home *** CD-ROM | disk | FTP | other *** search
/ Total Network Tools 2002 / NextStepPublishing-TotalNetworkTools2002-Win95.iso / Archive / Misc Servers / Zope.exe / BASEREQUEST.PY < prev    next >
Encoding:
Python Source  |  2000-11-01  |  19.3 KB  |  537 lines
  1. ##############################################################################
  2. # 
  3. # Zope Public License (ZPL) Version 1.0
  4. # -------------------------------------
  5. # 
  6. # Copyright (c) Digital Creations.  All rights reserved.
  7. # 
  8. # This license has been certified as Open Source(tm).
  9. # 
  10. # Redistribution and use in source and binary forms, with or without
  11. # modification, are permitted provided that the following conditions are
  12. # met:
  13. # 
  14. # 1. Redistributions in source code must retain the above copyright
  15. #    notice, this list of conditions, and the following disclaimer.
  16. # 
  17. # 2. Redistributions in binary form must reproduce the above copyright
  18. #    notice, this list of conditions, and the following disclaimer in
  19. #    the documentation and/or other materials provided with the
  20. #    distribution.
  21. # 
  22. # 3. Digital Creations requests that attribution be given to Zope
  23. #    in any manner possible. Zope includes a "Powered by Zope"
  24. #    button that is installed by default. While it is not a license
  25. #    violation to remove this button, it is requested that the
  26. #    attribution remain. A significant investment has been put
  27. #    into Zope, and this effort will continue if the Zope community
  28. #    continues to grow. This is one way to assure that growth.
  29. # 
  30. # 4. All advertising materials and documentation mentioning
  31. #    features derived from or use of this software must display
  32. #    the following acknowledgement:
  33. # 
  34. #      "This product includes software developed by Digital Creations
  35. #      for use in the Z Object Publishing Environment
  36. #      (http://www.zope.org/)."
  37. # 
  38. #    In the event that the product being advertised includes an
  39. #    intact Zope distribution (with copyright and license included)
  40. #    then this clause is waived.
  41. # 
  42. # 5. Names associated with Zope or Digital Creations must not be used to
  43. #    endorse or promote products derived from this software without
  44. #    prior written permission from Digital Creations.
  45. # 
  46. # 6. Modified redistributions of any form whatsoever must retain
  47. #    the following acknowledgment:
  48. # 
  49. #      "This product includes software developed by Digital Creations
  50. #      for use in the Z Object Publishing Environment
  51. #      (http://www.zope.org/)."
  52. # 
  53. #    Intact (re-)distributions of any official Zope release do not
  54. #    require an external acknowledgement.
  55. # 
  56. # 7. Modifications are encouraged but must be packaged separately as
  57. #    patches to official Zope releases.  Distributions that do not
  58. #    clearly separate the patches from the original work must be clearly
  59. #    labeled as unofficial distributions.  Modifications which do not
  60. #    carry the name Zope may be packaged in any form, as long as they
  61. #    conform to all of the clauses above.
  62. # 
  63. # 
  64. # Disclaimer
  65. # 
  66. #   THIS SOFTWARE IS PROVIDED BY DIGITAL CREATIONS ``AS IS'' AND ANY
  67. #   EXPRESSED OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
  68. #   IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR
  69. #   PURPOSE ARE DISCLAIMED.  IN NO EVENT SHALL DIGITAL CREATIONS OR ITS
  70. #   CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL,
  71. #   SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT
  72. #   LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF
  73. #   USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND
  74. #   ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY,
  75. #   OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT
  76. #   OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
  77. #   SUCH DAMAGE.
  78. # 
  79. # 
  80. # This software consists of contributions made by Digital Creations and
  81. # many individuals on behalf of Digital Creations.  Specific
  82. # attributions are listed in the accompanying credits file.
  83. # 
  84. ##############################################################################
  85. __version__='$Revision: 1.27.2.4 $'[11:-2]
  86.  
