WordPress.org
Get WordPress

Make WordPress Core


Ignore:
Timestamp:
10/12/2017 04:00:15 AM (7 years ago)
Author:
westonruter
Message:

Customize: Add changeset locking in Customizer to prevent users from overriding each other's changes.

  • Customization locking is checked when changesets are saved and when heartbeat ticks.
  • Lock is lifted immediately upon a user closing the Customizer.
  • Heartbeat is introduced into Customizer.
  • Changes made to user after it was locked by another user are stored as an autosave revision for restoration.
  • Lock notification displays link to preview the other user's changes on the frontend.
  • A user loading a locked Customizer changeset will be presented with an option to take over.
  • Autosave revisions attached to a published changeset are converted into auto-drafts so that they will be presented to users for restoration.
  • Focus constraining is improved in overlay notifications.
  • Escape key is stopped from propagating in overlay notifications, and it dismisses dismissible overlay notifications.
  • Introduces changesetLocked state which is used to disable the Save button and suppress the AYS dialog when leaving the Customizer.
  • Fixes bug where users could be presented with each other's autosave revisions.

Props sayedwp, westonruter, melchoyce.
See #31436, #31897, #39896.
Fixes #42024.

File:
1 edited

Legend:

Unmodified
Added
Removed

  • trunk/src/wp-includes/class-wp-customize-manager.php

    r41825 r41839  
    175175
    176176    /**
    177      * Whether the autosave revision of the changeset should should be loaded.
     177     * Whether the autosave revision of the changeset should be loaded.
    178178     *
    179179     * @since 4.9.0
    … …  
    374374        remove_action( 'admin_init', '_maybe_update_themes' );
    375375
    376         add_action( 'wp_ajax_customize_save',             array( $this, 'save' ) );
    377         add_action( 'wp_ajax_customize_trash',            array( $this, 'handle_changeset_trash_request' ) );
    378         add_action( 'wp_ajax_customize_refresh_nonces',   array( $this, 'refresh_nonces' ) );
    379         add_action( 'wp_ajax_customize_load_themes',      array( $this, 'handle_load_themes_request' ) );
    380         add_action( 'wp_ajax_customize_dismiss_autosave', array( $this, 'handle_dismiss_autosave_request' ) );
     376        add_action( 'wp_ajax_customize_save',                     array( $this, 'save' ) );
     377        add_action( 'wp_ajax_customize_trash',                    array( $this, 'handle_changeset_trash_request' ) );
     378        add_action( 'wp_ajax_customize_refresh_nonces',           array( $this, 'refresh_nonces' ) );
     379        add_action( 'wp_ajax_customize_load_themes',              array( $this, 'handle_load_themes_request' ) );
     380        add_filter( 'heartbeat_settings',                         array( $this, 'add_customize_screen_to_heartbeat_settings' ) );
     381        add_filter( 'heartbeat_received',                         array( $this, 'check_changeset_lock_with_heartbeat' ), 10, 3 );
     382        add_action( 'wp_ajax_customize_override_changeset_lock',  array( $this, 'handle_override_changeset_lock_request' ) );
     383        add_action( 'wp_ajax_customize_dismiss_autosave_or_lock', array( $this, 'handle_dismiss_autosave_or_lock_request' ) );
    381384
    382385        add_action( 'customize_register',                 array( $this, 'register_controls' ) );
    … …  
    630633            $this->_changeset_uuid = $changeset_uuid;
    631634        }
     635
     636        $this->set_changeset_lock( $this->changeset_post_id() );
    632637    }
    633638
    … …  
    11071112        } else {
    11081113            if ( $this->autosaved() ) {
    1109                 $autosave_post = wp_get_post_autosave( $changeset_post_id );
     1114                $autosave_post = wp_get_post_autosave( $changeset_post_id, get_current_user_id() );
    11101115                if ( $autosave_post ) {
    11111116                    $data = $this->get_changeset_post_data( $autosave_post->ID );
    … …  
    23772382        }
    23782383
     2384        $lock_user_id = null;
    23792385        $autosave = ! empty( $_POST['customize_changeset_autosave'] );
     2386        if ( ! $is_new_changeset ) {
     2387            $lock_user_id = wp_check_post_lock( $this->changeset_post_id() );
     2388        }
     2389
     2390        // Force request to autosave when changeset is locked.
