Wizzo Market, סקירה

Wizzo Market הוא החנות של Wizzo: משם מפעילים לאתר שירותים (WizzoAI, POOLSE, POOSH, KAMA, SEOK, אולג ועוד), ושם נמצאים החיוב והזהות. הליבה של האתר לא מכילה את המוצרים עצמם. היא מחזיקה מפתח אחד שמזהה את האתר מול המרקט, מושכת משם קובץ הגדרות, וחושפת דלת אחת שדרכה המרקט פונה אל האתר. בדף הזה תבינו את שלושת המרכיבים האלה ואת המעגל ביניהם.

המודל בחמישה צעדים#

1. מפתח המרקט של האתר. הערך wizzo_market_api_key בטבלת CRM_params. הוא נשמר דרך {admin}/wizzo_market (המתודה set_api_key), והוא הסוד שמזהה את האתר מול המרקט. אותו מפתח משמש גם לאימות קריאות נכנסות מהמרקט.
2. הפעלת שירות. הפאנל admin/wizzo_market טוען אפליקציית Vue של המרקט (assets/wizzo_market/index.html) שמדברת עם המרקט דרך פרוקסי בצד השרת: system/wizzo_market_api/<action>.
3. סנכרון הגדרות. אחרי כל פעולה דרך הפרוקסי, ובכל קריאת sync מהמרקט, הליבה מושכת GET https://market.wizzo.media/api/get_settings וכותבת את system/market_settings.json.
4. קריאת מפתחות. כל ספרייה בליבה שצריכה מפתח של שירות שואלת את market_service. מפתחות השירותים נקראים מהקובץ ולא מבסיס הנתונים.
5. פאנלים. מאז ליבה 5.0.62 אין בליבה פאנלי מוצר. התפריט מציג "כלים" שהמרקט מגדיר, וכל כלי נפתח כ-{admin}/wizzo_market?tool=<tool>.

מנהל בפאנל  --(wizzo_market_api, פרוקסי)-->  market.wizzo.media
                                                   |
                       get_settings (אחרי כל פעולה / sync)
                                                   v
                              system/market_settings.json
                                                   |
              market_service::api_key("kama") וחברותיה, בתוך ספריות הליבה

מבנה system/market_settings.json#

הקובץ הוא שדה data מתשובת get_settings. הליבה קוראת ממנו את השדות הבאים בלבד:

{
  "services": [
    {
      "service": "poosh",
      "additional_data": {
        "api_key": "<public key of the site in that product>",
        "secret_key": "<secret, used by SEOK and Oleg>",
        "dashboard_url": "https://seok.wizzo.market",
        "settings": { "enabled": true, "lang": "he" }
      },
      "panels": [
        { "file": "services_poosh_stats", "name": "Poosh", "tool": "poosh", "perms": ["stats"] }
      ],
      "scripts": [ "<script src=\"https://example.invalid/sdk.js\"></script>" ]
    }
  ]
}

market_service: הממשק לקובץ#

הקובץ: libraries/market_service.php. כל המתודות סטטיות, והקובץ נקרא פעם אחת לבקשה (init() טוען אותו ל-market_service::$market_settings).

$this->load->library("market_service");

if (market_service::is_active("spamguard"))
{
    $key = market_service::api_key("spamguard"); // never echo it into a page
}

הפרוקסי system/wizzo_market_api/<action>#

הפרוקסי הוא בקר ליבה (controllers/wizzo_market_api.php) שמעביר בקשות מהפאנל אל https://market.wizzo.media/api/<action>, ובכך שומר על המפתח בצד השרת. הוא דורש ADMIN::is_admin(), והבקשה נשלחת בכותרות הבאות:

אחרי כל קריאה הפרוקסי מריץ get_settings(), כלומר סנכרון מלא של market_settings.json, ואז system_tags.json, accessibility_config.json וניקוי מטמון העמוד הראשי. סנכרון שנכשל (שגיאת רשת, קוד HTTP שאינו 2xx, או תשובה בלי services) לא דורס את הקובץ הקיים: נרשמת שורה ב-error_log והקובץ הישן נשאר. הכתיבה אטומית: קובץ זמני ואז rename.

הדלת ההפוכה: sync#

כשהמרקט רוצה שהאתר ימשוך הגדרות מיד (חשבון חובר, מפתח הוחלף) הוא קורא ל-system/wizzo_market_api/sync. אין כאן סשן מנהל: האימות הוא WIZZO_KEY::matches(PARAMS::get("wizzo_market_api_key")), ובכישלון חוזר 403 עם {"ok":false}.

WIZZO_KEY: קריאת המפתח מבקשה נכנסת#

כל דלת בליבה שנקראת מצד שרת של Wizzo (ה-connector, sync, ריצות SEOK ואולג, ריצות הסוכנים) קוראת את המפתח דרך collections/WIZZO_KEY.php, ולא מ-$_SERVER["HTTP_AUTHORIZATION"]. הסיבה: מארחי cgi-fcgi לא מעבירים את הכותרת Authorization ל-PHP.

if (!WIZZO_KEY::matches(PARAMS::get("wizzo_market_api_key"), $body))
{
    http_response_code(401);
    die(json_encode(["ok" => false, "error" => "unauthorized"]));
}

מפתח לא מתקבל ב-query string, כדי שלא יישמר בלוגי הגישה וב-Referer.

system/connector: הדלת של המרקט לתוך האתר#

controllers/connector.php הוא הדלת היחידה שדרכה המרקט (ובאמצעותו כל מוצר) פונה לאתר. האימות הוא WIZZO_KEY::matches מול מפתח המרקט, והתשובה תמיד JSON עם ok.

פירוט ה-MCP ב-MCP חיצוני, והסוכנים ב-סוכני AI.

כלי מרקט בפאנל: איך זה מופיע#

מוצר חדש לא דורש קוד בליבה:

1. בצד המרקט מוסיפים לשירות רשומת panels[] עם file, name, tool ו-perms. השדה file הוא מפתח ההרשאה שקבוצות מנהלים קיבלו (ADMIN::has_perms($key, $file)).
2. באתר, לחיצה על סנכרון (או כל פעולה בפאנל) מושכת את ה-JSON. settings_tools() מונע כפילות עם שורות ישנות של אותו פאנל בטבלת adminPanel_panels.
3. הכלי נפתח כ-{admin}/wizzo_market?tool=<tool>. הפאנל מעביר ל-Vue של המרקט את route: '/tool/<tool>' ואת perms: all אם לקבוצה יש show_all על הפאנל, אחרת limited.
4. אם הכלי צריך נקודת קצה בצד האתר (העלאת קבצים, webhook), כותבים בקר או קובץ admin/<svc>_media.php עם static $skip_permission_check = true, ובתוכו בודקים ADMIN::is_admin() ו-market_service::is_active("<svc>"). בלי שתי הבדיקות האלה הדלת פתוחה.

סקריפטים שהמרקט מזריק#

שירותים עם scripts[] (ווידג'ט נגישות, ווידג'ט צ'אט, מדידה) מוזרקים לסוף ה-body של כל עמוד באתר דרך system/system_tags.json.

ראו גם#

• קטלוג השירותים, לכל שירות: מה הוא עושה ואיפה הליבה נוגעת בו
• מארחים חיצוניים, לאן יוצאות קריאות מהאתר ומה עובר בהן
• MCP חיצוני, הכלים של מוצרי המרקט בתוך הסוכנים
• עדכון עצמי, הגרסה שהפרוקסי שולח ב-X-Core-Version
• הקשחה ו-מודל האבטחה