Odoo 安全性，防止登录用户使用 jsonrpc 访问未受保护的表？

Question

无论在 XML 视图上做了什么，如果没有定义访问控制/记录规则，任何使用都可以通过一个简单的 JS 代码片段获取有关 Odoo 的任何信息：

(new window.openerp.web.Model('my.model')).query().all().then(f=>console.log(f))

• 可以做些什么来防止这种情况发生？
• 定义访问控制和记录规则是唯一的方法吗？
• 是否有任何机制可以阻止用户访问他无法通过当前操作/视图访问的任何内容？

Answer 1

实际上，访问控制和记录规则是可行的方法。整个安全都是关于他们的。因此，如果您对某些技术或业务模型没有这些规则，同时要求登录用户不能看到它们，那么您自己对这些模型的概念是错误的或没有经过深思熟虑。

您还可以定义非常严格的规则，同时使用管理员权限（sudo）绕过它们。这通常在计算字段中需要，计算字段依赖于“普通”用户不应该看到但计算所需的数据。