SAP Commerce 1905非admingroup用户HAC导入导出报错解决方案

• SAP Commerce 1905.29

• 创建不归属admingroup的用户账号，使其可在HAC中正常执行Console > ImpEx Import、Console > ImpEx Export操作，同时不为该账号授予Platform Initialize、Platform Update、线程挂起等高危破坏性操作权限，因此不将账号分配至admingroup。

• 测试阶段创建归属employeegroup的自定义用户组，将新建Employee类型账号分配至该组后，账号可正常登录HAC，但执行FlexSearch操作时抛出如下错误：

could not translate value expression 'session.catalogversions'

• 该状态下HAC的导入、导出功能均无法正常使用，但同一账号在Backoffice的System > Tools路径下的导入导出功能可正常运行。

该问题由两层权限/逻辑缺失导致：一是普通员工组默认没有HAC控制台的功能访问角色，二是HAC的会话初始化逻辑默认仅对admingroup用户自动注入会话级目录版本上下文，普通员工组无CatalogVersion类型的对应读权限时，无法完成会话上下文初始化，就会抛出session.catalogversions解析失败的错误。Backoffice自带独立的会话上下文初始化逻辑，会自动给登录用户分配可访问的默认目录版本，因此同账号在Backoffice的导入导出功能不受影响。

1. 分配HAC基础访问角色
   给自定义用户组分配ROLE_HAC_ADMIN角色，该角色仅控制HAC控制台的Web层访问权限，不会继承Platform初始化、更新等高危后端操作权限，和admingroup的全量权限有本质区别。
2. 补全类型级权限
   给自定义用户组授予以下类型的读、写权限：Catalog、CatalogVersion、SessionContext、ImpExImportCronJob、ImpExExportCronJob、Job、CronJob，确保会话初始化、ImpEx任务执行时无类型权限拦截。
3. 配置HAC操作拦截规则
   进入HAC Platform > Configuration 页面，修改以下配置项：
   • 在hac.allowed.roles.for.console配置值末尾追加自定义用户组的ID，允许该组访问控制台相关页面
   • 在hac.denied.roles.for.actions配置中，为该自定义组显式添加init、update、threadDump、shutdown这类高危操作的拦截规则，确保账号无法触发破坏性操作
4. 解决会话目录版本缺失问题
   两种方案二选一即可：
   • 方案一：给自定义用户组授予业务需要范围内目录版本的读权限，HAC会话初始化时会自动拉取用户可访问的目录版本注入会话
   • 方案二：如果不想开放全目录权限，自定义一个HAC登录拦截器，检测到当前用户属于该自定义组时，手动往会话中注入指定的可访问目录版本，直接绕过自动拉取逻辑
5. 权限校验
   配置完成后重启节点，使用测试账号登录验证：先确认ImpEx导入、导出、FlexSearch查询可正常执行，再尝试访问Platform Initialize、Platform Update、线程dump页面，确认返回无权限提示即配置生效。

内容的提问来源于stack exchange，提问作者geffchang