]> git.r.bdr.sh - rbdr/mobius/blobdiff - hotline/transaction_handlers.go
Add initial support for resource and info forks
[rbdr/mobius] / hotline / transaction_handlers.go
index ade024c4a3803c397e293c1c8606fa270311ad34..c3b8c592bf2f5d8ea55a533ce5c6251544d9175e 100644 (file)
@@ -5,7 +5,7 @@ import (
        "encoding/binary"
        "errors"
        "fmt"
-       "gopkg.in/yaml.v2"
+       "gopkg.in/yaml.v3"
        "io/ioutil"
        "math/big"
        "os"
@@ -16,8 +16,6 @@ import (
 )
 
 type TransactionType struct {
-       Access         int                                                    // Specifies access privilege required to perform the transaction
-       DenyMsg        string                                                 // The error reply message when user does not have access
        Handler        func(*ClientConn, *Transaction) ([]Transaction, error) // function for handling the transaction type
        Name           string                                                 // Name of transaction as it will appear in logging
        RequiredFields []requiredField
@@ -45,15 +43,12 @@ var TransactionHandlers = map[uint16]TransactionType{
                Name: "tranNotifyDeleteUser",
        },
        tranAgreed: {
-               Access:  accessAlwaysAllow,
                Name:    "tranAgreed",
                Handler: HandleTranAgreed,
        },
        tranChatSend: {
-               Access:  accessSendChat,
-               DenyMsg: "You are not allowed to participate in chat.",
-               Handler: HandleChatSend,
                Name:    "tranChatSend",
+               Handler: HandleChatSend,
                RequiredFields: []requiredField{
                        {
                                ID:     fieldData,
@@ -62,183 +57,130 @@ var TransactionHandlers = map[uint16]TransactionType{
                },
        },
        tranDelNewsArt: {
-               Access:  accessNewsDeleteArt,
-               DenyMsg: "You are not allowed to delete news articles.",
                Name:    "tranDelNewsArt",
                Handler: HandleDelNewsArt,
        },
        tranDelNewsItem: {
-               Access: accessAlwaysAllow, // Granular access enforced inside the handler
-               // Has multiple access flags: News Delete Folder (37) or News Delete Category (35)
-               // TODO: Implement inside the handler
                Name:    "tranDelNewsItem",
                Handler: HandleDelNewsItem,
        },
        tranDeleteFile: {
-               Access:  accessAlwaysAllow, // Granular access enforced inside the handler
                Name:    "tranDeleteFile",
                Handler: HandleDeleteFile,
        },
        tranDeleteUser: {
-               Access:  accessDeleteUser,
-               DenyMsg: "You are not allowed to delete accounts.",
                Name:    "tranDeleteUser",
                Handler: HandleDeleteUser,
        },
        tranDisconnectUser: {
-               Access:  accessDisconUser,
-               DenyMsg: "You are not allowed to disconnect users.",
                Name:    "tranDisconnectUser",
                Handler: HandleDisconnectUser,
        },
        tranDownloadFile: {
-               Access:  accessDownloadFile,
-               DenyMsg: "You are not allowed to download files.",
                Name:    "tranDownloadFile",
                Handler: HandleDownloadFile,
        },
        tranDownloadFldr: {
-               Access:  accessDownloadFile, // There is no specific access flag for folder vs file download
-               DenyMsg: "You are not allowed to download files.",
                Name:    "tranDownloadFldr",
                Handler: HandleDownloadFolder,
        },
        tranGetClientInfoText: {
-               Access:  accessGetClientInfo,
-               DenyMsg: "You are not allowed to get client info",
                Name:    "tranGetClientInfoText",
                Handler: HandleGetClientConnInfoText,
        },
        tranGetFileInfo: {
-               Access:  accessAlwaysAllow,
                Name:    "tranGetFileInfo",
                Handler: HandleGetFileInfo,
        },
        tranGetFileNameList: {
-               Access:  accessAlwaysAllow,
                Name:    "tranGetFileNameList",
                Handler: HandleGetFileNameList,
        },
        tranGetMsgs: {
-               Access:  accessNewsReadArt,
-               DenyMsg: "You are not allowed to read news.",
                Name:    "tranGetMsgs",
                Handler: HandleGetMsgs,
        },
        tranGetNewsArtData: {
-               Access:  accessNewsReadArt,
-               DenyMsg: "You are not allowed to read news.",
                Name:    "tranGetNewsArtData",
                Handler: HandleGetNewsArtData,
        },
        tranGetNewsArtNameList: {
-               Access:  accessNewsReadArt,
-               DenyMsg: "You are not allowed to read news.",
                Name:    "tranGetNewsArtNameList",
                Handler: HandleGetNewsArtNameList,
        },
        tranGetNewsCatNameList: {
-               Access:  accessNewsReadArt,
-               DenyMsg: "You are not allowed to read news.",
                Name:    "tranGetNewsCatNameList",
                Handler: HandleGetNewsCatNameList,
        },
        tranGetUser: {
-               Access:  accessOpenUser,
-               DenyMsg: "You are not allowed to view accounts.",
                Name:    "tranGetUser",
                Handler: HandleGetUser,
        },
        tranGetUserNameList: {
-               Access:  accessAlwaysAllow,
                Name:    "tranHandleGetUserNameList",
                Handler: HandleGetUserNameList,
        },
        tranInviteNewChat: {
-               Access:  accessOpenChat,
-               DenyMsg: "You are not allowed to request private chat.",
                Name:    "tranInviteNewChat",
                Handler: HandleInviteNewChat,
        },
        tranInviteToChat: {
-               Access:  accessOpenChat,
-               DenyMsg: "You are not allowed to request private chat.",
                Name:    "tranInviteToChat",
                Handler: HandleInviteToChat,
        },
        tranJoinChat: {
-               Access:  accessAlwaysAllow,
                Name:    "tranJoinChat",
                Handler: HandleJoinChat,
        },
        tranKeepAlive: {
-               Access:  accessAlwaysAllow,
                Name:    "tranKeepAlive",
                Handler: HandleKeepAlive,
        },
        tranLeaveChat: {
-               Access:  accessAlwaysAllow,
                Name:    "tranJoinChat",
                Handler: HandleLeaveChat,
        },
-
        tranListUsers: {
-               Access:  accessOpenUser,
-               DenyMsg: "You are not allowed to view accounts.",
                Name:    "tranListUsers",
                Handler: HandleListUsers,
        },
        tranMoveFile: {
-               Access:  accessMoveFile,
-               DenyMsg: "You are not allowed to move files.",
                Name:    "tranMoveFile",
                Handler: HandleMoveFile,
        },
        tranNewFolder: {
-               Access:  accessCreateFolder,
-               DenyMsg: "You are not allow to create folders.",
                Name:    "tranNewFolder",
                Handler: HandleNewFolder,
        },
        tranNewNewsCat: {
-               Access:  accessNewsCreateCat,
-               DenyMsg: "You are not allowed to create news categories.",
                Name:    "tranNewNewsCat",
                Handler: HandleNewNewsCat,
        },
        tranNewNewsFldr: {
-               Access:  accessNewsCreateFldr,
-               DenyMsg: "You are not allowed to create news folders.",
                Name:    "tranNewNewsFldr",
                Handler: HandleNewNewsFldr,
        },
        tranNewUser: {
-               Access:  accessCreateUser,
-               DenyMsg: "You are not allowed to create new accounts.",
                Name:    "tranNewUser",
                Handler: HandleNewUser,
        },
+       tranUpdateUser: {
+               Name:    "tranUpdateUser",
+               Handler: HandleUpdateUser,
+       },
        tranOldPostNews: {
-               Access:  accessNewsPostArt,
-               DenyMsg: "You are not allowed to post news.",
                Name:    "tranOldPostNews",
                Handler: HandleTranOldPostNews,
        },
        tranPostNewsArt: {
-               Access:  accessNewsPostArt,
-               DenyMsg: "You are not allowed to post news articles.",
                Name:    "tranPostNewsArt",
                Handler: HandlePostNewsArt,
        },
        tranRejectChatInvite: {
-               Access:  accessAlwaysAllow,
                Name:    "tranRejectChatInvite",
                Handler: HandleRejectChatInvite,
        },
        tranSendInstantMsg: {
-               Access: accessAlwaysAllow,
-               //Access: accessSendPrivMsg,
-               //DenyMsg: "You are not allowed to send private messages",
                Name:    "tranSendInstantMsg",
                Handler: HandleSendInstantMsg,
                RequiredFields: []requiredField{
@@ -252,46 +194,50 @@ var TransactionHandlers = map[uint16]TransactionType{
                },
        },
        tranSetChatSubject: {
-               Access:  accessAlwaysAllow,
                Name:    "tranSetChatSubject",
                Handler: HandleSetChatSubject,
        },
+       tranMakeFileAlias: {
+               Name:    "tranMakeFileAlias",
+               Handler: HandleMakeAlias,
+               RequiredFields: []requiredField{
+                       {ID: fieldFileName, minLen: 1},
+                       {ID: fieldFilePath, minLen: 1},
+                       {ID: fieldFileNewPath, minLen: 1},
+               },
+       },
        tranSetClientUserInfo: {
-               Access:  accessAlwaysAllow,
                Name:    "tranSetClientUserInfo",
                Handler: HandleSetClientUserInfo,
        },
        tranSetFileInfo: {
-               Access:  accessAlwaysAllow, // granular access is in the handler
                Name:    "tranSetFileInfo",
                Handler: HandleSetFileInfo,
        },
        tranSetUser: {
-               Access:  accessModifyUser,
-               DenyMsg: "You are not allowed to modify accounts.",
                Name:    "tranSetUser",
                Handler: HandleSetUser,
        },
        tranUploadFile: {
-               Access:  accessAlwaysAllow,
-               DenyMsg: "You are not allowed to upload files.",
                Name:    "tranUploadFile",
                Handler: HandleUploadFile,
        },
        tranUploadFldr: {
-               Access:  accessAlwaysAllow, // TODO: what should this be?
                Name:    "tranUploadFldr",
                Handler: HandleUploadFolder,
        },
        tranUserBroadcast: {
-               Access:  accessBroadcast,
-               DenyMsg: "You are not allowed to send broadcast messages.",
                Name:    "tranUserBroadcast",
                Handler: HandleUserBroadcast,
        },
 }
 
