Vấn đề

Hiện tại, người dùng có quyền quản trị không thể chỉnh sửa các thực thể do người dùng hoặc tác nhân (agent) khác tạo ra.

Ví dụ thực tế: một công việc do tác nhân ChatGPT tạo ra có thể nhìn thấy được, nhưng người dùng quản trị lại không thể chỉnh sửa nó.

Điều này cản trở sự cộng tác bình thường giữa con người và tác nhân: tác nhân có thể tạo công việc, dự án và nhật ký công việc, nhưng chủ sở hữu/quản trị viên hệ thống sau đó không thể chỉnh sửa hoặc bổ sung các bản ghi này thông qua giao diện thông thường.

Cần làm gì

Thêm quyền quản trị để chỉnh sửa thực thể của người khác ít nhất cho:

• công việc (Task);
• dự án (Project);
• nhật ký công việc (TaskWorkLog).

Hành vi mong đợi

Nếu người dùng hiện tại có quyền quản trị (sudo/admin), họ phải có khả năng chỉnh sửa các thực thể được liệt kê bất kể ai đã tạo ra hoặc sở hữu chúng.

Đối với người dùng thông thường, các giới hạn quyền sở hữu hiện tại vẫn phải được duy trì.

Cần kiểm tra

• các guard / quy tắc ủy quyền phía máy chủ cho updateTask;
• các guard / quy tắc ủy quyền phía máy chủ cho updateProject;
• các guard / quy tắc ủy quyền phía máy chủ cho updateTaskWorkLog;
• các hạn chế trong UI có thể chặn việc mở biểu mẫu chỉnh sửa thực thể của người khác ngay cả khi backend cho phép;
• đảm bảo việc chỉnh sửa của quản trị viên không làm thay đổi ẩn chủ sở hữu/người được giao;
• đảm bảo quyền đọc và quyền sửa đổi được kiểm tra riêng biệt.

Tiêu chí hoàn thành

Quản trị viên có thể mở và lưu các thay đổi đối với công việc, dự án và nhật ký công việc do người dùng hoặc tác nhân khác tạo ra, trong khi người dùng thông thường vẫn không có quyền chỉnh sửa dữ liệu của người khác.