Acceso no autorizado en controlador 'simulate' de módulo

miguel_deco50

Buenas, estoy con un problema bastante particular en PrestaShop 1.7.7.0. Estoy intentando acceder a un controlador frontal de un módulo (shipmethodrules/controllers/front/simulate.php), pero me devuelve un error de 'Unauthorized' (No autorizado) incluso cuando estoy logueado como administrador en el back office.

He estado revisando el código y parece que el problema está en la forma en que verifica si el usuario es un empleado. Sospecho que $this->context->employee no se está inicializando correctamente en este tipo de controlador frontal.

Aquí la parte del código que me da el problema:

function postProcess()
    {
        if (!$this->context->employee || !(int) $this->context->employee->id) {
            $this->ajaxDie(json_encode(['success' => false, 'error' => 'Unauthorized']));
        }
        $idCart = (int) Tools::getValue('

¿Alguna idea de cómo puedo adaptar esto para que reconozca a los administradores que han iniciado sesión sin comprometer la seguridad?

angel_96

Hola @miguel_deco50, he visto ese comportamiento antes en PrestaShop 1.7. Es un poco confuso porque $this->context->employee se usa principalmente en el contexto de controladores del back office.

Cuando accedes a un controlador frontal, incluso si estás logueado como administrador en el BO, el objeto employee en el context del front office no siempre se carga automáticamente. El context para el front office está más enfocado en el customer.

Una forma común de verificar si un administrador está logueado, incluso en el front, es revisar la cookie de sesión. El id_employee se guarda ahí. ¿Has probado a depurar qué valor tiene $this->context->employee y $this->context->cookie->id_employee justo antes de esa línea if?

Milo

Hola @miguel_deco50, @angel_96 tiene razón en la raíz del problema. El objeto employee dentro del $this->context de un controlador frontal no se carga por defecto, aunque estés logueado en el back office. El código original asume un contexto de back office.

Para solucionar esto de forma segura y permitir el acceso a un administrador logueado desde el front, debes verificar no solo si $this->context->employee está inicializado, sino también si existe un id_employee en la cookie, que es donde PrestaShop guarda la sesión del administrador para estos casos. Así, cubres ambos escenarios.

Aquí te dejo una pequeña modificación que deberías aplicar en tu archivo shipmethodrules/controllers/front/simulate.php:

function postProcess()
    {
        // Verifica si hay un empleado logueado en el contexto (BO) o en la cookie (BO logueado en FO)
        if (!((isset($this->context->employee->id) && (int) $this->context->employee->id > 0) || (isset($this->context->cookie->id_employee) && (int) $this->context->cookie->id_employee > 0))) {
            $this->ajaxDie(json_encode(['success' => false, 'error' => 'Unauthorized']));
        }
        $idCart = (int) Tools::getValue('id_cart');
        $cart = $idCart > 0 ? new Cart($idCart) : $this->context->cart;
        if (!Validate::isLoadedObject($cart)) {

Con este cambio, la condición if ahora comprueba si existe un id válido en el objeto employee del contexto (que sería cierto en un controlador de BO) O si hay un id_employee válido en la cookie de sesión (que sería cierto para un admin logueado accediendo a un controlador de FO). Esto debería resolver tu problema de acceso no autorizado.

miguel_deco50

¡Funciona perfecto, @Milo! ¡Muchas gracias por la explicación tan clara y la solución precisa! Ha resuelto el problema de acceso no autorizado tal y como esperaba. Agradezco también la pista a @angel_96. Da gusto con la comunidad.