[Ibochkarev]

Описание

Группа /api/mgr/orders/* целиком висела на msorder_list, поэтому роль только со списком могла менять и удалять заказы через Manager API.

Разделил маршруты на две группы:

• GET (list, filters, get, products, logs) → msorder_list
• POST/PUT/DELETE (create, update, delete, finalize, recalculate, products) → msorder_save

PermissionMiddleware по-прежнему отдаёт 403 до контроллера. Родительский AuthMiddleware(mgr) не менялся.

Тип изменений

• Исправление бага (non-breaking change)
• Новая функциональность (non-breaking change)
• Breaking change (изменение, ломающее обратную совместимость)
• Рефакторинг (без изменения функциональности)
• Документация
• Другое (опишите):

Связанные Issues

Closes #377

Как это было протестировано?

• Ручное тестирование
• Автоматические тесты (PHPStan, ESLint)
• Тестирование на разных версиях PHP/MODX

Gate E (exit codes):

• php -l core/components/minishop3/config/routes/manager.php → 0
• php -l core/components/minishop3/tests/OrdersRoutePermissionsTest.php → 0
• php core/components/minishop3/tests/OrdersRoutePermissionsTest.php → 0 (OK)
• red-green: на origin/beta тот же тест падает (POST … → msorder_list); после фикса → 0
• php core/components/minishop3/tests/DirectFilterKeysTest.php → 0

Конфигурация тестирования:

• MiniShop3: ветка fix/issue-377-orders-msorder-save
• MODX: n/a (standalone router load + stub modX)
• PHP: 8.x локально

Скриншоты (если применимо)

До	После

Чеклист

• Код соответствует стилю проекта
• Добавлены/обновлены комментарии в сложных местах
• Изменения не ломают существующую функциональность
• Лексиконы добавлены на двух языках (ru/en)
• PHPStan проходит без новых ошибок
• ESLint проходит без ошибок (для JS/Vue изменений)
• Обновлён CHANGELOG.md (для значимых изменений)

Дополнительные заметки

• DELETE остаётся под msorder_save (как в AC issue). Отдельный msorder_remove — follow-up.
• UI менеджера по-прежнему может показывать кнопки записи list-only роли; отказ придёт 403 с API.
• Ревью: security / code-review / thermo-nuclear — блокеров нет. Тест переписан на загрузку Router + инспекцию middleware вместо парсинга исходника.

[Ibochkarev]

Follow-up по silent-failure review

Закрыто в PR:

• M1 / L1 — тест больше не парсит исходник regex’ом: грузит Router + stub modX, проверяет middleware на маршрутах и runtime 403 через dispatch (list-only write / save-only read).

Оставлено follow-up (вне #377):

• M2 — UI-gating кнопок по MODx.perm.msorder_save
• M3 — DELETE на msorder_remove вместо msorder_save
• L2–L5 — локализация 403, соседние dropdown/grid-config, custom route overrides

[biz87]

Security-фикс проверен, red-green прогнал сам:

• RED: на текущем beta тест PR падает — POST /api/mgr/orders защищён msorder_list (роль только со списком могла создавать/менять/удалять заказы).
• GREEN: с фиксом → OK OrdersRoutePermissionsTest.

Проверил:

• Все 5 read + 9 write роутов распределены, ни один не потерян.
• Порядок специфичных роутов (/filters, /bulk, /{id}/finalize, /{id}/recalculate-cost) до /{id} сохранён.
• AuthMiddleware('mgr') на родительской группе цел.
• Две группы с префиксом /orders не конфликтуют — роутер матчит по method+path.
• PHPStan на manager.php чист, все 8 smoke зелёные (OrdersRoutePermissionsTest подхватился раннером), ModxStub.php синтаксически чист.

Замечание (follow-up, не блокер): orders DELETE под msorder_save, тогда как в #400 customer DELETE = msorder_remove — разная гранулярность. Defensible по AC #377 (все мутации orders под одним msorder_save), отдельный msorder_remove для orders-delete отмечен как follow-up. В любом случае сильно лучше прежнего (раньше msorder_list мог удалять).

Для CHANGELOG: orders write, включая delete, теперь требует msorder_save (было msorder_list).

Мержим.