组织的 DELETE 请求不需要授权令牌

Question

我注意到当您要删除组织时，docu is this one（DELETE AN ORGANIZATION 小节在 ORGANIZATION CRUD ACTIONS 中提出了建议请求):

curl -iX DELETE \
  'http://localhost:3005/v1/organizations/{{organization-id}}' \
  -H 'Content-Type: application/json' \

其中不包括 X-Auth-token 作为 header 的一部分。

这会导致安全问题（允许任何人删除任何组织）吗？

Answer 1

用于删除引用的 document 中的组织的命令不完整。

curl -iX DELETE \
  'http://localhost:3005/v1/organizations/{{organization-id}}' \
  -H 'Content-Type: application/json' \

缺少上述命令中的X-Auth-Token，没有X-Auth-Token将无法删除组织或执行任何其他操作。

不带 X-Auth-Token 的命令将有以下响应：

{
    "error": {
        "message": "Expecting to find X-Auth-token in requests",
        "code": 400,
        "title": "Bad Request"
    }
}

正确的命令在 header 中会有 X-Auth-Token:

curl -iX DELETE \
      'http://localhost:3005/v1/organizations/{{organization-id}}' \
      -H 'Content-Type: application/json' \
      -H 'X-Auth-Token: {{X-Auth-Token}}

以上命令（使用 X-Auth-Token）将以 Http Status HTTP/1.1 204 No Content

响应

截图：

组织的 DELETE 请求不需要授权令牌

DELETE request for organizations does not require auth token

fiware

fiware-keyrock