gifts2017

Доработки RLS. Примеры шаблонов. (в т.ч исключения из ограничений)

Опубликовал Денис Vvv (EvilDoc) в раздел Администрирование - Защита, права, пароли

Допиливаем шаблоны RLS. Даем доступ пользователям к некоторым объектам

1. Даем доступ к некоторым объектам или исключение из правил для RLS

2. Добавляем поиск показателя ограничения в регистрах. 

 Публикацию планирую наращивать,  если желаете получить пример реализации какого-нибудь механизма в шаблоне РЛС - пишите в коменты.

1. Исключения в RLS

RLS достаточно точный механизм, ограничивающий доступ к таблицам базы по определенным условиям. Хоть и подразумевается что пользователь имеющий доступ только к некоторым документам определенного, к примеру, подразделения, на практике бывает необходимость все же выборочно давать доступ к объектам, запрещенным настройкой RLS.

Для примера – доступ ограничен по Организации и Подразделению для менеджера по кадрам. В случае перемещения сотрудника из подразделение в подразделение необходимо чтобы документ перемещения и сотрудник были видны в обоих подразделениях. Ну и при увольнении сотрудника типовая конфигурация пытается получить доступ к документу приема, который является документом первого подразделения.

На этом примере и проиллюстрирую не сложный механизм исключений из правил для RLS.

Исходные данные:

Шаблон ограничений для объектов где показатели для ограничения находятся в шапке документа:

ТекущаяТаблица
ИЗ
 #ТекущаяТаблица КАК ТекущаяТаблица
 ЛЕВОЕ СОЕДИНЕНИЕ (ВЫБРАТЬ РАЗЛИЧНЫЕ
 СоставГруппы.Ссылка КАК ГруппаПользователей
 ИЗ
 Справочник.ГруппыПользователей.ПользователиГруппы КАК СоставГруппы
 ГДЕ
 СоставГруппы.Пользователь = &ТекущийПользователь) КАК ГруппыПользователей
 ПО (ИСТИНА)
ГДЕ
НЕ ГруппыПользователей.ГруппаПользователей ЕСТЬ NULL
И
 (НЕ 1 В
 (ВЫБРАТЬ ПЕРВЫЕ 1
 1
 ИЗ
 РегистрСведений.НазначениеВидовОбъектовДоступа КАК НазначениеВидовОбъектовДоступа
 ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НастройкиПравДоступаПользователей КАК НастройкиПравДоступаПользователей
 ПО
 НастройкиПравДоступаПользователей.ОбъектДоступа = ВЫБОР
 КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ПодразделенияОрганизаций)
 ТОГДА
 ВЫБОР КОГДА ТипЗначения(ТекущаяТаблица.#Параметр(2)) = ТипЗначения(NULL)
 ТОГДА НастройкиПравДоступаПользователей.ОбъектДоступа
 ИНАЧЕ
 ТекущаяТаблица.#Параметр(2)
  КОНЕЦ
 КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)
 ТОГДА ТекущаяТаблица.#Параметр(1)
  КОНЕЦ
 И НастройкиПравДоступаПользователей.ВидОбъектаДоступа = НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа
 И 
 НастройкиПравДоступаПользователей.ОбластьДанных =
 ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ПустаяСсылка)
И НастройкиПравДоступаПользователей.Пользователь = ГруппыПользователей.ГруппаПользователей
 ГДЕ 
 НазначениеВидовОбъектовДоступа.ГруппаПользователей = ГруппыПользователей.ГруппаПользователей
 И НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа В (
 ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ПустаяСсылка)
  , ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ПодразделенияОрганизаций)
  , ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)
  )
  И НастройкиПравДоступаПользователей.ОбъектДоступа ЕСТЬ NULL
 ))

Шаблон ограничений для объектов где Организация в шапке, Подразделение в табличной части:

