[PATCH] by julm - fix missing check that choice belongs to current vote
[cavote.git] / main.py
diff --git a/main.py b/main.py
index 4832fd3..253fb87 100755 (executable)
--- a/main.py
+++ b/main.py
@@ -4,6 +4,7 @@
 from flask import Flask, request, session, g, redirect, url_for, abort, \
     render_template, flash
 from flask_openid import OpenID
+from flaskext.babel import Babel, gettext, ngettext
 import sqlite3
 from datetime import date, time, timedelta, datetime
 import time
@@ -17,10 +18,11 @@ import string
 
 from settings import *
 
-app = Flask(__name__) 
+app = Flask(__name__)
 app.config.from_object(__name__)
 
 oid = OpenID(app)
+babel = Babel(app)
 
 def connect_db():
     return sqlite3.connect(app.config['DATABASE'])
@@ -85,7 +87,7 @@ def keygen():
 
 def get_userid():
     user = session.get('user')
-    if user is None: 
+    if user is None:
         return -1
     elif user.get('id') < 0:
         return -1
@@ -115,7 +117,7 @@ def create_or_login(resp):
     openid_url = resp.identity_url
     user = query_db('select * from users where openid = ?', [openid_url], one=True)
     if user is not None:
-        flash(u'Successfully signed in')
+        flash(gettext(u'Successfully signed in'))
         connect_user(user)
         return redirect(oid.get_next_url())
     return redirect(url_for('home'))
@@ -146,21 +148,22 @@ def password_lost():
             BODY = string.join((
                 "From: %s" % EMAIL,
                 "To: %s" % user['email'],
-                "Subject: [Cavote] Password lost",
+                "Subject: [Cavote] %s" % gettext(u"Lost password"),
                 "Date: %s" % time.strftime("%a, %d %b %Y %H:%M:%S +0000", time.gmtime()).decode('utf-8'),
+                "Content-type: text/plain; charset=utf-8",
                 "X-Mailer: %s" % VERSION,
                 "",
-                "You have lost your password.",
-                "This link will log you without password.",
-                "Don't forget to define a new one as soon a possible!",
-                "This link will only work one time.",
+                gettext(u"It seems that you have lost your password."),
+                gettext(u"This link will log you without password."),
+                gettext(u"Don't forget to define a new one as soon a possible!"),
+                gettext(u"This link will only work one time."),
                 "",
                 link,
                 "",
-                "If you think this mail is not for you, please ignore and delete it."
+                gettext(u"If you think this mail is not for you, please ignore and delete it.")
                 ), "\r\n")
             server = smtplib.SMTP(SMTP_SERVER)
-            server.sendmail(EMAIL, [user['email']], BODY)
+            server.sendmail(EMAIL, [user['email']], BODY.encode('utf-8'))
             server.quit()
             flash(u"Un mail a été envoyé à " + user['email'], 'info')
     return render_template('password_lost.html')
@@ -217,9 +220,7 @@ def user_password(userid):
             # new (invalid) key
             key = 'i%s' % keygen() # start with i: invalid key
             print "\n\nchange key for %s\n" % key # FIXME TMP
-            g.db.execute('update users set password = ?, key = ? where id = ?',
-                    [crypt(request.form['password'], key),
-                        key, session['user']['id']])
+            g.db.execute('update users set password = ?, key = ? where id = ?', [crypt(request.form['password'], key), key, session['user']['id']])
             g.db.commit()
             flash(u'Votre mot de passe a été mis à jour.', 'success')
         else:
@@ -282,20 +283,21 @@ def admin_user_add():
                             BODY = string.join((
                             "From: %s" % EMAIL,
                             "To: %s" % user['email'],
-                            "Subject: [Cavote] Welcome",
+                            "Subject: [Cavote] %s" % gettext(u"Welcome"),
                             "Date: %s" % time.strftime("%a, %d %b %Y %H:%M:%S +0000", time.gmtime()).decode('utf-8'),
+                            "Content-type: text/plain; charset=utf-8",
                             "X-Mailer: %s" % VERSION,
                             "",
-                            "Hi %s!" % user['name'],
-                            "Welcome on %s." % TITLE,
-                            "Your account's adresse is : %s." % user['email'],
+                            "%(text)s %(user)s!" % {"text": gettext(u"Hi"), "user": user['name']},
+                            "%(text2)s %(title)s." % {"text2": gettext(u"Welcome on"), "title": TITLE},
+                            "%(text3)s %(email)s." % {"text3": gettext(u"Your account address is"), "email": user['email']},
                             "",
-                            "To log in for the first time and set your password, please follow this link :",
+                            gettext(u"To log in for the first time and set your password, please follow this link :"),
                             link,
                             ""
                             ), "\r\n")
                             server = smtplib.SMTP(SMTP_SERVER)
-                            server.sendmail(EMAIL, [user['email']], BODY)
+                            server.sendmail(EMAIL, [user['email']], BODY.encode('utf-8'))
                             server.quit()
                             flash(u'Le nouvel utilisateur a été créé avec succès', 'success')
                             return redirect(url_for('admin_users'))
@@ -309,7 +311,7 @@ def admin_user_add():
                 flash(u'Il existe déjà un compte pour cette adresse e-mail : ' + request.form['email'], 'error')
         else:
             flash(u"Vous devez spécifier une adresse email.", 'error')
-    groups = query_db('select * from groups where system=0') 
+    groups = query_db('select * from groups where system=0')
     return render_template('admin_user_new.html', groups=groups)
 