 func HandleChatSend(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessSendChat) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to participate in chat."))
+               return res, err
+       }
+
        // Truncate long usernames
        trunc := fmt.Sprintf("%13s", cc.UserName)
        formattedMsg := fmt.Sprintf("\r%.14s:  %s", trunc, t.GetField(fieldData).Data)
@@ -303,18 +249,16 @@ func HandleChatSend(cc *ClientConn, t *Transaction) (res []Transaction, err erro
                formattedMsg = fmt.Sprintf("\r*** %s %s", cc.UserName, t.GetField(fieldData).Data)
        }
 
-       if bytes.Equal(t.GetField(fieldData).Data, []byte("/stats")) {
-               formattedMsg = strings.Replace(cc.Server.Stats.String(), "\n", "\r", -1)
-       }
-
        chatID := t.GetField(fieldChatID).Data
        // a non-nil chatID indicates the message belongs to a private chat
        if chatID != nil {
                chatInt := binary.BigEndian.Uint32(chatID)
                privChat := cc.Server.PrivateChats[chatInt]
 
+               clients := sortedClients(privChat.ClientConn)
+
                // send the message to all connected clients of the private chat
-               for _, c := range privChat.ClientConn {
+               for _, c := range clients {
                        res = append(res, *NewTransaction(
                                tranChatMsg,
                                c.ID,
@@ -347,43 +291,42 @@ func HandleChatSend(cc *ClientConn, t *Transaction) (res []Transaction, err erro
 //     101     Data    Optional
 //     214     Quoting message Optional
 //
-//Fields used in the reply:
+// Fields used in the reply:
 // None
 func HandleSendInstantMsg(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
        msg := t.GetField(fieldData)
        ID := t.GetField(fieldUserID)
-       // TODO: Implement reply quoting
-       //options := transaction.GetField(hotline.fieldOptions)
 
-       res = append(res,
-               *NewTransaction(
-                       tranServerMsg,
-                       &ID.Data,
-                       NewField(fieldData, msg.Data),
-                       NewField(fieldUserName, cc.UserName),
-                       NewField(fieldUserID, *cc.ID),
-                       NewField(fieldOptions, []byte{0, 1}),
-               ),
+       reply := NewTransaction(
+               tranServerMsg,
+               &ID.Data,
+               NewField(fieldData, msg.Data),
+               NewField(fieldUserName, cc.UserName),
+               NewField(fieldUserID, *cc.ID),
+               NewField(fieldOptions, []byte{0, 1}),
        )
-       id, _ := byteToInt(ID.Data)
 
-       //keys := make([]uint16, 0, len(cc.Server.Clients))
-       //for k := range cc.Server.Clients {
-       //      keys = append(keys, k)
-       //}
+       // Later versions of Hotline include the original message in the fieldQuotingMsg field so
+       //  the receiving client can display both the received message and what it is in reply to
+       if t.GetField(fieldQuotingMsg).Data != nil {
+               reply.Fields = append(reply.Fields, NewField(fieldQuotingMsg, t.GetField(fieldQuotingMsg).Data))
+       }
 
-       otherClient := cc.Server.Clients[uint16(id)]
-       if otherClient == nil {
-               return res, errors.New("ohno")
+       res = append(res, *reply)
+
+       id, _ := byteToInt(ID.Data)
+       otherClient, ok := cc.Server.Clients[uint16(id)]
+       if !ok {
+               return res, errors.New("invalid client ID")
        }
 