ТекущаяТаблица
ИЗ
 #ТекущаяТаблица КАК ТекущаяТаблица
 ЛЕВОЕ СОЕДИНЕНИЕ (ВЫБРАТЬ РАЗЛИЧНЫЕ
 СоставГруппы.Ссылка КАК ГруппаПользователей
 ИЗ
 Справочник.ГруппыПользователей.ПользователиГруппы КАК СоставГруппы
 ГДЕ
 СоставГруппы.Пользователь = &ТекущийПользователь) КАК ГруппыПользователей
 ПО (ИСТИНА)
ГДЕ
НЕ ГруппыПользователей.ГруппаПользователей ЕСТЬ NULL
И
 (НЕ 1 В
 (ВЫБРАТЬ ПЕРВЫЕ 1
 1
 ИЗ
 РегистрСведений.НазначениеВидовОбъектовДоступа КАК НазначениеВидовОбъектовДоступа
  ГДЕ
 НазначениеВидовОбъектовДоступа.ГруппаПользователей = ГруппыПользователей.ГруппаПользователей
 И ВЫБОР
  КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)
 ТОГДА ВЫБОР
 КОГДА 1 В
 (ВЫБРАТЬ ПЕРВЫЕ 1
 1
 ИЗ
 (ВЫБРАТЬ
 1 КАК Поле
 ) КАК Оптимизация ВНУТРЕННЕЕ СОЕДИНЕНИЕ РегистрСведений.НастройкиПравДоступаПользователей КАК НастройкиПравДоступаПользователей
 ПО
 НастройкиПравДоступаПользователей.ОбъектДоступа = ТекущаяТаблица.Организация
 И НастройкиПравДоступаПользователей.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)
 И НастройкиПравДоступаПользователей.ОбластьДанных = ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ПустаяСсылка)
 И НастройкиПравДоступаПользователей.Пользователь = НазначениеВидовОбъектовДоступа.ГруппаПользователей)
 ТОГДА ИСТИНА
 ИНАЧЕ ЛОЖЬ
 КОНЕЦ
 
 КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ПодразделенияОрганизаций)
 ТОГДА ВЫБОР
 КОГДА (НЕ 1 В
 (ВЫБРАТЬ ПЕРВЫЕ 1
 1
 ИЗ
 Документ.#Параметр(1) КАК ТабличнаяЧастьДокумента ВНУТРЕННЕЕ СОЕДИНЕНИЕ Справочник.ПодразделенияОрганизаций КАК ПодразделенияОрганизации
 ПО
 ПодразделенияОрганизации.Ссылка = ТабличнаяЧастьДокумента.#Параметр(2) ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НастройкиПравДоступаПользователей КАК НастройкиПравДоступаПользователей
 ПО
 НастройкиПравДоступаПользователей.ОбъектДоступа = ПодразделенияОрганизации.Ссылка
 И НастройкиПравДоступаПользователей.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ПодразделенияОрганизаций)
 И НастройкиПравДоступаПользователей.ОбластьДанных = ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ПустаяСсылка)
 И НастройкиПравДоступаПользователей.Пользователь = НазначениеВидовОбъектовДоступа.ГруппаПользователей
 ГДЕ
 ТабличнаяЧастьДокумента.Ссылка = ТекущаяТаблица.Ссылка
 И НастройкиПравДоступаПользователей.ОбластьДанных ЕСТЬ NULL ))
 ТОГДА ИСТИНА
 ИНАЧЕ ЛОЖЬ
 КОНЕЦ
 ИНАЧЕ ИСТИНА
 КОНЕЦ = ЛОЖЬ))
 И НЕ ГруппыПользователей.ГруппаПользователей ЕСТЬ NULL

Итак. Начнем с создания регистра сведений ДОП_ИсключенияПравДоступа. В нем мы будем хранить объекты к которым необходимо дать доступ и показатель – по которому необходимо дать доступ. Допустим для подразделения «Основное» следует дать доступ к документу «Прием на работу в организацию №000000001» который относится к другому подразделению. Создадим соответственно 2 измерения – ОбъектДоступа и ПоказательДоступа.

