Accesso agli errori negati dopo l'installazione di SUPEE-6285

Dopo aver installato la patch SUPEE-6285 sul nostro archivio Magento 1.7.0.2, il sistema mostra un errore " Accesso negato " quando tenta di accedere a tutti i moduli personalizzati per gli utenti che dispongono di autorizzazioni selettive (non tutte le autorizzazioni). Screenshot sotto.

Le autorizzazioni utente sono impostate correttamente in Risorse ruolo e abbiamo applicato nuovamente le impostazioni delle autorizzazioni per assicurarci che siano impostate.

Il problema è stato riprodotto su più estensioni personalizzate, quindi non è solo una singola estensione che non funziona.

Ho effettuato il logout / in, cancellato la cache e confermato che il compilatore è disabilitato.

Qualcuno può suggerire come risolvere questo?

Come scritto qui :

Se si utilizzano account di amministratore con restrizioni, alcuni menu di estensioni di terze parti potrebbero non funzionare più per loro. Il motivo è che il valore di ritorno predefinito di Mage_Adminhtml_Controller_Action::_isAllowed()è stato modificato da truea Mage::getSingleton('admin/session')->isAllowed('admin'). Le estensioni che non sostituiscono questo metodo nei loro controller di amministrazione perché non usano l'ACL, ora hanno bisogno del privilegio "TUTTO" .

L'unica soluzione è patchare le estensioni e aggiungere questo metodo a tutti i loro controller di amministrazione:

protected function _isAllowed()
{
    return true;
}

O se in realtà hanno una risorsa ACL definita in etc/adminhtml.xml:

protected function _isAllowed()
{
    return Mage::getSingleton('admin/session')->isAllowed('ENTER RESOURCE IDENTIFIER HERE');
}

Come determinare l'identificatore di risorsa

Ecco come adminhtml.xmlpotrebbe apparire:

Prendi i nomi dei nodi seguenti acl/resources/admin/children, saltando i seguenti childrennodi.

Come creare identificatori di risorse mancanti

Se esiste solo una <menu>definizione ma nessuna <acl>definizione, puoi anche definirne una tua (non deve essere all'interno dello stesso modulo, quindi non è necessario modificare alcun file di terze parti) ::

Copiare tutto sotto menuper acl/resources/admin/childrene togliere i <action>nodi.

Correzione automatica

Esiste un buon strumento da riga di comando di SupportDesk.nu su https://gist.github.com/raybogman/eec47237b8ef0d4dd0fd

Gestisce _isAllowed()abbastanza bene la maggior parte delle chiamate mancanti ma si tradurrà in codice rotto con file di origine offuscati o crittografati, quindi dovresti comunque controllare i risultati manualmente.

Nel mio caso per i moduli di terze parti, l'aggiunta del codice seguente ai controller adminhtml ha funzionato:

protected function _isAllowed()

{
     return true;
}

Dovrebbe essere:

protected function _isAllowed()
{
    return Mage::getSingleton('admin/session')->isAllowed('system/config');
}

In tal caso, restituisce le impostazioni ACL da Magento. Mi chiedo solo se Magento Core Team lo risolverà con un'altra patch o se ciò dovrebbe avvenire in app / code / local come correzione globale ...