     2391        if ( $lock_user_id && ! $autosave ) {
     2392            $autosave = true;
     2393            $changeset_status = null;
     2394            $changeset_date_gmt = null;
     2395        }
     2396
    23802397        if ( $autosave && ! defined( 'DOING_AUTOSAVE' ) ) { // Back-compat.
    23812398            define( 'DOING_AUTOSAVE', true );
    23822399        }
    23832400
     2401        $autosaved = false;
    23842402        $r = $this->save_changeset_post( array(
    23852403            'status' => $changeset_status,
    … …  
    23892407            'autosave' => $autosave,
    23902408        ) );
     2409        if ( $autosave && ! is_wp_error( $r ) ) {
     2410            $autosaved = true;
     2411        }
     2412
     2413        // If the changeset was locked and an autosave request wasn't itself an error, then now explicitly return with a failure.
     2414        if ( $lock_user_id && ! is_wp_error( $r ) ) {
     2415            $r = new WP_Error(
     2416                'changeset_locked',
     2417                __( 'Changeset is being edited by other user.' ),
     2418                array(
     2419                    'lock_user' => $this->get_lock_user_data( $lock_user_id ),
     2420                )
     2421            );
     2422        }
     2423
    23912424        if ( is_wp_error( $r ) ) {
    23922425            $response = array(
    … …  
    24142447            }
    24152448
     2449            if ( 'publish' !== $response['changeset_status'] ) {
     2450                $this->set_changeset_lock( $changeset_post->ID );
     2451            }
     2452
    24162453            if ( 'future' === $response['changeset_status'] ) {
    24172454                $response['changeset_date'] = $changeset_post->post_date;
    … …  
    24212458                $response['next_changeset_uuid'] = wp_generate_uuid4();
    24222459            }
     2460        }
     2461
     2462        if ( $autosave ) {
     2463            $response['autosaved'] = $autosaved;
    24232464        }
    24242465
    … …  
    26852726                        'type' => $setting->type,
    26862727                        'user_id' => $args['user_id'],
     2728                        'date_modified_gmt' => current_time( 'mysql', true ),
    26872729                    )
    26882730                );
    … …  
    27992841
    28002842                // Delete autosave revision when the changeset is updated.
    2801                 $autosave_draft = wp_get_post_autosave( $changeset_post_id );
     2843                $autosave_draft = wp_get_post_autosave( $changeset_post_id, get_current_user_id() );
    28022844                if ( $autosave_draft ) {
    28032845                    wp_delete_post( $autosave_draft->ID, true );
    … …  
    29913033
    29923034    /**
     3035     * Marks the changeset post as being currently edited by the current user.
     3036     *
     3037     * @since 4.9.0
     3038     *
     3039     * @param int  $changeset_post_id Changeset post id.
     3040     * @param bool $take_over Take over the changeset, default is false.
     3041     */
     3042    public function set_changeset_lock( $changeset_post_id, $take_over = false ) {
     3043        if ( $changeset_post_id ) {
     3044            $can_override = ! (bool) get_post_meta( $changeset_post_id, '_edit_lock', true );
     3045
     3046            if ( $take_over ) {
     3047                $can_override = true;
     3048            }
     3049
     3050            if ( $can_override ) {
     3051                $lock = sprintf( '%s:%s', time(), get_current_user_id() );
     3052                update_post_meta( $changeset_post_id, '_edit_lock', $lock );
     3053            } else {
     3054                $this->refresh_changeset_lock( $changeset_post_id );
     3055            }
     3056        }
     3057    }
     3058
     3059    /**
     3060     * Refreshes changeset lock with the current time if current user edited the changeset before.