  87. from string import join, split, find, rfind, lower, upper
  88. from urllib import quote
  89.  
  90. UNSPECIFIED_ROLES=''
  91.  
  92. try:
  93.     from ExtensionClass import Base
  94.     class RequestContainer(Base):
  95.         __roles__=None
  96.         def __init__(self,**kw):
  97.             for k,v in kw.items(): self.__dict__[k]=v
  98.  
  99.         def manage_property_types(self):
  100.             return type_converters.keys()
  101.             
  102. except:
  103.     class RequestContainer:
  104.         __roles__=None
  105.         def __init__(self,**kw):
  106.             for k,v in kw.items(): self.__dict__[k]=v
  107.  
  108. _marker=[]
  109. class BaseRequest:
  110.     """Provide basic ZPublisher request management
  111.     
  112.     This object provides access to request data. Request data may
  113.     vary depending on the protocol used.
  114.  
  115.     Request objects are created by the object publisher and will be
  116.     passed to published objects through the argument name, REQUEST.
  117.  
  118.     The request object is a mapping object that represents a
  119.     collection of variable to value mappings.
  120.     """
  121.  
  122.     maybe_webdav_client = 1
  123.  
  124.     # While the following assignment is not strictly necessary, it
  125.     # prevents alot of unnecessary searches because, without it,
  126.     # acquisition of REQUEST is disallowed, which penalizes access
  127.     # in DTML with tags.
  128.     __roles__ = None
  129.     _file=None
  130.     common={} # Common request data
  131.     _auth=None
  132.     _held=()
  133.  
  134.     # Allow (reluctantly) access to unprotected attributes
  135.     __allow_access_to_unprotected_subobjects__=1
  136.         
  137.     def __init__(self, other=None, **kw):
  138.         """The constructor is not allowed to raise errors
  139.         """
  140.         if other is None: other=kw
  141.         else: other.update(kw)
  142.         self.other=other
  143.  
  144.     def close(self):
  145.         self.other.clear()
  146.         self._held=None
  147.  
  148.     def processInputs(self):
  149.         """Do any input processing that could raise errors
  150.         """
  151.  
  152.     def __len__(self):
  153.         return 1
  154.  
  155.     def __setitem__(self,key,value):
  156.         """Set application variables
  157.  
  158.         This method is used to set a variable in the requests "other"
  159.         category.
  160.         """
  161.         self.other[key]=value
  162.  
  163.     set=__setitem__
  164.  
  165.     def __getitem__(self,key,
  166.                     default=_marker, # Any special internal marker will do
  167.                     ):
  168.         """Get a variable value
  169.  
  170.         Return a value for the required variable name.
  171.         The value will be looked up from one of the request data
  172.         categories. The search order is environment variables,
  173.         other variables, form data, and then cookies. 
  174.         
  175.         """
  176.         if key=='REQUEST': return self
  177.  
  178.         v=self.other.get(key, _marker)
  179.         if v is not _marker: return v
  180.         v=self.common.get(key, default)
  181.         if v is not _marker: return v
  182.  
  183.         if key=='BODY' and self._file is not None:
  184.             p=self._file.tell()
  185.             self._file.seek(0)
  186.             v=self._file.read()
  187.             self._file.seek(p)
  188.             self.other[key]=v
  189.             return v
  190.  
  191.         if key=='BODYFILE' and self._file is not None:
  192.             v=self._file
  193.             self.other[key]=v
  194.             return v
  195.         
  196.         raise KeyError, key
  197.  
  198.     __getattr__=get=__getitem__
  199.  
  200.     def has_key(self,key):
  201.         return self.get(key, _marker) is not _marker
  202.  
  203.     def keys(self):
  204.         keys = {}
  205.         keys.update(self.common)
  206.         keys.update(self.other)
  207.         return keys.keys()
  208.  
  209.     def items(self):
  210.         result = []
  211.         get=self.get
  212.         for k in self.keys():
  213.             result.append((k, get(k)))
  214.         return result
  215.  
