services/api/app/models/group.rb

   1 # Copyright (C) The Arvados Authors. All rights reserved.
   2 #
   3 # SPDX-License-Identifier: AGPL-3.0
   4
   5 require 'can_be_an_owner'
   6 require 'trashable'
   7
   8 class Group < ArvadosModel
   9   include HasUuid
  10   include KindAndEtag
  11   include CommonApiTemplate
  12   include CanBeAnOwner
  13   include Trashable
  14
  15   # Posgresql JSONB columns should NOT be declared as serialized, Rails 5
  16   # already know how to properly treat them.
  17   attribute :properties, :jsonbHash, default: {}
  18
  19   validate :ensure_filesystem_compatible_name
  20   validate :check_group_class
  21   validate :check_filter_group_filters
  22   validate :check_frozen_state_change_allowed
  23   before_create :assign_name
  24   after_create :after_ownership_change
  25   after_create :update_trash
  26   after_create :update_frozen
  27
  28   before_update :before_ownership_change
  29   after_update :after_ownership_change
  30
  31   after_create :add_role_manage_link
  32
  33   after_update :update_trash
  34   after_update :update_frozen
  35   before_destroy :clear_permissions_trash_frozen
  36
  37   api_accessible :user, extend: :common do |t|
  38     t.add :name
  39     t.add :group_class
  40     t.add :description
  41     t.add :writable_by
  42     t.add :delete_at
  43     t.add :trash_at
  44     t.add :is_trashed
  45     t.add :properties
  46     t.add :frozen_by_uuid
  47     t.add :can_write
  48     t.add :can_manage
  49   end
  50
  51   def ensure_filesystem_compatible_name
  52     # project and filter groups need filesystem-compatible names, but others
  53     # don't.
  54     super if group_class == 'project' || group_class == 'filter'
  55   end
  56
  57   def check_group_class
  58     if group_class != 'project' && group_class != 'role' && group_class != 'filter'
  59       errors.add :group_class, "value must be one of 'project', 'role' or 'filter', was '#{group_class}'"
  60     end
  61     if group_class_changed? && !group_class_was.nil?
  62       errors.add :group_class, "cannot be modified after record is created"
  63     end
  64   end
  65
  66   def check_filter_group_filters
  67     if group_class == 'filter'
  68       if !self.properties.key?("filters")
  69         errors.add :properties, "filters property missing, it must be an array of arrays, each with 3 elements"
  70         return
  71       end
  72       if !self.properties["filters"].is_a?(Array)
  73         errors.add :properties, "filters property must be an array of arrays, each with 3 elements"
  74         return
  75       end
  76       self.properties["filters"].each do |filter|
  77         if !filter.is_a?(Array)
  78           errors.add :properties, "filters property must be an array of arrays, each with 3 elements"
  79           return
  80         end
  81         if filter.length() != 3
  82           errors.add :properties, "filters property must be an array of arrays, each with 3 elements"
  83           return
  84         end
  85         if !filter[0].include?(".") and filter[0].downcase != "uuid"
  86           errors.add :properties, "filter attribute must be 'uuid' or contain a dot (e.g. groups.name)"
  87           return
  88         end
  89         if (filter[0].downcase != "uuid" and filter[1].downcase == "is_a")
  90           errors.add :properties, "when filter operator is 'is_a', attribute must be 'uuid'"
  91           return
  92         end
  93         if ! ["=","<","<=",">",">=","!=","like","ilike","in","not in","is_a","exists","contains"].include?(filter[1].downcase)
  94           errors.add :properties, "filter operator is not valid (must be =,<,<=,>,>=,!=,like,ilike,in,not in,is_a,exists,contains)"
  95           return
  96         end
  97       end
  98     end
  99   end
 100
 101   def check_frozen_state_change_allowed
 102     if frozen_by_uuid == ""
 103       self.frozen_by_uuid = nil
 104     end
 105     if frozen_by_uuid_changed? || (new_record? && frozen_by_uuid)
 106       if group_class != "project"
 107         errors.add(:frozen_by_uuid, "cannot be modified on a non-project group")
 108         return
 109       end
 110       if frozen_by_uuid_was && Rails.configuration.API.UnfreezeProjectRequiresAdmin && !current_user.is_admin
 111         errors.add(:frozen_by_uuid, "can only be changed by an admin user, once set")
 112         return
 113       end
 114       if frozen_by_uuid && frozen_by_uuid != current_user.uuid
 115         errors.add(:frozen_by_uuid, "can only be set to the current user's UUID")
 116         return
 117       end
 118       if !new_record? && !current_user.can?(manage: uuid)
 119         raise PermissionDeniedError
 120       end
 121       if trash_at || delete_at || (!new_record? && TrashedGroup.where(group_uuid: uuid).any?)
