Proteger páginas CMS con contraseña

manueldigital93

¡Hola a todos!

Estoy intentando proteger ciertas páginas CMS de mi tienda PrestaShop con una contraseña. La idea es que solo clientes específicos o con un código puedan ver ese contenido. He intentado hacer un override rápido en el CMSController para una página en concreto, pero me parece muy chapucero y no es nada escalable ni seguro. Me preocupa que cualquier actualización lo rompa, o que no funcione bien si alguna vez migramos a PrestaShop 9.

Mi intento inicial fue algo así en /override/controllers/front/CMSController.php:

class CMSController extends CMSControllerCore
{
    public function initContent()
    {
        parent::initContent();
        $id_cms = (int)Tools::getValue('id_cms');
        // ID de la página CMS a proteger
        if ($id_cms === 10) { // Suponiendo que el ID de la CMS es 10
            if (!isset($this->context->cookie->cms_access_granted) || $this->context->cookie->cms_access_granted !== true) {
                // Esto es muy básico, solo mata la ejecución y no redirige a un formulario de login

El problema es que este die() simplemente detiene la página. No hay formulario, no hay validación real, y no me parece nada robusto. ¿Alguien ha implementado algo similar de forma más limpia en PrestaShop 1.7?

raquelstore

Uf, @manueldigital93, eso de die() en el controlador es un poco bestia, la verdad. Te entiendo perfectamente, yo he pasado por lo mismo con funcionalidades que PrestaShop no trae de serie. Esa comprobación de cookie también puede ser fácilmente manipulable si no hay una validación de sesión o algo más fuerte detrás.

¿En qué versión exacta de PrestaShop estás? Porque para PS 1.7, si no gestionas la redirección a una página de login o a un formulario de contraseña customizado, se queda en un bloqueo seco. Necesitarías un formulario que guarde una variable de sesión o una cookie firmada después de validar la contraseña. Y todo eso en un override es un dolor de cabeza para mantener.

samueldeco

Coincido con @raquelstore, el die() es un parche que te va a dar muchos problemas. Lo ideal sería una redirección a una página específica con un formulario, y que ese formulario envíe los datos a un módulo customizado que haga la validación de la contraseña y luego, si es correcta, establezca una cookie segura o una variable de sesión que tu CMSController pueda verificar.

También es importante pensar en la lógica de la URL. Si rediriges, la URL original de la CMS protegida seguirá siendo accesible si se intenta de nuevo. Tendrías que asegurarte de que la comprobación se haga siempre, antes de que el contenido de la CMS se muestre. Un hook en el header o un action antes del display de la CMS sería más adecuado que un simple override.

Milo

Hola @manueldigital93,

Comprendo perfectamente la necesidad de proteger páginas CMS, es una funcionalidad muy solicitada que PrestaShop no incluye de forma nativa. Tu intento en CMSController.php es un buen punto de partida para bloquear, pero como bien señalan @raquelstore y @samueldeco, el uso de die() detiene la ejecución de forma abrupta y no es una solución elegante ni funcional para el usuario. Además, las comprobaciones basadas solo en cookies pueden ser vulnerables si no se gestionan con cuidado.

Para una implementación más robusta en PrestaShop 1.7.7.4, necesitarías un módulo que se enganche a un hook temprano, como actionFrontControllerSetMedia o displayHeader para la comprobación, y redirija al usuario a un formulario de autenticación si no tiene acceso. Aquí te dejo un ejemplo de cómo un módulo podría empezar a gestionar esto, aunque sigue siendo una solución simplificada:

// Dentro de un método de un módulo customizado, por ejemplo, en hookDisplayHeader
public function hookDisplayHeader($params)
{
    if ($this->context->controller instanceof CmsController) {
        $id_cms = (int)Tools::getValue('id_cms');
        $protected_cms_id = (int)Configuration::get('MYMODULE_PROTECTED_CMS_ID'); // ID configurado en el BO del módulo
        if ($id_cms === $protected_cms_id) {
            if (!isset($this->context->cookie->cms_access) || !$this->context->cookie->cms_access) {
                // Redirigir a una página de login o a un formulario específico de contraseña
                Tools::redirect($this->context->link->getModuleLink('mymodule', 'cmspasswordform', ['id_cms' => $id_cms]));

Este código redirige a un controlador de tu propio módulo (cmspasswordform) donde se presentaría el formulario de contraseña. Es más limpio que un die() y permite una lógica de autenticación más compleja. Sin embargo, desarrollar un módulo completo con interfaz de administración, gestión de contraseñas, asignación a CMS y seguridad adecuada es una tarea compleja.

Para evitar reescribir la rueda y asegurar una solución mantenible, segura y compatible con futuras actualizaciones (incluida una posible migración a PrestaShop 9 sin romper la funcionalidad), lo más recomendable es utilizar un módulo preparado para páginas cms protegidas. Estos módulos están diseñados específicamente para esta tarea, gestionan la interfaz de usuario, la validación de contraseñas y la persistencia del acceso de forma profesional, ahorrándote mucho tiempo y posibles problemas de seguridad.

manueldigital93

¡Muchas gracias, @Milo! Esa explicación y el fragmento de código me dan una idea mucho más clara de cómo debería abordarse esto con un módulo propio, usando una redirección limpia en lugar de un die(). Veo que la complejidad de mantenerlo y la seguridad son los puntos clave.

Tu recomendación del módulo dedicado es justo lo que necesitaba. Después de revisar lo que ofrece, creo que es la mejor opción para mi tienda en PrestaShop 1.7.7.4 para tener esta funcionalidad de forma robusta y sin dolores de cabeza. ¡Gracias de nuevo por la ayuda tan profesional!