{"action":"opened","issue":{"url":"https://api.github.com/repos/latana/1DV450_ms223eq/issues/13","labels_url":"https://api.github.com/repos/latana/1DV450_ms223eq/issues/13/labels{/name}","comments_url":"https://api.github.com/repos/latana/1DV450_ms223eq/issues/13/comments","events_url":"https://api.github.com/repos/latana/1DV450_ms223eq/issues/13/events","html_url":"https://github.com/latana/1DV450_ms223eq/issues/13","id":59473938,"number":13,"title":"Userkey (jwt) kan vara felaktig och ändå använda unsafe-metoder","user":{"login":"hg222dt","id":5374529,"avatar_url":"https://avatars.githubusercontent.com/u/5374529?v=3","gravatar_id":"","url":"https://api.github.com/users/hg222dt","html_url":"https://github.com/hg222dt","followers_url":"https://api.github.com/users/hg222dt/followers","following_url":"https://api.github.com/users/hg222dt/following{/other_user}","gists_url":"https://api.github.com/users/hg222dt/gists{/gist_id}","starred_url":"https://api.github.com/users/hg222dt/starred{/owner}{/repo}","subscriptions_url":"https://api.github.com/users/hg222dt/subscriptions","organizations_url":"https://api.github.com/users/hg222dt/orgs","repos_url":"https://api.github.com/users/hg222dt/repos","events_url":"https://api.github.com/users/hg222dt/events{/privacy}","received_events_url":"https://api.github.com/users/hg222dt/received_events","type":"User","site_admin":false},"labels":[],"state":"open","locked":false,"assignee":null,"milestone":null,"comments":0,"created_at":"2015-03-02T12:17:05Z","updated_at":"2015-03-02T12:17:05Z","closed_at":null,"body":"Jag testade att försöka skapa poster med en felaktig userkey (jwt) och det gick hur bra som helst, vilket jag utifrån kraven tänker, inte är önskvärt. Jag såg dessutom att det fungerade likadant på alla unsafe-metoder. Dvs det går då att som vem som helst att ta bort och uppdatera vilka poster som helst i databasen. Då dessa metoder heller inte behöver någon api-nyckel från klienten, kan med andra ord vem som helst (även utan registrerad klient) utföra detta. \r\n\r\nSom jag förstår så fungerar din userkey idag till att registrera användaren på ett specifikt event som denne skapar, vilket ju är en del av dess funktion, och bra att det finns där!"}}