 @app.route('/admin/users/edit/<iduser>', methods=['GET', 'POST'])
@@ -350,7 +352,7 @@ def admin_user_edit(iduser):
                 flash(u'Le nom ' + request.form['name'] + u' est déjà pris ! Veuillez en choisir un autre.', 'error')
         else:
             flash(u'Il existe déjà un compte pour cette adresse e-mail : ' + request.form['email'], 'error')
-    groups = query_db('select * from groups where system=0') 
+    groups = query_db('select * from groups where system=0')
     return render_template('admin_user_edit.html', user=user, groups=groups)
 
 @app.route('/admin/users/delete/<iduser>')
@@ -425,7 +427,7 @@ def votes(votes):
         abort(404)
     for vote in votes:
         if not vote.get('nb_votes'):
-            vote['nb_votes'] = 0 
+            vote['nb_votes'] = 0
         if vote.get('max_votes'):
             vote['percent'] = int((float(vote['nb_votes']) / float(vote['max_votes'])) * 100)
     return render_template('votes.html', votes=votes, active_button=active_button)
@@ -448,8 +450,8 @@ def can_vote(idvote, iduser=-1):
     if vote is None:
         return False
     if vote['is_terminated'] == 0:
-        if iduser > 0: 
-            if can_see_vote(idvote, iduser): 
+        if iduser > 0:
+            if can_see_vote(idvote, iduser):
                 if not has_voted(idvote, iduser):
                     if query_db('select * from user_group where id_user = ? and id_group = ?', [iduser, vote['id_group']], one=True):
                         return True
@@ -465,18 +467,20 @@ def vote(idvote):
     if vote is None:
         abort(404)
     if can_see_vote(idvote, get_userid()):
+        choices = query_db('select name, id from choices where id_vote=?', [idvote])
         if request.method == 'POST':
             if can_vote(idvote, get_userid()):
                 if vote['is_multiplechoice'] == 0:
-                    if query_db('select * from choices where id = ?', [request.form['choice']], one=True) is not None:
-                        g.db.execute('insert into user_choice (id_user, id_choice) values (?, ?)', 
-                                [session.get('user').get('id'), request.form['choice']])
+                    choice = request.form['choice']
+                    if choice in [str(c['id']) for c in choices] \
+                        and query_db('select * from choices where id = ?', [choice], one=True) is not None:
+                        g.db.execute('insert into user_choice (id_user, id_choice) values (?, ?)',
+                        [session.get('user').get('id'), request.form['choice']])
                         g.db.commit()
                 else:
-                    choices = query_db('select name, id from choices where id_vote=?', [idvote])
                     for choice in choices:
                         if str(choice['id']) in request.form.keys():
-                            g.db.execute('insert into user_choice (id_user, id_choice) values (?, ?)', 
+                            g.db.execute('insert into user_choice (id_user, id_choice) values (?, ?)',
                                     [session.get('user').get('id'), choice['id']])
                             g.db.commit()
             else:
@@ -554,7 +558,7 @@ def admin_vote_add():
                 g.db.execute('insert into votes (title, description, category, date_begin, date_end, is_transparent, is_public, is_multiplechoice, id_group, id_author) values (?, ?, ?, ?, ?, ?, ?, ?, ?, ?)',
                         [request.form['title'], request.form['description'], request.form['category'], date_begin, date_end, transparent, public, multiplechoice, group['id'], session['user']['id']])
                 g.db.commit()
-                vote = query_db('select * from votes where title = ? and date_begin = ? order by id desc', 
+                vote = query_db('select * from votes where title = ? and date_begin = ? order by id desc',
                         [request.form['title'], date_begin], one=True)
                 if vote is None:
                     flash(u'Une erreur est survenue !', 'error')
@@ -571,7 +575,7 @@ def admin_vote_add():
                 flash(u'Le titre que vous avez choisi est déjà pris.', 'error')
         else:
             flash(u'Vous devez spécifier un titre.', 'error')
-    groups = query_db('select * from groups') 
+    groups = query_db('select * from groups')
     return render_template('admin_vote_new.html', groups=groups, patterns=PATTERNS)
 