Следующим шагом следует обеспечить заполнение нашего регистра. В случае, приведенном в качестве примера, нас интерисует документ КадровоеПеремещение. Создадим подписку на событие, по событию ОбработкаПроведения и в новом общем модуле опишем движения по нашему регистру:

Процедура ДОП_ИсключенияПравДоступаКадровоеПеремещениеОбработкаПроведения(Источник, Отказ, РежимПроведения) Экспорт
 Запись = РегистрыСведений.ДОП_ИсключенияПравДоступа.СоздатьНаборЗаписей();
 Запись.Отбор.Регистратор.Установить(Источник.Ссылка);
  Для Каждого Строка Из Источник.РаботникиОрганизации Цикл
  Если НЕ Строка.ПодразделениеОрганизации = Строка.Сотрудник.ТекущееПодразделениеОрганизации Тогда
  //Документ перемещения доступен в старом подразделении
 НоваяЗапись = Запись.Добавить();
 НоваяЗапись.Регистратор = Источник.Ссылка;
 НоваяЗапись.Активность = Истина;
 НоваяЗапись.ОбъектДоступа = Источник.Ссылка;
 НоваяЗапись.ПоказательДоступа = Строка.Сотрудник.ТекущееПодразделениеОрганизации;
  //Сотрудник доступен в старом подразделении 
 НоваяЗапись = Запись.Добавить();
 НоваяЗапись.Регистратор = Источник.Ссылка;
 НоваяЗапись.Активность = Истина;
 НоваяЗапись.ОбъектДоступа = Строка.Сотрудник;
 НоваяЗапись.ПоказательДоступа = Строка.Сотрудник.ТекущееПодразделениеОрганизации;
  //Прием на работу сотрудника в старом подразделении доступен в новом подразделении
 НоваяЗапись = Запись.Добавить();
 НоваяЗапись.Регистратор = Источник.Ссылка;
 НоваяЗапись.Активность = Истина;
 НоваяЗапись.ОбъектДоступа = НайтиДокументПриема(Строка.Сотрудник, Отказ);
 НоваяЗапись.ПоказательДоступа = Строка.ПодразделениеОрганизации;
  КонецЕсли;
  КонецЦикла;
  Если НЕ Отказ Тогда
 Запись.Записать();
 КонецЕсли;
 КонецПроцедуры

Все, подготовительный этап окончен. Данные о объектах к которым необходимо дать доступ и о подразделениях, которым необходимо дать доступ к этим объектам попадают в регистр. Осталось немного поправить шаблоны ограничений добавив несколько строк.

Для шаблона с показателями в шапке:

ТекущаяТаблица
ИЗ
 #ТекущаяТаблица КАК ТекущаяТаблица
 ЛЕВОЕ СОЕДИНЕНИЕ (ВЫБРАТЬ РАЗЛИЧНЫЕ
 СоставГруппы.Ссылка КАК ГруппаПользователей
 ИЗ
 Справочник.ГруппыПользователей.ПользователиГруппы КАК СоставГруппы
 ГДЕ
 СоставГруппы.Пользователь = &ТекущийПользователь) КАК ГруппыПользователей
 ПО (ИСТИНА)
 ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.ДОП_ИсключенияПравДоступа КАК ОбъектыДоступа
 ПО ТекущаяТаблица.Ссылка = ОбъектыДоступа.ОбъектДоступа
ГДЕ
 НЕ ГруппыПользователей.ГруппаПользователей ЕСТЬ NULL
И
 (НЕ 1 В
 (ВЫБРАТЬ ПЕРВЫЕ 1
 1
 ИЗ
 РегистрСведений.НазначениеВидовОбъектовДоступа КАК НазначениеВидовОбъектовДоступа
 ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НастройкиПравДоступаПользователей КАК НастройкиПравДоступаПользователей
 ПО
 (НастройкиПравДоступаПользователей.ОбъектДоступа = ВЫБОР
 КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ПодразделенияОрганизаций)
 ТОГДА
 ВЫБОР КОГДА ТипЗначения(ТекущаяТаблица.#Параметр(2)) = ТипЗначения(NULL)
 ТОГДА НастройкиПравДоступаПользователей.ОбъектДоступа
 ИНАЧЕ
 ТекущаяТаблица.#Параметр(2)
 КОНЕЦ
 КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)
 ТОГДА ТекущаяТаблица.#Параметр(1)
  КОНЕЦ
 ИЛИ НастройкиПравДоступаПользователей.ОбъектДоступа = ВЫБОР
 КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ПодразделенияОрганизаций)
 ТОГДА
 ВЫБОР КОГДА ТипЗначения(ТекущаяТаблица.#Параметр(2)) = ТипЗначения(NULL)
 ТОГДА НастройкиПравДоступаПользователей.ОбъектДоступа
 ИНАЧЕ
  ОбъектыДоступа.ПоказательДоступа
  КОНЕЦ
 КОНЕЦ
 )
 И НастройкиПравДоступаПользователей.ВидОбъектаДоступа = НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа
 И 
 НастройкиПравДоступаПользователей.ОбластьДанных =
  ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ПустаяСсылка)
 И НастройкиПравДоступаПользователей.Пользователь = ГруппыПользователей.ГруппаПользователей
 ГДЕ 
 НазначениеВидовОбъектовДоступа.ГруппаПользователей = ГруппыПользователей.ГруппаПользователей
 И НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа В (
 ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ПустаяСсылка)
  , ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ПодразделенияОрганизаций)
  , ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)
  )
  И НастройкиПравДоступаПользователей.ОбъектДоступа ЕСТЬ NULL
 ))