 122         errors.add(:frozen_by_uuid, "cannot be set on a trashed project")
 123       end
 124       if frozen_by_uuid_was.nil?
 125         if Rails.configuration.API.FreezeProjectRequiresDescription && !attribute_present?(:description)
 126           errors.add(:frozen_by_uuid, "can only be set if description is non-empty")
 127         end
 128         Rails.configuration.API.FreezeProjectRequiresProperties.andand.each do |key, _|
 129           key = key.to_s
 130           if !properties[key] || properties[key] == ""
 131             errors.add(:frozen_by_uuid, "can only be set if properties[#{key}] value is non-empty")
 132           end
 133         end
 134       end
 135     end
 136   end
 137
 138   def update_trash
 139     return unless saved_change_to_trash_at? || saved_change_to_owner_uuid?
 140
 141     # The group was added or removed from the trash.
 142     #
 143     # Strategy:
 144     #   Compute project subtree, propagating trash_at to subprojects
 145     #   Ensure none of the newly trashed descendants were frozen (if so, bail out)
 146     #   Remove groups that don't belong from trash
 147     #   Add/update groups that do belong in the trash
 148
 149     temptable = "group_subtree_#{rand(2**64).to_s(10)}"
 150     ActiveRecord::Base.connection.exec_query(
 151       "create temporary table #{temptable} on commit drop " +
 152       "as select * from project_subtree_with_trash_at($1, LEAST($2, $3)::timestamp)",
 153       "Group.update_trash.select",
 154       [[nil, self.uuid],
 155        [nil, TrashedGroup.find_by_group_uuid(self.owner_uuid).andand.trash_at],
 156        [nil, self.trash_at]])
 157     frozen_descendants = ActiveRecord::Base.connection.exec_query(
 158       "select uuid from frozen_groups, #{temptable} where uuid = target_uuid",
 159       "Group.update_trash.check_frozen")
 160     if frozen_descendants.any?
 161       raise ArgumentError.new("cannot trash project containing frozen project #{frozen_descendants[0]["uuid"]}")
 162     end
 163     ActiveRecord::Base.connection.exec_delete(
 164       "delete from trashed_groups where group_uuid in (select target_uuid from #{temptable} where trash_at is NULL)",
 165       "Group.update_trash.delete")
 166     ActiveRecord::Base.connection.exec_query(
 167       "insert into trashed_groups (group_uuid, trash_at) "+
 168       "select target_uuid as group_uuid, trash_at from #{temptable} where trash_at is not NULL " +
 169       "on conflict (group_uuid) do update set trash_at=EXCLUDED.trash_at",
 170       "Group.update_trash.insert")
 171   end
 172
 173   def update_frozen
 174     return unless saved_change_to_frozen_by_uuid? || saved_change_to_owner_uuid?
 175     temptable = "group_subtree_#{rand(2**64).to_s(10)}"
 176     ActiveRecord::Base.connection.exec_query(
 177       "create temporary table #{temptable} on commit drop as select * from project_subtree_with_is_frozen($1,$2)",
 178       "Group.update_frozen.select",
 179       [[nil, self.uuid],
 180        [nil, !self.frozen_by_uuid.nil?]])
