Le plugin Accès Restreint

Le plugin accès restreint permet de définir et de gérer des zones de l’espace public et privé en accès restreint. Les zones ainsi définies ne sont alors accessibles qu’aux visiteurs authentifiés et autorisés.
Depuis SPIP 2, on utilisera Acces Restreint 3.0 qui respecte le même fonctionnement.

Utilité et fonctionnalités du plugin

Le plugin accès restreint vous permet de protéger et de restreindre l’accès à certaines rubriques uniquement aux visiteurs authentifiés et autorisés.

Si un visiteur n’est pas authentifié ou s’il n’est pas autorisé, alors l’intégralité de la rubrique (ce qui inclus les sous rubriques, les articles, les liens ...) ne seront pas accessible à ce visiteur.

Si le visiteur est authentifié, alors ce visiteur pourra accéder aux rubriques pour lesquelles il a reçu une autorisation d’accès.

Ainsi, ce plugin vous permet de masquer du contenu aux visiteurs non identifiés, et de créer des droits d’accès aux visiteurs identifiés.

Les dernières versions de ce plugin permettent (à partir de SPIP 1.9.2) de filtrer également l’espace privé. Pour les versions précédentes, on parle de visiteurs identifiés ou non, et uniquement de visiteurs, les rédacteurs et les administrateurs auront eux accès à l’intégralité des contenus depuis l’espace privé.

En résumé, le plugin accès restreint permet de définir et de gérer des zones de l’espace public (et de l’espace privé à partir de spip 1.9.2) en accès restreint.
Chaque zone contient des rubriques, et les auteurs peuvent être associés à des zones pour avoir le droit d’y accéder.
Toutes les boucles natives de SPIP sont surchargées pour en filtrer les résultats en fonction des droits du visiteur.

I. Installation du plugin accès restreint

1. Placez le plugin, après l’avoir récupéré dans les packages de la zone, http://zone.spip.org/files/spip-zone/, dans un dossier nommé plugins à la racine de votre site SPIP.

2. Allez dans l’espace privée du site : Configuration / Gestion des plugins en tapant l’url suivante : ecrire/ ?exec=admin_plugin

3. Cochez le plugin Accès restreint et validez

4. Videz le cache

Attention : en activant ou en désactivant ce plugin, il faut penser à vider le cache de SPIP. Sinon, vous aurez les erreurs php décrites dans le forum de cet article.

II. Définir les zones en accès restreint

Les étapes précédantes ont pour effet de faire apparaître un nouvel onglet dans Configuration / Accès restreint, avec une petite icone de cadenas : ecrire/ ?exec=acces_restreint

C’est cette page qui va vous permettre de gérer les zones d’accès restreint de votre site, créer de nouvelles zones ou modifier les zones existantes. Pour créer votre première zone, cliquez sur le raccourci Créer une nouvelle zone.

L’administrateur qui crée la zone peut s’octroyer immédiatement les droits d’accès. Seul un administrateur général du site peut créer, modifier ou supprimer une zone.

-  créer une nouvelle zone
-  lui donner un titre
-  lui donner un descriptif
-  cocher « m’ajouter les doits d’accès à cette zone »

Il faut définir les rubriques qui en font partie. Si on coche la racine du site, il n’y a plus aucun affichage sur l’espace public pour ceux qui ne sont pas identifiés. C’est pratique, par exemple, pour mettre un site en ligne pour les admins et les auteurs sans qu’il soit visible pour le simple visiteur.

Les rubriques qui sont cochées sont explicitement restreintes. Si elles sont déplacées dans le site, elle le resteront. Les rubriques qui ne sont pas cochées mais dépendent d’une rubrique restreinte sont elles aussi restreintes, par héritage. Mais si elles sont déplacées dans l’arborescence dans une zone non restreinte elles seront visibles.

Il faut imaginer la restriction d’acces des rubriques comme une restriction d’accès dans un immeuble : lorsqu’il faut un autorisation pour franchir une porte, tout ce qui est derrière se retrouve en accès restreint.

Valider pour créer la zone. Vous obtiendrez alors ceci :

Toutes les rubriques restreintes de la zone (explicitement ou indirectement) apparaissent sur fond coloré.

La liste des auteurs ayant accès à une zone est affichée sous le formulaire d’édition.

Pour revenir à la liste des zones, cliquez sur Voir toutes les zones :

III. Créer des auteurs et/ou des visiteurs et leur donner les droits sur les rubriques protégées

Une fois la ou les zones créées, il faut aller dans la fiche auteur et indiquer à quelles zones l’auteur ou le visiteur ont accès. La fonction de restriction par zone n’apparaît, en effet, qu’après la création d’un auteur.

ecrire/ ?exec=auteurs_edit&id_auteur=2

Un administrateur général du site peut ajouter ou supprimer l’accès à toute zone pour tous les auteurs (administrateur, rédacteur ou visiteur). Un administrateur restreint ne peut intervenir que sur les rédacteurs et les visiteurs. Il peut accorder ou supprimer l’accès uniquement aux zones auxquelles il a lui-même accès. Il lui est également possible d’accorder l’accès à une des ces zones à un autre administrateur mais ne peut lui supprimer l’accès.

