Granting a permission to a user id with no account answers 500 instead of 404

Ouverte Adaptée aux débutants
  • Quelque chose ne va pas ?
#1,002 0 commentaires 0 réactions 0 personnes assignées Voir sur GitHub

Les mainteneurs répondent en général sous 1 jour

@amarkanday y travaille déjà.

Depuis le 6/11/2026.

  • #1790 par @amarkanday — ouverte

Évaluation

Difficulté
2/5
Temps estimé
Une demi-journée
Accessibilité débutants
76/100
Type d'issue
Bug
Clarté
Clairement spécifiée
Activité
Active
Stack technique
python
Domaine
api, backend

Piste de recherche

Commencez par le gestionnaire de la route d'attribution RBAC pour POST /api/v1/rbac/users/{user_id}/grant et par la recherche d'utilisateur utilisée par la route permissions sœur qui renvoie déjà 404. Ajoutez la recherche manquante avant l'insertion de l'attribution afin qu'un UUID inexistant renvoie 404 au lieu d'une erreur de base de données, et décidez s'il faut ignorer le user_id du corps ou rejeter une divergence avec l'ID présent dans le chemin. Exécutez les tests de l'API RBAC portant sur les attributions aux utilisateurs et les permissions afin de confirmer le nouveau 404 et le fait que les attributions existantes fonctionnent toujours.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Description

bug post-launch
  • Sent: POST /api/v1/rbac/users/{user_id}/grant with a valid body, where {user_id} is a well-formed UUID that
    belongs to no account.
  • Comes back: 500 with the generic error body. The grant is inserted without looking the user up, and the database
    refuses the row. Nothing is saved.
  • Expected: 404 "User not found", as GET /api/v1/rbac/users/{user_id}/permissions answers for the same id.
  • Also: the body's required user_id is not used (the path's id is); either drop it or refuse a body whose
    user_id differs from the path, as the counter routes do (#95).
  • Reproduction (ADMIN): 
    curl -X POST -H "Authorization: Bearer <ADMIN token>" -H 'Content-Type: application/json' \
     -d '{"user_id":"00000000-0000-0000-0000-000000000001","resource":"experiment","actions":["read"]}' \
     http://localhost:8000/api/v1/rbac/users/00000000-0000-0000-0000-000000000001/grant

Found by API fuzzing (a local run), reproduced by hand.

Langage dominant
Python
Étoiles
0
Forks
4
Merge moyen
6 h 5 min
PR mergées (30 j)
453

Préparer son environnement

Par où commencer

  1. Lisez l'issue en entier, puis le guide de contribution du projet.
  2. Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
  3. Forkez le dépôt et travaillez sur une branche.
  4. Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de Controlvar/controlvar

Toutes les issues de Controlvar/controlvar

Issues similaires

Plus d'issues Python

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.