From 88c8b132083199d0b352689c0213b33e5ad97c75 Mon Sep 17 00:00:00 2001
From: ma0068 <ma0068@technikum-wien.at>
Date: Tue, 18 Apr 2023 08:10:42 +0200
Subject: [PATCH 1/5] =?UTF-8?q?Anzeige=20Urlaubsverwaltung=20Vilesci=20aus?=
 =?UTF-8?q?schlie=C3=9Flich=20f=C3=BCr=20user=20mit=20Oes=20mit=20Leitungs?=
 =?UTF-8?q?funktionen?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 vilesci/personen/urlaubsverwaltung.php | 59 +++++++++++++++++++-------
 1 file changed, 43 insertions(+), 16 deletions(-)

diff --git a/vilesci/personen/urlaubsverwaltung.php b/vilesci/personen/urlaubsverwaltung.php
index f631aa081..32a9ef758 100644
--- a/vilesci/personen/urlaubsverwaltung.php
+++ b/vilesci/personen/urlaubsverwaltung.php
@@ -33,6 +33,7 @@ require_once('../../include/mitarbeiter.class.php');
 require_once('../../include/datum.class.php');
 require_once('../../include/benutzerberechtigung.class.php');
 require_once('../../include/addon.class.php');
+require_once('../../include/benutzerfunktion.class.php');
 
 if (!$db = new basis_db())
 	die('Es konnte keine Verbindung zum Server aufgebaut werden.');
@@ -132,7 +133,7 @@ echo '	<script type="text/javascript" src="../../include/js/jquery.ui.datepicker
 
 //Rechte Pruefen
 $rechte = new benutzerberechtigung();
-$rechte->getBerechtigungen($user);
+$rechte->getBerechtigungen($user, true);
 
 if(!$rechte->isBerechtigt('mitarbeiter/zeitsperre', null, 'suid'))
 	die('Sie haben keine Berechtigung für diese Seite');
@@ -144,6 +145,16 @@ echo 'Zeitsperren der UID <INPUT type="hidden" id="uid" name="uid" value="uid">
 echo '<input type="submit" name="submit" value="Anzeigen">';
 echo '</form>';
 
+//OEs mit Leitungsfunktion User laden
+$bf = new benutzerfunktion();
+$oes = $bf->getBenutzerFunktionByUid($user, 'Leitung');
+
+$leitungInOes = array();
+foreach ($bf->result as $oe)
+{
+	$leitungInOes[] = $oe->oe_kurzbz;
+}
+
 //Loeschen von Zeitsperren
 if($action=='delete')
 {
@@ -242,8 +253,23 @@ if($errormsg!='')
 if($message!='')
 	echo "<br><div class='insertok'>$message</div><br>";
 
+//Check, if user Leitungsfunktion für die OE des gewünschten uid besitzt
+$ber = false;
+$bf = new benutzerfunktion();
+$bf->getBenutzerFunktionByUid($uid);
+foreach ($bf->result as $oe)
+{
+	if(in_array($oe->oe_kurzbz, $leitungInOes))
+	{
+		$ber = true;
+	}
+}
+
+if($uid!='' && !$ber)
+	echo( "Keine Berechtigungen, um Abwesenheiten von " . $uid . " zu bearbeiten!");
+
 //Zeitsperren des Mitarbeiters anzeigen
-if($uid!='')
+if($uid!='' && $ber)
 {
 	$mitarbeiter = new mitarbeiter();
 	if(!$mitarbeiter->load($uid))
@@ -265,19 +291,19 @@ if($uid!='')
 			<th>Bis</th>
 			<th>Vertretung</th>';
 
-if($addoncasetime)
-{
-	echo '<th>Status Monatsliste</th>';
-}
+	if($addoncasetime)
+	{
+		echo '<th>Status Monatsliste</th>';
+	}
 
-echo'
-<th>Freigegeben von, am</th>
-			<th>Aktualisiert am</th>
-			<th>Aktualisiert von</th>
-			<th>Edit</th>
-			<th>Copy</th>
-			<th>Delete</th>
-		</tr>
+	echo'
+	<th>Freigegeben von, am</th>
+	<th>Aktualisiert am</th>
+	<th>Aktualisiert von</th>
+	<th>Edit</th>
+	<th>Copy</th>
+	<th>Delete</th>
+	</tr>
 	</thead>
 	<tbody>';
 	foreach ($zeitsperre->result as $row)
@@ -296,9 +322,9 @@ echo'
 			checkStatusMonatsliste($uid,$row->vondatum, $row->bisdatum) == '' ? $mlAbgeschickt = false : $mlAbgeschickt = true;
 
 			if($mlAbgeschickt)
-				echo "abgeschickt";
+			echo "abgeschickt";
 			else
-				echo "nicht abgeschickt";
+			echo "nicht abgeschickt";
 
 			echo '</td>';
 		}
@@ -322,6 +348,7 @@ echo'
 
 
 		echo '</tr>';
+
 	}
 	echo '</tbody></table>';
 

From 5bdfd447ac83d8af5fd2fed90d655e5fe3739da5 Mon Sep 17 00:00:00 2001
From: ma0068 <ma0068@technikum-wien.at>
Date: Wed, 26 Apr 2023 16:17:23 +0200
Subject: [PATCH 2/5] =?UTF-8?q?Berechtigungspruefung=20mittels=20mitarbeit?=
 =?UTF-8?q?er/zeitsperre:begrenzt,=20Update=20Berechtigung=20f=C3=BCr=20An?=
 =?UTF-8?q?zeige=20in=20Vilesci-Menue,=20Einbau=20Redirect?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 include/tw/vilesci_menu_main.inc.php   |  4 +-
 vilesci/personen/urlaubsverwaltung.php | 52 +++++++++++---------------
 2 files changed, 23 insertions(+), 33 deletions(-)

diff --git a/include/tw/vilesci_menu_main.inc.php b/include/tw/vilesci_menu_main.inc.php
index 204feeec3..834183c2c 100644
--- a/include/tw/vilesci_menu_main.inc.php
+++ b/include/tw/vilesci_menu_main.inc.php
@@ -53,7 +53,7 @@ $menu=array
 		(
 			'name'=>'Mitarbeiter','permissions'=>array('admin','lv-plan','support'),
 			'Übersicht'=>array('name'=>'Zeitwünsche', 'link'=>'personen/lektor_uebersicht.php', 'target'=>'main','permissions'=>array('mitarbeiter')),
-			'Zeitsperren'=>array('name'=>'Zeitsperren', 'link'=>'personen/urlaubsverwaltung.php', 'target'=>'main','permissions'=>array('mitarbeiter/zeitsperre')),
+			'Zeitsperren'=>array('name'=>'Zeitsperren', 'link'=>'personen/urlaubsverwaltung.php', 'target'=>'main','permissions'=>array('mitarbeiter/zeitsperre:begrenzt')),
 		),
 
 		'Vorrueckung'=>	array
@@ -119,7 +119,7 @@ $menu=array
 		(
 			'name'=>'Mitarbeiter','permissions'=>array('admin','mitarbeiter','support'),
 			'Übersicht'=>array('name'=>'Übersicht', 'link'=>'personen/lektor_uebersicht.php', 'target'=>'main'),
-			'Zeitsperren'=>array('name'=>'Zeitsperren/Urlaub', 'link'=>'personen/urlaubsverwaltung.php', 'target'=>'main','permissions'=>array('mitarbeiter/zeitsperre')),
+			'Zeitsperren'=>array('name'=>'Zeitsperren/Urlaub', 'link'=>'personen/urlaubsverwaltung.php', 'target'=>'main','permissions'=>array('mitarbeiter/zeitsperre:begrenzt')),
 		),
 		'Betriebsmittel'=>array('name'=>'Betriebsmittel', 'link'=>'stammdaten/betriebsmittel_frameset.php', 'target'=>'main','permissions'=>array('basis/betriebsmittel')),
 		'AnwesenheitslistenBarcode'=>array('name'=>'Anwesenheitslisten mit Barcodes', 'link'=>'personen/anwesenheitslisten_barcode.php', 'target'=>'main','permissions'=>array('basis/person')),
diff --git a/vilesci/personen/urlaubsverwaltung.php b/vilesci/personen/urlaubsverwaltung.php
index 32a9ef758..9475f4159 100644
--- a/vilesci/personen/urlaubsverwaltung.php
+++ b/vilesci/personen/urlaubsverwaltung.php
@@ -131,34 +131,38 @@ echo '	<script type="text/javascript" src="../../include/js/jquery.ui.datepicker
 	<h2>Zeitsperren (Urlaube) der MitarbeiterInnen</h2>
 	';
 
+
+$redirect = basename($_SERVER['REQUEST_URI'], '?' . $_SERVER['QUERY_STRING']);
+
 //Rechte Pruefen
 $rechte = new benutzerberechtigung();
-$rechte->getBerechtigungen($user, true);
+$rechte->getBerechtigungen($user);
+$berechtigt = false;
 