L’interface du plugin est internationalisée. Mais pour l’instant, seul les fichiers de langue anglais et français sont disponibles. Vous pouvez compléter les fichiers de langues ou les personnaliser dans le répertoire lang du plugin.

IV. Fonctionnement et boucles du plugin

1. Aspects techniques

-  Le plugin accès restreint installe trois nouvelles tables dans SPIP, comme on peut le voir dans le répertoire base du plugin :

-  Une table descriptive des zones d’accès, appelée spip_zone
-  et deux tables de liens zones-auteurs et zones-rubriques, appelées spip_zones_auteurs et spip_zones_rubriques.

Ces tables sont sauvegardées automatiquement lors d’un dump dans l’onglet Configuration/Maintenance /Sauvegarde du site.

2. Comportement

Le plugin modifie le comportement des boucles SPIP pour que le résultat ne fasse apparaître que ce que le visiteur (que ce soit un visiteur anonyme un visiteur identifié ou un auteur au sens de SPIP) a le droit de voir.

L’intérêt de cette démarche, c’est qu’elle fonctionne sur toutes les boucles, donc tout le site se trouve instantanément sécurisé sans aucune modification de squelette. Il n’y a pas de risque d’oublier un morceau.

Ce plugin nous garantie l’absence de fuite liée a de nouvelles fonctionnalités de SPIP (comme les modèles [1] de 1.9.1 qui seraient une belle faille pour ceux qui sécuriseraient du contenu au moyen des squelettes).

Le principe même de fonctionnement du plugin acces-restreint est de ’supprimer’ du résultat des boucles tout ce que le visiteur n’a pas le droit de voir. Ainsi les zones à accès réservées sont invisibles pour qui n’y est pas habilité.

N’ayez donc aucune crainte en ce qui concerne les robots, les moteurs de recherche, ou les fichiers de backend. Le filtre est infaillible.

Ce principe de fonctionnement permet au plugin de filtrer le contenu publié sans modification du squelette. Cela permet aussi d’avoir des menus (liste de rubriques) cohérents avec le contenu effectivement accessible. Bref c’est un parti pris, qui fait son efficacité même.

En contrepartie, un visiteur (identifié ou non) qui essaie d’accéder à du contenu auquel il n’a pas le droit a le même résultat que si le contenu n’existait pas, (il est renvoyé sur une page 404) car, d’un point de vue technique ce contenu n’existe effectivement pas dans le résultat des boucles SPIP des squelettes qu’il interroge.

À partir de là, il y a deux stratégies possibles selon la finalité de l’accès restreint :

-  Un filtrage fort, sans indication qu’un contenu existe mais qu’il n’est pas accessible : avoir un lien ’S’identifier’ générique sur tout le site, qui permet aux personnes habilitées de se connecter pour accéder au contenu.

-  Un filtrage avec information : dans la partie alternative de la boucle article ou de la boucle rubrique, on regarde si l’objet existe et s’il a été filtré, et dans ce cas alors, on présente le formulaire de login.

À cet effet, deux filtres ont été créés pour le plugin :
-  AccesRestreint_article_restreint appliqué à l’id_article

-  AccesRestreint_rubrique_restreinte appliqué à l’id_rubrique

De plus le critere {tout_voir} permet de passer outre le filtrage d’acces. Il peut etre utilisé par exemple pour lister les titres des articles dans une rubrique restreinte, ou meme pour verifier l’existence d’un article filtré, a la place des deux filtres ci-dessus.

3. Exemple de boucle :

<BOUCLE_main(ARTICLES){id_article}> bla bla bla </BOUCLE_main>

[(#ID_ARTICLE|AccesRestreint_article_restreint|?{' ',''}) #LOGIN_PUBLIC ] 

[(#ID_ARTICLE|AccesRestreint_article_restreint|?{'',' '}) Cette page n'existe pas ] 

<//B_main>

On peut faire, sur le même modèle, une boucle rubrique, en utilisant l’utilisation normale et judicieuse des parties alternatives des boucles spip. La boucle donnée ci-dessus illustre l’idée, mais il va sans dire qu’en contexte réel, il serait préférable de faire des inclure, soit d’un squelette formulaire avec un login public, soit d’un squelette de page d’erreur 404.

En résumé, pour faire la différence entre un article ou une rubrique inexistante, et un article ou une rubrique masquées, il y a deux filtres pour ca, qu’il faut utiliser dans la partie alternative des boucles.