        // Respond with auto reply if other client has it enabled
-       if len(*otherClient.AutoReply) > 0 {
+       if len(otherClient.AutoReply) > 0 {
                res = append(res,
                        *NewTransaction(
                                tranServerMsg,
                                cc.ID,
-                               NewField(fieldData, *otherClient.AutoReply),
+                               NewField(fieldData, otherClient.AutoReply),
                                NewField(fieldUserName, otherClient.UserName),
                                NewField(fieldUserID, *otherClient.ID),
                                NewField(fieldOptions, []byte{0, 1}),
@@ -400,26 +343,30 @@ func HandleGetFileInfo(cc *ClientConn, t *Transaction) (res []Transaction, err e
        fileName := t.GetField(fieldFileName).Data
        filePath := t.GetField(fieldFilePath).Data
 
-       ffo, err := NewFlattenedFileObject(cc.Server.Config.FileRoot, filePath, fileName)
+       fullFilePath, err := readPath(cc.Server.Config.FileRoot, filePath, fileName)
+       if err != nil {
+               return res, err
+       }
+
+       fw, err := newFileWrapper(cc.Server.FS, fullFilePath, 0)
        if err != nil {
                return res, err
        }
 
        res = append(res, cc.NewReply(t,
-               NewField(fieldFileName, fileName),
-               NewField(fieldFileTypeString, ffo.FlatFileInformationFork.TypeSignature),
-               NewField(fieldFileCreatorString, ffo.FlatFileInformationFork.CreatorSignature),
-               NewField(fieldFileComment, ffo.FlatFileInformationFork.Comment),
-               NewField(fieldFileType, ffo.FlatFileInformationFork.TypeSignature),
-               NewField(fieldFileCreateDate, ffo.FlatFileInformationFork.CreateDate),
-               NewField(fieldFileModifyDate, ffo.FlatFileInformationFork.ModifyDate),
-               NewField(fieldFileSize, ffo.FlatFileDataForkHeader.DataSize),
+               NewField(fieldFileName, []byte(fw.name)),
+               NewField(fieldFileTypeString, fw.ffo.FlatFileInformationFork.friendlyType()),
+               NewField(fieldFileCreatorString, fw.ffo.FlatFileInformationFork.friendlyCreator()),
+               NewField(fieldFileComment, fw.ffo.FlatFileInformationFork.Comment),
+               NewField(fieldFileType, fw.ffo.FlatFileInformationFork.TypeSignature),
+               NewField(fieldFileCreateDate, fw.ffo.FlatFileInformationFork.CreateDate),
+               NewField(fieldFileModifyDate, fw.ffo.FlatFileInformationFork.ModifyDate),
+               NewField(fieldFileSize, fw.totalSize()),
        ))
        return res, err
 }
 
 // HandleSetFileInfo updates a file or folder name and/or comment from the Get Info window
-// TODO: Implement support for comments
 // Fields used in the request:
 // * 201       File name
 // * 202       File path       Optional
@@ -435,36 +382,77 @@ func HandleSetFileInfo(cc *ClientConn, t *Transaction) (res []Transaction, err e
                return res, err
        }
 
+       fi, err := cc.Server.FS.Stat(fullFilePath)
+       if err != nil {
+               return res, err
+       }
+
+       hlFile, err := newFileWrapper(cc.Server.FS, fullFilePath, 0)
+       if err != nil {
+               return res, err
+       }
+       if t.GetField(fieldFileComment).Data != nil {
+               switch mode := fi.Mode(); {
+               case mode.IsDir():
+                       if !authorize(cc.Account.Access, accessSetFolderComment) {
+                               res = append(res, cc.NewErrReply(t, "You are not allowed to set comments for folders."))
+                               return res, err
+                       }
+               case mode.IsRegular():
+                       if !authorize(cc.Account.Access, accessSetFileComment) {
+                               res = append(res, cc.NewErrReply(t, "You are not allowed to set comments for files."))
+                               return res, err
+                       }
+               }
+
+               hlFile.ffo.FlatFileInformationFork.setComment(t.GetField(fieldFileComment).Data)
+               w, err := hlFile.infoForkWriter()
+               if err != nil {
+                       return res, err
+               }
+               _, err = w.Write(hlFile.ffo.FlatFileInformationFork.MarshalBinary())
+               if err != nil {
+                       return res, err
+               }
+       }
+
        fullNewFilePath, err := readPath(cc.Server.Config.FileRoot, filePath, t.GetField(fieldFileNewName).Data)
        if err != nil {
                return nil, err
        }
 
-       //fileComment := t.GetField(fieldFileComment).Data
        fileNewName := t.GetField(fieldFileNewName).Data
 
        if fileNewName != nil {
-               fi, err := FS.Stat(fullFilePath)
-               if err != nil {
-                       return res, err
-               }
                switch mode := fi.Mode(); {
                case mode.IsDir():
                        if !authorize(cc.Account.Access, accessRenameFolder) {
                                res = append(res, cc.NewErrReply(t, "You are not allowed to rename folders."))
                                return res, err
                        }
+                       err = os.Rename(fullFilePath, fullNewFilePath)
+                       if os.IsNotExist(err) {
+                               res = append(res, cc.NewErrReply(t, "Cannot rename folder "+string(fileName)+" because it does not exist or cannot be found."))
+                               return res, err
+                       }
                case mode.IsRegular():
                        if !authorize(cc.Account.Access, accessRenameFile) {
                                res = append(res, cc.NewErrReply(t, "You are not allowed to rename files."))
                                return res, err
                        }
-               }
-
-               err = os.Rename(fullFilePath, fullNewFilePath)
-               if os.IsNotExist(err) {
-                       res = append(res, cc.NewErrReply(t, "Cannot rename file "+string(fileName)+" because it does not exist or cannot be found."))
-                       return res, err
+                       fileDir, err := readPath(cc.Server.Config.FileRoot, filePath, []byte{})
+                       if err != nil {
+                               return nil, err
+                       }
+                       hlFile.name = string(fileNewName)
+                       err = hlFile.move(fileDir)
+                       if os.IsNotExist(err) {
+                               res = append(res, cc.NewErrReply(t, "Cannot rename file "+string(fileName)+" because it does not exist or cannot be found."))
+                               return res, err
+                       }
+                       if err != nil {
+                               panic(err)
+                       }
                }
        }
 
@@ -486,13 +474,17 @@ func HandleDeleteFile(cc *ClientConn, t *Transaction) (res []Transaction, err er
                return res, err
        }
 
-       cc.Server.Logger.Debugw("Delete file", "src", fullFilePath)
+       hlFile, err := newFileWrapper(cc.Server.FS, fullFilePath, 0)
+       if err != nil {
+               return res, err
+       }
 
-       fi, err := os.Stat(fullFilePath)
+       fi, err := hlFile.dataFile()
        if err != nil {
                res = append(res, cc.NewErrReply(t, "Cannot delete file "+string(fileName)+" because it does not exist or cannot be found."))
                return res, nil
        }
+
        switch mode := fi.Mode(); {
        case mode.IsDir():
                if !authorize(cc.Account.Access, accessDeleteFolder) {
@@ -506,7 +498,7 @@ func HandleDeleteFile(cc *ClientConn, t *Transaction) (res []Transaction, err er
                }
        }
 
-       if err := os.RemoveAll(fullFilePath); err != nil {
+       if err := hlFile.delete(); err != nil {
                return res, err
        }
 
