API Auth & Securityللموبايل والتكاملات.

GET /rest/V1/customers/me HTTP/1.1
Host: store.com
Authorization: Bearer eyJraWQiOiIxIiwiYWxn...
Content-Type: application/json

curl -X POST https://store.com/rest/V1/integration/customer/token \
  -H "Content-Type: application/json" \
  -d '{"username":"customer@mail.com","password":"..."}'

# الرد: نص التوكن
# "eyJraWQiOiIxIiwiYWxnIjoiSFMyNTYifQ..."

# بيانات العميل الحالي
curl https://store.com/rest/V1/customers/me \
  -H "Authorization: Bearer TOKEN"

# سلة العميل الحالي
curl https://store.com/rest/V1/carts/mine \
  -H "Authorization: Bearer TOKEN"

<?xml version="1.0"?>
<config>
  <integration name="ERP Sync">
    <email>erp@company.com</email>
  </integration>
</config>

<?xml version="1.0"?>
<config>
  <integration name="ERP Sync">
    <resources>
      <!-- الصلاحيات المطلوبة بس -->
      <resource name="Magento_Sales::sales"/>
      <resource name="Magento_Sales::actions_view"/>
    </resources>
  </integration>
</config>

<?xml version="1.0"?>
<config>
  <acl>
    <resources>
      <resource id="Magento_Backend::admin">
        <resource id="Vendor_Module::tickets"
          title="Tickets" sortOrder="50">

          <!-- صلاحية القراءة -->
          <resource id="Vendor_Module::tickets_view"
            title="View Tickets" sortOrder="10"/>

          <!-- صلاحية التعديل — منفصلة -->
          <resource id="Vendor_Module::tickets_manage"
            title="Manage Tickets" sortOrder="20"/>

        </resource>
      </resource>
    </resources>
  </acl>
</config>

<route url="/V1/tickets/:id" method="GET">
  <service class="Vendor\Module\Api\TicketRepositoryInterface"
    method="getById"/>
  <resources>
    <!-- لازم صلاحية القراءة -->
    <resource ref="Vendor_Module::tickets_view"/>
  </resources>
</route>

class Edit extends Action
{
    // Magento بيشيّك عليها تلقائياً قبل execute()
    public const ADMIN_RESOURCE = 'Vendor_Module::tickets_manage';

    public function execute()
    {
        // لو وصلنا هنا، الصلاحية اتأكدت
    }
}

public function getTicket(int $ticketId): TicketInterface
{
    // الـ ACL أكّد إنه عميل مسجّل
    // بس مين قال إن التذكرة دي بتاعته؟
    return $this->ticketRepository->getById($ticketId);
}

// أي عميل يغيّر الرقم ويقرا تذاكر غيره
// GET /V1/tickets/1, /V1/tickets/2, /V1/tickets/3 ...

use Magento\Authorization\Model\UserContextInterface;
use Magento\Framework\Exception\NoSuchEntityException;

class TicketService
{
    public function __construct(
        private readonly TicketRepositoryInterface $repository,
        // بيديك هوية الطالب من التوكن
        private readonly UserContextInterface $userContext
    ) {}

    public function getTicket(int $ticketId): TicketInterface
    {
        $ticket = $this->repository->getById($ticketId);

        $callerId = (int) $this->userContext->getUserId();
        $callerType = $this->userContext->getUserType();

        // الأدمن يشوف كل حاجة
        if ($callerType === UserContextInterface::USER_TYPE_ADMIN) {
            return $ticket;
        }

        // العميل يشوف بتاعه بس
        if ((int) $ticket->getCustomerId() !== $callerId) {
            // مهم: نفس رسالة "مش موجود"
            throw new NoSuchEntityException(
                __('No such entity.')
            );
        }

        return $ticket;
    }
}

<route url="/V1/products/featured" method="GET">
  <service class="..." method="getFeatured"/>
  <resources>
    <resource ref="anonymous"/>
  </resources>
</route>

# كل الـ routes المفتوحة في موديولاتك
grep -rn -B5 'ref="anonymous"' app/code/ \
  --include="webapi.xml"

# وفي الموديولات الخارجية كمان
grep -rln 'ref="anonymous"' vendor/ \
  --include="webapi.xml"

public function addItem(int $productId, float $price)
{
    $item->setCustomPrice($price);  // من التطبيق!
    // العميل يقدر يبعت price = 0.01
}

public function addItem(int $productId, int $qty)
{
    // السعر بيتقرا من المنتج نفسه
    $product = $this->productRepository->getById($productId);

    // Magento بيحسب السعر والخصومات
    $quote->addProduct($product, new DataObject([
        'qty' => $qty,
    ]));

    $quote->collectTotals();
}

public function resolve(
    Field $field, $context, ResolveInfo $info,
    array $value = null, array $args = null
) {
    // التحقق إن العميل مسجّل
    if (!$context->getExtensionAttributes()->getIsCustomer()) {
        throw new GraphQlAuthorizationException(
            __('Authorization required.')
        );
    }

    // الرقم من السياق مش من الـ args
    $customerId = $context->getUserId();

    return $this->loadDataFor($customerId);
}

# هل HTTPS مفروض؟
bin/magento config:show web/secure/use_in_frontend
bin/magento config:show web/secure/use_in_adminhtml

# مدة التوكنات
bin/magento config:show \
  oauth/access_token_lifetime/customer

# التكاملات النشطة — راجعها
# System → Extensions → Integrations