<BOUCLE_article(ARTICLES){id_article}>
là j'affiche mon article normalement
</BOUCLE_article>
[(#ID_ARTICLE|AccesRestreint_article_restreint|?{' ',''})    
là je fais ce qu'il faut pour dire à ce visiteur qu'il ne s'est pas identifié ]
[(#ID_ARTICLE|AccesRestreint_article_restreint|?{'',' '})
là je dis que vraiment non cette page n'existe pas, ou alors qu'on l'a perdue ... ]
<//B_article>

Un autre exemple utile consiste à lister toutes les rubriques contenues dans une zone.
Pour cela on utilise le critere tout_voir et id_zone pour obtenir les rubriques liées à une zone. Mais attention, ce dernier critère ne retourne que les rubriques explicitement cochées dans l’interface, pas toutes les rubriques filles.
Pour lister toutes les rubriques d’une zone, il faut donc ecrire :

<ul>
<BOUCLE_rubs(RUBRIQUES){id_zone=1}{tout_voir}>
<BOUCLE_sousrub(RUBRIQUES){branche}{doublons}{tout_voir}>
<li>#TITRE</li>
</BOUCLE_sousrub>
</BOUCLE_rubs>
</ul>

On notera l’utilisation du critère doublons dans la sous boucle. Il a pour but d’éviter l’affichage d’une même rubrique à plusieurs reprises dans le cas ou plus d’une rubrique est cochée et ou l’une est dans la branche de l’autre.

V. Page d’identification et login public

Voilà le plugin est « magique », il filtre tout pour vous une fois que les accès ont été définis, que les rubriques et les auteurs ont été rattachés aux zones restreintes.

Pourtant, il faut encore faire un petit effort, même si vous avez l’habitude que spip fasse tout pour vous, y compris l’impossible :-)

-  Le premier effort à faire, c’est de mettre un formulaire de login en page d’accueil, ou un bouton « s’identifier » qui permette au visiteur de se loguer :

-  Pour l’identification, un #LOGIN_PUBLIC fait très bien l’affaire.

-  Pour donner des droits d’accès à des personnes qui ne sont ni administrateur (petit bonhomme vert dans la page auteur), ni rédacteur (petit bonhomme jaune), il faut les inscrire en tant que visiteur, (petit bonhomme bleu). Attention, pour avoir un statut visiteur qui ne puisse pas se connecter à la partie privée, il faut bien penser à activer la partie forum et à configurer le site en conséquence. Dans la partie de configuration du site, à cette url, ecrire/ ?exec=config_contenu , cochez les options suivantes :

-  Enregistrement obligatoire (les utilisateurs doivent s’abonner en fournissant leur adresse e-mail avant de pouvoir poster [2] des contributions.

-  Ne pas accepter les inscriptions

Les visiteurs ne se trouvent pas dans la page auteurs de la partie privée, mais à cette url
 ?exec=auteurs&visiteurs=oui

Ce plugin a été bien intégré sur ce site, qui pourra nous servir d’exemple : http://cfdt-scerao.fr/.
On constate que sur le modèle du squelette login.html présent dans la dist de SPIP 1.9, cette page qui donne accès à l’espace privé, l’auteur de ce site a créé un squelette appelé login_public.html
qui sera le passage obligé pour accéder à l’espace réservé aux adhérents, sans qu’ils aient toutefois accès à l’espace privé, avec, comme option l’envoi de mot de passe si celui-ci a été oublié :

Voici le bout de code à mettre dans le squelette login_public.html :

<div class="formulaire_spip formulaire_login">
#LOGIN_PUBLIC
<p style="text-align: center;">
&#91;<a href="#URL_PAGE{spip_pass}" target="spip_pass" onclick="javascript:window.open(this.href, 'spip_pass', 'scrollbars=yes, resizable=yes, width=480, height=330'); return false;">
<:login_motpasseoublie:></a>&#93;
&#91;<a href="#URL_SITE_SPIP/"><:login_retoursitepublic:></a>&#93;
</p>
</div>

Ce qui donne un formulaire de connection qui ressemble à cette capture d’écran :

Une fois l’adhérent correctement logué, il aura donc accès aux rubriques protégées.

Mieux encore que #LOGIN_PUBLIC , il convient d’utiliser :[(#LOGIN_PUBLIC|mapage.html)] . Voir à ce sujet la documentation de SPIP sur les formulaires http://www.spip.net/fr_article1827.html


-  #LOGIN_PUBLIC
D’une utilisation beaucoup plus spécifique, la balise #LOGIN_PUBLIC affiche un formulaire permettant à vos utilisateurs de s’identifier tout en restant sur le site public (sans entrer dans l’espace privé). Cette balise sert notamment à authentifier les visiteurs pour les sites proposant des forums modérés sur abonnement. Elle peut aussi servir de brique de base pour restreindre l’accès à certains contenus sur le site public : mais cela reste d’un maniement complexe, et nécessitera encore des développements et la rédaction de tutoriels complets avant d’être facilement utilisable par tous ; néanmoins, un exemple d’utilisation avancée est donné plus bas.
Le #LOGIN_PUBLIC, par défaut, « boucle sur lui-même », c’est-à-dire que le formulaire revient sur la page où il se trouve. On peut cependant indiquer une page vers laquelle le formulaire mènera, sous la forme :

