Предпросмотр прав роли до её создания: матрица доступа по метаданным

Права роли читаются не из самой роли. В метаданных у роли нет свойства со списком прав: Роль.Права документировано как тип Неопределено и всегда его возвращает, потому что работа со значением этого свойства во встроенном языке не предусмотрена. Справка платформы отправляет за правами к двум методам глобального контекста - ПравоДоступа и ПараметрыДоступа. Ими и собирается предпросмотр: роль можно описать таблицей до того, как она появится в конфигурации, а после создания - той же таблицей проверить.

📦 Что даёт платформа

• ПравоДоступа(<Право>, <ОбъектМетаданных>, <Пользователь/Роль>, <СтандартныйРеквизит>) возвращает Булево: установлено право на объект или нет. Результат учитывает права на родительский объект и значение свойства «Независимые права подчинённых объектов» для роли.
• Третий параметр принимает пользователя информационной базы или объект метаданных роли. При явно указанной роли метод возвращает право так, как оно определено в конфигурации, - это и нужно для предпросмотра.
• ПараметрыДоступа(<НаименованиеПрава>, <ОбъектМетаданных>, <СписокПолей>, <Пользователь/Роль>) возвращает объект с двумя свойствами: Доступность (право есть или нет) и ОграничениеУсловием (задано ли ограничение доступа условием).
• Метаданные.НайтиПоПолномуИмени(<ПолноеИмя>) находит объект по строке вида Справочник.Номенклатура, а Метаданные.Роли перебирает роли конфигурации. У роли доступны Имя, Синоним и ПолноеИмя.

Встроенной матрицы прав у платформы нет: в конфигураторе права видны в редакторе роли, а во встроенном языке их выдают два метода выше.

🧱 Матрица «объект × роль»

Строки таблицы - объекты из списка, колонки - роли конфигурации. Список объектов удобно держать в файле: его же согласуют с заказчиком.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29

// Строит матрицу: строки - объекты метаданных из списка, колонки - роли конфигурации.
Функция МатрицаПрав(СписокОбъектов, Право)

    Матрица = Новый ТаблицаЗначений;
    Матрица.Колонки.Добавить("Объект");

    Для Каждого Роль Из Метаданные.Роли Цикл
        Матрица.Колонки.Добавить(Роль.Имя);
    КонецЦикла;

    Для Каждого ПолноеИмя Из СписокОбъектов Цикл

        Объект = Метаданные.НайтиПоПолномуИмени(Строка(ПолноеИмя));
        Если Объект = Неопределено Тогда
            Продолжить; // имени нет в конфигурации: строка списка помечается отдельно
        КонецЕсли;

        СтрокаМатрицы = Матрица.Добавить();
        СтрокаМатрицы.Объект = Объект.ПолноеИмя;

        Для Каждого Роль Из Метаданные.Роли Цикл
            СтрокаМатрицы[Роль.Имя] = ПравоДоступа(Право, Объект, Роль);
        КонецЦикла;

    КонецЦикла;

    Возврат Матрица;

КонецФункции

На выходе таблица значений: колонка Объект и по колонке на каждую роль. Дальше её видно в форме обработки, можно выгрузить в табличный документ и отдать на согласование. Право задаётся строкой: "Чтение", "Добавление", "Изменение", "Удаление", "Проведение", "ИнтерактивноеДобавление" - полный список значений приведён в справке к методу ПравоДоступа.

Матрица перебирает все роли конфигурации. На большой конфигурации с десятками ролей таблица получается широкой, поэтому для согласования с заказчиком в неё включают три-четыре роли.

🧪 Ограничения условием

Доступность из ПараметрыДоступа отвечает на вопрос «право есть», а ОграничениеУсловием - «сужено ли это право условием на строки». Второе свойство и есть то, что в типовых конфигурациях называют RLS.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

// Проверяет право роли на объект с учётом ограничения по конкретному полю.
Функция ОграничениеПоПолю(Объект, Роль, ИмяПоля)

    Параметры = ПараметрыДоступа("Чтение", Объект, ИмяПоля, Роль);

    Если Не Параметры.Доступность Тогда
        // Права на чтение у роли нет: ограничение условием тоже приходит Истина, читать его бессмысленно
        Возврат "права нет";
    КонецЕсли;

    Если Параметры.ОграничениеУсловием Тогда
        Возврат "право есть, ограничено условием";
    КонецЕсли;

    Возврат "право есть, ограничений нет";

КонецФункции

Здесь есть место, где ошибаются: если права на действие у роли нет, ОграничениеУсловием всё равно возвращает Истина. Поэтому проверку начинают со свойства Доступность, и только потом смотрят на ограничение. Список полей в третьем параметре обязателен и задаётся строкой через запятую; имена табличных частей указывают как Товары.Сумма.

Типы объектов у ПараметрыДоступа ограничены: справочники, документы, журналы документов, регистры всех видов, планы, бизнес-процессы, задачи, последовательности, внешние источники данных. Для общих модулей, форм и констант метод не применяется.

🧭 Проверка до создания роли

Порядок, при котором объём прав согласуется до правки конфигурации:

1. Список объектов выгружается в файл: полное имя, комментарий, нужное право. Его подписывает заказчик.
2. Матрица строится по этому списку для роли-образца, у которой права уже настроены.
3. Разница между «что нужно» и «что есть у образца» обсуждается по таблице; редактор роли для этого разговора не нужен.
4. Роль создаётся в конфигурации, после чего матрица прогоняется ещё раз - теперь уже по новой роли. Расхождение означает, что при настройке роли что-то пропустили.