И для шаблона ограничений с Организацией в шапке и подразделением в табличной части:

ТекущаяТаблица
ИЗ
 #ТекущаяТаблица КАК ТекущаяТаблица
 ЛЕВОЕ СОЕДИНЕНИЕ (ВЫБРАТЬ РАЗЛИЧНЫЕ
 СоставГруппы.Ссылка КАК ГруппаПользователей
 ИЗ
 Справочник.ГруппыПользователей.ПользователиГруппы КАК СоставГруппы
 ГДЕ
 СоставГруппы.Пользователь = &ТекущийПользователь) КАК ГруппыПользователей
 ПО (ИСТИНА)
 ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.ДОП_ИсключенияПравДоступа Как ОбъектыДоступа
 ПО ТекущаяТаблица.Ссылка = ОбъектыДоступа.ОбъектДоступа
ГДЕ
 НЕ ГруппыПользователей.ГруппаПользователей ЕСТЬ NULL
И
 (НЕ 1 В
 (ВЫБРАТЬ ПЕРВЫЕ 1
 1
 ИЗ
 РегистрСведений.НазначениеВидовОбъектовДоступа КАК НазначениеВидовОбъектовДоступа
 ГДЕ
 НазначениеВидовОбъектовДоступа.ГруппаПользователей = ГруппыПользователей.ГруппаПользователей
 И ВЫБОР
 КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)
 ТОГДА ВЫБОР
 КОГДА 1 В
 (ВЫБРАТЬ ПЕРВЫЕ 1
 1
 ИЗ
 (ВЫБРАТЬ
 1 КАК Поле
 ) КАК Оптимизация ВНУТРЕННЕЕ СОЕДИНЕНИЕ РегистрСведений.НастройкиПравДоступаПользователей КАК НастройкиПравДоступаПользователей
 ПО
 НастройкиПравДоступаПользователей.ОбъектДоступа = ТекущаяТаблица.Организация
 И НастройкиПравДоступаПользователей.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)
 И НастройкиПравДоступаПользователей.ОбластьДанных = ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ПустаяСсылка)
 И НастройкиПравДоступаПользователей.Пользователь = НазначениеВидовОбъектовДоступа.ГруппаПользователей)
 ТОГДА ИСТИНА
 ИНАЧЕ ЛОЖЬ
 КОНЕЦ
 КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ПодразделенияОрганизаций)
 ТОГДА ВЫБОР
 КОГДА (НЕ 1 В
 (ВЫБРАТЬ ПЕРВЫЕ 1
 1
 ИЗ
 Документ.#Параметр(1) КАК ТабличнаяЧастьДокумента ВНУТРЕННЕЕ СОЕДИНЕНИЕ Справочник.ПодразделенияОрганизаций КАК ПодразделенияОрганизации
 ПО
 ПодразделенияОрганизации.Ссылка = ТабличнаяЧастьДокумента.#Параметр(2) ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НастройкиПравДоступаПользователей КАК НастройкиПравДоступаПользователей
 ПО
 (НастройкиПравДоступаПользователей.ОбъектДоступа = ПодразделенияОрганизации.Ссылка
 ИЛИ НастройкиПравДоступаПользователей.ОбъектДоступа = ОбъектыДоступа.ПоказательДоступа)
 И НастройкиПравДоступаПользователей.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ПодразделенияОрганизаций)
 И НастройкиПравДоступаПользователей.ОбластьДанных = ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ПустаяСсылка)
 И НастройкиПравДоступаПользователей.Пользователь = НазначениеВидовОбъектовДоступа.ГруппаПользователей
  ГДЕ
 ТабличнаяЧастьДокумента.Ссылка = ТекущаяТаблица.Ссылка
 И НастройкиПравДоступаПользователей.ОбластьДанных ЕСТЬ NULL ))
 ТОГДА ИСТИНА
 ИНАЧЕ ЛОЖЬ
 КОНЕЦ
  ИНАЧЕ ИСТИНА
 КОНЕЦ = ЛОЖЬ))
 И НЕ ГруппыПользователей.ГруппаПользователей ЕСТЬ NULL

