Thema: Joomla ACL ... ist das wirklich alles?

Also ich schaue mir jetzt Joomla seit ca. 2 Wochen an. Und war begeistert von Anfang an ... man kann sehr einfach eine Seite erstellen, manipulieren etc. ... auch Templates zu bauen gestaltet sich leichter als ich es von anderen CMS kenne.

Die Konfiguration (wann wo welche Inhalte, welcher Kategorie und welcher Module angezeigt wird) ist in einigen Fällen für meinen Geschmack ein wenig zu kompliziert. Um den Text hier nicht zu lang zu gestalten werde ich darauf aber "aber erstmal" nicht eingehen.

Meine Fragen beziehen sich rein auf das momentane Rechtesystem von Joomla. Das hab ich mir jetzt zum Schluss angeschaut und muss sagen ... seitdem geht meine Meinung über Joomla "leider" steil bergab.

Also ich beziehe mich mal nur auf Joomla Core 1.0.7 ohne irgendwelche Hacks oder AddOns.

Nach langer suche fand ich eine Zusammenfassung der In Joomla 1.0.7 implementierte Benutzerrechte ...

Die Gruppe Registered ist die Standardgruppe von Mambo. Es werden alle Benutzer die sich registrieren automatisch dieser Gruppe hinzugefügt. Dieser Gruppe ist es z.B. gestattet, sich einzuloggen und die Homepage zu betrachten, sowie ein Forum zu nutzen.
Es ist dieser Gruppe gestattet Seiten anzuschauen die nur für registrierte Benutzer sichtbar sind. Es kann jedoch gewisse Seiten geben, die diese Gruppe nicht sehen kann. Für diese speziellen Seiten muss man Spezialrechte besitzen (Author, Editor, Publisher, Manager, Administrator oder Super Administrator).

Die Gruppe Author hat die Möglichkeit Inhalte einzusenden und ihre eigenen Inhalte zu bearbeiten. Die eingesendeten Inhalte müssen jedoch aus Sicherheitsgründen zuerst vom Administrator überprüft werden.

Die Gruppe Editor besitzt höhere Rechte als der Author und ist in der Lage jegliche Inhalte zu editieren. Auch der Editor hat keine Berechtigung die Artikel direkt zu veröffentlichen.

Die Gruppe Publisher ist der Benutzer, der im Frontend die meisten Rechte besitzt. Er kann Inhalte einsenden, diese editieren oder direkt veröffentlichen. Somit ist es nicht nötig, dass der Administrator zuerst den Artikel auf Published setzen muss, bevor man ihn auf der Homepage sehen kann.

Die Gruppe Manager hat alle Rechte der Gruppe Publisher und kann sich zusätzlich im Backend anmelden. Im Backend hat Die Gruppe Manager die Möglichkeit das Menü zu bearbeiten (Main Menu, Top Menu und das User Menu) ausserdem ist es dieser Gruppe möglich im Backend Inhalte einzufügen (wie im Frontend) und zu bearbeiten. Zusätzlich kann er im Backend die Inhaltsgruppen bearbeiten jedoch keine Neuen erstellen.

Die Gruppe Administrator besitzt alle Rechte über die auch der Super Administrator verfügt mit dem kleinen Unterschied, dass der Super Administrator 2 Menüpunkte mehr hat (Messages und System).

Die Gruppe Super Administrator hat alle Rechte die man in Mambo haben kann. Benutzer die in dieser Gruppe sind können Komponenten und Module installieren / entfernen, Benutzer eröffnen / blocken / löschen, Inhalte hinzufügen und Mambots installieren / bearbeiten.

Sieht auf den ersten Blick super aus ... klar getrennt und logisch. Aber nach meinen ersten Tests stellte ich folgendes fest.

Ich wollte folgendes haben ...

1.) Der Author schreibt einen Beitrag.
2.) Der Editor kontrolliert unter Umständen den Beitrag und editiert ihn.
3.) Der Publisher (mit den meisten Rechten im FrontEnd) sieht beim einloggen das es einen neuen Beitrag gibt, kontrolliert ihn und veröffentlicht ihn.

So halte ich es für sinnvoll da mit der Manager im BackEnd schon zu viele Rechte hat ... natürlich kann der Editor und der Publisher selber auch Beiträge schreiben jedoch veröffentlichen im FrontEnd kann nur der Publisher.

Das Funktioniert auch super bis auf einen, für mich sehr wichtigen Punkt ...

