksen ID=47616) kuva

Voimassaoloajan pidentäminen onnistui kuva

Kati-Helle commented 1 month ago

Hellessä Yhteisö-asiakastiedon voimassaoloajan pidentämismahdollisuus on tarpeellinen, vaikka käyttäjätunnuksella ei ole Staffaccess-oikeutta. Hellen Yhteisö-asiakastyypin tiedot tarkistetaan vuosittain.

AnneliO commented 1 month ago

Hellessä Yhteisö-asiakastiedon voimassaoloajan pidentämismahdollisuus on tarpeellinen, vaikka käyttäjätunnuksella ei ole Staffaccess-oikeutta. Hellen Yhteisö-asiakastyypin tiedot tarkistetaan vuosittain.

Eikös tämä muutos vaikuta vain VIRKAILIJA-tyyppisiin tunnuksiin? :) Vai testasitko YHTEISO-asiakkaalla ja sen voimassaoloajan muutos ei onnistunut?

Kati-Helle commented 1 month ago

Hellessä Yhteisö-asiakastiedon voimassaoloajan pidentämismahdollisuus on tarpeellinen, vaikka käyttäjätunnuksella ei ole Staffaccess-oikeutta. Hellen Yhteisö-asiakastyypin tiedot tarkistetaan vuosittain.

Eikös tämä muutos vaikuta vain VIRKAILIJA-tyyppisiin tunnuksiin? :) Vai testasitko YHTEISO-asiakkaalla ja sen voimassaoloajan muutos ei onnistunut?

Kun Kohaan kirjautuneella käyttäjätunnuksella ei ole Staffaccess-oikeutta (esim. Helle-testissä ID 47616)

AnneliO commented 1 month ago

IntranetUserJS: Restrict patron modification by category -liitännäinen ei ole käytössä helle-nextillä. Jos aktivoit sen, niin lähteekö toimimaan?

Edit: ja määrittelet asiakastyypit Määrittely-toiminnossa.

Kati-Helle commented 1 month ago

Restrict patron modification by category

Nextiin kirjauduttu tunnuksella, jolla ei ole Staffaccess-oikeutta. Virkailja-tyyppisen asiakastiedon vanhentumispäivän muutos onnistuu Tiedot-välilehdellä Kirjastotiedot-osiossa

kuva

AnneliO commented 1 month ago

Aa, eli tuo Uusinta-linkki pitää myös epäaktivoida: kuva

lmstrand commented 1 month ago

Lisäsin tuon Uusi tai muokkaa-tekstin piilotuksen, jos virkailijalla ei ole staffacces-oikeutta nexteille testattavaksi.

Rvallim0 commented 1 month ago

Vaski nextillä pystyy ilman staffaccess-oikeuksia käyttämään tuota Uusinta-linkkiä, muokkauksessa piilossa vanhentumis päivämäärä ja muita toimintoja valikosta ei pysty pidentämään voimassaoloaikaa.

AnneliO commented 1 month ago

Lisäsin tuon Uusi tai muokkaa-tekstin piilotuksen, jos virkailijalla ei ole staffacces-oikeutta nexteille testattavaksi.

Jos Uusinta-linkki ja Muokkaa-linkki oli tarkoitus mennä piiloon, niin näin ei tapahtunut ainakaan siili-nextillä.

pknuuti commented 1 month ago

Vaaran nextillä Uusinta-linkki on piilossa. Asiakkaan muokkausnäytöllä ei voi muokata vanhenemisaikaa, se on piilotettu, jos käyttäjällä ei ole staffaccess-oikeutta.

AnneliO commented 1 month ago

Nyt siili-nextilläkin on linkit kadonneet. Voi olla vähän hiusten halkomista, mutta nyt katosi myös huomautus, että tili on vanhentunut: kuva

lmstrand commented 1 month ago

Aivan, tämän homman voi tehdä vielä lisäksi tuolta kirjastotiedot-kohdastakin. Nyt tehty muutos piilotti huomio-kentän huomautuksen perässä olevat linkit, joissa oli sama teksti (tämä siis circulation/lainausnäkymässä).

image

Ennen muutosta ilman staffacces-oikkaa kohdassa luki linkkeineen:

Vanhenee: Asiakkaan kortti on vanhentunut. Asiakkaan kortti on vanhentunut 29.12.2023 [Uusinta] tai [Muokkaa tietoja] Nyt lukee vain Asiakkaan kortti on vanhentunut. (Asiakkaan kortti on vanhentunut 29.12.2023, tämä puuttuu jostain syystä vaara-nextillä, omassa kehitysympäristössäni tämä näkyy edelleen).