     3061     *
     3062     * @since 4.9.0
     3063     *
     3064     * @param int $changeset_post_id Changeset post id.
     3065     */
     3066    public function refresh_changeset_lock( $changeset_post_id ) {
     3067        if ( ! $changeset_post_id ) {
     3068            return;
     3069        }
     3070        $lock = get_post_meta( $changeset_post_id, '_edit_lock', true );
     3071        $lock = explode( ':', $lock );
     3072
     3073        if ( $lock && ! empty( $lock[1] ) ) {
     3074            $user_id = intval( $lock[1] );
     3075            $current_user_id = get_current_user_id();
     3076            if ( $user_id === $current_user_id ) {
     3077                $lock = sprintf( '%s:%s', time(), $user_id );
     3078                update_post_meta( $changeset_post_id, '_edit_lock', $lock );
     3079            }
     3080        }
     3081    }
     3082
     3083    /**
     3084     * Filter heartbeat settings for the Customizer.
     3085     *
     3086     * @since 4.9.0
     3087     * @param array $settings Current settings to filter.
     3088     * @return array Heartbeat settings.
     3089     */
     3090    public function add_customize_screen_to_heartbeat_settings( $settings ) {
     3091        global $pagenow;
     3092        if ( 'customize.php' === $pagenow ) {
     3093            $settings['screenId'] = 'customize';
     3094        }
     3095        return $settings;
     3096    }
     3097
     3098    /**
     3099     * Get lock user data.
     3100     *
     3101     * @since 4.9.0
     3102     *
     3103     * @param int $user_id User ID.
     3104     * @return array|null User data formatted for client.
     3105     */
     3106    protected function get_lock_user_data( $user_id ) {
     3107        if ( ! $user_id ) {
     3108            return null;
     3109        }
     3110        $lock_user = get_userdata( $user_id );
     3111        if ( ! $lock_user ) {
     3112            return null;
     3113        }
     3114        return array(
     3115            'id' => $lock_user->ID,
     3116            'name' => $lock_user->display_name,
     3117            'avatar' => get_avatar_url( $lock_user->ID, array( 'size' => 128 ) ),
     3118        );
     3119    }
     3120
     3121    /**
     3122     * Check locked changeset with heartbeat API.
     3123     *
     3124     * @since 4.9.0
     3125     *
     3126     * @param array  $response  The Heartbeat response.
     3127     * @param array  $data      The $_POST data sent.
     3128     * @param string $screen_id The screen id.
     3129     * @return array The Heartbeat response.
     3130     */
     3131    public function check_changeset_lock_with_heartbeat( $response, $data, $screen_id ) {
     3132        if ( array_key_exists( 'check_changeset_lock', $data ) && 'customize' === $screen_id && current_user_can( 'customize' ) && $this->changeset_post_id() ) {
     3133            $lock_user_id = wp_check_post_lock( $this->changeset_post_id() );
     3134
     3135            if ( $lock_user_id ) {
     3136                $response['customize_changeset_lock_user'] = $this->get_lock_user_data( $lock_user_id );
     3137            } else {
     3138
     3139                // Refreshing time will ensure that the user is sitting on customizer and has not closed the customizer tab.
     3140                $this->refresh_changeset_lock( $this->changeset_post_id() );
     3141            }
     3142        }
     3143
     3144        return $response;
     3145    }
     3146
     3147    /**
     3148     * Removes changeset lock when take over request is sent via Ajax.
