Fix authentication security hole with external providers

James Moger

2014-03-18 b4a63aad7f56486c164a15ae2477bcd251b0bb1b

 src/test/java/com/gitblit/tests/PermissionsTest.java

@@ -17,7 +17,6 @@

import java.util.Date;

import org.junit.Assert;
import org.junit.Test;

import com.gitblit.Constants.AccessPermission;
@@ -33,7 +32,7 @@
 * @author James Moger
 *
 */
public class PermissionsTest extends Assert {
public class PermissionsTest extends GitblitUnitTest {

   /**
    * Admin access rights/permissions
@@ -2878,4 +2877,22 @@
      assertEquals("user has wrong permission!", AccessPermission.CLONE, user.getRepositoryPermission(repo).permission);
      assertEquals("team has wrong permission!", AccessPermission.CLONE, team.getRepositoryPermission(repo).permission);
   }

   @Test
   public void testIsMirror() throws Exception {
      RepositoryModel repo = new RepositoryModel("somerepo.git", null, null, new Date());
      repo.authorizationControl = AuthorizationControl.NAMED;
      repo.accessRestriction = AccessRestrictionType.NONE;

      UserModel user = new UserModel("test");
      TeamModel team = new TeamModel("team");

      assertEquals("user has wrong permission!", AccessPermission.REWIND, user.getRepositoryPermission(repo).permission);
      assertEquals("team has wrong permission!", AccessPermission.REWIND, team.getRepositoryPermission(repo).permission);

      // set repo to be a mirror, pushes prohibited
      repo.isMirror = true;
      assertEquals("user has wrong permission!", AccessPermission.CLONE, user.getRepositoryPermission(repo).permission);
      assertEquals("team has wrong permission!", AccessPermission.CLONE, team.getRepositoryPermission(repo).permission);
   }
}