[(#LOGIN_PUBLIC|spip.php?page
=mapage)] ou [(#LOGIN_PUBLIC|spip.php?rubrique20)]

Si votre site offre une inscription automatique à l’espace privé, les données de connexion à l’espace public sont identiques à celles de l’espace privé ; c’est-à-dire que les données envoyées à l’utilisateur pour s’identifier à l’espace public lui permettent également d’accéder à l’espace privé.
Si, au contraire, vous avez interdit l’inscription automatique à l’espace privé, il faut impérativement avoir au moins un article dont les forums seront réglés en mode « sur abonnement » pour activer cette balise ; dès lors, SPIP pourra fournir des informations de connexion pour le site public sans accès à l’espace privé.

-  #URL_LOGOUT est le pendant de #LOGIN_PUBLIC ; il donne une URL permettant à un visiteur authentifié de se déconnecter.
On peut passer un paramètre à cette balise pour spécifier l’adresse de retour après la déconnection. Par exemple :

[(#URL_LOGOUT{spip.php?page=
sommaire})] renverra vers la page de sommaire.

Voici un exemple simple, mais complet, d’utilisation de ces deux balises. Il faut passer par un peu de php pour tester la variable
$auteur_session qui indique qu’un auteur est identifié ou non. Si c’est le cas, on peut récupérer (voire tester) son statut, son login, etc., via $auteur_session['statut']....

<?php if ($auteur_session) { ?>
Vous êtes authentifié, <a href='#URL_LOGOUT'>cliquez ici pour vous déconnecter</a>
... ici le contenu en accès restreint....
<?php } else { ?>
<h2>Cette partie est en accès restreint</h2>
#LOGIN_PUBLIC
<?php } ?>

VI. Comment je fais dans mes squelettes ?

Nous mettons en pièce jointe un fichier Accès_restreint_noisettes.zip, avec tous les éléments qu’il vous faut.

Nous vous proposons une méthode simple, qui modifie un minimum la Dist, et s’adapte à n’importe quelle situation.

1/ Insérer partout dans vos squelettes les deux noisettes d’identification et de déconnection. Libre à vous de créer des chaînes de langues, et ou/de personnaliser le texte. Le plus simple est de se servir d’une inclusion sous les rubriques, dans inc_rubrique.html par exemple.

[(#REM) noisette de deconnection]
<INCLURE{fond=inc_identification_sedeconecter}{lang}>

[(#REM) noisette de connection]
<INCLURE{fond=inc_identification_visiteurs}{lang}>

2/ Mettre les noisettes dans le répertoire squelettes, avec éventuellement l’image du cadenas.

-  inc_identification_sedeconecter.html

#CACHE{3600}
[(#REM) Deconnection ]
<?php if ($auteur_session) { ?>
<h1><?php echo $auteur_session['nom']; ?></h1>
<p>Vous &ecirc;tes authentifi&eacute;,<br />
<a href='#URL_LOGOUT'>Se d&eacute;connecter</a><p>
#LOGIN_PUBLIC
<?php } else {} ?>

Cette noisette n’affiche rien si le visiteur est identifié, et affiche le nom de la personne s’il est identifié, en lui proposant de se déconnecter.

-  inc_identification_visiteurs.html

#CACHE{3600}
[(#REM) Identification ]

<?php if ($auteur_session) { } 
else { ?>

<h1>Intranet
<!-- facultatif<img style="width: 24px; height: 24px;" alt="zone prot&eacute;g&eacute;e" src="#URL_SITE_SPIPsquelettes/zones-acces-24.gif" />-->
</h1>

#LOGIN_PUBLIC

<p><a href="#URL_PAGE{spip_pass}" target="spip_pass" onclick="javascript:window.open(this.href, 'spip_pass', 'scrollbars=yes, resizable=yes, width=480, height=330'); return false;"><:login_motpasseoublie:></a></p>

<?php } ?>

Cette noisette n’affiche rien si vous êtes identifié, et affiche le formulaire d’identification si le visiteur n’est pas identifié.

L’interêt de créer deux fichiers distincts, c’est que l’on peut les placer à deux endroits différents sur le site.

