UserPermissions

Права доступа

Права доступа - всегда довольно сложный раздел бизнес-логики любого приложения.

При проектировании публичного API этого сервиса фокус был сделан на ответах на простые вопросы.

Сам этот сервис практически не работает напрямую с хранением настроек и атрибутов прав доступа, это только фасад с удобным API.

Тем не менее, ниже немного описывается структура таблиц и особенности проверки прав доступа.

Настройки прав доступа

Права доступа в CRM (как во многих других модулях) настраиваются на уровне ролей (таблица b_crm_role).

К каждой роли можно отнести пользователя / группу / подразделение и т.д. (таблица b_crm_role_relation).

На каждую роль настраиваются права доступа (таблица b_crm_role_perms).

Права доступа настраиваются в разрезе "сущности" (колонка ENTITY, это горизонтальная строка в интерфейсе настроек).

Для каждой сущности можно настроить определенный уровень прав (колонка ATTR) для определенного действия (колонка PERM_TYPE).

Хранение атрибутов

Каждый раз при создании / изменении элемента любого типа CRM, его данные, влияющие на права доступа, преобразуются в набор атрибутов и записывается в таблицу b_crm_entity_perms (метод \CCrmPerms::UpdateEntityAttr).

Соответствие между этими данными и получаемыми атрибутами представлено в таблице:

Далее при проверке прав доступа алгоритм следующий:

• для пользователя, относительно которого проверяются права доступа, получается список его ролей, из ролей и их разрешений строится карта атрибутов, доступных этому пользователю (метод \CCrmRole::GetUserPerms());
• карта разрешений сравнивается с текущим набором атрибутов элемента с учетом действия, которое производится (\CCrmPerms::CheckEnityAccess());
• для списочных запросов строится дополнительное выражение для добавления в WHERE (метод \CCrmPerms::BuildSql()).

В этом сервисе все эти действия спрятаны "под капотом" (по факту вызываются методы старого API).

Инстанс сервиса следует получать из контейнера, т.к. внутри сервиса данные закешированы.

В методе Service\Container::getUserPermissions() есть аргумент $userId, куда можно передать идентификатор пользователя.

Методы

public function __construct(int $userId)

public function getUserId(): int

public function getCrmPermissions(): \CCrmPerms

public function canWriteConfig(): bool

public function canReadConfig(): bool

public function canReadType(int $entityTypeId, int $categoryId = 0): bool

public function canReadTypeInCategory(int $entityTypeId, int $categoryId): bool

public function canAddType(): bool

public function canUpdateType(): bool

public function canAddItem(Item $item): bool

public function checkAddPermissions
(int $entityTypeId, int $categoryId = 0, 
?string $stageId = null): bool

public function checkUpdatePermissions
(int $entityTypeId, int $id, 
int $categoryId = 0): bool

public function canUpdateItem(Item $item): bool

public function checkDeletePermissions
(int $entityTypeId, int $id, int $categoryId = 0): bool

public function canDeleteItem(Item $item): bool

public function checkReadPermissions
(int $entityTypeId, int $id = 0, int $categoryId = 0): bool

public function canReadItem(Item $item): bool

public function canViewItemsInCategory
(Category $category): bool

public function canAddCategory
(Category $category): bool

public function canUpdateCategory
(Category $category): bool

public function canDeleteCategory
(Category $category): bool

public function filterAvailableForReadingCategories
(array $categories): array

public function getPermissionType
(Item $item, string $operationType = self::OPERATION_READ): 
string

public function prepareItemPermissionAttributes
(Item $item): array

public static function getItemPermissionEntityType
(Item $item): string

public static function getPermissionEntityType
(int $entityTypeId, int $categoryId = 0): string

public static function getEntityNameByPermissionEntityType
(string $permissionEntityType): ?string

public function applyAvailableItemsFilter
(?array $filter, array $permissionEntityTypes, 
?string $operation = self::OPERATION_READ, 
?string $primary = 'ID'): array

public function getStartStageId(int $entityTypeId, 
EO_Status_Collection $stages, int $categoryId = 0, 
string $operation = self::OPERATION_ADD): ?string

Примеры

use Bitrix\Crm\Service;

$entityTypeId = 150;
$factory = Service\Container::getInstance()->getFactory($entityTypeId);
if (!$factory)
{
	return;
}

$userPermissions = Service\Container::getInstance()->getUserPermissions();

$canWriteConfig = $userPermissions->canWriteConfig();

$category = $factory->getDefaultCategory ();
$canReadType = $userPermissions->canReadType (
	$factory->getEntityTypeId (),
	$category->getId()
);
$canUpdateCategory = $userPermissions->canUpdateCategory($category);

$item = $factory->getItem(12);
$canDeleteItem = $userPermissions->canDeleteItem($item);
$canAddItemToCategory = $userPermissions->checkAddPermissions(
	$factory->getEntityTypeId (),
	$category->getId()
);

$categories = $factory->getCategories();
$availableForReadItemsCategories = $userPermissions->filterAvailableForReadingCategories($categories);

$filter = [
	'=CATEGORY_ID' => $category->getId(),
	'>ID' => 100,
];

$permissionEntityTypes = [$userPermissions::getPermissionEntityType($factory->getEntityTypeId, $category->getId())];

$filterWithPermissions = $userPermissions->applyAvailableItemsFilter($filter, $permissionEntityTypes);