 @app.route('/admin/votes/edit/<voteid>', methods=['GET', 'POST'])
@@ -606,19 +610,20 @@ def admin_vote_edit(voteid):
                             BODY = string.join((
                                 "From: %s" % EMAIL,
                                 "To: %s" % user['email'],
-                                "Subject: [Cavote] A vote has been opened for your group",
+                                "Subject: [Cavote] %s" % gettext(u"A vote has been opened for your group"),
                                 "Date: %s" % time.strftime("%a, %d %b %Y %H:%M:%S +0000", time.gmtime()).decode('utf-8'),
+                                "Content-type: text/plain; charset=utf-8",
                                 "X-Mailer: %s" % VERSION,
                                 "",
-                                "A vote has been opened and you are in a group concerned by it : %s" % request.form['title'],
+                                "%(text)s %(title)s" % {"text": gettext(u"A vote has been opened and you are in a group concerned by it :"), "title": request.form['title']},
                                 "",
-                                "This link will bring you to the form where you will be able to vote :",
+                                gettext(u"This link will bring you to the form where you will be able to vote :"),
                                 link,
                                 "",
-                                "If you think this mail is not for you, please ignore and delete it."
+                                gettext(u"If you think this mail is not for you, please ignore and delete it.")
                                 ), "\r\n")
                             server = smtplib.SMTP(SMTP_SERVER)
-                            server.sendmail(EMAIL, [user['email']], BODY)
+                            server.sendmail(EMAIL, [user['email']], BODY.encode('utf-8'))
                             server.quit()
                 else:
                     flash(u'Vous devez proposer au moins deux choix pour ouvrir le vote.', 'error')
@@ -626,16 +631,14 @@ def admin_vote_edit(voteid):
                 isterminated = 1
                 if vote['is_open']:
                     isopen = 1
-            g.db.execute('update votes set title = ?, description = ?, category = ?, is_transparent = ?, is_public = ?, is_open = ?, is_terminated = ?, date_end = ?, reminder_last_days = ? where id = ?',
-                    [request.form['title'], request.form['description'], request.form['category'], transparent, public, isopen, isterminated, date_end, request.form['reminder'], voteid])
+            g.db.execute('update votes set title = ?, description = ?, category = ?, is_transparent = ?, is_public = ?, is_open = ?, is_terminated = ?, date_end = ?, reminder_last_days = ? where id = ?', [request.form['title'], request.form['description'], request.form['category'], transparent, public, isopen, isterminated, date_end, request.form['reminder'], voteid])
             g.db.commit()
             vote = query_db('select * from votes where id = ?', [voteid], one=True)
             flash(u"Le vote a bien été mis à jour.", "success")
         else:
             flash(u'Vous devez spécifier un titre.', 'error')
-    vote['duration'] = (datetime.strptime(vote['date_end'], "%Y-%m-%d") 
-            - datetime.strptime(vote['date_begin'], "%Y-%m-%d")).days
-    group = query_db('select name from groups where id = ?', [vote['id_group']], one=True) 
+    vote['duration'] = (datetime.strptime(vote['date_end'], "%Y-%m-%d") - datetime.strptime(vote['date_begin'], "%Y-%m-%d")).days
+    group = query_db('select name from groups where id = ?', [vote['id_group']], one=True)
     choices = query_db('select * from choices where id_vote = ?', [voteid])
     attachments = query_db('select * from attachments where id_vote = ?', [voteid])
     if date.today().strftime("%Y-%m-%d") > vote['date_end']:
@@ -719,4 +722,3 @@ def admin_vote_deleteattachment(voteid, attachmentid):
 
 if __name__ == '__main__':
     app.run()
-