3/ formulaire_login.html
Le placer dans squelettes/formulaires pour ne pas l’écraser lors d’une future mise à jour, et de le personnaliser. Nous vous en proposons un, légèrement modifié par rapport à celui de la distribution officielle, qui a l’énorme avantage de désactiver le focus [3]
, qui pourrait se révéler très vite pénible et encombrant, car il agit comme une ancre, et si vous ne le désactiver pas, vos visiteurs seront automatiquement « redirigés » vers le formulaire d’authentification. Ce défaut ergonomique se constate sur les petites résolutions, ou sur les sites ayant de nombreuses rubriques

formulaire_login.html

4/ inc_nom_statut_ip.html
Une dernière noisette optionnelle, qui peut vous donner le statut de la personne connectée, administrateur, rédacteur ou visiteur, à inclure par exemple dans inc_identification_sedeconecter.html

[(#REM) noisette de statut]
<INCLURE{fond=inc_nom_statut_ip}{lang}>
<?php echo 
$auteur_session['nom'].'<br />';
switch ($auteur_session['statut']) 
{
case '0minirezo' : echo 'Administrateur<br />'.$REMOTE_ADDR; break;
case '1comite'   : echo 'R&eacute;dacteur'; break;
case '6forum'    : echo 'Simple visiteur'; break;
} 
?>

5/ Voir aussi la noisette qui permet de donner l’intro de l’article et un formulaire de login avec le critere {tout_voir}.
Elle est disponnible sur la zone et dans la dernière version du plugin.
Pour la voir en fonctionnement, c’est sur spip-zone.info.

6/ Une autre noisette, qui joue sur le plugin Balise Session et Accès restreint, est disponnible ici.

Voilà vos squelettes sont fin prêts pour un intranet ou un accès restreint.

VII. Ce que ne faisait pas le plugin en version SPIP 1.9.1

Le plugin accès restreint sous SPIP 1.9.1 était parfait pour l’espace public. Mais, il ne permettait pas encore de restreindre et de filtrer l’espace privé.

VIII. Accès restreint et filtrage de l’espace privé depuis la version 1.9.2 Pr1, SVN et au-delà

C’est désormais possible de bénéficier de toutes les fonctionnalités du plugin dans l’espace privé. Pour chaque zone restreinte, on définit si ca doit filtrer l’espace public et/ou l’espace privé. Et non seulement ca restreint l’accès, mais ca permet encore de filtrer l’affichage de la partie privée.

Donc un rédacteur qui n’est pas rattaché à une zone ne verra pas les rubriques de cette zone dans l’interface d’administration. Un administrateur non plus. Attention toutefois, seul l’administrateur restreint, ne pourra pas changer le statut des zones du plugin. Un administrateur complet peut se rajouter à une zone restreinte s’il le désire.

IX. Interaction avec le plugin Agenda

Le plugin accès restreint filtre, dans l’espace public, la boucle EVENEMENTS du plugin Agenda. Seuls les évènements inclus dans un article appartenant à une rubrique accessible seront visibles.

À partir des versions SVN n°11549 pour le plugin accès restreint et 11548 pour le plugin agenda en date du 21 avril 2007, le filtrage des évènements dans l’espace privé est également pris en charge.

X. Jouons avec le plugin accès restreint et le plugin balise session

Objectifs :

-  Afficher un bouton de connexion si et seulement si le plugin accès
restreint est installé *et* il y a au moins une rubrique de restreinte.
-  Un fois identifié, Afficher d’une manière différente les rubriques qui
était masquées
-  Et afficher un bouton de déconnexion

Dans un premier temps, vérifier que le plugin accès restreint est installé.
Pour cela, lire la config des plugins en y cherchant la signature du
plugin accès restreint :

[(#CONFIG{plugin}|match{ACCESRESTREINT}|?{' 
'})<INCLURE(session.php){fond=login-logout}{connexion}{id_article}{id_rubrique}>]

Ensuite, dans le squelette login-logout.html vérifions qu’il y a au
moins une rubrique protégée.

<BOUCLE_AuMoinsUneRubriqueProtegee(ZONES_RUBRIQUES){0,1}>
[(#SESSION{id_auteur}|?{' '})<a href="#URL_LOGOUT" 
title="<:deconnexiontitle:>">[(#SESSION{nom}|propre)], <:deconnexion:></a>]
[(#SESSION{id_auteur}|?{'',' '})<a 
href="[(#SELF|parametre_url{connexion,y})]" title="<:connexiontitle:>" 
rel="nofollow"><:connexion:></a>]
</BOUCLE_AuMoinsUneRubriqueProtegee>

C’est<BOUCLE_AuMoinsUneRubriqueProtegee(ZONES_RUBRIQUES){0,1}> qui fait tout le travail : regarder si dans la table du plugin accès restreint,
il y a au moins une ligne.

Quant à #SESSION{id_auteur}, c’est une balise du plugin sessions qui permet de savoir s’il y a ou nom un auteur de connecté.

Et il faut avoir quelque par dans le squelette l’affichage du formulaire
de login, conditionné au fait que l’on a demandé la connexion :

[(#REM) le bloc s'ouvre en milieu de page, mais bon là si on est sur / 
faut rediriger proprement bidouille si sommaire...]
[(#ENV{connexion}|=={y}|?{' ',''})
<div id="connexion">
[(#SELF|=={?connexion=y}|?{
<!--accueil-->
[(#LOGIN_PUBLIC|?)]
,
<!--autre-->
[(#LOGIN_PUBLIC)]
})]
</div>]

Enfin pour différencier les rubriques qui étaient invisibles avant la connexion, vérification que la rubrique en cours est bien dans une zone restreinte :

<BOUCLE_test(ZONES_RUBRIQUES){id_rubrique}{0,1}> Cette rubrique vous est 
réservée </BOUCLE_test>
À noter : ceci ne donne que la rubrique mère protégée, pas ses filles.

