Odoo15 安全，我可以看到不可見的字段或組

Question

我有一個關於 Odoo 安全的問題。

屁股你可以看到，下圖中沒有按鈕。 因為按鈕不可見取決於屬性。

例如這段代碼：

attrs="{'invisible': [('purchase_approve_admin', ',=', 'neutral')]}"

但是我可以從源代碼中更改這個 state。

像這樣：

我可以從這里控制 odoo 表單的屬性。

所以按鈕是可見的。

最終的：

問題是，我怎樣才能防止這個問題？

Answer 1

創建一個單獨的組，如“ group_approve_ceo ”，並將其分配給您的字段、按鈕或菜單。 僅將此組分配給應有權訪問的 CEO 或用戶

<button name="compute_purchase_approve_ceo"   type="object" class="btn btn-primary" groups="model_name.group_approve_ceo"/>