Ich fand keinerlei Möglichkeit wie der Publisher im FrontEnd auf "nicht veröffentlichte Beiträge" aufmerksam gemacht werden kann. Der Publisher sieht in der "Content Table Category" Ansicht zwar ALLE Beiträge (ob nun veröffentlicht oder nicht) bekommt aber keine optische Meldung welcher von den Beiträgen veröffentlicht ist oder nicht. Die einzige Möglichkeit ist wohl mit der Maus über die "Edit-Buttons" zu fahren und in der DropDown Ansicht bei jedem Artikel einzeln zu schauen ob er veröffentlicht ist oder nicht. Und das für jede Sektion bzw. Category einzeln!!!

Ich kenne es z.B. aus anderen CMS wie Postnuke oder PHPnuke das es ein Modul bzw. Block gibt der dann bei Usern mit aussreichenden Rechten angezeigt wird und in dem dann die Information steht "Neuer Beitrag wurde eingereicht für Kategorie ..." sodass der "Publisher" den neuen Beitrag kontrollieren und freischalten konnte.

Bei Joomla scheint das nur über das BackEnd so zu gehen. Und das eigentlich auch nur per Super Administrator.

Denn weder der Manager noch der Administrator erhalten Systemnachrichten wenn ein neuer Beitrag von einem User eingereicht werden. Nur der Super Administrator erhält diese Meldungen.

Also hat meiner Meinung nach erst ein User mit den Rechten des Managers einen guten Überblick welcher Artikel veröffentlicht ist oder nicht (allerdings ohne Systemmeldung ... aber zumindenst in der Liste des Contents sieht er anhand des roten X das Artikel nicht freigeschaltet sind). Jedoch hat der Manager wiederrum für meine geplanten Zwecke des reinen Publishings zu viele Rechte (der kann ja alles ... Menüstruktur bearbeiten, neue Kategorien einrichten, etc. alles was ein Manager halt tun soll).

Meine grosse Frage ist also ...
Ist der Publisher wirklich nur dafür da das er seine EIGENEN Beträge gleich veröffentlichen kann oder gibt es noch irgendwo eine Option die ich noch nicht gefunden habe womit er auch andere Beträge auf ihren Status (veröffentlicht oder nicht) überprüfen kann?

Für Antworten dankbar ...
Malesur

das rechtemanagement ist schon lange die archillesferse von mambo / joomla. es scheint damals niemand so richtig an die popularität von joomla geglaubt zu haben, sodaß das thema recht stiefmütterlich behandelt wurde. das wird sich leider erst mit der version 1.2 ändern.

als workaround kann ich dir vorschlagen, den publisher zum administrator zu befördern und das verzeichnis /administrator mit htaccess zu schützen, auf das dann eben nur die vertrauenswürdigen leute zugriff haben.

als administrator hat man die möglichkeit, system-emails zu bekommen. also er wird dann ebenfalls bei allen eingereichten artikeln per email benachrichtigt (haken machen im user manager).

Joomla!-Support

Oh mein Gott ...

da hat man die Struktur so klar durchdacht und dann solche Fehler bei der Rechteumsetzung gemacht? Das ist mal schwach

Und bis 1.2 ist ja noch lange hin ... mal davon abgesehen das ich noch nirgendwo eine detaillierte Erklärung zu diesem "neuen" Feature gefunden habe was es letztendlich leisten wird...

ACL Enhancements - Stage 1

This allows for the ability to add and edit the user groups system. It also allows for administrators to alter the access permissions based on function though the user interface. For example, you will be able to define which group(s) can install components or template, and so on.
ACL Enhancements - Stage 2

This item allows for apply permissions at the object level in a more detailed way. For example, you will be able to select sections and categories that are viewable only to certain groups.

Das ist nicht gerade detailliert beschrieben ...

Dann wird wohl Joomla momentan nicht für mich in Frage kommen ... wirklich sehr schade ... aber die momentane ACL setzt einen Manager, Administrator bzw. Super Administrator vorraus der/die ständig alles kontrolliert/kontrollieren weil nur er/sie die optimale Übersicht besitzen im Gegensatz zum FrontEnd.

Da hätte man lieger die Rechte im FrontEnd nur aufs Editieren beschränken lassen sollen und ALLEN (also ab Author) den Zugang ins BackEnd geben sollen mit beschränkten Möglichkeiten. Meiner Meinung nach hätten Authoren, Editioren und vorallem Publisher im BackEnd eine bessere Übersicht bzw. Möglichkeit zum einreichen von Content.

Greetz
Seraf

das wäre evtl ein verbesserungsvorschlag: ein controlpanel für editoren / publisher.

ich probiere gerade ein weinig mit JACL plus herum, wo man sich ja eine struktur komplett selbst erstellen kann/könnte. nur richtig glücklich werde ich damit auch nicht. es gibt module oder komponenten, da haut das mit der rechtevergabe einfach nicht hin. das ganze in den core zu integrieren wäre wirklich eine feine sache...