Amusez-vous bien !

XI. Astuce pour récupérer un flux RSS personnalisé

Si vous vous abonnez au flux RSS d’un site avec Accès restreint, par exemple avec Thunderbird, avec l’adresse http://monsite.net/spip.php?page=backend, vous ne verrez apparaitre dans le flux que les articles accessibles aux visiteurs non identifiés puisque, via Thunderbird, vous ne serez pas identifié sur le site.

Il est possible d’utiliser une identification HTTP afin de récupérer un flux RSS contenant l’ensemble des articles auxquels vous avez accès. ATTENTION : avec ce type d’identification, votre login et votre mot de passe seront transmis en clair dans l’URL.

Utilisez l’adresse suivante pour vous abonner au flux RSS dans Thunderbird :
http://login:motdepasse@monsite.net/spip.php?action=cookie&essai_auth_http=oui&url=spip.php?page=backend. Vous obtiendrez alors un flux comportant les articles auxquels vous avez accès. Cette astuce fonctionne avec n’importe quelle page.

XII. Options de fonctionnement des zones

Marcimat a rajouté des define pour changer le comportement des restrictions sur les zone.

Par défaut dans Acces restreint, si une rubrique 1 restreinte par une zone A englobe une sous rubrique 2 restreinte par une zone B, alors

  • A ne peut pas voir 2
  • B ne peut pas voir 1
  • On ne peut voir que sur les restrictions dont on a tous les droits : pour qu’un auteur puisse voir (2), il doit faire partie de A et de B. Pour qu’un auteur puisse voir 1, il doit faire partie de A.

Avec le define AR_TYPE_RESTRICTION
AR_TYPE_RESTRICTION = faible [4] :
on peut déjà de dire qu’une zone accède à des sous rubriques quelque soit la restriction appliquée à celle-ci en plus. Ainsi on obtient que :

  • un auteur de la zone A peut voir 2 (et 1 bien sûr), car 2 est contenu dans 1.
  • mais un auteur de B ne peut pas voir 1 (parent de 2). Il ne peut que voir 2.

Avec le nouveau define AR_TYPE_RESTRICTION_PARENTEE (en cumul avec AR_TYPE_RESTRICTION = faible)
AR_TYPE_RESTRICTION_PARENTEE = faible [5]

On peut dire qu’un auteur voyant une rubrique restreinte dans une certaine profondeur a accès aux rubriques parentes, mêmes restreintes (mais pas aux frères restreints tout de même !). Dans ce cas :

  • un auteur de A voit 2 (deja fait avec AR_TYPE_RESTRICTION = faible)
  • au auteur de B voit 1 (le parent de 2)

De la sorte, on peut imaginer des rubriques

  • [ ] Projets
    • — [ ] Projet A
    • — [ ] Projet B

Si une zone existe pour le projet A, incluant quelques personnes, et qu’une zone existe pour « Projets » incluant les « collaborateurs » : les collaborateurs peuvent voir tous les projets, les participants de A peuvent voir le projet A ET la rubrique « Projets » parente : qui ne listera que « Projet A » avec les squelettes SPIP par défaut.

Notes

[1Imaginons une rubrique 23 sécurisée par un squelette avec du code php <?php if (....) ?> pour ne pas afficher la page si l’auteur n’a pas les droits, et bien si dans un forum, par exemple, il faisait appel au modèle <article 30> ou à une autre variante, il pourrait accéder à du contenu restreint. Avec ce plugin, qui ne joue pas sur la squeletisation, tout est bien sécurisé, on peut dormir tranquilement, ce sont bien toutes les boucles qui sont filtrées.

[2Cela ne veut pas dire, pour autant, que vous êtes obligés d’utiliser les forums, mais seulement que vous pourrez octroyer des zones restreintes à de simples visiteurs

[3L’astuce pour désactiver le focus est assez fine, on a déplacé le crochet de la fonction javascript qui gère le focus.
Avec Focus

53 <script type="text/javascript"><!--
54 document.getElementById('var_login[_(#ENV{login})]').focus();
55  --></script>


Sans Focus

49<script type="text/javascript"><!--
50document.getElementById('var_login_[(#ENV{login})]').focus();
51--></script>

[4code à ajouter dans le fichier mes_options.php du SPIP
define('AR_TYPE_RESTRICTION','faible');

[5code à ajouter dans le fichier mes_options.php du SPIP :
define('AR_TYPE_RESTRICTION_PARENTEE','faible');

Discussion

267 discussions

  • Je suis surpris de voir des documents pdf qui sont liés a une rubrique qui fait partie d’une zone d’accès restreinte et qui sont malgré tout indexé par Google et accessible via leur URL du type http://www.monsite.com/IMG/pdf/monpdf.pdf ...
    Comment régler ce problème ?
    Merci.

