Shopware v6.5.4.0与Admin SDK权限异常问题求助

核心背景推测 #

Shopware 6.5.4.0 在权限校验逻辑上做了隐式调整，尤其是针对 Admin SDK 的 repository 请求——即便接口返回 200 状态码，后端仍会在权限校验环节额外检查关联实体/字段的权限，哪怕你仅请求 ID 字段。

具体排查与解决步骤 #

1. 自定义实体权限配置检查 #

确认你在 entities.xml 中为自定义实体明确声明了 ACL 权限，示例：

<entity name="your_custom_entity" table="your_custom_entity" ...>
  <allow-api>true</allow-api>
  <acl>
    <create>true</create>
    <read>true</read>
    <update>true</update>
    <delete>true</delete>
  </acl>
</entity>

升级后 Shopware 会严格校验自定义实体的权限声明，哪怕是应用自身创建的实体，也不能省略 ACL 配置。

2. 缓存与权限加载问题 #

• 执行缓存清理命令：

  bin/console cache:clear
  bin/console admin:cache:clear
  bin/console cache:warmup
  

• 重新安装应用强制刷新权限配置：

  bin/console plugin:install -f YourPluginName
  

权限配置不会自动热刷新，必须通过重新安装或清理缓存触发加载。

3. 200 状态码却触发权限错误的特殊处理 #

这是 6.5.4.0 的隐式校验逻辑问题：

• 浏览器开发者工具中查看请求响应的 meta 字段，里面会明确标注具体缺失的权限（比如某关联实体的 read 权限、自定义实体的 delete 权限等）。
• 不要盲目添加全部权限，根据 meta 中的提示在 manifest.xml 中精确补充权限项。

4. Admin SDK 请求参数校验 #

检查 SDK 调用时的 criteria 参数：

• 确认 addIncludes 没有隐式请求未授权的字段或关联实体，比如是否有 SDK 自动添加的关联查询（可通过开发者工具查看请求的 associations 参数）。
• 若存在多余关联，手动通过 criteria.removeAssociation() 移除。

5. 临时权限问题的深层原因 #

添加全部权限后仍提示缺少 create/delete 权限，大概率是：

• SDK 的 repository 方法在内部执行了隐式关联操作（比如关联数据的同步、默认值写入），这些操作需要对应的权限。
• 检查代码中是否有批量操作、关联实体的自动更新逻辑，哪怕你未主动调用，SDK 可能在后台触发。

内容的提问来源于stack exchange，提问作者lucamario