app/controllers/user_controller.rb

   1 class UserController < ApplicationController
   2   layout 'site', :except => :api_details
   3
   4   before_filter :authorize, :only => [:api_details, :api_gpx_files]
   5   before_filter :authorize_web, :except => [:api_details, :api_gpx_files]
   6   before_filter :set_locale, :except => [:api_details, :api_gpx_files]
   7   before_filter :require_user, :only => [:account, :go_public, :make_friend, :remove_friend]
   8   before_filter :check_database_readable, :except => [:api_details, :api_gpx_files]
   9   before_filter :check_database_writable, :only => [:login, :new, :account, :go_public, :make_friend, :remove_friend]
  10   before_filter :check_api_readable, :only => [:api_details, :api_gpx_files]
  11   before_filter :require_allow_read_prefs, :only => [:api_details]
  12   before_filter :require_allow_read_gpx, :only => [:api_gpx_files]
  13   before_filter :require_cookies, :only => [:login, :confirm]
  14   before_filter :require_administrator, :only => [:set_status, :delete, :list]
  15   before_filter :lookup_this_user, :only => [:set_status, :delete]
  16
  17   filter_parameter_logging :password, :pass_crypt, :pass_crypt_confirmation
  18
  19   cache_sweeper :user_sweeper, :only => [:account, :set_status, :delete], :unless => STATUS == :database_offline
  20
  21   def terms
  22     @legale = params[:legale] || OSM.IPToCountry(request.remote_ip) || DEFAULT_LEGALE
  23     @text = OSM.legal_text_for_country(@legale)
  24
  25     if request.xhr?
  26       render :update do |page|
  27         page.replace_html "contributorTerms", :partial => "terms"
  28       end
  29     else
  30       @title = t 'user.terms.title'
  31       @user = User.new(params[:user]) if params[:user]
  32
  33       if @user
  34         if @user.invalid?
  35           if @user.new_record?
  36             render :action => :new
  37           else
  38             flash[:errors] = @user.errors
  39             redirect_to :action => :account, :display_name => @user.display_name
  40           end
  41         elsif @user.terms_agreed?
  42           redirect_to :action => :account, :display_name => @user.display_name
  43         end
  44       else
  45         redirect_to :action => :login, :referer => request.request_uri
  46       end
  47     end
  48   end
  49
  50   def save
  51     @title = t 'user.new.title'
  52
  53     if Acl.find_by_address(request.remote_ip, :conditions => {:k => "no_account_creation"})
  54       render :action => 'new'
  55     elsif params[:decline]
  56       @user.terms_seen = true
  57       @user.save
  58       redirect_to t('user.terms.declined')
  59     elsif @user
  60       if !@user.terms_agreed?
  61         @user.consider_pd = params[:user][:consider_pd]
  62         @user.terms_agreed = Time.now.getutc
  63         @user.terms_seen = true
  64         if @user.save
  65           flash[:notice] = t 'user.new.terms accepted'
  66         end
  67       end
  68
  69       redirect_to :action => :account, :display_name => @user.display_name
  70     else
  71       @user = User.new(params[:user])
  72
  73       @user.status = "pending"
  74       @user.data_public = true
  75       @user.description = "" if @user.description.nil?
  76       @user.creation_ip = request.remote_ip
  77       @user.languages = request.user_preferred_languages
  78       @user.terms_agreed = Time.now.getutc
  79       @user.terms_seen = true
  80
  81       if @user.save
  82         flash[:notice] = t 'user.new.flash create success message', :email => @user.email
  83         Notifier.deliver_signup_confirm(@user, @user.tokens.create(:referer => params[:referer]))
  84         session[:token] = @user.tokens.create.token
  85         redirect_to :action => 'login'
  86       else
  87         render :action => 'new'
  88       end
  89     end
  90   end
  91
  92   def account
  93     @title = t 'user.account.title'
  94     @tokens = @user.oauth_tokens.find :all, :conditions => 'oauth_tokens.invalidated_at is null and oauth_tokens.authorized_at is not null'
  95
  96     if params[:user] and params[:user][:display_name] and params[:user][:description]
  97       @user.display_name = params[:user][:display_name]
  98       @user.new_email = params[:user][:new_email]
  99
 100       if params[:user][:pass_crypt].length > 0 or params[:user][:pass_crypt_confirmation].length > 0
 101         @user.pass_crypt = params[:user][:pass_crypt]
 102         @user.pass_crypt_confirmation = params[:user][:pass_crypt_confirmation]
 103       end
 104
 105       @user.description = params[:user][:description]
 106       @user.languages = params[:user][:languages].split(",")
 107
 108       case params[:image_action]
 109         when "new" then @user.image = params[:user][:image]
 110         when "delete" then @user.image = nil
 111       end
 112
 113       @user.home_lat = params[:user][:home_lat]
 114       @user.home_lon = params[:user][:home_lon]
 115
 116       if params[:user][:preferred_editor] == "default"
 117         @user.preferred_editor = nil
 118       else
 119         @user.preferred_editor = params[:user][:preferred_editor]
 120       end
 121
 122       if @user.save
 123         set_locale
 124
 125         if @user.new_email.nil? or @user.new_email.empty?