Lisään piilotuksen vielä kirjastotiedot-kohtaankin.

AnneliO commented 1 month ago

Nyt siili-nextilläkin on linkit kadonneet. Voi olla vähän hiusten halkomista, mutta nyt katosi myös huomautus, että tili on vanhentunut: kuva

Tää tais olla jotain minun testihäröilyä.

lmstrand commented 1 month ago

Nyt pitäisi olla piilotettuna myös Library use/Kirjastotiedot-kohdassa jos ei ole staffaccess-oikkaa.

lmstrand commented 1 month ago

Tämä toiminto toimii nyt väärin. Nyt on estettynä kaikkien auki olevien asiakastyyppien tilin uusinta, jos kirjautuneella virkailijalla ei ole staffaccess-oikeutta. Tämä pitäisi saada vain henkilökuntatyyppiä olevia asiakkaita koskevaksi.

Rvallim0 commented 1 month ago

Vaski nextillä nyt testattu, nyt virkailija ilman staffaccess oikeuksia pystyy muokkaamaan suoraan toisen virkailijan tilin voimassaoloaikaa, pystyy jatkamaan voimassaoloaikaa "Muita toimintoja" pudotusvalikosta ja pystyy uusimaan tilin voimassaoloajan uusintalinkeistä jotka ovat tilin tiedot välilehdellä ja lainaus välilehdellä. Liitännäisen määrityksen pitäisi olla kunnossa.

Aikaisemmassa testauksessa vain uusintalinkeistä pystyi jatkamaan voimassaoloaikaa, muualta ei.

lmstrand commented 1 month ago

Nyt nextille on viety uusi versio rajoituksesta. Nyt rajoitusta tutkitaan vain sen perusteella, onko avattu asiakastietue Henkilökunta-tyyppinen tunnus ja onko kirjautuneella virkailijalla staffaccess-oikeus muuttaa virkailijan tunnuksen voimassaoloaikaa. Rajoitus näkyy siis asiakkaan muokkausnäkymässä expiration daten poissaololla, lainausnäkymässä asiakkaan huomioissa ja asiakkaan tietojen perusnäkymässä Kirjastotiedot-osiossa, joissa ei näy enää uusinta/muokkauslinkkejä jos staffaccess-oikeutta ei ole.

Rvallim0 commented 1 month ago

Vaski nextillä nyt testattu, nyt toimii odotetusti, ei pysty jatkamaan virkalijatilin voimassaoloaikaa ilman staffaccess oikeutta ja henkilöasiakkaan voimassaoloaikaa pystyy muokkaamaan tai uusimaan normaalisti.

Kati-Helle commented 1 month ago

Helle-nextissä

kun virkalija-tunnuksella ei ole stafaccess-oikeutta: Virkailija-asiakkaan tilin uusinta ei ole mahdollista. Huom! Automaatti-asiakkaan ja Api-asiakkaan tilin uusinta on edelleen mahdollista tehdä.

Asiakkaan Tiedot-näytöllä, kun kyseessä on Virkailija-asiakkaan tili

kuva

Asiakkaan muokkauksessa, kun kyseessä on Virkailija-asiakkaan tili

kuva

Sen sijaan esim. Aikuinen-asiakkaan tilin uusinta onnistuu kuten sen tuleekin onnistua

Aikuinen asiakkaan Tiedot-näytöllä

kuva

Aikuinen asiakkaan muokkauksessa

kuva

Hellen IntranetUserJS-rimpun Restrict patron modification by category määrittely kuva

Kati-Helle commented 1 month ago

Helle-nextissä ominaisuus toimii vastaavalla tavalla Lainaus-toiminnossa. Eli kun virkailija-tunnuksella ei ole Staffaccess-oikeutta, on vain Virkailja-tilin uusinta estetty

Virkailja kuva

Aikuinen kuva

ElinaUotila commented 3 weeks ago

Kirkes-Nextillä näyttää toimivan oikein, eli virkailija ei pysty muokkaamaan toisen virkailijan tilin voimassaoloaikaa ilman staffaccess-oikeutta, mutta pääsee kuitenkin muokkaamaan henkilö- ja lapsiasiakkaiden voimassaoloaikaa normaalisti.

pirliis commented 3 weeks ago

OUTIn nextillä testattu.

