]> git.mxchange.org Git - quix0rs-gnu-social.git/blob - actions/groupblock.php
XSS vulnerability when remote-subscribing
[quix0rs-gnu-social.git] / actions / groupblock.php
1 <?php
2 /**
3  * Block a user from a group action class.
4  *
5  * PHP version 5
6  *
7  * @category Action
8  * @package  StatusNet
9  * @author   Evan Prodromou <evan@status.net>
10  * @license  http://www.fsf.org/licensing/licenses/agpl.html AGPLv3
11  * @link     http://status.net/
12  *
13  * StatusNet - the distributed open-source microblogging tool
14  * Copyright (C) 2008, 2009, StatusNet, Inc.
15  *
16  * This program is free software: you can redistribute it and/or modify
17  * it under the terms of the GNU Affero General Public License as published by
18  * the Free Software Foundation, either version 3 of the License, or
19  * (at your option) any later version.
20  *
21  * This program is distributed in the hope that it will be useful,
22  * but WITHOUT ANY WARRANTY; without even the implied warranty of
23  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
24  * GNU Affero General Public License for more details.
25  *
26  * You should have received a copy of the GNU Affero General Public License
27  * along with this program.  If not, see <http://www.gnu.org/licenses/>.
28  */
29
30 if (!defined('STATUSNET') && !defined('LACONICA')) {
31     exit(1);
32 }
33
34 /**
35  * Block a user from a group
36  *
37  * @category Action
38  * @package  StatusNet
39  * @author   Evan Prodromou <evan@status.net>
40  * @license  http://www.fsf.org/licensing/licenses/agpl.html AGPLv3
41  * @link     http://status.net/
42  */
43 class GroupblockAction extends RedirectingAction
44 {
45     var $profile = null;
46     var $group = null;
47
48     /**
49      * Take arguments for running
50      *
51      * @param array $args $_REQUEST args
52      *
53      * @return boolean success flag
54      */
55     function prepare($args)
56     {
57         parent::prepare($args);
58         if (!common_logged_in()) {
59             // TRANS: Error message displayed when trying to perform an action that requires a logged in user.
60             $this->clientError(_('Not logged in.'));
61         }
62         $token = $this->trimmed('token');
63         if (empty($token) || $token != common_session_token()) {
64             // TRANS: Client error displayed when the session token does not match or is not given.
65             $this->clientError(_('There was a problem with your session token. Try again, please.'));
66         }
67         $id = $this->trimmed('blockto');
68         if (empty($id)) {
69             // TRANS: Client error displayed trying to block a user from a group while not specifying a to be blocked user profile.
70             $this->clientError(_('No profile specified.'));
71         }
72         $this->profile = Profile::getKV('id', $id);
73         if (empty($this->profile)) {
74             // TRANS: Client error displayed trying to block a user from a group while specifying a non-existing profile.
75             $this->clientError(_('No profile with that ID.'));
76         }
77         $group_id = $this->trimmed('blockgroup');
78         if (empty($group_id)) {
79             // TRANS: Client error displayed trying to block a user from a group while not specifying a group to block a profile from.
80             $this->clientError(_('No group specified.'));
81         }
82         $this->group = User_group::getKV('id', $group_id);
83         if (empty($this->group)) {
84             // TRANS: Client error displayed trying to block a user from a group while specifying a non-existing group.
85             $this->clientError(_('No such group.'));
86         }
87         $user = common_current_user();
88         if (!$user->isAdmin($this->group)) {
89             // TRANS: Client error displayed trying to block a user from a group while not being an admin user.
90             $this->clientError(_('Only an admin can block group members.'), 401);
91         }
92         if (Group_block::isBlocked($this->group, $this->profile)) {
93             // TRANS: Client error displayed trying to block a user from a group while user is already blocked from the given group.
94             $this->clientError(_('User is already blocked from group.'));
95         }
96         // XXX: could have proactive blocks, but we don't have UI for it.
97         if (!$this->profile->isMember($this->group)) {
98             // TRANS: Client error displayed trying to block a user from a group while user is not a member of given group.