@@ -517,13 +509,26 @@ func HandleDeleteFile(cc *ClientConn, t *Transaction) (res []Transaction, err er
 // HandleMoveFile moves files or folders. Note: seemingly not documented
 func HandleMoveFile(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
        fileName := string(t.GetField(fieldFileName).Data)
-       filePath := cc.Server.Config.FileRoot + ReadFilePath(t.GetField(fieldFilePath).Data)
-       fileNewPath := cc.Server.Config.FileRoot + ReadFilePath(t.GetField(fieldFileNewPath).Data)
+
+       filePath, err := readPath(cc.Server.Config.FileRoot, t.GetField(fieldFilePath).Data, t.GetField(fieldFileName).Data)
+       if err != nil {
+               return res, err
+       }
+
+       fileNewPath, err := readPath(cc.Server.Config.FileRoot, t.GetField(fieldFileNewPath).Data, nil)
+       if err != nil {
+               return res, err
+       }
 
        cc.Server.Logger.Debugw("Move file", "src", filePath+"/"+fileName, "dst", fileNewPath+"/"+fileName)
 
-       path := filePath + "/" + fileName
-       fi, err := os.Stat(path)
+       hlFile, err := newFileWrapper(cc.Server.FS, filePath, 0)
+
+       fi, err := hlFile.dataFile()
+       if err != nil {
+               res = append(res, cc.NewErrReply(t, "Cannot delete file "+fileName+" because it does not exist or cannot be found."))
+               return res, err
+       }
        if err != nil {
                return res, err
        }
@@ -539,22 +544,20 @@ func HandleMoveFile(cc *ClientConn, t *Transaction) (res []Transaction, err erro
                        return res, err
                }
        }
-
-       err = os.Rename(filePath+"/"+fileName, fileNewPath+"/"+fileName)
-       if os.IsNotExist(err) {
-               res = append(res, cc.NewErrReply(t, "Cannot delete file "+fileName+" because it does not exist or cannot be found."))
+       if err := hlFile.move(fileNewPath); err != nil {
                return res, err
        }
-       if err != nil {
-               return []Transaction{}, err
-       }
-       // TODO: handle other possible errors; e.g. file delete fails due to file permission issue
+       // TODO: handle other possible errors; e.g. fileWrapper delete fails due to fileWrapper permission issue
 
        res = append(res, cc.NewReply(t))
        return res, err
 }
 
 func HandleNewFolder(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessCreateFolder) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to create folders."))
+               return res, err
+       }
        newFolderPath := cc.Server.Config.FileRoot
        folderName := string(t.GetField(fieldFileName).Data)
 
@@ -573,14 +576,14 @@ func HandleNewFolder(cc *ClientConn, t *Transaction) (res []Transaction, err err
 
        // TODO: check path and folder name lengths
 
-       if _, err := FS.Stat(newFolderPath); !os.IsNotExist(err) {
+       if _, err := cc.Server.FS.Stat(newFolderPath); !os.IsNotExist(err) {
                msg := fmt.Sprintf("Cannot create folder \"%s\" because there is already a file or folder with that name.", folderName)
                return []Transaction{cc.NewErrReply(t, msg)}, nil
        }
 
        // TODO: check for disallowed characters to maintain compatibility for original client
 
-       if err := FS.Mkdir(newFolderPath, 0777); err != nil {
+       if err := cc.Server.FS.Mkdir(newFolderPath, 0777); err != nil {
                msg := fmt.Sprintf("Cannot create folder \"%s\" because an error occurred.", folderName)
                return []Transaction{cc.NewErrReply(t, msg)}, nil
        }
@@ -590,6 +593,11 @@ func HandleNewFolder(cc *ClientConn, t *Transaction) (res []Transaction, err err
 }
 
 func HandleSetUser(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessModifyUser) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to modify accounts."))
+               return res, err
+       }
+
        login := DecodeUserString(t.GetField(fieldUserLogin).Data)
        userName := string(t.GetField(fieldUserName).Data)
 
@@ -608,12 +616,11 @@ func HandleSetUser(cc *ClientConn, t *Transaction) (res []Transaction, err error
                account.Password = hashAndSalt(t.GetField(fieldUserPassword).Data)
        }
 
-       file := cc.Server.ConfigDir + "Users/" + login + ".yaml"
        out, err := yaml.Marshal(&account)
        if err != nil {
                return res, err
        }
-       if err := ioutil.WriteFile(file, out, 0666); err != nil {
+       if err := os.WriteFile(cc.Server.ConfigDir+"Users/"+login+".yaml", out, 0666); err != nil {
                return res, err
        }
 
@@ -644,19 +651,19 @@ func HandleSetUser(cc *ClientConn, t *Transaction) (res []Transaction, err error
                }
        }
 
-       // TODO: If we have just promoted a connected user to admin, notify
-       // connected clients to turn the user red
-
        res = append(res, cc.NewReply(t))
        return res, err
 }
 
 func HandleGetUser(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
-       userLogin := string(t.GetField(fieldUserLogin).Data)
-       account := cc.Server.Accounts[userLogin]
+       if !authorize(cc.Account.Access, accessOpenUser) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to view accounts."))
+               return res, err
+       }
+
+       account := cc.Server.Accounts[string(t.GetField(fieldUserLogin).Data)]
        if account == nil {
-               errorT := cc.NewErrReply(t, "Account does not exist.")
-               res = append(res, errorT)
+               res = append(res, cc.NewErrReply(t, "Account does not exist."))
                return res, err
        }
 
@@ -670,8 +677,12 @@ func HandleGetUser(cc *ClientConn, t *Transaction) (res []Transaction, err error
 }
 
 func HandleListUsers(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessOpenUser) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to view accounts."))
+               return res, err
+       }
+
        var userFields []Field
-       // TODO: make order deterministic
        for _, acc := range cc.Server.Accounts {
                userField := acc.MarshalBinary()
                userFields = append(userFields, NewField(fieldData, userField))
@@ -681,12 +692,104 @@ func HandleListUsers(cc *ClientConn, t *Transaction) (res []Transaction, err err
        return res, err
 }
 
