Filtro per modulo — Limitare l'accesso ai record

Nei moduli che caricano o modificano record di indirizzi o immobili (ad es. «Modifica indirizzo», «Modifica immobile», "Aggiungi dati"), un utente potrebbe teoricamente, manipolando il parametro UUID nell'URL, accedere a qualsiasi record che l'utente API è autorizzato a visualizzare in onOffice. Il filtro per modulo limita questa possibilità.


Quando è importante?

È fondamentale per i moduli accessibili al pubblico che modificano i record:

  • Autocertificazione dell'inquilino, che aggiorna un record di indirizzo
  • Modulo di consegna dell'immobile, che scrive in un immobile
  • Moduli di feedback a proprietari/acquirenti
  • Moduli di correzione dei dati tramite link e-mail

Senza filtri, chiunque disponga della struttura URL corretta (?address[ID]=<UUID>) potrebbe caricare qualsiasi record nell'area visibile dell'account dell'utente API, anche se non ha nulla a che fare con esso.


Configurazione

1. Creare un filtro in onOffice

I filtri sono una funzionalità standard di onOffice: Modulo Indirizzi / Immobili → Gestione filtri → Nuovo filtro.

Esempi di filtri:

  • "Solo immobili attivi" (Stato = attivo)
  • "Solo profili di ricerca della regione X"
  • "Solo indirizzi con tipo di contatto = inquilino"
  • "Solo stato > 5" (per immobili pronti per la commercializzazione)

2. Attivare il filtro nel modulo propform

Nell'editor dei moduli → Campi indirizzi o immobili → Impostazioni filtro → selezionare il filtro onOffice dal menu a tendina.

3. Effetto

Il modulo ora può caricare/modificare solo i record presenti nel filtro. Se qualcuno tenta di accedere a un UUID al di fuori del filtro → il modulo rifiuta la richiesta.


Best practice

  • Filtro il più restrittivo possibile: solo i record che il modulo specifico deve effettivamente elaborare
  • Un filtro per ogni modulo: moduli diversi richiedono spesso restrizioni diverse
  • Controllare regolarmente i filtri: se i nuovi record devono essere inseriti automaticamente nel filtro, le condizioni del filtro devono essere dinamiche
  • Testare: provare a richiamare il modulo con un UUID al di fuori del filtro — dovrebbe essere rifiutato

Combinazione con altri meccanismi di protezione

Il filtro per ogni modulo è un livello di protezione dei dati, non una protezione dell'accesso al modulo stesso. In aggiunta:

  • Whitelist IP — chi è autorizzato ad accedere al modulo
  • Password del modulo — Accesso solo con password
  • Chiave del modulo tramite parametro URL — Protezione dinamica tramite token

Maggiori informazioni nella documentazione sulla protezione dei moduli.


Correlati