Dashboard-Kacheln: Endpunkte, Datenquellen und Berechtigungslücken
Einstellungsbildschirm und Inhalt der drei Dashboard-Erweiterungen, die AJAX-Endpunkte, die verwendeten Modelle und die Lücken bei Berechtigungs- und Inhaltsbereichsprüfung.
Die Kacheln sind Dashboard-Erweiterungen des Frameworks: Jede hat einen Einstellungsbildschirm (Breite, Status, Reihenfolge; gespeichert mit Basisrecht modify über das Einstellungsmodell) und ihren Inhalt.
Buchungssätze gesamt (dashboard/entry)
- AJAX:
supplierchart,chart,suppliertotalitems,suppliertotal,ledger. - Filter: Jahr (Standard 2025 fest im Code), Unternehmensgruppe (nach Inhaltsbereich), Firma (über den NAV-Zugang ermittelt), Lieferant (aus der Firmenliste).
- Daten: jährliches Lieferanten-Netto- und MwSt.-Diagramm aus dem Modell
finance/invoice, Lieferanten- und Hauptbuchübersicht aus dem Modellfinance/entry(getEntryDashboard,getLedgerDashboard);chartliefert auch die Bestell- und Kundenstatistik des Frameworks nach Tag, Woche, Monat. - Tabellen (mit Installationspräfix):
invoice,entry,company; die Berichtsmodelleorderundcustomerdes Frameworks.
Haben-Saldo (dashboard/credit)
Das eigene Konto des angemeldeten Benutzers (Saldo, Negativerlaubnis, Kreditrahmen, die 5 neuesten Kontingentzähler) aus getAccountByUser des Modells subscription/account; kein Parameter, kein anderes Konto abrufbar. Kein Berechtigungsschlüssel.
NAV-Antwortzeit (dashboard/checksite)
Tägliches Antwortzeitdiagramm der NAV-Online-Rechnungsseite aus der Tabelle site_status.
Berechtigungen
- Die fünf AJAX-Endpunkte verwenden
canAction(dashboard/entry, list); der Schlüssel ist in den Seeds nicht eingestuft. - Die Methode
dashboard()und die öffentlichen Diagramm- und Übersichtsmethoden prüfen keine Berechtigung; Firmen- und Lieferantenauswahl werden nicht nach Inhaltsbereich gefüllt. - Der Diagramm-Endpunkt von
dashboard/checksiteprüft keine Berechtigung; zudem gibt es zwei öffentliche Kopiermethoden ohne Prüfung.
Bekannte Einschränkungen
Das Standardjahr ist fest codiert; Firmen- und Lieferantenauswahl werden ohne Inhaltsbereich gefüllt; die öffentlichen Methoden ohne Berechtigungsprüfung sind ein Risiko.