 126           flash[:notice] = t 'user.account.flash update success'
 127         else
 128           flash[:notice] = t 'user.account.flash update success confirm needed'
 129
 130           begin
 131             Notifier.deliver_email_confirm(@user, @user.tokens.create)
 132           rescue
 133             # Ignore errors sending email
 134           end
 135         end
 136
 137         redirect_to :action => "account", :display_name => @user.display_name
 138       end
 139     else
 140       if flash[:errors]
 141         flash[:errors].each do |attr,msg|
 142           attr = "new_email" if attr == "email" and !@user.new_email.nil?
 143           @user.errors.add(attr,msg)
 144         end
 145       end
 146     end
 147   end
 148
 149   def go_public
 150     @user.data_public = true
 151     @user.save
 152     flash[:notice] = t 'user.go_public.flash success'
 153     redirect_to :controller => 'user', :action => 'account', :display_name => @user.display_name
 154   end
 155
 156   def lost_password
 157     @title = t 'user.lost_password.title'
 158
 159     if params[:user] and params[:user][:email]
 160       user = User.find_by_email(params[:user][:email], :conditions => {:status => ["pending", "active", "confirmed"]})
 161
 162       if user
 163         token = user.tokens.create
 164         Notifier.deliver_lost_password(user, token)
 165         flash[:notice] = t 'user.lost_password.notice email on way'
 166         redirect_to :action => 'login'
 167       else
 168         flash.now[:error] = t 'user.lost_password.notice email cannot find'
 169       end
 170     end
 171   end
 172
 173   def reset_password
 174     @title = t 'user.reset_password.title'
 175
 176     if params[:token]
 177       token = UserToken.find_by_token(params[:token])
 178
 179       if token
 180         @user = token.user
 181
 182         if params[:user]
 183           @user.pass_crypt = params[:user][:pass_crypt]
 184           @user.pass_crypt_confirmation = params[:user][:pass_crypt_confirmation]
 185           @user.status = "active" if @user.status == "pending"
 186           @user.email_valid = true
 187
 188           if @user.save
 189             token.destroy
 190             flash[:notice] = t 'user.reset_password.flash changed'
 191             redirect_to :action => 'login'
 192           end
 193         end
 194       else
 195         flash[:error] = t 'user.reset_password.flash token bad'
 196         redirect_to :action => 'lost_password'
 197       end
 198     end
 199   end
 200
 201   def new
 202     @title = t 'user.new.title'
 203
 204     # The user is logged in already, so don't show them the signup
 205     # page, instead send them to the home page
 206     redirect_to :controller => 'site', :action => 'index' if session[:user]
 207   end
 208
 209   def login
 210     @title = t 'user.login.title'
 211
 212     if params[:user]
 213       email_or_display_name = params[:user][:email]
 214       pass = params[:user][:password]
 215       user = User.authenticate(:username => email_or_display_name, :password => pass)
 216
 217       if user
 218         session[:user] = user.id
 219         session_expires_after 1.month if params[:remember_me]
 220
 221         # if the user hasn't seen the contributor terms then redirect them
 222         # to that page.
 223         if REQUIRE_TERMS_SEEN and not user.terms_seen
 224           redirect_to :controller => 'user', :action => 'terms', :referer => params[:referer]
 225         # The user is logged in, if the referer param exists, redirect
 226         # them to that unless they've also got a block on them, in
 227         # which case redirect them to the block so they can clear it.
