Доступ запрещен после применения Magento SUPEE 6285

Благодаря Рону В. я смог найти полный ответ, который включает меню только для тех, у кого есть разрешение.

Учитывая следующий файл adminhtml.xml:

<config>
    <acl>
        <resources>
            <admin>
                <children>
                    <path_to>
                        <children>
                            <acl_resource>
                                <title>My ACL Resource</title>
                            </acl_resource>
                        </children>
                    </path_to>
                </children>
            </admin>
        </resources>
    </acl>
</config>

Вы можете извлечь путь к ресурсу, чтобы передать его isAllowed(), чтобы определить, следует ли показывать это меню этому пользователю.

protected function _isAllowed(){
    return Mage::getSingleton('admin/session')->isAllowed('path_to/acl_resource');
}

Вы можете увидеть полное объяснение и решение этой проблемы по следующей ссылке: Решение проблемы с разрешениями для неадминистраторов в модулях после применения патча 6285_CE_1.9.1.1 или обновления до Magento 1.9.2.

Когда мы обновляем/исправляем нашу установку Magento, она применяет небольшое изменение в том, как Magento ведет себя в отношении модулей. Ранее Magento по умолчанию отвечал как true на метод _isAllowed() модуля контроллера, если эта функция не существует. В версии 1.9.2 или когда мы патчим предыдущую версию, она больше не ведет себя так, поэтому пользователи без прав администратора не имеют доступа к установленным модулям.

Для восстановления доступа к модулю не администраторами мы просто добавляем функцию в соответствующий контроллер.

protected function _isAllowed() 
{ 
return true; 
}

BrianVPS понимает суть ответа «лучшие практики», но этот точный фрагмент, конечно, необходимо изменить для каждого модуля и / или контроллера в зависимости от предполагаемого использования.

Некоторые модули не имеют определенного разрешения для своей страницы, и в этом случае, если вы не добавляете новый путь разрешения в список доступа самостоятельно, ваш единственный вариант — вернуть значение true.

Однако, если путь разрешений acl существует и используется (что часто требуется для определения того, отображается ли страница в строке меню администратора), вам необходимо найти этот путь разрешений и заменить строку примера в функции isAllowed.

Например, в коде CommerceThemes/GuestToReg в файле etc/adminhtml.xml вы можете найти определенные пути ACL.

<acl>
    <resources>
        <admin>
            <children>
                <customer>
                    <children>
                        <guesttoreg_adminform>

На основе этих путей правильное разрешение для установки доступа к странице должно быть:

protected function _isAllowed() {
    return Mage::getSingleton('admin/session')->isAllowed('customer/guesttoreg_adminform');
}

помещается в файл контроллера администратора: app/code/local/CommerceThemes/GuestToReg/controllers/Adminhtml/GuestToRegFormController.php

Я просто поместил следующий код в контроллер расширения, вызывающего проблему:

protected function _isAllowed(){ 
  return true; 
}

Обновление требует расширения со сценариями в Adminhtml, чтобы быть более безопасным.