[Отчет об ошибках] Любой пользователь может посмотреть отчет на главной странице

[mr2d2]

Заметили, что как не ограничивай пользователя в правах, но он все равно, может добавить на главную страницу(например mycrm.ru/# ) отчет с данными, которые видеть он не должен.


Я "костылями" убрал эту проблему.
по адресу
application/Espo/Modules/Crm/Controllers/Opportunity.php

Добавил правило в часть которая отвечает за этот отчет

 public function actionReportSalesByMonth($params, $data, $request)
    {
        $level = $this->getAcl()->getLevel('Opportunity', 'read');
        if (!$level || $level == 'own' || $level == 'no' || $level == 'team') {
            throw new Forbidden();
        }

        $dateFrom = $request->get('dateFrom');
        $dateTo = $request->get('dateTo');

        return $this->getService('Opportunity')->reportSalesByMonth($dateFrom, $dateTo); 

Получилось так как на скриншоте ниже.

Возможность добавить этот отчет у пользователя сохранилась, но теперь если он это сделает, то у него будет ошибка 403

[tanya]

Здравствуйте

$level == 'team'

?
Мы с командой обсудим этот уровень доступа.
Можете оставить правило здесь, но я рекоммендую переместить его в custom. Если ограничения так и не поменяют, но файл будет изменен, после обовления пользователи опять получат доступ з отчёту.

[mr2d2]

Здравствуйте
?
Мы с командой обсудим этот уровень доступа.
Можете оставить правило здесь, но я рекоммендую переместить его в custom. Если ограничения так и не поменяют, но файл будет изменен, после обовления пользователи опять получат доступ з отчёту.

Просто В папку custom добавить этот файл с сохранением структуры папок?

[tanya]

Нет. Создайте контроллер, наследуйте этот (application/Espo/Modules/Crm/Controllers/Opportunity.php), переопредилите метод actionReportSalesByMonth
Примерно так

custom/Espo/Custom/Controllers/Opportunity.php

namespace Espo\Custom\Controllers;
class Opportunity extends \Espo\Modules\Crm\Controllers\Opportunity  
{
     public function actionReportSalesByMonth($params, $data, $request) {
         $level = $this->getAcl()->getLevel('Opportunity', 'read');
        if (!$level || $level == 'own' || $level == 'no' || $level == 'team') {
            throw new Forbidden();
        }
          $dateFrom = $request->get('dateFrom');
          $dateTo = $request->get('dateTo');
         return $this->getService('Opportunity')->reportSalesByMonth($dateFrom, $dateTo);
      }
}

[mr2d2]

Переместил в папку custom
Спасибо!