- Shipped
- 2026年9月17日 4:26 UTC
- Author
- Kamo
- Commit
- 6f51fa9
CommerceMarketControllerのretail Provider-configハンドラは、セッションのorgを解決し、どんなものを使用しました 市場と設定 uid という名前のパスを指定します。 ANYの組織からセッションを受け付けた同期ログの更新、削除、および同期ログ。 test-connection と sync は、全てのセッションで受け付けていません。 と、両方のハンドラは、彼らが解決したorgを無視しました)。 ストアのAPIキー、シークレット、または アクセストークン、およびテスト接続は、保存された storeUrl をそれらと呼びます。そのため、config の uid を知った人は、 ストア URL を自分のサーバーで再配置し、そこにトークンが渡されるか、別のサーバーに対して同期をトリガーする テナント店舗 別の組織を含む任意の市場IDにコンフィグをリンクすることもできます。 すべてのハンドラ(市場リスト、orgの一覧、作成、更新、削除、ログの同期、テスト接続、同期) rejectRetailProviderAccess を最初に実行します。 - 401 セッションなし。 - MANAGE SUBSCRIPTION SETTINGS、/settings/features/pos のゲート、読み書きするスクリーンだけ これらの接続(CommerceProviderSetup、コンフィグダイアログ、同期ダッシュボード)、および兄弟の読み込みティア 同じページ上の課金provider接続; - 404がセッションの組織に所属しない限り******************************************************************************** config は、その組織とその市場に属しています。 別のテナントの市場やコンフィグの回答 欠けているもののように。 Sync logs は configId を必要としています。それなしでは、 NULL config によるものです。 RetailServiceとRetailSyncOrchestratorはkamo-shared-libraryに住んでおり、まだuid単独で構成を見てください。 所有権チェックは、それらのいずれかが呼び出される前に、ここで実行され、他のサービスでは、それらを呼び出します caller-supplied uid (webhook パスは独自の config を解決し、プロバイダー HMAC、fail-closed を検証します)。 ケーラーがマッピング:kamo-internal commerceProviderApi.ts のみ (commerceApi.ts の小売プロバイダー メソッドはユーザーいません。 モバイル、kamo-js、またはサービス発信者なし。 各呼び出しは、そのDTOからコンフィグのMarketIdを渡し、実行します メニュー サイトマップ MarketOverviewTab と新しいマーケットページも、設定とキャッチをリストします エラーなので、市場ページに到達する権利のないメンバーは、リストの代わりにリンクされたプロバイダが見つかりません。 RetailProviderConfigAccessTest は、すべてのハンドラを駆動します: 匿名 401 と 右 403 のないメンバー, 両方とも 何も触れない; 別の org の市場 404; この org の市場 404 および config の下の別の org の構成 更新、削除、テスト、同期、または読み取りなしの間違った市場404、。 管理者は、すべての8で200をパスします。 5つのチェックをそれぞれ削除すると、そのテストが正確に失敗します.