fix(core): Manager login with anonymous_sessions = No

[Ibochkarev]

Что сделано

Сохраняет PHP-сессии доступными для менеджера, когда anonymous_sessions выключен на системном уровне.

Вместо special-case mgr внутри modX::_initSession() добавляется context setting anonymous_sessions=Yes на mgr (install data + апгрейд 3.3.0). Context settings переопределяют system settings, поэтому логин менеджера может стартовать сессию до того, как cookie существует. Публичные контексты по-прежнему могут ставить anonymous_sessions=No сами.

Английское описание настройки теперь говорит отключать опцию на публичных контекстах, а не system-wide, и что mgr нуждается в сессиях для логина.

Зачем нужно

При системном anonymous_sessions=No и очищенных cookie логин менеджера перезагружает форму и никогда не аутентифицирует. Session bootstrap стартует сессию только когда anonymous sessions разрешены или cookie сессии уже есть, поэтому первый логин никогда не получает cookie.

Обсуждение в modxcms#16424 / modxcms#12983 (и тредах комьюнити) трактовало это как context setting для публичных фронтов. Выключение в System Settings случайно отключает сессии и для mgr. Это изменение матчит ту модель: держать сессии менеджера вкл, оставляя публичным контекстам свободу opt out.

Как проверить

1. Апгрейдните или примените новый context setting mgr anonymous_sessions=Yes (или запустите setup upgrade до 3.3.0-dev / 3.3.0-pl).
2. Поставьте системный anonymous_sessions в No.
3. Очистите cookie браузера.
4. Откройте страницу логина менеджера, отправьте валидные данные.
5. Подтвердите, что попадаете в дашборд менеджера.
6. На контексте web поставьте anonymous_sessions в No и подтвердите, что анонимные фронт-запросы по-прежнему пропускают старт сессии, когда cookie нет.

Связанные

Refs modxcms#16424
Адресует фидбек от @Jako, @mkschell и @smg6511 о сохранении per-context намерения вместо хардкода mgr в core session bootstrap.

Оригинал: modxcms#16836