 228         elsif user.blocked_on_view
 229           redirect_to user.blocked_on_view, :referer => params[:referer]
 230         elsif params[:referer]
 231           redirect_to params[:referer]
 232         else
 233           redirect_to :controller => 'site', :action => 'index'
 234         end
 235       elsif user = User.authenticate(:username => email_or_display_name, :password => pass, :pending => true)
 236         flash.now[:error] = t 'user.login.account not active', :reconfirm => url_for(:action => 'confirm_resend', :display_name => user.display_name)
 237       elsif User.authenticate(:username => email_or_display_name, :password => pass, :suspended => true)
 238         webmaster = link_to t('user.login.webmaster'), "mailto:webmaster@openstreetmap.org"
 239         flash.now[:error] = t 'user.login.account suspended', :webmaster => webmaster
 240       else
 241         flash.now[:error] = t 'user.login.auth failure'
 242       end
 243     elsif flash[:notice].nil?
 244       flash.now[:notice] =  t 'user.login.notice'
 245     end
 246   end
 247
 248   def logout
 249     @title = t 'user.logout.title'
 250
 251     if params[:session] == request.session_options[:id]
 252       if session[:token]
 253         token = UserToken.find_by_token(session[:token])
 254         if token
 255           token.destroy
 256         end
 257         session[:token] = nil
 258       end
 259       session[:user] = nil
 260       session_expires_automatically
 261       if params[:referer]
 262         redirect_to params[:referer]
 263       else
 264         redirect_to :controller => 'site', :action => 'index'
 265       end
 266     end
 267   end
 268
 269   def confirm
 270     if request.post?
 271       if token = UserToken.find_by_token(params[:confirm_string])
 272         if token.user.active?
 273           flash[:error] = t('user.confirm.already active')
 274           redirect_to :action => 'login'
 275         else
 276           user = token.user
 277           user.status = "active"
 278           user.email_valid = true
 279           user.save!
 280           referer = token.referer
 281           token.destroy
 282
 283           if session[:token]
 284             token = UserToken.find_by_token(session[:token])
 285             session.delete(:token)
 286           else
 287             token = nil
 288           end
 289
 290           if token.nil? or token.user != user
 291             flash[:notice] = t('user.confirm.success')
 292             redirect_to :action => :login, :referer => referer
 293           else
 294             token.destroy
 295
 296             session[:user] = user.id
 297
 298             if referer.nil?
 299               flash[:notice] = t('user.confirm.success') + "<br /><br />" + t('user.confirm.before you start')
 300               redirect_to :action => :account, :display_name => user.display_name
 301             else
 302               flash[:notice] = t('user.confirm.success')
 303               redirect_to referer
 304             end
 305           end
 306         end
 307       else
 308         user = User.find_by_display_name(params[:display_name])
 309
 310         if user and user.active?
 311           flash[:error] = t('user.confirm.already active')
 312         elsif user
 313           flash[:error] = t('user.confirm.unknown token') + t('user.confirm.reconfirm', :reconfirm => url_for(:action => 'confirm_resend', :display_name => params[:display_name]))
 314         else
 315           flash[:error] = t('user.confirm.unknown token')
 316         end
 317
 318         redirect_to :action => 'login'
 319       end
 320     end
 321   end
 322
 323   def confirm_resend
 324     if user = User.find_by_display_name(params[:display_name])
 325       Notifier.deliver_signup_confirm(user, user.tokens.create)
 326       flash[:notice] = t 'user.confirm_resend.success', :email => user.email
 327     else
 328       flash[:notice] = t 'user.confirm_resend.failure', :name => params[:display_name]
 329     end
 330
 331     redirect_to :action => 'login'
 332   end
 333
 334   def confirm_email
 335     if request.post?
 336       token = UserToken.find_by_token(params[:confirm_string])
 337       if token and token.user.new_email?
 338         @user = token.user
 339         @user.email = @user.new_email
 340         @user.new_email = nil
 341         @user.email_valid = true
 342         if @user.save
 343           flash[:notice] = t 'user.confirm_email.success'
 344         else
 345           flash[:errors] = @user.errors
 346         end
 347         token.destroy
 348         session[:user] = @user.id
 349         redirect_to :action => 'account', :display_name => @user.display_name
 350       else
 351         flash[:error] = t 'user.confirm_email.failure'
 352         redirect_to :action => 'account', :display_name => @user.display_name
 353       end
 354     end
 355   end
 356
 357   def api_gpx_files
 358     doc = OSM::API.new.get_xml_doc
 359     @user.traces.each do |trace|
 360       doc.root << trace.to_xml_node() if trace.public? or trace.user == @user
 361     end
 362     render :text => doc.to_s, :content_type => "text/xml"
 363   end
 364
 365   def view
 366     @this_user = User.find_by_display_name(params[:display_name])
 367
 368     if @this_user and
 369        (@this_user.visible? or (@user and @user.administrator?))