+// HandleUpdateUser is used by the v1.5+ multi-user editor to perform account editing for multiple users at a time.
+// An update can be a mix of these actions:
+// * Create user
+// * Delete user
+// * Modify user (including renaming the account login)
+//
+// The Transaction sent by the client includes one data field per user that was modified.  This data field in turn
+// contains another data field encoded in its payload with a varying number of sub fields depending on which action is
+// performed.  This seems to be the only place in the Hotline protocol where a data field contains another data field.
+func HandleUpdateUser(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       for _, field := range t.Fields {
+               subFields, err := ReadFields(field.Data[0:2], field.Data[2:])
+               if err != nil {
+                       return res, err
+               }
+
+               if len(subFields) == 1 {
+                       login := DecodeUserString(getField(fieldData, &subFields).Data)
+                       cc.Server.Logger.Infow("DeleteUser", "login", login)
+
+                       if !authorize(cc.Account.Access, accessDeleteUser) {
+                               res = append(res, cc.NewErrReply(t, "You are not allowed to delete accounts."))
+                               return res, err
+                       }
+
+                       if err := cc.Server.DeleteUser(login); err != nil {
+                               return res, err
+                       }
+                       continue
+               }
+
+               login := DecodeUserString(getField(fieldUserLogin, &subFields).Data)
+
+               // check if the login dataFile; if so, we know we are updating an existing user
+               if acc, ok := cc.Server.Accounts[login]; ok {
+                       cc.Server.Logger.Infow("UpdateUser", "login", login)
+
+                       // account dataFile, so this is an update action
+                       if !authorize(cc.Account.Access, accessModifyUser) {
+                               res = append(res, cc.NewErrReply(t, "You are not allowed to modify accounts."))
+                               return res, err
+                       }
+
+                       if getField(fieldUserPassword, &subFields) != nil {
+                               newPass := getField(fieldUserPassword, &subFields).Data
+                               acc.Password = hashAndSalt(newPass)
+                       } else {
+                               acc.Password = hashAndSalt([]byte(""))
+                       }
+
+                       if getField(fieldUserAccess, &subFields) != nil {
+                               acc.Access = &getField(fieldUserAccess, &subFields).Data
+                       }
+
+                       err = cc.Server.UpdateUser(
+                               DecodeUserString(getField(fieldData, &subFields).Data),
+                               DecodeUserString(getField(fieldUserLogin, &subFields).Data),
+                               string(getField(fieldUserName, &subFields).Data),
+                               acc.Password,
+                               *acc.Access,
+                       )
+                       if err != nil {
+                               return res, err
+                       }
+               } else {
+                       cc.Server.Logger.Infow("CreateUser", "login", login)
+
+                       if !authorize(cc.Account.Access, accessCreateUser) {
+                               res = append(res, cc.NewErrReply(t, "You are not allowed to create new accounts."))
+                               return res, err
+                       }
+
+                       err := cc.Server.NewUser(
+                               login,
+                               string(getField(fieldUserName, &subFields).Data),
+                               string(getField(fieldUserPassword, &subFields).Data),
+                               getField(fieldUserAccess, &subFields).Data,
+                       )
+                       if err != nil {
+                               return []Transaction{}, err
+                       }
+               }
+       }
+
+       res = append(res, cc.NewReply(t))
+       return res, err
+}
+
 // HandleNewUser creates a new user account
 func HandleNewUser(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessCreateUser) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to create new accounts."))
+               return res, err
+       }
+
        login := DecodeUserString(t.GetField(fieldUserLogin).Data)
 
-       // If the account already exists, reply with an error
-       // TODO: make order deterministic
+       // If the account already dataFile, reply with an error
        if _, ok := cc.Server.Accounts[login]; ok {
                res = append(res, cc.NewErrReply(t, "Cannot create account "+login+" because there is already an account with that login."))
                return res, err
@@ -706,6 +809,11 @@ func HandleNewUser(cc *ClientConn, t *Transaction) (res []Transaction, err error
 }
 
 func HandleDeleteUser(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessDeleteUser) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to delete accounts."))
+               return res, err
+       }
+
        // TODO: Handle case where account doesn't exist; e.g. delete race condition
        login := DecodeUserString(t.GetField(fieldUserLogin).Data)
 
@@ -719,6 +827,11 @@ func HandleDeleteUser(cc *ClientConn, t *Transaction) (res []Transaction, err er
 
 // HandleUserBroadcast sends an Administrator Message to all connected clients of the server
 func HandleUserBroadcast(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessBroadcast) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to send broadcast messages."))
+               return res, err
+       }
+
        cc.sendAll(
                tranServerMsg,
                NewField(fieldData, t.GetField(tranGetMsgs).Data),
@@ -741,6 +854,11 @@ func byteToInt(bytes []byte) (int, error) {
 }
 
 func HandleGetClientConnInfoText(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessGetClientInfo) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to get client info"))
+               return res, err
+       }
+
        clientID, _ := byteToInt(t.GetField(fieldUserID).Data)
 
        clientConn := cc.Server.Clients[uint16(clientID)]
@@ -787,7 +905,7 @@ None.
                clientConn.UserName,
                clientConn.Account.Name,
                clientConn.Account.Login,
-               clientConn.Connection.RemoteAddr().String(),
+               clientConn.RemoteAddr,
                activeDownloadList,
        )
        template = strings.Replace(template, "\n", "\r", -1)
@@ -805,21 +923,6 @@ func HandleGetUserNameList(cc *ClientConn, t *Transaction) (res []Transaction, e
        return res, err
 }
 
-func (cc *ClientConn) notifyNewUserHasJoined() (res []Transaction, err error) {
-       // Notify other ccs that a new user has connected
-       cc.NotifyOthers(
-               *NewTransaction(
-                       tranNotifyChangeUser, nil,
-                       NewField(fieldUserName, cc.UserName),
-                       NewField(fieldUserID, *cc.ID),
-                       NewField(fieldUserIconID, *cc.Icon),
-                       NewField(fieldUserFlags, *cc.Flags),
-               ),
-       )
-
-       return res, nil
-}
-
 func HandleTranAgreed(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
        cc.Agreed = true
        cc.UserName = t.GetField(fieldUserName).Data
@@ -844,12 +947,20 @@ func HandleTranAgreed(cc *ClientConn, t *Transaction) (res []Transaction, err er
 
        // Check auto response
        if optBitmap.Bit(autoResponse) == 1 {
-               *cc.AutoReply = t.GetField(fieldAutomaticResponse).Data
+               cc.AutoReply = t.GetField(fieldAutomaticResponse).Data
        } else {
-               *cc.AutoReply = []byte{}
+               cc.AutoReply = []byte{}
        }
 
-       _, _ = cc.notifyNewUserHasJoined()
+       cc.notifyOthers(
+               *NewTransaction(
+                       tranNotifyChangeUser, nil,
+                       NewField(fieldUserName, cc.UserName),
+                       NewField(fieldUserID, *cc.ID),
+                       NewField(fieldUserIconID, *cc.Icon),
+                       NewField(fieldUserFlags, *cc.Flags),
+               ),
+       )
 
        res = append(res, cc.NewReply(t))
 
@@ -869,6 +980,11 @@ __________________________________________________________`
 // Fields used in this request:
 // 101 Data
 func HandleTranOldPostNews(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessNewsPostArt) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to post news."))
+               return res, err
+       }
+
        cc.Server.flatNewsMux.Lock()
        defer cc.Server.flatNewsMux.Unlock()
 
@@ -904,6 +1020,11 @@ func HandleTranOldPostNews(cc *ClientConn, t *Transaction) (res []Transaction, e
 }
 
 func HandleDisconnectUser(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessDisconUser) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to disconnect users."))
+               return res, err
+       }
+
        clientConn := cc.Server.Clients[binary.BigEndian.Uint16(t.GetField(fieldUserID).Data)]
 
        if authorize(clientConn.Account.Access, accessCannotBeDiscon) {
@@ -919,9 +1040,14 @@ func HandleDisconnectUser(cc *ClientConn, t *Transaction) (res []Transaction, er
        return res, err
 }
 
