Błędy odmowy dostępu po zainstalowaniu SUPEE-6285

Po zainstalowaniu poprawki SUPEE-6285 w naszym sklepie Magento 1.7.0.2 system wyświetla błąd „ Odmowa dostępu ” podczas próby uzyskania dostępu do wszystkich modułów niestandardowych dla użytkowników, którzy mają uprawnienia selektywne (nie wszystkie). Zrzut ekranu poniżej.

Uprawnienia użytkowników są poprawnie ustawione w zasobach roli, a my ponownie zastosowaliśmy ustawienia uprawnień, aby się upewnić, że są one ustawione.

Problem został odtworzony w wielu niestandardowych rozszerzeniach, więc nie jest to pojedyncze rozszerzenie, które nie działa.

Wylogowałem się / zalogowałem, wyczyściłem pamięć podręczną i potwierdziłem, że kompilator jest wyłączony.

Czy ktoś może zasugerować, jak rozwiązać ten problem?

Jak napisano tutaj :

Jeśli korzystasz z ograniczonych kont administratora, niektóre menu rozszerzeń innych firm mogą już nie działać. Powodem jest to, że domyślna wartość zwracana Mage_Adminhtml_Controller_Action::_isAllowed()została zmieniona z truena Mage::getSingleton('admin/session')->isAllowed('admin'). Rozszerzenia, które nie zastępują tej metody w swoich kontrolerach administracyjnych, ponieważ nie używają ACL, teraz potrzebują uprawnienia „WSZYSTKO” .

Jedynym rozwiązaniem jest załatanie rozszerzeń i dodanie tej metody do wszystkich kontrolerów administratora:

protected function _isAllowed()
{
    return true;
}

Lub jeśli faktycznie mają zasób ACL zdefiniowany w etc/adminhtml.xml:

protected function _isAllowed()
{
    return Mage::getSingleton('admin/session')->isAllowed('ENTER RESOURCE IDENTIFIER HERE');
}

Jak ustalić identyfikator zasobu

Tak adminhtml.xmlmoże wyglądać:

Weź nazwy węzłów poniżej acl/resources/admin/children, pomijając kolejne childrenwęzły.

Jak utworzyć brakujące identyfikatory zasobów

Jeśli istnieje tylko <menu>definicja, ale nie ma <acl>definicji, możesz także zdefiniować własną (nie musi ona znajdować się w tym samym module, więc nie trzeba modyfikować plików innych firm):

Skopiować wszystko poniżej menucelu acl/resources/admin/childreni usunąć <action>węzły.

Automatyczna poprawka

Na stronie https://gist.github.com/raybogman/eec47237b8ef0d4dd0fd znajduje się dobre narzędzie wiersza polecenia

Obsługuje większość brakujących _isAllowed()wywołań całkiem dobrze, ale spowoduje uszkodzenie kodu z zaciemnionymi lub zaszyfrowanymi plikami źródłowymi, dlatego nadal należy ręcznie sprawdzać wyniki.

W moim przypadku dla modułów stron trzecich dodanie poniższego kodu do kontrolerów adminhtml działało:

protected function _isAllowed()

{
     return true;
}

Powinno być:

protected function _isAllowed()
{
    return Mage::getSingleton('admin/session')->isAllowed('system/config');
}

W takim przypadku zwraca ustawienia ACL z Magento. Zastanawiam się tylko, czy Magento Core Team naprawi go inną łatką, czy powinno to zostać zrobione w app / code / local jako globalna poprawka ...