OAuth token scopes en API

maartenberg commented 7 years ago

Op het moment zijn er een aantal dingen die niet helemaal consistent zijn in de API:

Op het moment is het mogelijk om als ingelogde gebruiker voor welke activiteit dan ook de informatie op te halen door de API, omdat er alleen wordt gecheckt of je een geldig token hebt of bent ingelogd (app/controllers/api/activities_controller.rb, r27). Moet dit worden beperkt tot toekomstige activiteiten, wat lijkt mij voldoende zou moeten zijn voor het inschrijven (admins zouden lijkt mij wel toegang moeten houden)?
Door dezelfde check is het niet mogelijk om met een token met alleen de scope activity-read details op te halen voor een activiteit, en wel met een token met scope member-read. Het lijkt mij dat dit gefixt kan worden, maar moet de lijst met deelnemers dan wel de scope member-read en/of participant-read vereisen? (Dit zou bijvoorbeeld handig zijn voor de zuil, die wel informatie zoals deelnemers weer kan geven maar niet de precieze mensen hoeft te weten)
In de index-view van de activiteiten is het mogelijk om naast de publiek beschikbare data met een token met activity-read ook de ID, prijs en beschrijving op te halen. Is het zinvol om de prijs en beschrijving publiek beschikbaar te maken (beschrijving zal wel de output flink groter maken, en is misschien handiger om alleen op de detail-view weer te geven) aangezien dezelfde informatie meestal ook te zien is op de posters? (Deze check wordt ook nog eens in de view uitgevoerd, wat begrijpelijk is maar niet te zien vanuit de controller)

wat do

maartenberg commented 7 years ago

Re 1: Leden moeten alleen toegang hebben tot de activiteiten waar ze zelf bij zijn geweest, en de activiteiten die in de toekomst liggen én zichtbaar zijn. (Besproken werksessie)

martijncasteel commented 7 years ago

Waarom zou een gebruiker niet terug mogen kijken naar activiteiten? Ik kon bijvoorbeeld niks over het kaartspel terugvinden toen ik hem op mocht halen omdat de 'activiteit' was beëindigd. Laat de applicatie zelf bepalen of hij de oude activiteiten wil tonen/ophalen.
Idee was participant-read voor meer informatie over de deelnemers; namen, prijs die zij betalen. activity-read zou moeten aangeven hoeveel plek er nog over is als je kan inschrijven.
Description kan informatie bevatten die niet perse publiekelijk beschikbaar moet zijn, prijs zou kunnen. Wil Sticky publiek promoten dat je kan borrelen voor 2€?

cdfa commented 7 years ago

Ik denk dat dit een kwestie is van privacy, omdat mensen het fijn vinden als niet al te veel informatie over hun voor eeuwig bescikbaar blijft voor mensen die ze niet per se kennen.
Dat klinkt logisch
Ik ben er ook voor om ID, prijs en beschrijving niet publiek te maken

emielvanrijn1 commented 7 years ago

We hebben dit zojuist besproken bij de IT Crowd en zijn er nog niet helemaal over uit waarom ID, prijs en beschrijving niet publiek zou moeten zijn. De prijs staat vaak op de (wel publieke) poster. Ik hoor ook van meerdere kanten dat mensen die de API aanspreken graag toegang zouden willen tot deze gegevens om bijv. bot-responses van meer informatie te kunnen voorzien. Zo hoeft bij de redesign van svsticky.nl ook geen gebruik meer gemaakt te worden van de OAuth om de activiteiten weer te kunnen laten geven. Wel vind ik dat toegang tot afgelopen activiteiten nog altijd niet nodig is via de publieke API en dat de lijst met ingeschreven leden ook zeker niet publiek moet. Het lijkt mij goed hier nog over te discussieren @martijncasteel en @cdfa

emielvanrijn1 commented 7 years ago

@maartenberg was punt 2 al gefixt?

martijncasteel commented 7 years ago

@emielvanrijn wat bedoel je met publieke posters? Maar het gaat niet zo zeer om wat we nu doen, maar waar jullie naartoe willen gaan.

OAuth was ooit bedacht voor meer dingen, zoals het kunnen scrhijven van apps en websites die toegang hebben tot gegevens van koala. Ik ben wel benieuwd hoe je toegang tot de api wil restricten? een fixed token/password?

Afgelopen activiteiten niet tonen lijkt me meer moeite, voor sommige activiteiten wil je weten wat de voorwaarden waren en de prijs. Anders ben je heel afhankelijk van een mailtje van de penningmeester. Inschreven leden moet niet publiek zijn, het aantal vrije plekken of aantal bezette plekken lijkt me nog wel interessant

svsticky / constipated-koala

OAuth token scopes en API #256