     3149     *
     3150     * @since 4.9.0
     3151     */
     3152    public function handle_override_changeset_lock_request() {
     3153        if ( ! $this->is_preview() ) {
     3154            wp_send_json_error( 'not_preview', 400 );
     3155        }
     3156
     3157        if ( ! check_ajax_referer( 'customize_override_changeset_lock', 'nonce', false ) ) {
     3158            wp_send_json_error( array(
     3159                'code' => 'invalid_nonce',
     3160                'message' => __( 'Security check failed.' ),
     3161            ) );
     3162        }
     3163
     3164        $changeset_post_id = $this->changeset_post_id();
     3165
     3166        if ( empty( $changeset_post_id ) ) {
     3167            wp_send_json_error( array(
     3168                'code' => 'no_changeset_found_to_take_over',
     3169                'message' => __( 'No changeset found to take over' ),
     3170            ) );
     3171        }
     3172
     3173        if ( ! current_user_can( get_post_type_object( 'customize_changeset' )->cap->edit_post, $changeset_post_id ) ) {
     3174            wp_send_json_error( array(
     3175                'code' => 'cannot_remove_changeset_lock',
     3176                'message' => __( 'Sorry you are not allowed to take over.' ),
     3177            ) );
     3178        }
     3179
     3180        $this->set_changeset_lock( $changeset_post_id, true );
     3181
     3182        wp_send_json_success( 'changeset_taken_over' );
     3183    }
     3184
     3185    /**
    29933186     * Whether a changeset revision should be made.
    29943187     *
    … …  
    30343227     * @since 4.7.0
    30353228     * @see _wp_customize_publish_changeset()
     3229     * @global wpdb $wpdb
    30363230     *
    30373231     * @param int $changeset_post_id ID for customize_changeset post. Defaults to the changeset for the current manager instance.
    … …  
    30393233     */
    30403234    public function _publish_changeset_values( $changeset_post_id ) {
     3235        global $wpdb;
     3236
    30413237        $publishing_changeset_data = $this->get_changeset_post_data( $changeset_post_id );
    30423238        if ( is_wp_error( $publishing_changeset_data ) ) {
    … …  
    31763372        $this->_changeset_uuid    = $previous_changeset_uuid;
    31773373
     3374        /*
     3375         * Convert all autosave revisions into their own auto-drafts so that users can be prompted to
     3376         * restore them when a changeset is published, but they had been locked out from including
     3377         * their changes in the changeset.
     3378         */
     3379        $revisions = wp_get_post_revisions( $changeset_post_id, array( 'check_enabled' => false ) );
     3380        foreach ( $revisions as $revision ) {
     3381            if ( false !== strpos( $revision->post_name, "{$changeset_post_id}-autosave" ) ) {
     3382                $wpdb->update(
     3383                    $wpdb->posts,
     3384                    array(
     3385                        'post_status' => 'auto-draft',
     3386                        'post_type' => 'customize_changeset',
     3387                        'post_name' => wp_generate_uuid4(),
     3388                        'post_parent' => 0,
     3389                    ),
     3390                    array(
     3391                        'ID' => $revision->ID,
     3392                    )
     3393                );
     3394                clean_post_cache( $revision->ID );
     3395            }
     3396        }
     3397
    31783398        return true;
    31793399    }
    … …  
    32303450
    32313451    /**
    3232      * Delete a given auto-draft changeset or the autosave revision for a given changeset.
     3452     * Delete a given auto-draft changeset or the autosave revision for a given changeset or delete changeset lock.