Вот и все. Осталось только указать параметры для шаблона для документов. Это наименования реквизитов, содержащих организацию и подразделение (знаю что это можно было убрать – зато иллюстрирует работу с параметрами) для шаблона для объектов с организацией и подразделением в табличной части и наименование документа + наименование табличной части и наименование реквизита, содержащего подразделение.

2. Поиск показателя ограничения в регистрах

Продолжим. Во многих кадровых и расчетных документах явно не указывается подразделение организации. Зато есть сотрудник, нам этого вполне хватит, чтобы найти его подразделение. 

Для начала разберем конструкцию:

ЛЕВОЕ СОЕДИНЕНИЕ
                (ВЫБРАТЬ
                                        СрезПоследних.Период КАК Период,
                                        СрезПоследних.Сотрудник КАК Сотрудник,
                                        Регистр.Регистратор КАК Регистратор,
                                        Регистр.ПодразделениеОрганизации КАК ПодразделениеОрганизации
                        ИЗ
                                        (ВЫБРАТЬ
                                                        РаботникиОрганизаций.Сотрудник КАК Сотрудник,
                                                        МАКСИМУМ(РаботникиОрганизаций.Период) КАК Период
                                        ИЗ
                                                        РегистрСведений.РаботникиОрганизаций КАК РаботникиОрганизаций

                                        СГРУППИРОВАТЬ ПО
                                                        РаботникиОрганизаций.Сотрудник) КАК СрезПоследних
                        ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.РаботникиОрганизаций КАК Регистр
                        ПО СрезПоследних.Период = Регистр.Период
                        И СрезПоследних.Сотрудник = Регистр.Сотрудник)ПодразделениеСотрудника
        ПО ТекущаяТаблица.#Параметр(2) = ПодразделениеСотрудника.Сотрудник

Так как в RLS нельзя использовать виртуальные таблицы - нам придется ее сделать самостоятельно, что мы выше и сделали.

То есть мы получили подразделение по сотруднику из РС Работники организации. Осталось только внедрить этот кусочек в наши шаблоны RLS. Сотрудники обычно находятся в табличной части документа. В этот шаблон мы и добавим наш новый кусочек

ТекущаяТаблица

ИЗ

 #ТекущаяТаблица КАК ТекущаяТаблица

 ЛЕВОЕ СОЕДИНЕНИЕ (ВЫБРАТЬ РАЗЛИЧНЫЕ

 СоставГруппы.Ссылка КАК ГруппаПользователей

 ИЗ

 Справочник.ГруппыПользователей.ПользователиГруппы КАК СоставГруппы

 ГДЕ

 СоставГруппы.Пользователь = &ТекущийПользователь) КАК ГруппыПользователей

 ПО (ИСТИНА)

  ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.ДОП_ИсключенияПравДоступа Как ОбъектыДоступа

 ПО ТекущаяТаблица.Ссылка = ОбъектыДоступа.ОбъектДоступа

ГДЕ

 НЕ ГруппыПользователей.ГруппаПользователей ЕСТЬ NULL

И

 (НЕ 1 В

 (ВЫБРАТЬ ПЕРВЫЕ 1

 1

 ИЗ

 РегистрСведений.НазначениеВидовОбъектовДоступа КАК НазначениеВидовОбъектовДоступа
 ГДЕ