So richtig zufriedenstellend ist das allerdings alles noch nicht. Wenn man verschiedene Sektionen und Kategorien hat ist es quasi unmöglich ein einigermaßen brauchbares System zu integrieren mit dem Beiträge eingereicht werden können ohne für jede Sektion einen eigenen Link zu veröffentlichen was reichlich unprofessionell daherkommt.
Und mit der Lösung, ein "Sammelbecken" zu generieren wo alle neuen Beiträge eingestellt und dann später sortiert werden können, kommt man auch nicht weiter, da dies dann wiederum am Administrator hängen bleibt denn nicht mal Publisher können Artikel in andere Sektionen verschieben ... Oder habe ich da etwas übersehen?

Gibt es eigentlich einen Grund, wieso man keine Möglichkeit hat, Content einreichen zu lassen, bei dem der Benutzer sowohl Sektion als auch Kategorie wählen kann?

Zitat von docfred

Gibt es eigentlich einen Grund, wieso man keine Möglichkeit hat, Content einreichen zu lassen, bei dem der Benutzer sowohl Sektion als auch Kategorie wählen kann?

Glaube nicht ... auch einer der größten Schwächen die ich mittlerweile festgestellt habe ... sehr umständlich wenn man verschieden Newskategorien hat und dann zu jeder Kategorie einen eigenen "News einsenden" Link generieren muss *seufz*

Was die Rechtevergabe angeht...
hab mal ein wenig im Code des Cores rumgespielt.

Nach knapp 2 Stunden hatte mein Publisher Zugang aufs Backend und die Rechte das zu tun was er in meine Augen tun sollte. Schauen wo unveröffentliche Beiträge sind ... begutachten ... im Notfall korriegieren ... veröffentlichen oder verschieben ... etc.

Warum das 2 Stunden gedauert hat ...
Zugang hatte er nach 30sec ... das ist eine Zeile ...
Das Problem ist das momentan im Core nicht vorgesehen ist das jemand Zugang ins Backend hat mit geringeren Rechten als Manager.
Heisst im Klartext ... es gibt für den Manager im Backend keine Definition was er darf sondern nur eine Definition was er nicht darf ... ergo hat jeder User unter dem Manager den man den Zugriff aufs Backend gestattet erstmal alle Rechte wie ein Manager (sprich lässt man Publisher, Author oder Editor ins Backend haben die dort alle die Rechte wie der Manager).

Sprich ich musste alle Module des Admins/Backends selber anfassen und neue Begrenzungen für den Publisher einbauen *seufz*
Danach gehts auch ...

Was mich dabei erschreckt hat ist die Tatsache das es so schnell ging ... sowas hätte schon längst implementiert werden können.

Greetz
Malesur

Zitat von Malesur

Glaube nicht ... auch einer der größten Schwächen die ich mittlerweile festgestellt habe ... sehr umständlich wenn man verschieden Newskategorien hat und dann zu jeder Kategorie einen eigenen "News einsenden" Link generieren muss *seufz*

Was die Rechtevergabe angeht...
hab mal ein wenig im Code des Cores rumgespielt.

Nach knapp 2 Stunden hatte mein Publisher Zugang aufs Backend und die Rechte das zu tun was er in meine Augen tun sollte. Schauen wo unveröffentliche Beiträge sind ... begutachten ... im Notfall korriegieren ... veröffentlichen oder verschieben ... etc.

Warum das 2 Stunden gedauert hat ...
Zugang hatte er nach 30sec ... das ist eine Zeile ...
Das Problem ist das momentan im Core nicht vorgesehen ist das jemand Zugang ins Backend hat mit geringeren Rechten als Manager.
Heisst im Klartext ... es gibt für den Manager im Backend keine Definition was er darf sondern nur eine Definition was er nicht darf ... ergo hat jeder User unter dem Manager den man den Zugriff aufs Backend gestattet erstmal alle Rechte wie ein Manager (sprich lässt man Publisher, Author oder Editor ins Backend haben die dort alle die Rechte wie der Manager).

Sprich ich musste alle Module des Admins/Backends selber anfassen und neue Begrenzungen für den Publisher einbauen *seufz*
Danach gehts auch ...

Was mich dabei erschreckt hat ist die Tatsache das es so schnell ging ... sowas hätte schon längst implementiert werden können.

Greetz
Malesur

wäre natürlich nett, wenn du das bereitstellst, das du gemacht hast. das hilft dann der ganzen community.....

gruß patrick