 370       @title = @this_user.display_name
 371     else
 372       @title = t 'user.no_such_user.title'
 373       @not_found_user = params[:display_name]
 374       render :action => 'no_such_user', :status => :not_found
 375     end
 376   end
 377
 378   def make_friend
 379     if params[:display_name]
 380       name = params[:display_name]
 381       new_friend = User.find_by_display_name(name, :conditions => {:status => ["active", "confirmed"]})
 382       friend = Friend.new
 383       friend.user_id = @user.id
 384       friend.friend_user_id = new_friend.id
 385       unless @user.is_friends_with?(new_friend)
 386         if friend.save
 387           flash[:notice] = t 'user.make_friend.success', :name => name
 388           Notifier.deliver_friend_notification(friend)
 389         else
 390           friend.add_error(t('user.make_friend.failed', :name => name))
 391         end
 392       else
 393         flash[:warning] = t 'user.make_friend.already_a_friend', :name => name
 394       end
 395
 396       if params[:referer]
 397         redirect_to params[:referer]
 398       else
 399         redirect_to :controller => 'user', :action => 'view'
 400       end
 401     end
 402   end
 403
 404   def remove_friend
 405     if params[:display_name]
 406       name = params[:display_name]
 407       friend = User.find_by_display_name(name, :conditions => {:status => ["active", "confirmed"]})
 408       if @user.is_friends_with?(friend)
 409         Friend.delete_all "user_id = #{@user.id} AND friend_user_id = #{friend.id}"
 410         flash[:notice] = t 'user.remove_friend.success', :name => friend.display_name
 411       else
 412         flash[:error] = t 'user.remove_friend.not_a_friend', :name => friend.display_name
 413       end
 414
 415       if params[:referer]
 416         redirect_to params[:referer]
 417       else
 418         redirect_to :controller => 'user', :action => 'view'
 419       end
 420     end
 421   end
 422
 423   ##
 424   # sets a user's status
 425   def set_status
 426     @this_user.update_attributes(:status => params[:status])
 427     redirect_to :controller => 'user', :action => 'view', :display_name => params[:display_name]
 428   end
 429
 430   ##
 431   # delete a user, marking them as deleted and removing personal data
 432   def delete
 433     @this_user.delete
 434     redirect_to :controller => 'user', :action => 'view', :display_name => params[:display_name]
 435   end
 436
 437   ##
 438   # display a list of users matching specified criteria
 439   def list
 440     if request.post?
 441       ids = params[:user].keys.collect { |id| id.to_i }
 442
 443       User.update_all("status = 'confirmed'", :id => ids) if params[:confirm]
 444       User.update_all("status = 'deleted'", :id => ids) if params[:hide]
 445
 446       redirect_to url_for(:status => params[:status], :ip => params[:ip], :page => params[:page])
 447     else
 448       conditions = Hash.new
 449       conditions[:status] = params[:status] if params[:status]
 450       conditions[:creation_ip] = params[:ip] if params[:ip]
 451
 452       @user_pages, @users = paginate(:users,
 453                                      :conditions => conditions,
 454                                      :order => :id,
 455                                      :per_page => 50)
 456     end
 457   end
 458
 459 private
 460
 461   ##
 462   # require that the user is a administrator, or fill out a helpful error message
 463   # and return them to the user page.
 464   def require_administrator
 465     if @user and not @user.administrator?
 466       flash[:error] = t('user.filter.not_an_administrator')
 467
 468       if params[:display_name]
 469         redirect_to :controller => 'user', :action => 'view', :display_name => params[:display_name]
 470       else
 471         redirect_to :controller => 'user', :action => 'login', :referer => request.request_uri
 472       end
 473     elsif not @user
 474       redirect_to :controller => 'user', :action => 'login', :referer => request.request_uri
 475     end
 476   end
 477
 478   ##
 479   # ensure that there is a "this_user" instance variable
 480   def lookup_this_user
 481     @this_user = User.find_by_display_name(params[:display_name])
 482   rescue ActiveRecord::RecordNotFound
 483     redirect_to :controller => 'user', :action => 'view', :display_name => params[:display_name] unless @this_user
 484   end
 485 end