Repository navigation
Самовыдача роли через форму ресурса (в ResourceFormController нет RBAC) #89
Description
Приоритет: критический, дыра безопасности.
Что
В ResourceFormController нет setupRbac вообще: любой USER, знающий путь /fxml/ResourceForm.fxml, может создать или изменить ресурс, в том числе создать пользователя с Role.ADMIN через связанный флоу. Единственный барьер сейчас — серверный 403, клиент его показывает через errorLabel лишь частично.
Решение на усмотрение
Клиентский гард по роли (ADMIN||MODER) + показ серверного 403 без навигации.
Найдено мозгоштурмом RBAC (два независимых субагента).
Part of #29
Activity
fix(навигация): гард ролей в Navigator.goTo закрывает прямой обход (#89)