Право доступа Битрикс

Права в Битриксе выдают не людям, а группам. Сотрудника включают в группу «Контент-менеджеры», а группе разрешают править новости и запрещают трогать настройки. Когда человек уходит или меняет роль, достаточно поменять его членство в группах, а не перебирать десятки объектов.

Каждое право связывает три вещи: кто (группа), на что (объект) и насколько (уровень доступа). Объекты бывают разными, и настраиваются они в разных местах:

• Модули — вкладка «Доступ» в настройках каждого модуля.
• Инфоблоки — вкладка «Доступ» в настройках инфоблока; в расширенном режиме права задаются и для отдельных разделов и элементов.
• Файлы и папки публичной части — через свойства в структуре сайта; хранятся в служебных файлах .access.php и наследуются вложенными папками.

Системные группы и сложение прав

Группа с ID 1 — администраторы, у неё полный доступ ко всему. Группа с ID 2 — «Все пользователи», в неё входят и неавторизованные посетители, поэтому её права определяют, что видит гость. Итоговое право пользователя — максимальное из прав всех его групп. Запрет для группы 2 не закроет раздел от сотрудника, если его рабочей группе доступ открыт. И наоборот: одна лишняя группа в профиле может дать больше, чем задумывалось.

Пример: проверка права в коде

Собственный код должен проверять права так же, как стандартный. Для модуля это $APPLICATION->GetGroupRight(), для инфоблока — CIBlock::GetPermission(). Обе функции возвращают букву уровня, а буквы сравнивают как строки:

\Bitrix\Main\Loader::includeModule('iblock');

$right = CIBlock::GetPermission($iblockId);
if ($right < 'W') {
    ShowError('Недостаточно прав для изменения каталога');
    return;
}
// дальше — сохранение изменений

Как не запутаться

Выдавайте минимум, нужный для работы: менеджеру заказов не нужен доступ к настройкам модулей, а SEO-специалисту — к списку пользователей. Раз в полгода полезно просматривать состав групп: в них годами остаются бывшие сотрудники и подрядчики. О том, как устроены сами группы и их политика безопасности, — в статье о группах пользователей.