    32333453     *
    32343454     * @since 4.9.0
    32353455     */
    3236     public function handle_dismiss_autosave_request() {
     3456    public function handle_dismiss_autosave_or_lock_request() {
    32373457        if ( ! $this->is_preview() ) {
    32383458            wp_send_json_error( 'not_preview', 400 );
    32393459        }
    32403460
    3241         if ( ! check_ajax_referer( 'customize_dismiss_autosave', 'nonce', false ) ) {
     3461        if ( ! check_ajax_referer( 'customize_dismiss_autosave_or_lock', 'nonce', false ) ) {
    32423462            wp_send_json_error( 'invalid_nonce', 403 );
    32433463        }
    32443464
    32453465        $changeset_post_id = $this->changeset_post_id();
    3246 
    3247         if ( empty( $changeset_post_id ) || 'auto-draft' === get_post_status( $changeset_post_id ) ) {
    3248             $dismissed = $this->dismiss_user_auto_draft_changesets();
    3249             if ( $dismissed > 0 ) {
    3250                 wp_send_json_success( 'auto_draft_dismissed' );
    3251             } else {
    3252                 wp_send_json_error( 'no_auto_draft_to_delete', 404 );
    3253             }
    3254         } else {
    3255             $revision = wp_get_post_autosave( $changeset_post_id );
    3256 
    3257             if ( $revision ) {
    3258                 if ( ! current_user_can( get_post_type_object( 'customize_changeset' )->cap->delete_post, $changeset_post_id ) ) {
    3259                     wp_send_json_error( 'cannot_delete_autosave_revision', 403 );
    3260                 }
    3261 
    3262                 if ( ! wp_delete_post( $revision->ID, true ) ) {
    3263                     wp_send_json_error( 'autosave_revision_deletion_failure', 500 );
     3466        $dismiss_lock = ! empty( $_POST['dismiss_lock'] );
     3467        $dismiss_autosave = ! empty( $_POST['dismiss_autosave'] );
     3468
     3469        if ( $dismiss_lock ) {
     3470            if ( empty( $changeset_post_id ) && ! $dismiss_autosave ) {
     3471                wp_send_json_error( 'no_changeset_to_dismiss_lock', 404 );
     3472            }
     3473            if ( ! current_user_can( get_post_type_object( 'customize_changeset' )->cap->edit_post, $changeset_post_id ) && ! $dismiss_autosave ) {
     3474                wp_send_json_error( 'cannot_remove_changeset_lock', 403 );
     3475            }
     3476
     3477            delete_post_meta( $changeset_post_id, '_edit_lock' );
     3478
     3479            if ( ! $dismiss_autosave ) {
     3480                wp_send_json_success( 'changeset_lock_dismissed' );
     3481            }
     3482        }
     3483
     3484        if ( $dismiss_autosave ) {
     3485            if ( empty( $changeset_post_id ) || 'auto-draft' === get_post_status( $changeset_post_id ) ) {
     3486                $dismissed = $this->dismiss_user_auto_draft_changesets();
     3487                if ( $dismissed > 0 ) {
     3488                    wp_send_json_success( 'auto_draft_dismissed' );
    32643489                } else {
    3265                     wp_send_json_success( 'autosave_revision_deleted' );
     3490                    wp_send_json_error( 'no_auto_draft_to_delete', 404 );
    32663491                }
    32673492            } else {
    3268                 wp_send_json_error( 'no_autosave_revision_to_delete', 404 );
    3269             }
    3270         }
     3493                $revision = wp_get_post_autosave( $changeset_post_id, get_current_user_id() );
     3494
     3495                if ( $revision ) {
     3496                    if ( ! current_user_can( get_post_type_object( 'customize_changeset' )->cap->delete_post, $changeset_post_id ) ) {
     3497                        wp_send_json_error( 'cannot_delete_autosave_revision', 403 );
     3498                    }
     3499
     3500                    if ( ! wp_delete_post( $revision->ID, true ) ) {
     3501                        wp_send_json_error( 'autosave_revision_deletion_failure', 500 );
     3502                    } else {
     3503                        wp_send_json_success( 'autosave_revision_deleted' );
     3504                    }
     3505                } else {
     3506                    wp_send_json_error( 'no_autosave_revision_to_delete', 404 );
     3507                }
     3508            }
     3509        }
     3510
    32713511        wp_send_json_error( 'unknown_error', 500 );
    32723512    }
    … …  
    38184058        </script>
    38194059