  216.     def values(self):
  217.         result = []
  218.         get=self.get
  219.         for k in self.keys():
  220.             result.append(get(k))
  221.         return result
  222.  
  223.     def __str__(self):
  224.         L1 = self.items()
  225.         L1.sort()
  226.         return join(map(lambda item: "%s:\t%s" % item, L1), "\n")
  227.  
  228.     __repr__=__str__
  229.  
  230.  
  231.     def traverse(self, path, response=None, validated_hook=None):
  232.         """Traverse the object space
  233.  
  234.         The REQUEST must already have a PARENTS item with at least one
  235.         object in it.  This is typically the root object.
  236.         """
  237.         request=self
  238.         request_get=request.get
  239.         if response is None: response=self.response
  240.         debug_mode=response.debug_mode
  241.  
  242.         # Cleanup the path list
  243.         if path[:1]=='/':  path=path[1:]
  244.         if path[-1:]=='/': path=path[:-1]
  245.         clean=[]
  246.         for item in split(path, '/'):
  247.             # Make sure that REQUEST cannot be traversed.
  248.             if item == 'REQUEST':
  249.                 return response.notFoundError(path)            
  250.             if not item or item=='.':
  251.                 continue
  252.             elif item == '..':
  253.                 del clean[-1]
  254.             else: clean.append(item)
  255.         path=clean
  256.     
  257.         # How did this request come in? (HTTP GET, PUT, POST, etc.)
  258.         method=req_method=upper(request_get('REQUEST_METHOD', 'GET'))
  259.         
  260.         no_acquire_flag=0
  261.  
  262.         # Set the default method
  263.         if method=='GET' or method=='POST':
  264.             method='index_html'
  265.         else:
  266.             if self.maybe_webdav_client:
  267.                 # Probably a WebDAV client.
  268.                 no_acquire_flag=1
  269.         URL=request['URL']
  270.         
  271.         parents=request['PARENTS']
  272.         object=parents[-1]
  273.         del parents[:]
  274.  
  275.         roles = getattr(object, '__roles__', UNSPECIFIED_ROLES)
  276.         
  277.         # if the top object has a __bobo_traverse__ method, then use it
  278.         # to possibly traverse to an alternate top-level object.
  279.         if hasattr(object,'__bobo_traverse__'):
  280.             try:
  281.                 object=object.__bobo_traverse__(request)
  282.                 roles =getattr(object, '__roles__', UNSPECIFIED_ROLES)
  283.             except: pass            
  284.  
  285.         if not path and not method:
  286.             return response.forbiddenError(self['URL'])
  287.  
  288.         # Traverse the URL to find the object:
  289.         if hasattr(object, '__of__'): 
  290.             # Try to bind the top-level object to the request
  291.             # This is how you get 'self.REQUEST'
  292.             object=object.__of__(RequestContainer(REQUEST=request))
  293.         parents.append(object)
  294.  
  295.         steps=self.steps
  296.         self._steps = _steps = map(quote, steps)
  297.         path.reverse()
  298.         pop = path.pop
  299.         request['TraversalRequestNameStack'] = request.path = path
  300.  
  301.         entry_name = ''
  302.         try:
  303.             # We build parents in the wrong order, so we
  304.             # need to make sure we reverse it when we're doe.
  305.             while 1:
  306.                 bpth = getattr(object, '__before_publishing_traverse__', None)
  307.                 if bpth is not None:
  308.                     bpth(object, self)
  309.                 # Check for method:
  310.                 if path:
  311.                     entry_name = pop()
  312.                 elif (method and hasattr(object,method)
  313.                       and entry_name != method
  314.                       and getattr(object, method) is not None):
  315.                     request._hacked_path=1
  316.                     entry_name = method
  317.                 else:
  318.                     if (hasattr(object, '__call__') and
  319.                         hasattr(object.__call__,'__roles__')):
  320.                         roles=object.__call__.__roles__
  321.                     if request._hacked_path:
  322.                         i=rfind(URL,'/')
  323.                         if i > 0: response.setBase(URL[:i])
  324.                     break
  325.                 if not entry_name: continue
  326.                 step = quote(entry_name)
  327.                 _steps.append(step)
  328.                 request['URL'] = URL = '%s/%s' % (request['URL'], step)
  329.                 got = 0
  330.                 if entry_name[:1]=='_':
  331.                     if debug_mode:
  332.                         return response.debugError(
  333.                           "Object name begins with an underscore at: %s" % URL)
  334.                     else: return response.forbiddenError(entry_name)
  335.     