 181     if frozen_by_uuid
 182       rows = ActiveRecord::Base.connection.exec_query(
 183         "select cr.uuid, cr.state from container_requests cr, #{temptable} frozen " +
 184         "where cr.owner_uuid = frozen.uuid and frozen.is_frozen " +
 185         "and cr.state not in ($1, $2) limit 1",
 186         "Group.update_frozen.check_container_requests",
 187         [[nil, ContainerRequest::Uncommitted],
 188          [nil, ContainerRequest::Final]])
 189       if rows.any?
 190         raise ArgumentError.new("cannot freeze project containing container request #{rows.first['uuid']} with state = #{rows.first['state']}")
 191       end
 192     end
 193     ActiveRecord::Base.connection.exec_delete(
 194       "delete from frozen_groups where uuid in (select uuid from #{temptable} where not is_frozen)",
 195       "Group.update_frozen.delete")
 196     ActiveRecord::Base.connection.exec_query(
 197       "insert into frozen_groups (uuid) select uuid from #{temptable} where is_frozen on conflict do nothing",
 198       "Group.update_frozen.insert")
 199   end
 200
 201   def before_ownership_change
 202     if owner_uuid_changed? and !self.owner_uuid_was.nil?
 203       MaterializedPermission.where(user_uuid: owner_uuid_was, target_uuid: uuid).delete_all
 204       update_permissions self.owner_uuid_was, self.uuid, REVOKE_PERM
 205     end
 206   end
 207
 208   def after_ownership_change
 209     if saved_change_to_owner_uuid?
 210       update_permissions self.owner_uuid, self.uuid, CAN_MANAGE_PERM
 211     end
 212   end
 213
 214   def clear_permissions_trash_frozen
 215     MaterializedPermission.where(target_uuid: uuid).delete_all
 216     ActiveRecord::Base.connection.exec_delete(
 217       "delete from trashed_groups where group_uuid=$1",
 218       "Group.clear_permissions_trash_frozen",
 219       [[nil, self.uuid]])
 220     ActiveRecord::Base.connection.exec_delete(
 221       "delete from frozen_groups where uuid=$1",
 222       "Group.clear_permissions_trash_frozen",
 223       [[nil, self.uuid]])
 224   end
 225
 226   def assign_name
 227     if self.new_record? and (self.name.nil? or self.name.empty?)
 228       self.name = self.uuid
 229     end
 230     true
 231   end
 232
 233   def ensure_owner_uuid_is_permitted
 234     if group_class == "role"
 235       @requested_manager_uuid = nil
 236       if new_record?
 237         @requested_manager_uuid = owner_uuid
 238         self.owner_uuid = system_user_uuid
 239         return true
 240       end
 241       if self.owner_uuid != system_user_uuid
 242         raise "Owner uuid for role must be system user"
 243       end
 244       raise PermissionDeniedError unless current_user.can?(manage: uuid)
 245       true
 246     else
 247       super
 248     end
 249   end
 250
 251   def add_role_manage_link
 252     if group_class == "role" && @requested_manager_uuid
 253       act_as_system_user do
 254        Link.create!(tail_uuid: @requested_manager_uuid,
 255                     head_uuid: self.uuid,
 256                     link_class: "permission",
 257                     name: "can_manage")
 258       end
 259     end
 260   end
 261
 262   def permission_to_update
 263     if !super
 264       return false
 265     elsif frozen_by_uuid && frozen_by_uuid_was
 266       errors.add :uuid, "#{uuid} is frozen and cannot be modified"
 267       return false
 268     else
 269       return true
 270     end
 271   end
 272
 273   def self.full_text_searchable_columns
 274     super - ["frozen_by_uuid"]
 275   end
 276 end