services/api/app/controllers/arvados/v1/links_controller.rb

   1 # Copyright (C) The Arvados Authors. All rights reserved.
   2 #
   3 # SPDX-License-Identifier: AGPL-3.0
   4
   5 class Arvados::V1::LinksController < ApplicationController
   6
   7   def check_uuid_kind uuid, kind
   8     if kind and ArvadosModel::resource_class_for_uuid(uuid).andand.kind != kind
   9       send_error("'#{kind}' does not match uuid '#{uuid}', expected '#{ArvadosModel::resource_class_for_uuid(uuid).andand.kind}'",
  10                  status: 422)
  11       nil
  12     else
  13       true
  14     end
  15   end
  16
  17   def create
  18     return if ! check_uuid_kind resource_attrs[:head_uuid], resource_attrs[:head_kind]
  19     return if ! check_uuid_kind resource_attrs[:tail_uuid], resource_attrs[:tail_kind]
  20
  21     resource_attrs.delete :head_kind
  22     resource_attrs.delete :tail_kind
  23     super
  24   end
  25
  26   def get_permissions
  27     if current_user.andand.can?(manage: @object)
  28       # find all links and return them
  29       @objects = Link.unscoped.where(link_class: "permission",
  30                                      head_uuid: params[:uuid])
  31       @offset = 0
  32       @limit = @objects.count
  33       render_list
  34     else
  35       render :json => { errors: ['Forbidden'] }.to_json, status: 403
  36     end
  37   end
  38
  39   protected
  40
  41   def find_object_by_uuid
  42     if params[:id] && params[:id].match(/\D/)
  43       params[:uuid] = params.delete :id
  44     end
  45     if action_name == 'get_permissions'
  46       # get_permissions accepts a UUID for any kind of object.
  47       @object = ArvadosModel::resource_class_for_uuid(params[:uuid])
  48         .readable_by(*@read_users)
  49         .where(uuid: params[:uuid])
  50         .first
  51     elsif !current_user
  52       super
  53     else
  54       # The usual permission-filtering index query is unnecessarily
  55       # inefficient, and doesn't match all permission links that
  56       # should be visible (see #18865).  Instead, we look up the link
  57       # by UUID, then check whether (a) its tail_uuid is the current
  58       # user or (b) its head_uuid is an object the current_user
  59       # can_manage.
  60       @object = Link.unscoped.where(uuid: params[:uuid]).first
  61       if @object && @object.link_class != 'permission'
  62         # Throw this out and re-fetch using generic permission query
  63         @object = nil
  64         super
  65       elsif @object &&
  66          current_user.uuid != @object.tail_uuid &&
  67          !current_user.can?(manage: @object.head_uuid)
  68         @object = nil
  69       end
  70     end
  71   end
  72
  73   # Overrides ApplicationController load_where_param
  74   def load_where_param
  75     super
  76
  77     # head_kind and tail_kind columns are now virtual,
  78     # equivalent functionality is now provided by
  79     # 'is_a', so fix up any old-style 'where' clauses.
  80     if @where
  81       @filters ||= []
  82       if @where[:head_kind]
  83         @filters << ['head_uuid', 'is_a', @where[:head_kind]]
  84         @where.delete :head_kind
  85       end
  86       if @where[:tail_kind]
  87         @filters << ['tail_uuid', 'is_a', @where[:tail_kind]]
  88         @where.delete :tail_kind
  89       end
  90     end
  91   end
  92
  93   # Overrides ApplicationController load_filters_param
  94   def load_filters_param
  95     super
  96
  97     # head_kind and tail_kind columns are now virtual,
  98     # equivalent functionality is now provided by
  99     # 'is_a', so fix up any old-style 'filter' clauses.
 100     @filters = @filters.map do |k|
 101       if k[0] == 'head_kind' and k[1] == '='
 102         ['head_uuid', 'is_a', k[2]]
 103       elsif k[0] == 'tail_kind' and k[1] == '='
 104         ['tail_uuid', 'is_a', k[2]]
 105       else
 106         k
 107       end
 108     end
 109
 110     # If the provided filters are enough to limit the results to
 111     # permission links with specific head_uuids or
 112     # tail_uuid=current_user, bypass the normal readable_by query
 113     # (which doesn't match all can_manage-able items, see #18865) --
 114     # just ensure the current user actually has can_manage permission
 115     # for the provided head_uuids, removing any that don't. At that
 116     # point the caller's filters are an effective permission filter.
 117     if @filters.include?(['link_class', '=', 'permission'])
 118       @filters.map do |k|
 119         if k[0] == 'tail_uuid' && k[1] == '=' && k[2] == current_user.uuid
 120           @objects = Link.unscoped
 121         elsif k[0] == 'head_uuid'
 122           if k[1] == '=' && current_user.can?(manage: k[2])
 123             @objects = Link.unscoped
 124           elsif k[1] == 'in'
 125             k[2].select! do |head_uuid|
 126               current_user.can?(manage: head_uuid)
 127             end
 128             @objects = Link.unscoped
 129           end
 130         end
 131       end
 132     end
 133   end
 134
 135 end