  336.                 if hasattr(object,'__bobo_traverse__'):
  337.                     subobject=object.__bobo_traverse__(request,entry_name)
  338.                     if type(subobject) is type(()) and len(subobject) > 1:
  339.                         # Add additional parents into the path
  340.                         parents[-1:] = subobject[:-1]
  341.                         object, subobject = subobject[-2:]
  342.                 else:
  343.                     try:
  344.  
  345.                         # Note - no_acquire_flag is necessary to support
  346.                         # things like DAV.  We have to make sure
  347.                         # that the target object is not acquired
  348.                         # if the request_method is other than GET
  349.                         # or POST. Otherwise, you could never use
  350.                         # PUT to add a new object named 'test' if
  351.                         # an object 'test' existed above it in the
  352.                         # heirarchy -- you'd always get the
  353.                         # existing object :(
  354.                         
  355.                         if no_acquire_flag and hasattr(object, 'aq_base'):
  356.                             if hasattr(object.aq_base, entry_name):
  357.                                 subobject=getattr(object, entry_name)
  358.                             else: raise AttributeError, entry_name
  359.                         else: subobject=getattr(object, entry_name)
  360.                     except AttributeError:
  361.                         got=1
  362.                         try: subobject=object[entry_name]
  363.                         except (KeyError, IndexError,
  364.                                 TypeError, AttributeError):
  365.                             if debug_mode:
  366.                                 return response.debugError(
  367.                                     "Cannot locate object at: %s" % URL) 
  368.                             else:
  369.                                 return response.notFoundError(URL)
  370.     
  371.                 try:
  372.                     try: doc=subobject.__doc__
  373.                     except: doc=getattr(object, entry_name+'__doc__')
  374.                     if not doc: raise AttributeError, entry_name
  375.                 except:
  376.                     if debug_mode:
  377.                         return response.debugError(
  378.                             "Missing doc string at: %s" % URL)
  379.                     else: return response.notFoundError("%s" % URL)
  380.  
  381.                 r = getattr(subobject, '__roles__', UNSPECIFIED_ROLES)
  382.                 if r is not UNSPECIFIED_ROLES:
  383.                     roles = r
  384.                 elif not got:
  385.                     roles = getattr(subobject, entry_name+'__roles__', roles)
  386.  
  387.                 # Promote subobject to object
  388.                 object=subobject
  389.                 parents.append(object)
  390.  
  391.                 steps.append(entry_name)
  392.         finally:
  393.             parents.reverse()
  394.  
  395.         popped_last = 0
  396. #        parents.pop(0) # Get rid of final method object
  397.  
  398.         # Do authorization checks
  399.         user=groups=None
  400.         i=0
  401.         try:
  402.             if roles is not None:
  403.  
  404.                 last_parent_index=len(parents)
  405.                 if hasattr(object, '__allow_groups__'):
  406.                     groups=object.__allow_groups__
  407.                     inext=0
  408.                 else:
  409.                     inext=None
  410.                     for i in range(last_parent_index):
  411.                         if hasattr(parents[i],'__allow_groups__'):
  412.                             groups=parents[i].__allow_groups__
  413.                             inext=i+1
  414.                             break
  415.  
  416.                 if inext is not None:
  417.                     i=inext
  418.  
  419.                     if hasattr(groups, 'validate'): v=groups.validate
  420.                     else: v=old_validation
  421.  
