ランダムなユーザが、正しいchannelIdとaccountIdで他のユーザの注文を確認できる - Headless API

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• ユーザーはコンテンツの制限や認可を受けることなくAPIを利用することができる

/o/headless-commerce-delivery-order/v1.0/channels/${channelId}/accounts/${accountNumber}/placed-orders

• 例）：アカウントID = 2で認証された状態で、ユーザーがアカウントID = 1をパラメーターとして渡した場合、APIコールはリクエストを受け入れ、ユーザーはアカウントID 1の詳細とレスポンスを見ることができます。

Environment

• コマース4.0 - DXP 7.4

解決策

• ユーザーが Account Role を通して View Open Orders, View Orders を割り当てられた場合、すなわち。 ${channelId}${accountNumber}バイヤー、ユーザーは、バイヤーロールが割り当てられているアカウントに固有の注文を表示することができるだけです。

追加情報

• View Open Orders, View Orders を Regular Roleで割り当てられたユーザーは、v1.0/channels/${channelId}/accounts/${accountNumber}/placed-orders を使用すると、すべての注文を表示することができ ます。