+// HandleGetNewsCatNameList returns a list of news categories for a path
+// Fields used in the request:
+// 325 News path       (Optional)
 func HandleGetNewsCatNameList(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
-       // Fields used in the request:
-       // 325  News path       (Optional)
+       if !authorize(cc.Account.Access, accessNewsReadArt) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to read news."))
+               return res, err
+       }
 
        newsPath := t.GetField(fieldNewsPath).Data
        cc.Server.Logger.Infow("NewsPath: ", "np", string(newsPath))
@@ -953,6 +1079,11 @@ func HandleGetNewsCatNameList(cc *ClientConn, t *Transaction) (res []Transaction
 }
 
 func HandleNewNewsCat(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessNewsCreateCat) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to create news categories."))
+               return res, err
+       }
+
        name := string(t.GetField(fieldNewsCatName).Data)
        pathStrs := ReadNewsPath(t.GetField(fieldNewsPath).Data)
 
@@ -971,10 +1102,15 @@ func HandleNewNewsCat(cc *ClientConn, t *Transaction) (res []Transaction, err er
        return res, err
 }
 
+// Fields used in the request:
+// 322 News category name
+// 325 News path
 func HandleNewNewsFldr(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
-       // Fields used in the request:
-       // 322  News category name
-       // 325  News path
+       if !authorize(cc.Account.Access, accessNewsCreateFldr) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to create news folders."))
+               return res, err
+       }
+
        name := string(t.GetField(fieldFileName).Data)
        pathStrs := ReadNewsPath(t.GetField(fieldNewsPath).Data)
 
@@ -1000,14 +1136,18 @@ func HandleNewNewsFldr(cc *ClientConn, t *Transaction) (res []Transaction, err e
 // Reply fields:
 // 321 News article list data  Optional
 func HandleGetNewsArtNameList(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessNewsReadArt) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to read news."))
+               return res, err
+       }
        pathStrs := ReadNewsPath(t.GetField(fieldNewsPath).Data)
 
        var cat NewsCategoryListData15
        cats := cc.Server.ThreadedNews.Categories
 
-       for _, path := range pathStrs {
-               cat = cats[path]
-               cats = cats[path].SubCats
+       for _, fp := range pathStrs {
+               cat = cats[fp]
+               cats = cats[fp].SubCats
        }
 
        nald := cat.GetNewsArtListData()
@@ -1017,8 +1157,13 @@ func HandleGetNewsArtNameList(cc *ClientConn, t *Transaction) (res []Transaction
 }
 
 func HandleGetNewsArtData(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessNewsReadArt) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to read news."))
+               return res, err
+       }
+
        // Request fields
-       // 325  News path
+       // 325  News fp
        // 326  News article ID
        // 327  News article data flavor
 
@@ -1027,9 +1172,9 @@ func HandleGetNewsArtData(cc *ClientConn, t *Transaction) (res []Transaction, er
        var cat NewsCategoryListData15
        cats := cc.Server.ThreadedNews.Categories
 
-       for _, path := range pathStrs {
-               cat = cats[path]
-               cats = cats[path].SubCats
+       for _, fp := range pathStrs {
+               cat = cats[fp]
+               cats = cats[fp].SubCats
        }
        newsArtID := t.GetField(fieldNewsArtID).Data
 
@@ -1067,7 +1212,8 @@ func HandleGetNewsArtData(cc *ClientConn, t *Transaction) (res []Transaction, er
 }
 
 func HandleDelNewsItem(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
-       // Access:              News Delete Folder (37) or News Delete Category (35)
+       // Has multiple access flags: News Delete Folder (37) or News Delete Category (35)
+       // TODO: Implement
 
        pathStrs := ReadNewsPath(t.GetField(fieldNewsPath).Data)
 
@@ -1079,8 +1225,8 @@ func HandleDelNewsItem(cc *ClientConn, t *Transaction) (res []Transaction, err e
 
        delName := pathStrs[len(pathStrs)-1]
        if len(pathStrs) > 1 {
-               for _, path := range pathStrs[0 : len(pathStrs)-1] {
-                       cats = cats[path].SubCats
+               for _, fp := range pathStrs[0 : len(pathStrs)-1] {
+                       cats = cats[fp].SubCats
                }
        }
 
@@ -1098,6 +1244,11 @@ func HandleDelNewsItem(cc *ClientConn, t *Transaction) (res []Transaction, err e
 }
 
 func HandleDelNewsArt(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessNewsDeleteArt) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to delete news articles."))
+               return res, err
+       }
+
        // Request Fields
        // 325  News path
        // 326  News article ID
@@ -1122,14 +1273,18 @@ func HandleDelNewsArt(cc *ClientConn, t *Transaction) (res []Transaction, err er
        return res, err
 }
 
+// Request fields
+// 325 News path
+// 326 News article ID                                                 ID of the parent article?
+// 328 News article title
+// 334 News article flags
+// 327 News article data flavor                Currently “text/plain”
+// 333 News article data
 func HandlePostNewsArt(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
-       // Request fields
-       // 325  News path
-       // 326  News article ID                                                 ID of the parent article?
-       // 328  News article title
-       // 334  News article flags
-       // 327  News article data flavor                Currently “text/plain”
-       // 333  News article data
+       if !authorize(cc.Account.Access, accessNewsPostArt) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to post news articles."))
+               return res, err
+       }
 
        pathStrs := ReadNewsPath(t.GetField(fieldNewsPath).Data)
        cats := cc.Server.GetNewsCatByPath(pathStrs[:len(pathStrs)-1])
@@ -1140,7 +1295,7 @@ func HandlePostNewsArt(cc *ClientConn, t *Transaction) (res []Transaction, err e
        newArt := NewsArtData{
                Title:         string(t.GetField(fieldNewsArtTitle).Data),
                Poster:        string(cc.UserName),
-               Date:          NewsDate(),
+               Date:          toHotlineTime(time.Now()),
                PrevArt:       []byte{0, 0, 0, 0},
                NextArt:       []byte{0, 0, 0, 0},
                ParentArt:     append([]byte{0, 0}, t.GetField(fieldNewsArtID).Data...),
@@ -1189,22 +1344,42 @@ func HandlePostNewsArt(cc *ClientConn, t *Transaction) (res []Transaction, err e
 
 // HandleGetMsgs returns the flat news data
 func HandleGetMsgs(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessNewsReadArt) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to read news."))
+               return res, err
+       }
+
        res = append(res, cc.NewReply(t, NewField(fieldData, cc.Server.FlatNews)))
 
        return res, err
 }
 
 func HandleDownloadFile(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessDownloadFile) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to download files."))
+               return res, err
+       }
+
        fileName := t.GetField(fieldFileName).Data
        filePath := t.GetField(fieldFilePath).Data
+       resumeData := t.GetField(fieldFileResumeData).Data
 
