Ограничение доступа к тикетам в WPtickets: настройка и решение проблем

Диагностика проблемы: почему нужно ограничивать доступ к тикетам

В системах поддержки на WordPress с плагином WPtickets часто возникает задача обеспечить, чтобы пользователи видели только свои тикеты, а агенты — только относящиеся к ним. Без правильной настройки доступа можно столкнуться с ситуацией, когда любой зарегистрированный пользователь получает доступ к чужим обращениям, что нарушает безопасность и конфиденциальность.

Проверьте текущие настройки доступа, выполнив следующие шаги:

• Авторизуйтесь под тестовым пользователем, создав несколько тикетов;
• Попробуйте просмотреть список тикетов другого пользователя;
• Если видите чужие тикеты, значит ограничения не работают.

Также полезно проверить, нет ли конфликтов с другими плагинами, которые могут переопределять права доступа.

Как ограничить доступ к тикетам в WPtickets с помощью capabilities

WPtickets по умолчанию использует стандартные роли WordPress, но для тонкой настройки доступа нужно подключить механизм capabilities. Мы создадим кастомные права и добавим проверки в шаблоны и REST API запросы.

1. Создание пользовательской capability

Добавьте следующий код в файл functions.php вашей темы или в отдельный плагин:

function wptickets_add_custom_capabilities() {
    $role = get_role('agent'); // или другая роль, которая обрабатывает тикеты
    if (!$role->has_cap('view_all_tickets')) {
        $role->add_cap('view_all_tickets');
    }
}
add_action('init', 'wptickets_add_custom_capabilities');

Это добавит право view_all_tickets роли агента. Теперь добавим проверку для отображения тикетов.

2. Фильтрация отображаемых тикетов

Чтобы пользователи без права view_all_tickets видели только свои тикеты, используйте следующий фильтр, модифицирующий запрос:

function wptickets_filter_tickets_by_user($query) {
    if (!is_admin() && is_post_type_archive('wpticket')) {
        if (!current_user_can('view_all_tickets')) {
            $query->set('author', get_current_user_id());
        }
    }
}
add_action('pre_get_posts', 'wptickets_filter_tickets_by_user');

Этот код гарантирует, что на фронтенде (не в админке) пользователи видят только свои тикеты, а агенты с правом view_all_tickets — все.

3. Контроль доступа в REST API (если используется)

Если ваша система использует REST API для работы с тикетами, необходимо ограничить доступ там:

add_filter('rest_wpticket_query', function($args, $request) {
    if (!current_user_can('view_all_tickets')) {
        $args['author'] = get_current_user_id();
    }
    return $args;
}, 10, 2);

Этот фильтр ограничит REST запросы тикетов текущим пользователем, если у него нет права на просмотр всех.

Пошаговое руководство по настройке ограничения доступа

1. Добавьте capability для роли агента, как указано выше.
2. Внедрите фильтр pre_get_posts в functions.php для ограничения видимости в списках.
3. Если используете REST API, добавьте фильтр для ограничения запросов.
4. Проверьте роли пользователей и назначьте нужные права в админке WordPress (через плагин User Role Editor или кодом).
5. Очистите кэш сайта и браузера.
6. Протестируйте под разными пользователями.

Проверка результата после внедрения

• Залогиньтесь под обычным пользователем и убедитесь, что он видит только свои тикеты.
• Залогиньтесь под агентом (роль с capability view_all_tickets) и проверьте, что отображаются все тикеты.
• Попробуйте получить список тикетов через REST API с разных ролей и убедитесь, что фильтрация работает.
• Проверьте, что в админке нет доступа к чужим тикетам у пользователей без права view_all_tickets.

Частые ошибки и как их исправить

• Ошибка: Фильтр pre_get_posts не срабатывает.
  Причина: Возможно, запрос не является основным или не для типа wpticket. Проверьте условие is_post_type_archive('wpticket') или используйте is_post_type_archive() и is_main_query().
• Ошибка: Пользователи видят чужие тикеты в админке.
  Решение: Добавьте фильтрацию запросов и для админки, например:

function wptickets_filter_admin_tickets($query) {
    if (is_admin() && $query->is_main_query() && $query->get('post_type') === 'wpticket') {
        if (!current_user_can('view_all_tickets')) {
            $query->set('author', get_current_user_id());
        }
    }
}
add_action('pre_get_posts', 'wptickets_filter_admin_tickets');

• Ошибка: REST API возвращает все тикеты.
  Решение: Добавьте фильтр для REST запросов, как показано выше.

Практические советы по безопасности и производительности

• Используйте capability вместо прямой проверки ролей — это гибче и масштабируемо.
• Проверяйте пользовательские запросы на стороне сервера, не доверяйте только фронтенду.
• Оптимизируйте запросы фильтрации по автору с индексами в базе данных для быстрого отклика.
• Регулярно обновляйте WPtickets и WordPress, чтобы избежать уязвимостей.
• Если у вас большой сайт с сотнями агентов и тысячами тикетов, рассмотрите кэширование результатов с ключом по пользователю и роли.

Сравнение вариантов ограничения доступа к тикетам