Отказано в доступе после установки SUPEE-6285

После установки исправления SUPEE-6285 в нашем магазине Magento 1.7.0.2 система выдает ошибку « Отказано в доступе » при попытке получить доступ ко всем настраиваемым модулям для пользователей, которые имеют выборочные разрешения (не все разрешения). Снимок экрана ниже.

Полномочия пользователя правильно установлены в ресурсах ролей, и мы повторно применили настройки разрешений, чтобы убедиться, что они установлены.

Эта проблема была воспроизведена для нескольких пользовательских расширений, поэтому не работает только одно расширение.

Я вышел из системы, очистил кеш и подтвердил, что компилятор отключен.

Кто-нибудь может подсказать, как решить эту проблему?

Как написано здесь :

Если вы используете ограниченные учетные записи администратора, некоторые меню сторонних расширений могут больше не работать для них. Причина в том, что возвращаемое значение по умолчанию Mage_Adminhtml_Controller_Action::_isAllowed()было изменено с trueна Mage::getSingleton('admin/session')->isAllowed('admin'). Расширения, которые не переопределяют этот метод в своих административных контроллерах, поскольку они не используют ACL, теперь нуждаются в привилегии «ALL» .

Единственное решение - это исправить патчи и добавить этот метод ко всем их контроллерам администратора:

protected function _isAllowed()
{
    return true;
}

Или если у них действительно есть ресурс ACL, определенный в etc/adminhtml.xml:

protected function _isAllowed()
{
    return Mage::getSingleton('admin/session')->isAllowed('ENTER RESOURCE IDENTIFIER HERE');
}

Как определить идентификатор ресурса

Вот как adminhtml.xmlможет выглядеть:

Возьмите имена узлов ниже acl/resources/admin/children, пропуская следующие childrenузлы.

Как создать отсутствующие идентификаторы ресурса

Если есть только <menu>определение, но нет <acl>определения, вы также можете определить свое собственное (оно не обязательно должно быть в одном модуле, поэтому не нужно изменять файлы сторонних производителей):

Скопируйте все ниже , menuчтобы acl/resources/admin/childrenи удалить <action>узлы.

Автоматическое исправление

Есть хороший инструмент командной строки от SupportDesk.nu по адресу https://gist.github.com/raybogman/eec47237b8ef0d4dd0fd

Он _isAllowed()хорошо обрабатывает большинство пропущенных вызовов, но приводит к некорректному коду с обфусцированными или зашифрованными исходными файлами, поэтому вам все равно следует проверить результаты вручную.

В моем случае для сторонних модулей добавление приведенного ниже кода в контроллеры adminhtml работало:

protected function _isAllowed()

{
     return true;
}

Так должно быть:

protected function _isAllowed()
{
    return Mage::getSingleton('admin/session')->isAllowed('system/config');
}

В этом случае он возвращает настройки ACL от Magento. Мне просто интересно, исправит ли Magento Core Team это с другим патчем или это нужно сделать в app / code / local как глобальное исправление ...