-       var fp FilePath
-       err = fp.UnmarshalBinary(filePath)
+       var dataOffset int64
+       var frd FileResumeData
+       if resumeData != nil {
+               if err := frd.UnmarshalBinary(t.GetField(fieldFileResumeData).Data); err != nil {
+                       return res, err
+               }
+               // TODO: handle rsrc fork offset
+               dataOffset = int64(binary.BigEndian.Uint32(frd.ForkInfoList[0].DataSize[:]))
+       }
+
+       fullFilePath, err := readPath(cc.Server.Config.FileRoot, filePath, fileName)
        if err != nil {
                return res, err
        }
 
-       ffo, err := NewFlattenedFileObject(cc.Server.Config.FileRoot, filePath, fileName)
+       hlFile, err := newFileWrapper(cc.Server.FS, fullFilePath, dataOffset)
        if err != nil {
                return res, err
        }
@@ -1219,44 +1394,48 @@ func HandleDownloadFile(cc *ClientConn, t *Transaction) (res []Transaction, err
                Type:            FileDownload,
        }
 
+       // TODO: refactor to remove this
+       if resumeData != nil {
+               var frd FileResumeData
+               if err := frd.UnmarshalBinary(t.GetField(fieldFileResumeData).Data); err != nil {
+                       return res, err
+               }
+               ft.fileResumeData = &frd
+       }
+
+       xferSize := hlFile.ffo.TransferSize(0)
+
+       // Optional field for when a HL v1.5+ client requests file preview
+       // Used only for TEXT, JPEG, GIFF, BMP or PICT files
+       // The value will always be 2
+       if t.GetField(fieldFileTransferOptions).Data != nil {
+               ft.options = t.GetField(fieldFileTransferOptions).Data
+               xferSize = hlFile.ffo.FlatFileDataForkHeader.DataSize[:]
+       }
+
+       cc.Server.mux.Lock()
+       defer cc.Server.mux.Unlock()
        cc.Server.FileTransfers[data] = ft
+
        cc.Transfers[FileDownload] = append(cc.Transfers[FileDownload], ft)
 
        res = append(res, cc.NewReply(t,
                NewField(fieldRefNum, transactionRef),
                NewField(fieldWaitingCount, []byte{0x00, 0x00}), // TODO: Implement waiting count
-               NewField(fieldTransferSize, ffo.TransferSize()),
-               NewField(fieldFileSize, ffo.FlatFileDataForkHeader.DataSize),
+               NewField(fieldTransferSize, xferSize),
+               NewField(fieldFileSize, hlFile.ffo.FlatFileDataForkHeader.DataSize[:]),
        ))
 
        return res, err
 }
 
 // Download all files from the specified folder and sub-folders
-// response example
-//
-//     00
-//     01
-//     00 00
-//     00 00 00 11
-//     00 00 00 00
-//     00 00 00 18
-//     00 00 00 18
-//
-//     00 03
-//
-//     00 6c // transfer size
-//     00 04 // len
-//     00 0f d5 ae
-//
-//     00 dc // field Folder item count
-//     00 02 // len
-//     00 02
-//
-//     00 6b // ref number
-//     00 04 // len
-//     00 03 64 b1
 func HandleDownloadFolder(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessDownloadFile) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to download folders."))
+               return res, err
+       }
+
        transactionRef := cc.Server.NewTransactionRef()
        data := binary.BigEndian.Uint32(transactionRef)
 
@@ -1266,7 +1445,9 @@ func HandleDownloadFolder(cc *ClientConn, t *Transaction) (res []Transaction, er
                ReferenceNumber: transactionRef,
                Type:            FolderDownload,
        }
+       cc.Server.mux.Lock()
        cc.Server.FileTransfers[data] = fileTransfer
+       cc.Server.mux.Unlock()
        cc.Transfers[FolderDownload] = append(cc.Transfers[FolderDownload], fileTransfer)
 
        var fp FilePath
@@ -1276,6 +1457,9 @@ func HandleDownloadFolder(cc *ClientConn, t *Transaction) (res []Transaction, er
        }
 
        fullFilePath, err := readPath(cc.Server.Config.FileRoot, t.GetField(fieldFilePath).Data, t.GetField(fieldFileName).Data)
+       if err != nil {
+               return res, err
+       }
 
        transferSize, err := CalcTotalSize(fullFilePath)
        if err != nil {
@@ -1305,6 +1489,21 @@ func HandleUploadFolder(cc *ClientConn, t *Transaction) (res []Transaction, err
        transactionRef := cc.Server.NewTransactionRef()
        data := binary.BigEndian.Uint32(transactionRef)
 
+       var fp FilePath
+       if t.GetField(fieldFilePath).Data != nil {
+               if err = fp.UnmarshalBinary(t.GetField(fieldFilePath).Data); err != nil {
+                       return res, err
+               }
+       }
+
+       // Handle special cases for Upload and Drop Box folders
+       if !authorize(cc.Account.Access, accessUploadAnywhere) {
+               if !fp.IsUploadDir() && !fp.IsDropbox() {
+                       res = append(res, cc.NewErrReply(t, fmt.Sprintf("Cannot accept upload of the folder \"%v\" because you are only allowed to upload to the \"Uploads\" folder.", string(t.GetField(fieldFileName).Data))))
+                       return res, err
+               }
+       }
+
        fileTransfer := &FileTransfer{
                FileName:        t.GetField(fieldFileName).Data,
                FilePath:        t.GetField(fieldFilePath).Data,
@@ -1319,8 +1518,14 @@ func HandleUploadFolder(cc *ClientConn, t *Transaction) (res []Transaction, err
        return res, err
 }
 
+// HandleUploadFile
+// Fields used in the request:
+// 201 File name
+// 202 File path
+// 204 File transfer options   "Optional
+// Used only to resume download, currently has value 2"
+// 108 File transfer size      "Optional used if download is not resumed"
 func HandleUploadFile(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
-       // TODO: add permission handing for upload folders and drop boxes
        if !authorize(cc.Account.Access, accessUploadFile) {
                res = append(res, cc.NewErrReply(t, "You are not allowed to upload files."))
                return res, err
@@ -1329,27 +1534,68 @@ func HandleUploadFile(cc *ClientConn, t *Transaction) (res []Transaction, err er
        fileName := t.GetField(fieldFileName).Data
        filePath := t.GetField(fieldFilePath).Data
 
+       transferOptions := t.GetField(fieldFileTransferOptions).Data
+
+       // TODO: is this field useful for anything?
+       // transferSize := t.GetField(fieldTransferSize).Data
+
+       var fp FilePath
+       if filePath != nil {
+               if err = fp.UnmarshalBinary(filePath); err != nil {
+                       return res, err
+               }
+       }
+
+       // Handle special cases for Upload and Drop Box folders
+       if !authorize(cc.Account.Access, accessUploadAnywhere) {
+               if !fp.IsUploadDir() && !fp.IsDropbox() {
+                       res = append(res, cc.NewErrReply(t, fmt.Sprintf("Cannot accept upload of the file \"%v\" because you are only allowed to upload to the \"Uploads\" folder.", string(fileName))))
+                       return res, err
+               }
+       }
+
        transactionRef := cc.Server.NewTransactionRef()
        data := binary.BigEndian.Uint32(transactionRef)
 