Шаг 4 - здесь и вскрываются ошибки: до создания роли метод отвечает по правилам конфигурации, но самой роли там ещё нет, и проверить нужно то, что получилось после ручной настройки в конфигураторе.

🪤 Ловушки

• Роль.Права возвращает Неопределено всегда. Прочитать права из объекта метаданных роли нельзя, и код вида Для Каждого Право Из Роль.Права Цикл не выполнится.
• В привилегированном режиме ПравоДоступа возвращает Истина независимо от настроек роли. Проверять матрицу под УстановитьПривилегированныйРежим(Истина) бессмысленно.
• Права на подчинённые объекты зависят от свойства «Независимые права подчинённых объектов» для роли, поэтому по одному объекту вывода о всей ветке метаданных не сделать.
• Имя объекта из файла может не найтись в конфигурации: НайтиПоПолномуИмени вернёт Неопределено, и такую строку нужно помечать отдельно.
• Ограничение условием проверяется по списку полей: один и тот же объект даст разные ответы для разных полей.

🚧 Границы

• Метод ПравоДоступа требует административных прав, если третий параметр указан явно. Обработку с матрицей запускают под пользователем с полными правами - и это отдельный разговор с заказчиком: инструмент согласования ролей не должен быть доступен всем.
• Проверка доступна на сервере, толстом клиенте и во внешнем соединении. Тонкий клиент и мобильный клиент метод не поддерживают, поэтому обработку делают серверной.
• Матрица показывает права роли в целом. Права конкретного пользователя складываются из его ролей и профилей доступа: чтобы увидеть их, третий параметр задают пользователем.
• Таблица не заменяет редактор роли: она отвечает на вопрос «есть или нет» по списку объектов, а состав объектов в роли и признаки вроде «Независимые права подчинённых объектов» всё равно правятся в конфигураторе.

📋 Порядок работы

1. Составьте файл со списком объектов: полное имя и право, которое для него требуется.
2. Возьмите модуль из архива, вставьте в общий модуль с признаком «Сервер» или в модуль серверной обработки.
3. Прогоните матрицу по роли-образцу и сравните её с файлом: расхождения - это и есть объём работы по роли.
4. Создайте роль и настройте права в конфигураторе.
5. Прогоните матрицу по новой роли. Строки, где право не встало, разбирайте поимённо.
6. Сохраните итоговую таблицу в файл и приложите к описанию прав для заказчика: при следующем обновлении конфигурации её будет с чем сравнить.

📚 Источники

• Синтакс-помощник платформы 1С:Предприятие 8.3.27.2130, файл справки shcntx_ru.hbk: Глобальный контекст.ПравоДоступа (с версии 8.0), Глобальный контекст.ПараметрыДоступа (с версии 8.0), ПараметрыДоступа.Доступность, ПараметрыДоступа.ОграничениеУсловием, ОбъектМетаданных: Роль.Права, ОбъектМетаданных: Роль.Имя, ОбъектМетаданных: Роль.ПолноеИмя, ОбъектМетаданныхКонфигурация.Роли, ОбъектМетаданныхКонфигурация.НайтиПоПолномуИмени, ТаблицаЗначений.Колонки, КоллекцияКолонокТаблицыЗначений.Добавить, СтрРазделить, ЗаписьТекста (конструктор «По имени файла», КодировкаТекста.UTF8).
• Ограничения доступа на уровне строк (RLS) и профили доступа - раздел «Права доступа» в документации платформы на its.1c.ru (доступ по подписке ИТС).

📎 Файл к статье

Во вложении архив к статье: модуль матрицы прав, пример списка объектов, чек-лист перед настройкой роли и описание к ним.

• matrica-prav.bsl: модуль целиком - матрица «объект × роль», чтение списка объектов из файла, проверка ограничения по полю, выгрузка матрицы в текст и запись в файл;
• spisok-obektov.csv: пример списка объектов с колонками «требуемое право» и «комментарий», имена условные;
• chek-list-roli.md: чек-лист перед созданием роли - что согласовать, что проверить после настройки, что приложить к описанию прав;
• README.md: что проверено, как подключить модуль и что осталось непроверенным.

Файл модуля не привязан к конкретной конфигурации: он обращается только к метаданным и к переданному списку объектов, объектов базы не читает.

🏁 Итог

Права роли читаются методами ПравоДоступа и ПараметрыДоступа: у свойства Роль.Права документирован тип Неопределено, и это первое, о что спотыкаются при попытке написать свою матрицу. Собранная по списку объектов таблица даёт согласуемый документ до правки конфигурации и проверку после ручной настройки роли. Код из архива сверен со справкой платформы 8.3.27.2130 и на платформе не прогонялся: первый запуск делайте на копии базы под пользователем с полными правами. Расскажите в комментариях, чем вы сверяете права роли до её создания и что из этого прижилось.

 

Нинель Адольевна Щербакова (Ninel_S)

Архитектор • SRE & DevOps инженер • HighLoad 1С

Автор 27 технических публикаций на Infostart. Разработчик NOPik, SRE-Suite-for-1C и мультиагентных ассистентов для экосистемы 1С:Предприятие.

Каталог статей и открытых репозиториев Ninel_S