Запрос DELETE для организаций не требует токена авторизации

Question

Я заметил, что когда вы собираетесь удалить организацию, в документе предлагается следующий запрос (подраздел УДАЛИТЬ ОРГАНИЗАЦИЮ внутри ОРГАНИЗАЦИИ CRUD ACTIONS):

curl -iX DELETE \
  'http://localhost:3005/v1/organizations/{{organization-id}}' \
  -H 'Content-Type: application/json' \

Что не включает X-Auth-token как часть шапки.

Может ли это привести к проблеме безопасности (разрешить кому угодно удалить любую организацию)?

Answer 1

Команда на удаление организации в указанном документе не завершена.

curl -iX DELETE \
  'http://localhost:3005/v1/organizations/{{organization-id}}' \
  -H 'Content-Type: application/json' \

то X-Auth-Token в вышеупомянутой команде отсутствует, без X-Auth-Token невозможно удалить организацию или выполнить какие-либо другие операции.

Команда без X-Auth-Token будет следующий ответ:

{
    "error": {
        "message": "Expecting to find X-Auth-token in requests",
        "code": 400,
        "title": "Bad Request"
    }
}

Правильная команда будет иметь в заголовке X-Auth-Token:

curl -iX DELETE \
      'http://localhost:3005/v1/organizations/{{organization-id}}' \
      -H 'Content-Type: application/json' \
      -H 'X-Auth-Token: {{X-Auth-Token}}

указанная выше команда (с X-Auth-Token) будет ответ со статусом Http HTTP/1.1 204 No Content

Скриншот: