Salesforce用戶對象安全漏洞

Question

我正在爲Salesforce中的客戶實施一項涉及設置合作伙伴模塊的實施。我們無法根據配置文件在用戶對象標準字段上設置訪問權限，並且使用合作伙伴登錄信息，您可以從Dataloader或Apex Explorer訪問所有用戶信息，這看起來像Salesforce中的安全漏洞。

有沒有人遇到過這個問題或有解決方法？

Answer 1

如果我正確地理解了您的話，您的擔心是您可以使用客戶提供的登錄信息訪問所有用戶記錄。

我同意這是一個安全問題，但我不認爲這與Salesforce特有的安全實踐一樣多。如果用戶憑證不需要通過數據加載器或Apex Explorer訪問信息，則應從配置文件中刪除「API已啓用」權限。如果證書只有API訪問權限，他們應該打開配置文件上的「API Only用戶」權限。

問題在於他們需要將「不可信」用戶限制爲他們所需的權限和訪問級別。我發現配置文件許可能夠滿足我所有的安全需求。