Kirjaston työntekijä (VIRKAILIJA), ei staffaccess-oikeutta:

Toisen virkailijan tunnus:

Henkilöasiakkaan tiedot:

Automaatti- ja API-tunnukset:

Virkailijatunnus, jolla staffaccess-oikeus:

Liitännäisessä määritelty: Image

LeenaKinnunen commented 1 week ago

Lapin nextillä testattu, toimii samoin kuin Outissa. Restrict patron modification by category määritelty VIRKAILIJA,AUTOMAATTI,API.

VaisanRo commented 1 week ago

Kyytissä en saa toimimaan. Muutin liitännäisen määrittelyn samaksi kuin Outissa ja testasin asiakastyypillä kirjaston työntekijä(VIRKAILIJA), jolle ei oltu lisättu staffaccess -oikeutta. Jos avaa virkailijatietueen joka on vanhenemassa näkyy huomautuksessa uusinta mahdollisuus, kuten myös asiakkaan tietojen perusnäkymässä. Asiakkaan muokkauksesta oli kuitenkin hävinnyt expiration date -kenttä. Jos virkailijan kortti oli jo ehtinyt vanhentua niin sitten ei ollut uusinta mahdollisuutta missään kohtaa.

Rvallim0 commented 1 week ago

Vaski nextilläkin onnistuu pian vanhenevan virkalijatilin voimassaolon pidentäminen ilman staffaccess-oikeutta, jo vanhentuneen virkalijatilin uusinta ei onnistu ilman staffaccess-oikeutta. Pian vanhenevan virkalijan kohdalla uusinta-linkki tulee Tiedot välilehdellä Huomio kenttään ja Lainaus välilehdellä myös Huomio kenttään.

atarnus commented 1 week ago

Outissakin saa voimassaoloa pidennettyä tuosta uusinta-napista ilman staffaccess-oikeutta.

Koitin myös vaihtaa asetuksissa eri asiakastyyppien koodien järjestystä, mutta edelleen tilanne oli sama, eli virkailijoiden kohdalla rajoitukset toimii muokkaussivulla (vanhenemispäivää ei näy) ja 'asiakkaan käyttöoikeuden jatkaminen' on estetty, mutta apeille ja automaateille pystyi voimassaoloaikaa lisäämään kaikista vaihtoehdoista ilman staffaccess-oikeutta.

Testasin vielä laittamalla konfiguraation pelkästään API, ja tilanne edelleen sama. Eli virkailijan käyttöoikeutta ei voi jatkaa, mutta APIn ja automaatin voi. Näyttäisi siltä, että tuo tieto mitä asiakatyyppejä blokataan ei tule tuolta määrittelyn kautta, vaan jotenkin muuten.

Kati-Helle commented 1 week ago

Helle-nextissä ei edelleenkään onnistu virkailijatilin voimassaoloajan pidennys käyttäjätunnuksella, jolla ei ole staffaccess-oikeutta.

LeenaKinnunen commented 1 week ago

Lapissa onnistui myös ilman staffaccess-oikeutta jatkaa toisen virkailijan tunnuksen voimassaoloa Tiedot - Uusinta-kautta.

lmstrand commented 1 week ago

Tästä on varmaan jäänyt huomioimatta tuo pian vanhenevalle asiakkaalle näytettävä uusimisvaihtoehto.

Kati-Helle commented 1 week ago

Tosiaan, Tiedot-välilehdellä onnistuu Helle-nextissäkin kuva

ja Lainaus-välilehdellä kuva

lmstrand commented 1 week ago

Poistan tämän keskeneräisenä nexteiltä, jotta ei päädy sellaisenaan tuotantoon. Jatketaan kehitystä ja testailua testien puolella versionvaihdon jälkeen.