-if(!$rechte->isBerechtigt('mitarbeiter/zeitsperre', null, 'suid'))
-	die('Sie haben keine Berechtigung für diese Seite');
+$bf = new benutzerfunktion();
+$bf->getBenutzerFunktionByUid($uid);
+foreach ($bf->result as $oe)
+{
+	if($oe->funktion_kurzbz == "oezuordnung")
+		if($rechte->isBerechtigt('mitarbeiter/zeitsperre:begrenzt', $oe->oe_kurzbz, 'suid'))
+			$berechtigt = true;
+}
+
+if($uid && !$berechtigt && $uid != $user)
+	die("Sie haben keine Berechtigung um Mitarbeiter*in " . $uid . " zu bearbeiten!<br><br> <a href='$redirect'>Zurück</a>");
 
 //Formular zur Eingabe der UID
-echo '<form  accept-charset="UTF-8" action="'.$_SERVER['PHP_SELF'].'" mehtod="GET">';
+echo '<form  accept-charset="UTF-8" action="'.$_SERVER['PHP_SELF'].'" method="GET">';
 echo 'Zeitsperren der UID <INPUT type="hidden" id="uid" name="uid" value="uid">
 		<input type="text" id="ma_name" name="uid" value="'.$uid.'">';
 echo '<input type="submit" name="submit" value="Anzeigen">';
 echo '</form>';
 
-//OEs mit Leitungsfunktion User laden
-$bf = new benutzerfunktion();
-$oes = $bf->getBenutzerFunktionByUid($user, 'Leitung');
-
-$leitungInOes = array();
-foreach ($bf->result as $oe)
-{
-	$leitungInOes[] = $oe->oe_kurzbz;
-}
 
 //Loeschen von Zeitsperren
 if($action=='delete')
 {
-	if(!$rechte->isBerechtigt('mitarbeiter/zeitsperre', null, 'suid'))
+	if(!$berechtigt)
 		die('Sie haben keine Berechtigung für diese Aktion');
 
 	if($zeitsperre_id!='' && is_numeric($zeitsperre_id))
@@ -176,7 +180,7 @@ if($action=='delete')
 //Kopieren einer Zeitsperre
 if($action=='copy')
 {
-	if(!$rechte->isBerechtigt('mitarbeiter/zeitsperre', null, 'suid'))
+	if(!$berechtigt)
 		die('Sie haben keine Berechtigung für diese Aktion');
 
 	if($zeitsperre_id!='' && is_numeric($zeitsperre_id))
@@ -199,7 +203,7 @@ if($action=='copy')
 
 if(isset($_POST['save']))
 {
-	if(!$rechte->isBerechtigt('mitarbeiter/zeitsperre', null, 'suid'))
+	if(!$berechtigt)
 		die('Sie haben keine Berechtigung für diese Aktion');
 
 	//Speichern der Daten
@@ -253,23 +257,9 @@ if($errormsg!='')
 if($message!='')
 	echo "<br><div class='insertok'>$message</div><br>";
 
-//Check, if user Leitungsfunktion für die OE des gewünschten uid besitzt
-$ber = false;
-$bf = new benutzerfunktion();
-$bf->getBenutzerFunktionByUid($uid);
-foreach ($bf->result as $oe)
-{
-	if(in_array($oe->oe_kurzbz, $leitungInOes))
-	{
-		$ber = true;
-	}
-}
-
-if($uid!='' && !$ber)
-	echo( "Keine Berechtigungen, um Abwesenheiten von " . $uid . " zu bearbeiten!");
 
 //Zeitsperren des Mitarbeiters anzeigen
-if($uid!='' && $ber)
+if($uid!='')
 {
 	$mitarbeiter = new mitarbeiter();
 	if(!$mitarbeiter->load($uid))

From f2479c6f36478ea17499047ea34dcc35867ab592 Mon Sep 17 00:00:00 2001
From: ma0068 <ma0068@technikum-wien.at>
Date: Fri, 28 Apr 2023 08:05:30 +0200
Subject: [PATCH 3/5] =?UTF-8?q?dbupdate=20f=C3=BCr=20neue=20Zeitsperre?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 ...vilesci_erfassung_abwesenheiten_reinigung.php | 16 ++++++++++++++++
 1 file changed, 16 insertions(+)
 create mode 100644 system/dbupdate_3.4/27107_vilesci_erfassung_abwesenheiten_reinigung.php