99             $this->clientError(_('User is not a member of group.'));
100         }
101         return true;
102     }
103
104     /**
105      * Handle request
106      *
107      * Shows a page with list of favorite notices
108      *
109      * @param array $args $_REQUEST args; handled in prepare()
110      *
111      * @return void
112      */
113     function handle($args)
114     {
115         parent::handle($args);
116         if ($_SERVER['REQUEST_METHOD'] == 'POST') {
117             if ($this->arg('no')) {
118                 $this->returnToPrevious();
119             } elseif ($this->arg('yes')) {
120                 $this->blockProfile();
121             } elseif ($this->arg('blockto')) {
122                 $this->showPage();
123             }
124         }
125     }
126
127     function showContent() {
128         $this->areYouSureForm();
129     }
130
131     function title() {
132         // TRANS: Title for block user from group page.
133         return _('Block user from group');
134     }
135
136     function showNoticeForm() {
137         // nop
138     }
139
140     /**
141      * Confirm with user.
142      *
143      * Shows a confirmation form.
144      *
145      * @return void
146      */
147     function areYouSureForm()
148     {
149         $id = $this->profile->id;
150         $this->elementStart('form', array('id' => 'block-' . $id,
151                                            'method' => 'post',
152                                            'class' => 'form_settings form_entity_block',
153                                            'action' => common_local_url('groupblock')));
154         $this->elementStart('fieldset');
155         $this->hidden('token', common_session_token());
156         // TRANS: Fieldset legend for block user from group form.
157         $this->element('legend', _('Block user'));
158         $this->element('p', null,
159                        // TRANS: Explanatory text for block user from group form before setting the block.
160                        // TRANS: %1$s is that to be blocked user, %2$s is the group the user will be blocked from.
161                        sprintf(_('Are you sure you want to block user "%1$s" from the group "%2$s"? '.
162                                  'They will be removed from the group, unable to post, and '.
163                                  'unable to subscribe to the group in the future.'),
164                                $this->profile->getBestName(),
165                                $this->group->getBestName()));
166         $this->hidden('blockto-' . $this->profile->id,
167                       $this->profile->id,
168                       'blockto');
169         $this->hidden('blockgroup-' . $this->group->id,
170                       $this->group->id,
171                       'blockgroup');
172         foreach ($this->args as $k => $v) {
173             if (substr($k, 0, 9) == 'returnto-') {
174                 $this->hidden($k, $v);
175             }
176         }
177         $this->submit('form_action-no',
178                       // TRANS: Button label on the form to block a user from a group.
179                       _m('BUTTON','No'),
180                       'submit form_action-primary',
181                       'no',
182                       // TRANS: Submit button title for 'No' when blocking a user from a group.
183                       _('Do not block this user from this group.'));
184         $this->submit('form_action-yes',
185                       // TRANS: Button label on the form to block a user from a group.
186                       _m('BUTTON','Yes'),
187                       'submit form_action-secondary',
188                       'yes',
189                       // TRANS: Submit button title for 'Yes' when blocking a user from a group.
190                       _('Block this user from this group.'));
191         $this->elementEnd('fieldset');
192         $this->elementEnd('form');
193     }
194
195     /**
196      * Actually block a user.
197      *
198      * @return void
199      */
200     function blockProfile()
201     {
202         $block = Group_block::blockProfile($this->group, $this->profile,
203                                            common_current_user());
204
205         if (empty($block)) {
206             // TRANS: Server error displayed when trying to block a user from a group fails because of an application error.
207             $this->serverError(_("Database error blocking user from group."));
208         }
209
210         $this->returnToPrevious();
211     }
212
213     /**
214      * If we reached this form without returnto arguments, default to
215      * the top of the group's member list.
216      *
217      * @return string URL
218      */
219     function defaultReturnTo()
220     {
221         return common_local_url('groupmembers',
222                                 array('nickname' => $this->group->nickname));
223     }
224
225     function showScripts()
226     {
227         parent::showScripts();
228         $this->autofocus('form_action-yes');
229     }
230 }