 НазначениеВидовОбъектовДоступа.ГруппаПользователей = ГруппыПользователей.ГруппаПользователей

 И ВЫБОР

 КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)

 ТОГДА ВЫБОР

 КОГДА 1 В

 (ВЫБРАТЬ ПЕРВЫЕ 1

 1

 ИЗ

 (ВЫБРАТЬ

 1 КАК Поле

 ) КАК Оптимизация ВНУТРЕННЕЕ СОЕДИНЕНИЕ РегистрСведений.НастройкиПравДоступаПользователей КАК НастройкиПравДоступаПользователей

 ПО

 НастройкиПравДоступаПользователей.ОбъектДоступа = ТекущаяТаблица.Организация

 И НастройкиПравДоступаПользователей.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.Организации)

 И НастройкиПравДоступаПользователей.ОбластьДанных = ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ПустаяСсылка)

 И НастройкиПравДоступаПользователей.Пользователь = НазначениеВидовОбъектовДоступа.ГруппаПользователей)

 ТОГДА ИСТИНА

 ИНАЧЕ ЛОЖЬ

 КОНЕЦ

  КОГДА НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ПодразделенияОрганизаций)

 ТОГДА ВЫБОР

 КОГДА (НЕ 1 В

 (ВЫБРАТЬ ПЕРВЫЕ 1

 1

 ИЗ

 Документ.#Параметр(1) КАК ТабличнаяЧастьДокумента

 ЛЕВОЕ СОЕДИНЕНИЕ
 (ВЫБРАТЬ
 СрезПоследних.Период КАК Период,
 СрезПоследних.Сотрудник КАК Сотрудник,
 Регистр.Регистратор КАК Регистратор,
 Регистр.ПодразделениеОрганизации КАК ПодразделениеОрганизации
 ИЗ
 (ВЫБРАТЬ
 РаботникиОрганизаций.Сотрудник КАК Сотрудник,
 МАКСИМУМ(РаботникиОрганизаций.Период) КАК Период
 ИЗ
 РегистрСведений.РаботникиОрганизаций КАК РаботникиОрганизаций

 СГРУППИРОВАТЬ ПО
 РаботникиОрганизаций.Сотрудник) КАК СрезПоследних
 ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.РаботникиОрганизаций КАК Регистр
 ПО СрезПоследних.Период = Регистр.Период
 И СрезПоследних.Сотрудник = Регистр.Сотрудник)ПодразделениеСотрудника
 ПО ТабличнаяЧастьДокумента.#Параметр(2) = ПодразделениеСотрудника.Сотрудник

ВНУТРЕННЕЕ СОЕДИНЕНИЕ Справочник.ПодразделенияОрганизаций КАК ПодразделенияОрганизации

 ПО

 ПодразделенияОрганизации.Ссылка = ПодразделениеСотрудника.ПодразделениеОрганизации ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НастройкиПравДоступаПользователей КАК НастройкиПравДоступаПользователей

 ПО

 (НастройкиПравДоступаПользователей.ОбъектДоступа = ПодразделенияОрганизации.Ссылка

 ИЛИ НастройкиПравДоступаПользователей.ОбъектДоступа = ОбъектыДоступа.ПоказательДоступа)

 И НастройкиПравДоступаПользователей.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ПодразделенияОрганизаций)

 И НастройкиПравДоступаПользователей.ОбластьДанных = ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ПустаяСсылка)

 И НастройкиПравДоступаПользователей.Пользователь = НазначениеВидовОбъектовДоступа.ГруппаПользователей

  ГДЕ

 ТабличнаяЧастьДокумента.Ссылка = ТекущаяТаблица.Ссылка

 И НастройкиПравДоступаПользователей.ОбластьДанных ЕСТЬ NULL ))

 ТОГДА ИСТИНА

 ИНАЧЕ ЛОЖЬ

 КОНЕЦ

  ИНАЧЕ ИСТИНА

 КОНЕЦ = ЛОЖЬ))

 И НЕ ГруппыПользователей.ГруппаПользователей ЕСТЬ NULL

 В результате мы видем объекты с сотрудниками только своего подразделения. Надеюсь этот материал поможет разобраться с RLS и не отказываться от него из-за его якобы "сложности"

Пишите коменты,  если что не ясно – растолкую. Так же принимаю критику =) Всем приятного чтения!

