check_readableを常にfalseと返すように一旦改造した際、includeプラグインではきちんと制限されているようですが、本文のページ内容はそのまま表示されてしまいます。この機能は未実装なのか、はたまた考え方が間違っているのでしょうか。やりたいことは、別の認証機能(Cookieによるもの)と連携させて、ページの閲覧/編集を制限したいのですが、どうもauth.phpを改造するだけでは済まないように見えてなりません。attachプラグインはcheck_readableを考慮していないように見えます。閲覧不可能なはずのページの添付ファイルを読み取れる可能性があると考えます。回答としては、どちらかというと考え方が間違っています、という事になりますが、分かりにくいので仕方ないですね。閲覧認証をかけたページは、編集認証も必須という暗黙の了解があって、check_readableを抑えるだけでなく、check_editableも手を入れる必要があるのです。任意のページごとの閲覧・編集制限と併せてチェックしてみてください。attachの方も同じ理由じゃないかなと思いますが。アクセス制御の既知の問題で挙がっているのはdev:BugTrack/694かな。