Navigation Index-JSP um Sicherheitsabfragen erweitern (#1242)

Ist vielleicht nciht die eleganteste Lösung, aber ich sehe zur Zeit keine bessere.

git-svn-id: https://svn.libreccm.org/ccm/trunk@1681 8810af33-2d31-482b-a856-94f89814c4df

ccm-navigation/src/com/arsdigita/navigation/DataCollectionDefinition.java

@@ -66,8 +66,8 @@ public class DataCollectionDefinition extends LockableImpl {
 
     public final void setObjectType(String objectType) {
         Assert.isUnlocked(this);
-        validateObjectType(objectType);
         m_objectType = objectType;
+        validateObjectType(objectType);
     }
 
     public final void setSpecificObjectType(String specificObjectType) {
@@ -86,6 +86,12 @@ public class DataCollectionDefinition extends LockableImpl {
     }
 
     public void setDateAttribute(DataCollectionRenderer renderer) {
+
+        // Stop here, if the set object type is invalid a.k.a. not installed
+        if(this.hasInvalidObjectType()) {
+            return;
+        }
+
         ObjectType type = SessionManager.getMetadataRoot().getObjectType(
                 m_objectType);
         s_log.debug("set date attribute for collection of " + type.
@@ -124,9 +130,20 @@ public class DataCollectionDefinition extends LockableImpl {
     private final void validateObjectType(String objectType) {
         ObjectType type = SessionManager.getMetadataRoot().getObjectType(
                 objectType);
-        Assert.exists(type, ObjectType.class);
+
+        // WTF: I don't need an exception if the requested objecttype doesn't exists
+        // That will only ruin your website
+        //Assert.exists(type, ObjectType.class);
+        if(type == null) {
+            m_objectType = "";
+        } else {
             validateObjectType(type);
         }
+    }
+
+    public boolean hasInvalidObjectType() {
+        return m_objectType.isEmpty();
+    }
 
     protected void validateObjectType(ObjectType type) {
         // Nada
@@ -181,6 +198,11 @@ public class DataCollectionDefinition extends LockableImpl {
     public final DataCollection getDataCollection(NavigationModel model) {
         Assert.isLocked(this);
 
+        // Stop here, if the set object type is invalid a.k.a. not installed
+        if(this.hasInvalidObjectType()) {
+            return null;
+        }
+
         DataCollection objects = SessionManager.getSession().retrieve(
                 m_objectType);
 

ccm-navigation/src/com/arsdigita/navigation/DataCollectionRenderer.java

@@ -132,9 +132,9 @@ public class DataCollectionRenderer extends LockableImpl {
         Assert.isLocked(this);
 
         // Quasimodo: Begin
-        // If objects is empty, do not insert objectList-element but do insert noContent-element
+        // If objects is null or empty, do not insert objectList-element
-        // and return immediately
+        // but do insert noContent-element and return immediately
-        if (objects.isEmpty()) {
+        if (objects == null || objects.isEmpty()) {
             return Navigation.newElement("noContent");
         }
         // Quasimodo: End

ccm-navigation/src/com/arsdigita/navigation/cms/CMSDataCollectionDefinition.java

@@ -22,18 +22,16 @@ package com.arsdigita.navigation.cms;
 import com.arsdigita.cms.CMS;
 import com.arsdigita.cms.ContentItem;
 import com.arsdigita.cms.SecurityManager;
-import com.arsdigita.navigation.DataCollectionDefinition;
-import com.arsdigita.navigation.NavigationModel;
 import com.arsdigita.kernel.ACSObject;
 import com.arsdigita.kernel.Kernel;
 import com.arsdigita.kernel.Party;
 import com.arsdigita.kernel.permissions.PermissionService;
 import com.arsdigita.kernel.permissions.PrivilegeDescriptor;
+import com.arsdigita.navigation.DataCollectionDefinition;
+import com.arsdigita.navigation.NavigationModel;
 import com.arsdigita.persistence.DataCollection;
 import com.arsdigita.persistence.Filter;
-
 import com.arsdigita.persistence.metadata.ObjectType;
-
 import com.arsdigita.util.Assert;
 
 
@@ -42,6 +40,7 @@ public class CMSDataCollectionDefinition extends DataCollectionDefinition {
     private boolean m_filterSection = false;
     private String m_filterVersion = ContentItem.LIVE;
 
+    @Override
     protected void validateObjectType(ObjectType type) {
         Assert.isTrue(type.isSubtypeOf(ContentItem.BASE_DATA_OBJECT_TYPE),
                      "object type is a content item");
@@ -57,6 +56,7 @@ public class CMSDataCollectionDefinition extends DataCollectionDefinition {
         m_filterVersion = version;
     }
 
+    @Override
     protected void applyFilters(DataCollection objects,
                                 NavigationModel model) {
         super.applyFilters(objects, model);
@@ -83,6 +83,7 @@ public class CMSDataCollectionDefinition extends DataCollectionDefinition {
         objects.addPath("masterVersion.objectType");
     }
 