Подготовленно совместно с VasiL` http://infostart.ru/community/profile/102806/

См. также

Подписаться Добавить вознаграждение

Комментарии

1. Александр Медведев (anig99) 19.06.13 11:35
В чем ноу-хау? Всё это есть в типовых.
2. Кирилл Шабалин (crs) 19.06.13 16:43
В типовых нельзя сделать исключение RLS. Если запретил организацию, пользователь ни при каких условиях ни ее, ни связанные объекты видеть не будет
3. Денис Vvv (EvilDoc) 19.06.13 23:10
Собственно, уже ответили =) Вот интересно ранее кто-то сталкивался с подобной задачей и как ее реализовывал?
4. al petrov (petrov_al) 20.06.13 12:24
Интересна сама по себе идея использования дополнительных регистров для исключений. А как кстати при обновлении для RLS шаблонов, можно применить приоритеты?
5. Александр Медведев (anig99) 21.06.13 13:44
(2) А. Увидел. Вообще ещё есть вариант не давать доступ к объекту, но дать доступ к ссылке и некоторым реквизитам.
6. Александр Капустин (kapustinag) 22.06.13 21:02
Проверяли работу этого механизма на РЕАЛЬНО большой базе, с достаточно большим количеством одновременно работающих пользователей? Не тормозит?
Если у пользователя постепенно накапливается много исключений, к которым он должен получить доступ, то, мне кажется, будет притормаживать.
7. Денис Vvv (EvilDoc) 23.06.13 03:33
(5) В первый раз слышу. Был бы счастлив узнать о подобном механизме - то есть давать доступ к уникальной ссылке и к определенным реквизитам в обход RLS типовыми или более простыми, нежели мной предложенный, способами =) Буду рад любой информации.

(6) РЛС работает чуточку быстрее прочих систем контроля доступа, представленные, к примеру, здесь http://kb.mista.ru/article.php?id=134.
А что касается именно исключений из РЛС, да, в каждый запрос добавляется ни чуть не изящное исключение.

Мое имхо - может тормозить и скорее всего будет в случае большого количества (больше 10к) у каждой группы пользователей... На реально большой базе. Может быть для этих случаев есть смысл не использовать РЛС впринципе или допустим только по организации - зависит от задачи. МБ распределенка решит, но локально с озвученой проблемой идея справляется. Для каждого конкретного случая нужны свои идеи =) Тут я привел реализацию определенной задачи, которая, думаю, поможет многим с подобными проблемами. Я как бы хотел донести суть а не полную реализацию. Хотя получилось что полная реализация присутствует =)) И вот мне интересно кому эта "суть" помогла и кто нашел другие решения, особенно более "изящные".

