Registration of users without singupsources with access to a site

[BetoFandino]

Description

We have seen some cases in which when you want to register a user through eox-core, if you do not have signupsource of the site where you want to register, it will tell you that the user is not found, causing the simple ecommerce to fail.

To solve it, we add several signupsource to the users, causing a failure in the password change by control.

Sometimes it also happens that customers use the apis and when they try to register a user they get user not found due to this problem. Therefore they go to create it and they get that the user already exists, which generates some confusion.

For these reasons we want to propose an improvement for the registration of users who do not have signupsource but are allowed to access the site.

[MaferMazu]

Hello @BetoFandino, Before we start thinking about how to fix this, we need to understand our use case for it. Why is it so important to allow multiple signup sources for users or have no signup source for users? Why do we need this? Which cases do we have, and how many cases do we have?

[MaferMazu]

I will paste the response here as I receive it in Spanish to have a record of it.

Dado que hay un feature de eox-core (EDNX_ACCOUNT_REGISTRATION_SOURCES si mal no recuerdo) que permite acceder a los usuarios a un site basado en una lista de signupsource, esto haciendo que un usuario de un sitio pueda acceder a otro sitio, pero que pasa? que no es tan consistente porque aun teniendo eso configurado, los enrollments no verifican esa configuración. entonces lo plateamos como mejora ya que si ese feature permite los casos de ingresar de un sitio a otro, tambien deberia permitir las otras funcionalidades de eox-core. Aclarando que no es que permitamos que un usuario no tenga signupsource ya que esto si se consideraria en un error, hay muchos procesos que requieren el signupsocurce y la falta de este creo que lamentablmenete nos ocasionaria errores hehehe, tanto en generacion de reportes como en visualizacion de cursos y componenetes por lo que todos los usuarios si o si deberian tener un signupsoucrce.

Entonces eso lleva al otro caso, si se permite eso, implica que se esta permitiendo que existan usuarios de un site Y usando un site X por lo que se deberian permitir cambiar las contraseñas de usuarios que tengan multiples signupsource. Explicando un poco de la naturaleza tenant aware de nuestro SaaS y que como parte de nuestras caracterizticas ofrecidas, nuestros clientes tienen la posibilidad de tener multilples sitios, por lo cual en muchas ocasiones sucede que sucede el ingreso en multliples sitios por medio del mismo usuario.

Esto conlleva que algunos procesos que se realicen en un sitio diferente al de inscripcion y ademas utilicen eox-core fallen (como por ejemplo: el momento de realizar un enrollment) ya que los usuarios no cuentan con dicho signupsource y no son reconocidos como usuarios registrados en dicho sitio.

En cuanto a los clientes el mas asi ha sidop SUSS pero tambien ha pasado con Acadermia e inclusos se ha tenido algunos inconvenientes con ISIL

[felipemontoya]

As requested a feature like this could be a gigantic security issue. I suggest we do not change this API in such a way.
@MaferMazu nailed the issue in her comment.
We can extend support for the password reset API to the EDNX_ACCOUNT_REGISTRATION_SOURCES. Probably, worth extending EDNX_ACCOUNT_REGISTRATION_SOURCES to all the APIs in eox-core.