+       cc.Server.mux.Lock()
        cc.Server.FileTransfers[data] = &FileTransfer{
                FileName:        fileName,
                FilePath:        filePath,
                ReferenceNumber: transactionRef,
                Type:            FileUpload,
        }
+       cc.Server.mux.Unlock()
 
-       res = append(res, cc.NewReply(t, NewField(fieldRefNum, transactionRef)))
+       replyT := cc.NewReply(t, NewField(fieldRefNum, transactionRef))
+
+       // client has requested to resume a partially transferred file
+       if transferOptions != nil {
+               fullFilePath, err := readPath(cc.Server.Config.FileRoot, filePath, fileName)
+               if err != nil {
+                       return res, err
+               }
+
+               fileInfo, err := cc.Server.FS.Stat(fullFilePath + incompleteFileSuffix)
+               if err != nil {
+                       return res, err
+               }
+
+               offset := make([]byte, 4)
+               binary.BigEndian.PutUint32(offset, uint32(fileInfo.Size()))
+
+               fileResumeData := NewFileResumeData([]ForkInfoList{
+                       *NewForkInfoList(offset),
+               })
+
+               b, _ := fileResumeData.BinaryMarshal()
+
+               replyT.Fields = append(replyT.Fields, NewField(fieldFileResumeData, b))
+       }
+
+       res = append(res, replyT)
        return res, err
 }
 
-// User options
-const (
-       refusePM     = 0
-       refuseChat   = 1
-       autoResponse = 2
-)
-
 func HandleSetClientUserInfo(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
        var icon []byte
        if len(t.GetField(fieldUserIconID).Data) == 4 {
@@ -1367,23 +1613,17 @@ func HandleSetClientUserInfo(cc *ClientConn, t *Transaction) (res []Transaction,
                optBitmap := big.NewInt(int64(binary.BigEndian.Uint16(options)))
                flagBitmap := big.NewInt(int64(binary.BigEndian.Uint16(*cc.Flags)))
 
-               // Check refuse private PM option
-               if optBitmap.Bit(refusePM) == 1 {
-                       flagBitmap.SetBit(flagBitmap, userFlagRefusePM, 1)
-                       binary.BigEndian.PutUint16(*cc.Flags, uint16(flagBitmap.Int64()))
-               }
+               flagBitmap.SetBit(flagBitmap, userFlagRefusePM, optBitmap.Bit(refusePM))
+               binary.BigEndian.PutUint16(*cc.Flags, uint16(flagBitmap.Int64()))
 
-               // Check refuse private chat option
-               if optBitmap.Bit(refuseChat) == 1 {
-                       flagBitmap.SetBit(flagBitmap, userFLagRefusePChat, 1)
-                       binary.BigEndian.PutUint16(*cc.Flags, uint16(flagBitmap.Int64()))
-               }
+               flagBitmap.SetBit(flagBitmap, userFLagRefusePChat, optBitmap.Bit(refuseChat))
+               binary.BigEndian.PutUint16(*cc.Flags, uint16(flagBitmap.Int64()))
 
                // Check auto response
                if optBitmap.Bit(autoResponse) == 1 {
-                       *cc.AutoReply = t.GetField(fieldAutomaticResponse).Data
+                       cc.AutoReply = t.GetField(fieldAutomaticResponse).Data
                } else {
-                       *cc.AutoReply = []byte{}
+                       cc.AutoReply = []byte{}
                }
        }
 
@@ -1399,9 +1639,9 @@ func HandleSetClientUserInfo(cc *ClientConn, t *Transaction) (res []Transaction,
        return res, err
 }
 
-// HandleKeepAlive response to keepalive transactions with an empty reply
-// HL 1.9.2 Client sends keepalive msg every 3 minutes
-// HL 1.2.3 Client doesn't send keepalives
+// HandleKeepAlive responds to keepalive transactions with an empty reply
+// HL 1.9.2 Client sends keepalive msg every 3 minutes
+// HL 1.2.3 Client doesn't send keepalives
 func HandleKeepAlive(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
        res = append(res, cc.NewReply(t))
 
@@ -1418,6 +1658,19 @@ func HandleGetFileNameList(cc *ClientConn, t *Transaction) (res []Transaction, e
                return res, err
        }
 
+       var fp FilePath
+       if t.GetField(fieldFilePath).Data != nil {
+               if err = fp.UnmarshalBinary(t.GetField(fieldFilePath).Data); err != nil {
+                       return res, err
+               }
+       }
+
+       // Handle special case for drop box folders
+       if fp.IsDropbox() && !authorize(cc.Account.Access, accessViewDropBoxes) {
+               res = append(res, cc.NewReply(t))
+               return res, err
+       }
+
        fileNames, err := getFileNameList(fullPath)
        if err != nil {
                return res, err
@@ -1442,6 +1695,11 @@ func HandleGetFileNameList(cc *ClientConn, t *Transaction) (res []Transaction, e
 
 // HandleInviteNewChat invites users to new private chat
 func HandleInviteNewChat(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessOpenChat) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to request private chat."))
+               return res, err
+       }
+
        // Client to Invite
        targetID := t.GetField(fieldUserID).Data
        newChatID := cc.Server.NewPrivateChat(cc)
@@ -1470,6 +1728,11 @@ func HandleInviteNewChat(cc *ClientConn, t *Transaction) (res []Transaction, err
 }
 
 func HandleInviteToChat(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessOpenChat) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to request private chat."))
+               return res, err
+       }
+
        // Client to Invite
        targetID := t.GetField(fieldUserID).Data
        chatID := t.GetField(fieldChatID).Data
@@ -1615,3 +1878,41 @@ func HandleSetChatSubject(cc *ClientConn, t *Transaction) (res []Transaction, er
 
        return res, err
 }
+
+// HandleMakeAlias makes a filer alias using the specified path.
+// Fields used in the request:
+// 201 File name
+// 202 File path
+// 212 File new path   Destination path
+//
+// Fields used in the reply:
+// None
+func HandleMakeAlias(cc *ClientConn, t *Transaction) (res []Transaction, err error) {
+       if !authorize(cc.Account.Access, accessMakeAlias) {
+               res = append(res, cc.NewErrReply(t, "You are not allowed to make aliases."))
+               return res, err
+       }
+       fileName := t.GetField(fieldFileName).Data
+       filePath := t.GetField(fieldFilePath).Data
+       fileNewPath := t.GetField(fieldFileNewPath).Data
+
+       fullFilePath, err := readPath(cc.Server.Config.FileRoot, filePath, fileName)
+       if err != nil {
+               return res, err
+       }
+
+       fullNewFilePath, err := readPath(cc.Server.Config.FileRoot, fileNewPath, fileName)
+       if err != nil {
+               return res, err
+       }
+
+       cc.Server.Logger.Debugw("Make alias", "src", fullFilePath, "dst", fullNewFilePath)
+
+       if err := cc.Server.FS.Symlink(fullFilePath, fullNewFilePath); err != nil {
+               res = append(res, cc.NewErrReply(t, "Error creating alias"))
+               return res, nil
+       }
+
+       res = append(res, cc.NewReply(t))
+       return res, err
+}