з..ы. Жду критики - как сделать лучше - это в радость. Ну и кому помогло - тоже в радость =)) Не за что =)))
denxxxden; +1 Ответить
8. Данила Елистратов (CagoBHuK) 26.06.13 09:58
РЛС нет смысла использовать на больших базах. Это сводит полезность Record-Livel Security к нулю.
Shmell; xsazar; AltF1; +3 Ответить 1
9. Денис Vvv (EvilDoc) 26.06.13 20:31
(8) CagoBHuK, А разве есть более быстрые альтернативы? Для ограничения доступа RLS наиболее шустрый. Из других вариантов разве что распределенка.
10. Алексей Новоселов (a-novoselov) 01.07.13 10:48
А не проще и менее затратно было бы просто добавить в шаблон связь по "ИЛИ" со вторым реквизитом (то же имя реквизита из параметра) и поменять шаблон для нужных документов? А если системе необходимо "посмотреть" недоступный документ, например, в обработке проведения другого документа, то выполнять обработку в привелегированном режиме?
11. Денис Vvv (EvilDoc) 01.07.13 11:33
В контексте озвученой задачи речь идет о интерактивной работе с запрещенным объектом. В частности просмотр. Ибо менеджер по кадпам должен видеть сам факт перемещения. Чтобы избежать ситуации с неизвестно куда пропавшими сотрудниками =)
12. andrey dyak (dyak84) 26.09.13 16:50
Да автору безусловное спасибо есть что почитать есть над чем поразмыслить.Так держать Спасибо.
13. Денис Vvv (EvilDoc) 13.02.14 11:15
Да автор вообще красава)
14. Татьяна *** (20tanush) 05.08.15 15:13
EvilDoc, есть необходимость доработать шаблон ограничения, когда исключением является дата документа. Вот в этой темке описываю задачу: http://forum.infostart.ru/forum42/topic135726/message1401591/?result=reply#message1401591
Можете помочь советом?
15. Денис Vvv (EvilDoc) 21.08.15 16:11
16. Наталья * (NatalyaVP) 08.09.15 14:00
По пункту 2. Какие значения в параметрах? Параметр 1 - это сотрудник? Параметр 2 - это подразделение?
Я сделала шаблон, в ограничении права на чтение что писать? шаблон("",""), а реквизиты как написать. Вот, например, документ "Командировки организаций", табличная часть, в ней сотрудник, в нём подразделение.
шаблон("командировкиОрганизаций.Работники.Сотрудник","командировкиОрганизаций.Работники.Сотрудник.подразделение"). Так?
Заранее спасибо за ответ.
17. Денис Vvv (EvilDoc) 08.09.15 16:16
Параметр1 - имя табличной части, Параметр 2 - реквизит в котором хранится сотрудник в данной ТЧ.
Пример из УПП - #Шаблон("Работники","Сотрудник")
18. Денис Vvv (EvilDoc) 08.09.15 16:18
(16) NatalyaVP, #Шаблон("Работники","Сотрудник")
19. Андрей Зубко (Orangeman) 09.03.16 18:12
Добрый день . Коллеги подскажите вот если стоит ограничение вида
#ПоЗначениям("Документ.ВнутреннееПеремещениеБСО", "Чтение", "",
"Организации", "Организация",
"ИсточникиФинансовогоОбеспечения","ИФО",
"Подразделения","ПодразделениеОтправитель",
"","",
"","","","","","","","",
"","","","","","","","",
"","","","","","","",""
)
И ситуация похожа хочу так же чтобы были доступны документы в которых ПодразделениеПолучатель соответствует моему(по которому ограничиваю запись). Создал так же регистр сведений в него пишу при записи документа, сам документ регистратор и подразделения . Как мне в данном ограничении # ПоЗначениям приудить условие ИЛИ мол выводи те документы которые в регистре с моим подразделением и те которые тут по ПодразделениюОтправителю, Я не совсем понимаю где в настройках пользователя или может еще где хранится информация по Подразделению ему доступному с чем как бы сравнит Подразделение в документе Конфа типовая БГУ 2.0
20. Андрей Зубко (Orangeman) 09.03.16 18:17
Как то коряво написал ,ну суть такая хочу выводить пользователю документы в которых ему доступно Подразделение отправитель плюс к ним документы из регистра сведений по некому отбору вот как можно записать условие
21. Котэ Пруидзе (kote) 27.05.16 11:31
.. не ошибка, но оплошность:

 ТОГДА

                                               ВЫБОР КОГДА ТипЗначения(ТекущаяТаблица.#Параметр(2)) = ТипЗначения(NULL)

                                                               ТОГДА НастройкиПравДоступаПользователей.ОбъектДоступа

                                               ИНАЧЕ
...Показать Скрыть



Вот это
 ТипЗначения(ТекущаяТаблица.#Параметр(2)) = ТипЗначения(NULL)
будет работать в 5-8 раз медленнее, чем
 (ТекущаяТаблица.#Параметр(2)) ЕСТЬ NULL 
. Для RLS особенно актуально.

Никогда так не делайте!
22. Денис Vvv (EvilDoc) 01.06.16 13:20
(21) kote, разработчикам РЛС для УПП уже поздновато сообщать о их оплошности)
Для написания сообщения необходимо авторизоваться
Прикрепить файл
Дополнительные параметры ответа