    SPIP 4.2.8 + Accès Restreint 6.0.4

    Répondre à ce message

  • 2
    Alain7159

    Bonjour,

    Spip 4.0
    Accesrestreint 4.2.3
    Php 7.4
    libmysql - 5.6.43
    Testés sans aucun Plugin.

    Les bases spip_zones et spip_zones_liens ne sont pas créées. Il me semble que c’est le Plugin qui les créé, non ?
    Aucune idée d’où vient le problème. Merci de votre aide.

    • Alain7159

      Après désinstallation et ré-installation spip_zones et spip_zones_liens créées.

      Pas compris la raison.

    • Bonjour,
      Pour ma part migration de spip 3.2.2 vers spip 4.0.5 en php 8.0.
      Soucis avec Accès restreint 4.2.4.
      Des warning php sautent aux yeux un peu partout : partie privée / formulaires / partie publique...

      Warning: reset(): Argument #1 ($array) must be passed by reference, value given in .../plugins/auto/accesrestreint/v4.2.4/inc/accesrestreint.php on line 149

      Toutes les écritures dans inc/accesrestreint.php du type
      ... = array_map('reset', ...
      sont concernées : les lignes 73, 149, 190 et 347

      Solution immédiate : rétrograder en php 7.4 et toute est bon.
      Cordialement.
      _

    Répondre à ce message

  • Avec SPIP3.x et « Accès restreint 4.0 »,
    l’exemple d’appel suivant fonctionne :

    [(#SESSION{id_auteur}|non) #LOGIN_PUBLIC]
    [(#SESSION{statut}|=={0minirezo}|oui) Administrateur]
    [(#SESSION{statut}|=={1comite}|oui) Rédacteur]
    [(#SESSION{statut}|=={6forum }|oui) Visiteur]
    [(#SESSION{id_auteur}|oui)<i>#SESSION{nom}</i><br/><a href="#URL_LOGOUT{#URL_PAGE{sommaire}}">déconnexion</a>]

    Pour une MAJ de la doc (?)
    Cordialement
    Philippe

    Répondre à ce message

  • Bjr,
    dans les paramètres du plugin, pour une zone en accès restreint, il y a la case à cocher « Autoriser l’accès à cette zone à toute personne connectée ».
    L’ennui c’est que ça inclus les ’simples visiteurs’.
    Du coup je l’ai décoché, mais je dois ajouter alors les rédacteurs un à un.
    A moins qu’il y ait une autre manière de faire pour ajouter tous les rédacteurs du site, présents et futurs, à la zone ?

    Pour l’avenir, peut-être ce serait bien d’avoir plus d’options pour cette case ?, du genre :
    Autoriser l’accès à cette zone à :
    tous les visiteurs
    tous les rédacteurs

    Mais en tout cas c’est très pratique, on va l’utiliser pour une rubrique en mode wiki « privé ». Merci

    Répondre à ce message

  • 4

    Bonjour,

    Je n’ai pas encore commencé et je me demande comment bien attaquer la chose !! Voilà :

    En fait je voudrais que n’apparaissent que les rubriques restreintes pour un utilisateur connecté disposant des droits ad hoc bien sûr !
    J’ai un peu de mal avec la conception de cette boucle .... mais je me soigne ... une idée ?

    Merci d’avance !

    • Le but, c’est d’avoir

      1. seulement les rubriques auxquelles il a accès + les rubriques non protégées ?
      2. ou de masquer les rubriques non protégées et de n’afficher que les rubriques protégées auxquelles il a droit ?
    • Oups ! sans doute ne suis-je pas clair !!

      « que n’apparaissent que les rubriques restreintes pour un utilisateur »

      A mon sens ce serait plutôt l’hypothèse 2 !

    • Alors, si tu listes toutes les rubriques, par défaut, tu auras :

      • les rubriques non protégées
      • les rubriques protégées auxquelles le visiteur logué a accès

      Donc, si tu filtre ce résultat avec ce point décrit dans la doc : « AccesRestreint_rubrique_restreinte appliqué à l’id_rubrique », ça devrait le faire...

    • Mais tu as parfaitement raison ... J’ai eu une sacrée panne de cervelet !!
      Désolé d’avoir posé une question aussi bête ...
      merci beaucoup, 1000 excuses et bon WE !

    Répondre à ce message

  • Bonjour,
    Le plugin accès restreint 0.2 pour SPIP 1.9.2 ne se trouve plus au grenier... Ou peut on le télécharger ?
    Cordialement

    Répondre à ce message

  • 2
    Rodolphe

    Bonjour,

    J’utilise le plugins Accès Restreint en version 3.8.12 sur un spip en version 3.0.16 et j’ai un CAS (http://contrib.spip.net/cicas-plugin-d-authentification-avec-CAS-pour-SPIP) pour authentifier mes utilisateurs.