diff --git a/system/dbupdate_3.4/27107_vilesci_erfassung_abwesenheiten_reinigung.php b/system/dbupdate_3.4/27107_vilesci_erfassung_abwesenheiten_reinigung.php
new file mode 100644
index 000000000..a0d71b753
--- /dev/null
+++ b/system/dbupdate_3.4/27107_vilesci_erfassung_abwesenheiten_reinigung.php
@@ -0,0 +1,16 @@
+<?php
+if (! defined('DB_NAME')) exit('No direct script access allowed');
+
+// system.tbl_berechtigung: add berechtigung mitarbeiter/zeitsperre:begrenzt
+if($result = $db->db_query("SELECT 1 FROM system.tbl_berechtigung WHERE berechtigung_kurzbz='mitarbeiter/zeitsperre:begrenzt'"))
+{
+	if($db->db_num_rows($result)==0)
+	{
+	$qry = "INSERT INTO system.tbl_berechtigung(berechtigung_kurzbz, beschreibung) VALUES('mitarbeiter/zeitsperre:begrenzt', 'Vilesci Verwaltung');";
+
+		if(!$db->db_query($qry))
+			echo '<strong>Berechtigung: '.$db->db_last_error().'</strong><br>';
+		else
+			echo '<br>Neue Berechtigung mitarbeiter/zeitsperre:begrenzt zu system.tbl_berechtigung hinzugefügt';
+	}
+}

From 58bae0953f1731379d5f900d27063924e4b666f2 Mon Sep 17 00:00:00 2001
From: ma0068 <ma0068@technikum-wien.at>
Date: Wed, 3 May 2023 07:57:48 +0200
Subject: [PATCH 4/5] dbupdate

---
 system/dbupdate_3.4.php | 1 +
 1 file changed, 1 insertion(+)

diff --git a/system/dbupdate_3.4.php b/system/dbupdate_3.4.php
index bc8152a90..efe5bee3b 100644
--- a/system/dbupdate_3.4.php
+++ b/system/dbupdate_3.4.php
@@ -32,6 +32,7 @@ require_once('dbupdate_3.4/26173_index_webservicelog.php');
 require_once('dbupdate_3.4/24682_reihungstest_zugangscode_fuer_login.php');
 require_once('dbupdate_3.4/17512_fehlercode_constraints.php');
 require_once('dbupdate_3.4/19154_beurteilungsformulare_pruefungssenat.php');
+require_once('dbupdate_3.4/27107_vilesci_erfassung_abwesenheiten_reinigung.php');
 
 // *** Pruefung und hinzufuegen der neuen Attribute und Tabellen
 echo '<H2>Pruefe Tabellen und Attribute!</H2>';

From 451a21e84e88ef701124fd9274221d54464c046c Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?Andreas=20=C3=96sterreicher?= <oesi@technikum-wien.at>
Date: Fri, 5 May 2023 16:57:22 +0200
Subject: [PATCH 5/5] =?UTF-8?q?Zugriffsberechtigungen=20korrigiert=20damit?=
 =?UTF-8?q?=20der=20Zugriff=20auf=20die=20eigenen=20Zeitsperren=20nicht=20?=
 =?UTF-8?q?m=C3=B6glich=20ist=20ohne=20Berechtigung?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 vilesci/personen/urlaubsverwaltung.php | 5 ++---
 1 file changed, 2 insertions(+), 3 deletions(-)

diff --git a/vilesci/personen/urlaubsverwaltung.php b/vilesci/personen/urlaubsverwaltung.php
index 9475f4159..274a04b94 100644
--- a/vilesci/personen/urlaubsverwaltung.php
+++ b/vilesci/personen/urlaubsverwaltung.php
@@ -148,9 +148,6 @@ foreach ($bf->result as $oe)
 			$berechtigt = true;
 }
 
-if($uid && !$berechtigt && $uid != $user)
-	die("Sie haben keine Berechtigung um Mitarbeiter*in " . $uid . " zu bearbeiten!<br><br> <a href='$redirect'>Zurück</a>");
-
 //Formular zur Eingabe der UID
 echo '<form  accept-charset="UTF-8" action="'.$_SERVER['PHP_SELF'].'" method="GET">';
 echo 'Zeitsperren der UID <INPUT type="hidden" id="uid" name="uid" value="uid">
@@ -158,6 +155,8 @@ echo 'Zeitsperren der UID <INPUT type="hidden" id="uid" name="uid" value="uid">
 echo '<input type="submit" name="submit" value="Anzeigen">';
 echo '</form>';
 
+if(!$berechtigt)
+	die("Sie haben keine Berechtigung um Mitarbeiter*in " . $uid . " zu bearbeiten!<br><br> <a href='$redirect'>Zurück</a>");
 
 //Loeschen von Zeitsperren
 if($action=='delete')