Etapes pour reproduire le bug

Oct 13, 2025 by talynt.org 38 views

[BUG] Les rôles/autorisation ne se mettent pas à jour en temps réel et restent en session

Description du bug

Lorsqu'un utilisateur change de rôle (par lui-même ou un autre utilisateur), il garde ses anciens droits tant qu'il ne s'est pas reconnecté. Dans certains cas, un rafraîchissement de page peut suffire (par exemple, passer d'Admin à Default). Ce bug peut avoir des conséquences importantes sur la sécurité et la gestion des droits des utilisateurs.

Problèmes liés à ce bug

Ce bug peut entraîner plusieurs problèmes, notamment :

Les utilisateurs peuvent accéder à des fonctionnalités ou des données qu'ils ne devraient pas avoir accès.
Les administrateurs peuvent avoir des difficultés à gérer les droits des utilisateurs en temps réel.
Les utilisateurs peuvent être surpris par des changements de droits sans en être informés.

Etapes pour reproduire le bug

Voici deux exemples de cas de figure qui peuvent reproduire ce bug :

Exemple 1 : Changement de rôle par un autre utilisateur

Ouvrez deux sessions en même temps (une en navigateur privé, par exemple).
Première session : En tant qu'administrateur, allez dans la modification des équipes.
Deuxième session (super administrateur/admin) : En parallèle, retirez les droits d'administrateur à la première session.
La première session peut continuer d'utiliser ses droits tant qu'elle n'a pas rafraîchi la page et dans certains cas tant qu'il n'est pas déconnecté.

Exemple 2 : Changement de rôle par l'utilisateur lui-même

Ouvrez deux sessions en même temps (une en navigateur privé, par exemple).
Première session : En tant que membre (default), allez dans la modification des équipes.
Deuxième session (super administrateur/admin) : En parallèle, donnez le droit d'administrateur à la première session.
La première session peut continuer d'utiliser ses droits tant qu'elle n'a pas rafraîchi la page et dans certains cas tant qu'il n'est pas déconnecté.

Comportement attendu

Afin de résoudre ce bug, nous attendons vos retours pour mettre à jour le ticket. Nous avons déjà discuté de ce problème avec @fortinlouis et voici ses suggestions :

1. Utilisation de Websocket

Cependant, cette solution n'est pas idéale avec Next.js.

2. Checker régulier

Nous pouvons checker régulièrement si le rôle de la session correspond à la base de données. Si ce n'est pas le cas, nous pouvons mettre à jour les droits de l'utilisateur.

3. Avertissement à l'utilisateur

Nous pouvons également tenir informé l'utilisateur que la personne dont le rôle a été changé doit se déconnecter.

Autres solutions possibles

Il est possible de rajouter ou de modifier le check des droits en récupérant l'utilisateur en base de données plutôt que de prendre celui de la session. Cependant, nous ne savons pas encore ce que cela vaut.

Conclusion

Ce bug peut avoir des conséquences importantes sur la sécurité et la gestion des droits des utilisateurs. Nous attendons vos retours pour mettre à jour le ticket et résoudre ce problème.
[BUG] Les rôles/autorisation ne se mettent pas à jour en temps réel et restent en session - Q&A

Q: Qu'est-ce que ce bug et comment se produit-il ?

A: Ce bug se produit lorsque l'utilisateur change de rôle (par lui-même ou par un autre utilisateur) et que les droits ne sont pas mis à jour en temps réel. Les droits de l'utilisateur restent les mêmes que ceux qu'il avait avant le changement de rôle.

Q: Quels sont les problèmes liés à ce bug ?

A: Ce bug peut entraîner plusieurs problèmes, notamment :

Les utilisateurs peuvent accéder à des fonctionnalités ou des données qu'ils ne devraient pas avoir accès.
Les administrateurs peuvent avoir des difficultés à gérer les droits des utilisateurs en temps réel.
Les utilisateurs peuvent être surpris par des changements de droits sans en être informés.

Q: Comment reproduire ce bug ?

A: Voici deux exemples de cas de figure qui peuvent reproduire ce bug :

Exemple 1 : Changement de rôle par un autre utilisateur

Ouvrez deux sessions en même temps (une en navigateur privé, par exemple).
Première session : En tant qu'administrateur, allez dans la modification des équipes.
Deuxième session (super administrateur/admin) : En parallèle, retirez les droits d'administrateur à la première session.
La première session peut continuer d'utiliser ses droits tant qu'elle n'a pas rafraîchi la page et dans certains cas tant qu'il n'est pas déconnecté.

Exemple 2 : Changement de rôle par l'utilisateur lui-même

Ouvrez deux sessions en même temps (une en navigateur privé, par exemple).
Première session : En tant que membre (default), allez dans la modification des équipes.
Deuxième session (super administrateur/admin) : En parallèle, donnez le droit d'administrateur à la première session.
La première session peut continuer d'utiliser ses droits tant qu'elle n'a pas rafraîchi la page et dans certains cas tant qu'il n'est pas déconnecté.

Q: Quels sont les comportements attendus pour résoudre ce bug ?

A: Nous attendons vos retours pour mettre à jour le ticket et résoudre ce problème. Nous avons déjà discuté de ce problème avec @fortinlouis et voici ses suggestions :

1. Utilisation de Websocket

Cependant, cette solution n'est pas idéale avec Next.js.

2. Checker régulier

Nous pouvons checker régulièrement si le rôle de la session correspond à la base de données. Si ce n'est pas le cas, nous pouvons mettre à jour les droits de l'utilisateur.

3. Avertissement à l'utilisateur

Nous pouvons également tenir informé l'utilisateur que la personne dont le rôle a été changé doit se déconnecter.

Q: Quels sont les autres solutions possibles pour résoudre ce bug ?

A: Il est possible de rajouter ou de modifier le check des droits en récupérant l'utilisateur en base de données plutôt que de prendre celui de la session. Cependant, nous ne savons pas encore ce que cela vaut.

Q: Qu'est-ce que je peux faire pour aider à résoudre ce bug ?

A: Vous pouvez nous aider à résoudre ce bug en nous fournissant des informations supplémentaires sur le problème, en testant les solutions proposées et en nous signalant tout problème que vous rencontrez.