    Lorsqu’un utilisateur veut atteindre une zone restreinte en passant par le CAS, il tombe sur une page 404, et l’adresse pointe vers le site mais dans la partie privée avec cette adresse :
    http://monsite.fr/rubrique_restreinte/ecrire/?bonjour=oui

    Savez pourquoi il pointe vers la zone privée au lieu de son adresse en zone publique ?

    • Il faudrait voir du côté du plugin CAS. Il doit y avoir un problème de redirection en sortie du formulaire d’identification

    • Rodolphe

      Bonjour,

      Le CAS fonctionne très bien avec une page en zone privée, typiquement pour accéder à la gestion du site. Par contre quand la rubrique est restreinte et sur la partie publique cela ne fonctionne pas, SPIP redirige vers la partie privée (/ecrire).

      Dans les logs du SPIP CAS, j’ai bien la bonne adresse publique qui est redirigée.

      Est ce une mauvaise interaction entre l’authentification interne du spip et le plugins acces restreint ou le plugins CICAS ?

    Répondre à ce message

  • 1

    Bonjour,
    J’utilise « acces_restreint » avec spip 1.9.2 sans problème.
    J’ai voulu évoluer vers SPIP 3.014. Après quelques problèmes d’installation, il fonctionne correctement.
    Toutefois je rencontre un problème après l’identification. Au lieu de retourner sur mon site, il retourne sur le formulaire mais sans les mentions de connexion. Il faut valider « retour au site public » pour y accéder ce qui n’est pas ergonomique. Je ne rencontrait pas ce problème avec spip 1.9.2.
    Quelqu’un a-t-il la solution ?
    Je précise que j’ai utilisé les noisettes" fournies.
    Merci d’avance. Cordialement

    • Bonjour,
      J’ai trouvé la réponse à la question que je posai, alors je la poste.

      Pour Spip3, pour « acces_restreint », il faut remplacer la noisette fournie par :

      [(#SESSION|non)

      #LOGIN_PUBLICspip.php ?page=sommaire

      ]
      (#SESSION

      Cordialement

    Répondre à ce message

  • Bonjour,
    Je ne parviens pas à restreindre l’accès à la racine du site. La case se décoche automatiquement après validation. Quelqu’un sur le forum a visiblement eu le même problème mais il n’y a pas eu de réponse, donc je repose la question (je suis sur Spip 3).

    Répondre à ce message

  • Bonjour,
    J’utilise SPIP 3.0.10 [20600] et j’ai une rubrique qui correspond a une partie « Intranet ».
    J’utilise Accès restreint v. 3.8.8 pour restreindre l’accès à la zone Intranet.

    Je cherche une solution pour protéger les documents de cette partie Intranet.
    Je voudrais éviter que les moteurs de recherche tels google indexent les pages de la partie Intranet et éviter ls téléchargement directs des documents privés par l’url de type : http://www.aaa/IMG/pdf/aa.pdf
    Dans la configuration d’Accès restreint, j’ai testé l’option « interdire la lecture » mais ça ne marche pas …
    Merci à tous pour votre aide.

    Répondre à ce message

Ajouter un commentaire

Avant de faire part d’un problème sur un plugin X, merci de lire ce qui suit :

  • Désactiver tous les plugins que vous ne voulez pas tester afin de vous assurer que le bug vient bien du plugin X. Cela vous évitera d’écrire sur le forum d’une contribution qui n’est finalement pas en cause.
  • Cherchez et notez les numéros de version de tout ce qui est en place au moment du test :
    • version de SPIP, en bas de la partie privée
    • version du plugin testé et des éventuels plugins nécessités
    • version de PHP (exec=info en partie privée)
    • version de MySQL / SQLite
  • Si votre problème concerne la partie publique de votre site, donnez une URL où le bug est visible, pour que les gens puissent voir par eux-mêmes.
  • En cas de page blanche, merci d’activer l’affichage des erreurs, et d’indiquer ensuite l’erreur qui apparaît.

Merci d’avance pour les personnes qui vous aideront !

Par ailleurs, n’oubliez pas que les contributeurs et contributrices ont une vie en dehors de SPIP.

Qui êtes-vous ?
[Se connecter]

Pour afficher votre trombine avec votre message, enregistrez-la d’abord sur gravatar.com (gratuit et indolore) et n’oubliez pas d’indiquer votre adresse e-mail ici.

Ajoutez votre commentaire ici

Ce champ accepte les raccourcis SPIP {{gras}} {italique} -*liste [texte->url] <quote> <code> et le code HTML <q> <del> <ins>. Pour créer des paragraphes, laissez simplement des lignes vides.

Ajouter un document

Suivre les commentaires : RSS 2.0 | Atom