  422.                     auth=request._auth
  423.  
  424.                     if v is old_validation and roles is UNSPECIFIED_ROLES:
  425.                         # No roles, so if we have a named group, get roles from
  426.                         # group keys
  427.                         if hasattr(groups,'keys'): roles=groups.keys()
  428.                         else:
  429.                             try: groups=groups()
  430.                             except: pass
  431.                             try: roles=groups.keys()
  432.                             except: pass
  433.  
  434.                         if groups is None:
  435.                             # Public group, hack structures to get it to validate
  436.                             roles=None
  437.                             auth=''
  438.  
  439.                     if v is old_validation:
  440.                         user=old_validation(groups, request, auth, roles)
  441.                     elif roles is UNSPECIFIED_ROLES: user=v(request, auth)
  442.                     else: user=v(request, auth, roles)
  443.  
  444.                     while user is None and i < last_parent_index:
  445.                         parent=parents[i]
  446.                         i=i+1
  447.                         if hasattr(parent, '__allow_groups__'): 
  448.                             groups=parent.__allow_groups__
  449.                         else: continue
  450.                         if hasattr(groups,'validate'): v=groups.validate
  451.                         else: v=old_validation
  452.                         if v is old_validation:
  453.                             user=old_validation(groups, request, auth, roles)
  454.                         elif roles is UNSPECIFIED_ROLES: user=v(request, auth)
  455.                         else: user=v(request, auth, roles)
  456.  
  457.                 if not popped_last:
  458.                     # Get rid of final method object
  459.                     parents.pop(0)
  460.                     popped_last=1
  461.  
  462.                 if user is None and roles != UNSPECIFIED_ROLES:
  463.                     response.unauthorized()
  464.  
  465.         finally:
  466.             # Get rid of final method object
  467.             if not popped_last:
  468.                 parents.pop(0)
  469.  
  470.         if user is not None:
  471.             if validated_hook is not None: validated_hook(self, user)
  472.             request['AUTHENTICATED_USER']=user
  473.             request['AUTHENTICATION_PATH']=join(steps[:-i],'/')
  474.  
  475.         # Remove http request method from the URL.
  476.         request['URL']=URL
  477.     
  478.         return object
  479.  
  480.     retry_count=0
  481.     def supports_retry(self): return 0
  482.  
  483.     def _hold(self, object):
  484.         """Hold a reference to an object to delay it's destruction until mine
  485.         """
  486.         self._held=self._held+(object,)
  487.  
  488.  
  489.  
  490.  
  491. def old_validation(groups, request, auth,
  492.                    roles=UNSPECIFIED_ROLES):
  493.  
  494.     if auth:
  495.         auth=request._authUserPW()
  496.         if auth: name,password = auth
  497.         elif roles is None: return ''
  498.         else: return None
  499.     elif request.environ.has_key('REMOTE_USER'):
  500.         name=request.environ['REMOTE_USER']
  501.         password=None
  502.     else:
  503.         if roles is None: return ''
  504.         return None
  505.  
  506.     if roles is None: return name
  507.  
  508.     keys=None
  509.     try:
  510.         keys=groups.keys
  511.     except:
  512.         try:
  513.             groups=groups() # Maybe it was a method defining a group
  514.             keys=groups.keys
  515.         except: pass
  516.  
  517.     if keys is not None:
  518.         # OK, we have a named group, so apply the roles to the named
  519.         # group.
  520.         if roles is UNSPECIFIED_ROLES: roles=keys()
  521.         g=[]
  522.         for role in roles:
  523.             if groups.has_key(role): g.append(groups[role])
  524.         groups=g
  525.  
  526.     for d in groups:
  527.         if d.has_key(name) and (d[name]==password or password is None):
  528.             return name
  529.  
  530.     if keys is None:
  531.         # Not a named group, so don't go further
  532.         raise 'Forbidden', (
  533.             """<strong>You are not authorized to access this resource""")
  534.  
  535.     return None
  536.  
  537.