Odoo15 安全，我可以看到不可见的字段或组

Question

我有一个关于 Odoo 安全的问题。

屁股你可以看到，下图中没有按钮。 因为按钮不可见取决于属性。

例如这段代码：

attrs="{'invisible': [('purchase_approve_admin', ',=', 'neutral')]}"

但是我可以从源代码中更改这个 state。

像这样：

我可以从这里控制 odoo 表单的属性。

所以按钮是可见的。

最终的：

问题是，我怎样才能防止这个问题？

Answer 1

创建一个单独的组，如“ group_approve_ceo ”，并将其分配给您的字段、按钮或菜单。 仅将此组分配给应有权访问的 CEO 或用户

<button name="compute_purchase_approve_ceo"   type="object" class="btn btn-primary" groups="model_name.group_approve_ceo"/>