     4060        <script type="text/html" id="tmpl-customize-changeset-locked-notification">
     4061            <li class="notice notice-{{ data.type || 'info' }} {{ data.containerClasses || '' }}" data-code="{{ data.code }}" data-type="{{ data.type }}">
     4062                <div class="notification-message customize-changeset-locked-message">
     4063                    <img class="customize-changeset-locked-avatar" src="{{ data.lockUser.avatar }}" alt="{{ data.lockUser.name }}">
     4064                    <p class="currently-editing">
     4065                        <# if ( data.message ) { #>
     4066                            {{{ data.message }}}
     4067                        <# } else if ( data.allowOverride ) { #>
     4068                            <?php
     4069                            /* translators: %s: User who is customizing the changeset in customizer. */
     4070                            printf( __( '%s is already customizing this site. Do you want to take over?' ), '{{ data.lockUser.name }}' );
     4071                            ?>
     4072                        <# } else { #>
     4073                            <?php
     4074                            /* translators: %s: User who is customizing the changeset in customizer. */
     4075                            printf( __( '%s is already customizing this site. Please wait until they are done to try customizing. Your latest changes have been autosaved.' ), '{{ data.lockUser.name }}' );
     4076                            ?>
     4077                        <# } #>
     4078                    </p>
     4079                    <p class="notice notice-error notice-alt" hidden></p>
     4080                    <p class="action-buttons">
     4081                        <# if ( data.returnUrl !== data.previewUrl ) { #>
     4082                            <a class="button customize-notice-go-back-button" href="{{ data.returnUrl }}"><?php _e( 'Go back' ); ?></a>
     4083                        <# } #>
     4084                        <a class="button customize-notice-preview-button" href="{{ data.frontendPreviewUrl }}"><?php _e( 'Preview' ); ?></a>
     4085                        <# if ( data.allowOverride ) { #>
     4086                            <button class="button button-primary wp-tab-last customize-notice-take-over-button"><?php _e( 'Take over' ); ?></button>
     4087                        <# } #>
     4088                    </p>
     4089                </div>
     4090            </li>
     4091        </script>
     4092
    38204093        <?php
    38214094        /* The following template is obsolete in core but retained for plugins. */
    … …  
    41894462            'preview' => wp_create_nonce( 'preview-customize_' . $this->get_stylesheet() ),
    41904463            'switch_themes' => wp_create_nonce( 'switch_themes' ),
    4191             'dismiss_autosave' => wp_create_nonce( 'customize_dismiss_autosave' ),
     4464            'dismiss_autosave_or_lock' => wp_create_nonce( 'customize_dismiss_autosave_or_lock' ),
     4465            'override_lock' => wp_create_nonce( 'customize_override_changeset_lock' ),
    41924466            'trash' => wp_create_nonce( 'trash_customize_changeset' ),
    41934467        );
    … …  
    42324506        if ( ! $this->saved_starter_content_changeset && ! $this->autosaved() ) {
    42334507            if ( $changeset_post_id ) {
    4234                 $autosave_revision_post = wp_get_post_autosave( $changeset_post_id );
     4508                $autosave_revision_post = wp_get_post_autosave( $changeset_post_id, get_current_user_id() );
    42354509            } else {
    42364510                $autosave_autodraft_posts = $this->get_changeset_posts( array(
    … …  
    42764550        } else {
    42774551            $initial_date = current_time( 'mysql', false );
     4552        }
     4553
     4554        $lock_user_id = false;
     4555        if ( $this->changeset_post_id() ) {
     4556            $lock_user_id = wp_check_post_lock( $this->changeset_post_id() );
    42784557        }
    42794558
    … …  
    42894568                'publishDate' => $initial_date,
    42904569                'statusChoices' => $status_choices,
     4570                'lockUser' => $lock_user_id ? $this->get_lock_user_data( $lock_user_id ) : null,
    42914571            ),
    42924572            'initialServerDate' => current_time( 'mysql', false ),
Note: See TracChangeset for help on using the changeset viewer.