+    @Override
     protected void checkPermissions(DataCollection objects) {
         // parties are assigned the cms_read_item privilege on content items
         // rather than the primitive READ
@@ -97,6 +98,7 @@ public class CMSDataCollectionDefinition extends DataCollectionDefinition {
             party.getOID());
     }
 
+    @Override
     protected String getCategorizedObjectPath(String fragment) {
         return "parent." + fragment;
     }

ccm-navigation/src/com/arsdigita/navigation/ui/AbstractObjectList.java

@@ -60,6 +60,12 @@ public abstract class AbstractObjectList
 
     protected DataCollection getObjects(HttpServletRequest request,
             HttpServletResponse response) {
+
+        // Stop here, if the set object type is invalid a.k.a. not installed
+        if (m_definition.hasInvalidObjectType()) {
+            return null;
+        }
+
         // definition needs to know if the renderer is rendering a date
         // attribute so that it can decide whether to order by date for
         // a date order category
@@ -103,8 +109,7 @@ public abstract class AbstractObjectList
                         addFilter(ff.equals("language", com.arsdigita.globalization.GlobalizationHelper.getNegotiatedLocale().getLanguage())).
                         addFilter(ff.and().
                             addFilter(ff.equals("language", GlobalizationHelper.LANG_INDEPENDENT)).
-                            addFilter(ff.notIn("parent", "com.arsdigita.navigation.getParentIDsOfMatchedItems")
+                            addFilter(ff.notIn("parent", "com.arsdigita.navigation.getParentIDsOfMatchedItems").set("language", com.arsdigita.globalization.GlobalizationHelper.getNegotiatedLocale().getLanguage())));
-                                .set("language", com.arsdigita.globalization.GlobalizationHelper.getNegotiatedLocale().getLanguage())));
                 objects.addFilter(filter);
             } else {
                 objects.addEqualsFilter("language", com.arsdigita.globalization.GlobalizationHelper.getNegotiatedLocale().getLanguage());

ccm-navigation/src/com/arsdigita/navigation/ui/object/ComplexObjectList.java

@@ -3,10 +3,13 @@
  *
  * Autor: Sören Bernstein
  *
- * Diese Klasse realisiert eine ObjectList für Navigation, der man Filterbefehle für die SQL-Abfrage mitgeben kann. Auf
+ * Diese Klasse realisiert eine ObjectList für Navigation,
- * diese Weise lassen sich Objekte listen, die bestimmte Kriterien erfüllen.
+ * der man Filterbefehle für die SQL-Abfrage mitgeben kann.
+ * Auf diese Weise lassen sich Objekte listen, die bestimmte
+ * Kriterien erfüllen.
  *
- * Angelegt wurde Sie für die Auflistung der aktuellen News und Veranstalungen auf einer Navigationsseite.
+ * Angelegt wurde Sie für die Auflistung der aktuellen News
+ * und Veranstalungen auf einer Navigationsseite.
  */
 package com.arsdigita.navigation.ui.object;
 
@@ -47,9 +50,10 @@ public class ComplexObjectList extends AbstractObjectList {
     }
 
     /**
-     * Hinzufügen eines SQL-Filter zur Abfrage Verarbeitet einen boolschen Filter, der SQL-konform Formatiert ist. Siehe
+     * Hinzufügen eines SQL-Filter zur Abfrage
-     * PostgreSQL-Handbuch zur where-Klausel
+     * Verarbeitet einen boolschen Filter, der SQL-konform Formatiert ist.
-     *
+     * Siehe PostgreSQL-Handbuch zur where-Klausel
+(??)
      * @param sqlfilter
      */
     public void setSQLFilter(String sqlfilter) {
@@ -73,13 +77,16 @@ public class ComplexObjectList extends AbstractObjectList {
     }
 
     /*
-     * Diese Methode überschreibt die Methode aus der Eltern-Klasse, um die SQL-Filter berücksichtigen zu können
+     * die SQL-Filter berücksichtigen zu können
      */
     @Override
     protected DataCollection getObjects(HttpServletRequest request,
             HttpServletResponse response) {
         DataCollection objects = super.getObjects(request, response);
 
+        // Don't try do anything with a null object
+        if (objects != null) {
+
             // Setze den Filter
             if (m_filter != null) {
 
@@ -102,13 +109,11 @@ public class ComplexObjectList extends AbstractObjectList {
                 objects.addFilter(sql);
 
             }
-
+        }
         return objects;
     }
 
-    /*
+    /* Diese Methode wird vom Servlet aufgerufen */
-     * Diese Methode wird vom Servlet aufgerufen
-     */
     public Element generateXML(HttpServletRequest request,
                                HttpServletResponse response) {
         Element content = Navigation.newElement("complexObjectList");