[biz87]

Закрывает #893.

Проблема

На свежей установке права компонента не достаются никому: они лежат только в miniShopManagerPolicy, а та не назначена ни одной группе. Любой администратор без sudo упирается в «Access denied. Required permission: msproduct_save» и не может сохранить ни товар, ни категорию; галерея отдельно падает на msproductfile_list.

Первый администратор сайта проблемы не видит — у него sudo = 1, а sudo обходит проверки прав целиком. Поэтому поломка всплывает только когда появляется второй администратор.

Откуда взялось. В miniShop2 этим занимался resolve.policy.php: он привязывал политику к шаблону и выдавал её группе Administrator через modAccessContext. При переносе в MiniShop3 осталась только первая половина — resolver_09_policies.php привязывает политику к шаблону, но никому её не назначает. По истории видно, что modAccessContext в резолверах MiniShop3 не было никогда.

Решение

Новый резолвер resolver_12_access_permissions.php выдаёт miniShopManagerPolicy тем группам, у которых уже есть доступ к контексту mgr.

Это модель miniShop2 с одним расширением: политика достаётся не только штатной группе Administrator, но всем группам со входом в админку — на боевых сайтах администраторы нередко сидят в своей группе. Кого пускать в админку, решает владелец сайта; компонент лишь добавляет магазин тем, кто уже внутри.

Чужие политики не изменяются вовсе — ни Administrator, ни Developer, ни Content Editor.

После выдачи вызывается flushPermissions(). Без него залогиненный администратор прав не увидит: ACL живёт в сессии и перечитывается только когда контекст помечен в session_stale, а обычный refresh() сессий не касается — по этой же причине его зовут штатные процессоры политик. Отдельный refresh() не нужен: кэш после установки пакета сбрасывает процессор установки.

Существующие сайты

Резолвер отрабатывает и на ACTION_UPGRADE, так что работающие сайты получают права тем же проходом. Проверено на стенде именно в режиме обновления:

ДО:     группа Administrator → политика Administrator (authority 0)
ПОСЛЕ:  группа Administrator → политика Administrator (authority 0)
        группа Administrator → политика miniShopManagerPolicy (authority 9999)

Политики при этом не тронуты: Administrator 185 прав, Content Editor 37, Developer 147 — как были. Повторный прогон дублей не создаёт.

authority = 9999 — как в miniShop2: политика добавочная, собственные права группы остаются главнее.

Что учтено из ревью

Замечание	Как закрыто
Content Editor получал покупателей с контактами и право их удалять	снято: чужие политики не правятся. Права достаются группе, только если у неё уже есть вход в админку
Нет flushPermissions(), права не доедут до залогиненных	добавлен; лишний refresh() убран
Сырые ключи perm.*_desc в описаниях прав	неактуально: в чужие шаблоны ничего не пишем
Список прав продублирован вместо чтения конфига	неактуально: список прав резолверу больше не нужен
Права регистрируются только в AdministratorTemplate	неактуально по той же причине
Группа «MiniShop3 Managers» нерабочая без frames	группа не создаётся; отдельный сценарий «менеджер без админских прав» вынесен из этого PR
Нет тестов на резолвер	добавлен AccessGrantResolverTest

Отдельно из ревью подтвердилось, что msorder_* закрывают не только заказы, но и покупателей, их адреса и группы покупателей. Это свойство самого компонента, не этого PR, — вынесено в #895.

Проверки

• прогон на стенде 1.14.1-beta2 в режимах install и upgrade, идемпотентность;
• вживую под не-sudo пользователем группы Administrator: до правки воспроизводились обе ошибки со скриншотов в [Bug] Администратор без sudo не может сохранить товар и категорию: права MiniShop3 не выданы ни одной политике #893, после — карточки категории и товара сохраняются, галерея грузится;
• PHPStan на pinned-версии — без ошибок;
• tests/run-smoke.php — 122 теста, включая новый.

Что осталось за рамками

• Снятие прав при удалении компонента (ACTION_UNINSTALL).
• Готовая группа для менеджера магазина без админских прав: miniShopManagerPolicy не содержит frames, поэтому такой пользователь в админку не войдёт — нужен продуманный набор прав, это отдельная задача.