В практике разработки на платформе 1С:Предприятие 8.3 часто возникает ситуация, когда штатный механизм ограничений доступа на уровне записей (RLS) вступает в конфликт с программным кодом. Типичный сценарий: программист создает обработку, которая должна подготовить документ и открыть его форму для пользователя, но вместо открытого окна система выдает ошибку: «У пользователя недостаточно прав на исполнение операции над базой данных». Особенно остро эта проблема проявляется в конфигурациях на базе БСП, таких как «ДАЛИОН: ТРЕНД», где права доступа жестко ограничены по складам, торговым объектам или организациям.
Давайте подробно разберем, почему возникает эта ошибка, как работает механизм #ПоЗначениям и какими способами можно обеспечить корректную работу пользователя с ограниченными правами.
Проанализируем ситуацию, описанную в теме. Ошибка возникает на строке кода ОбъектПриемник.Записать(РежимЗаписиДокумента.Запись);. При использовании RLS система проверяет права не только на сам объект (Документ), но и на значения конкретных полей, указанных в шаблоне ограничений.
Разберем, как работает шаблон #ПоЗначениям. Если в роли пользователя для документа «Приходная накладная» прописано ограничение по полю Склад.ТорговыйОбъект, то любая попытка прочитать или записать документ будет проверяться на соответствие этому правилу.
Важный нюанс: если реквизит «Склад» в документе пустой (содержит пустую ссылку), RLS по умолчанию считает, что у пользователя нет прав на этот объект, так как «пустое значение» не входит в список разрешенных торговых объектов пользователя.
Рассмотрим порядок действий для исправления этой ситуации:
Записать() необходимо обязательно заполнить все реквизиты, по которым настроен RLS. В данном случае это «Организация» и «Склад».Многие разработчики ошибочно полагают, что вызов УстановитьПривилегированныйРежим(Истина) решает все проблемы с правами в рамках всей сессии. Посмотрим на этот механизм внимательнее.
Функция УстановитьПривилегированныйРежим отключает проверку прав доступа только на время выполнения кода на стороне сервера. Как только выполнение процедуры заканчивается и управление возвращается на клиента (например, для открытия формы), RLS включается снова.
Если ваша обработка выполняет следующий код:
&НаСервере
Процедура СоздатьИЗаписатьНаСервере()
УстановитьПривилегированныйРежим(Истина);
НовыйДокумент = Документы.ПриходнаяНакладная.СоздатьДокумент();
// ... заполнение ...
НовыйДокумент.Записать(); // Здесь запись пройдет успешно
КонецПроцедуры
&НаКлиенте
Процедура ВыполнитьДействие()
СоздатьИЗаписатьНаСервере();
ОткрытьФорму("Документ.ПриходнаяНакладная.ФормаОбъекта", Новый Структура("Ключ", СсылкаНаДокумент));
// А здесь возникнет ошибка, если у пользователя нет прав на чтение этого склада по RLS
КонецПроцедуры
Чтобы форма открылась, у пользователя обязательно должны быть права на чтение объекта с теми реквизитами, которые в нем записаны. Привилегированный режим помогает только «проскочить» момент записи пустого или частично заполненного объекта в базу.
В обсуждении упоминается попытка программно включить профиль пользователя с полными правами перед выполнением операции. Выясним, почему это не работает «на лету».
В платформе 1С роли пользователя считываются в момент авторизации. Даже если вы программно добавили пользователя в новую группу доступа или обновили его профиль через БСП (УправлениеДоступом.ВключитьПрофильПользователю), набор ролей в текущем сеансе не изменится до тех пор, пока пользователь не перезапустит программу.
Вывод: динамическое управление правами для обхода RLS внутри одного сеанса невозможно. Нужно настраивать права таким образом, чтобы они позволяли выполнять операцию в штатном режиме.
Проанализируем наиболее эффективный способ решения задачи, когда пользователю (оператору) нужно создать документ, на который у него потенциально ограничены права.
Шаг 1. Предварительное заполнение.
Выясните, какой склад (торговый объект) разрешен данному пользователю. Используйте параметры сеанса или функции БСП для получения списка разрешенных значений. При создании документа в обработке сразу устанавливайте разрешенное значение.
Шаг 2. Использование параметров формы.
Вместо того чтобы сначала записывать документ, а потом открывать его форму, попробуйте передать значения заполнения сразу в параметры открытия формы. В этом случае проверка прав произойдет только в момент записи из самой формы, когда реквизиты уже будут заполнены пользователем.
ПараметрыЗаполнения = Новый Структура;
ПараметрыЗаполнения.Вставить("Склад", РазрешенныйСклад);
ПараметрыЗаполнения.Вставить("Организация", РазрешеннаяОрганизация);
ПараметрыФормы = Новый Структура("ЗначенияЗаполнения", ПараметрыЗаполнения);
ОткрытьФорму("Документ.ПриходнаяНакладная.ФормаОбъекта", ПараметрыФормы);
Шаг 3. Обработка записи в привилегированном модуле.
Если логика требует обязательной записи документа перед открытием (например, для формирования связей), вынесите метод Записать() в серверный модуль с установленным флагом «Привилегированный». Это позволит избежать ошибки Ошибка при вызове метода контекста (Записать), даже если часть регистров, в которые пишет документ, недоступна пользователю на запись.
Иногда документ «Приходная накладная» при записи делает движения по регистрам (например, «Запасы на складах» или «Цены номенклатуры»). Если в конфигурации настроен RLS на эти регистры, то даже при наличии прав на сам документ, запись будет прервана.
Проанализируйте состав ролей пользователя «Оператор»:
Для устранения ошибки «Недостаточно прав» при программной работе с документами под RLS в «ДАЛИОН: ТРЕНД» выполните следующие действия:
Записать().ЗначенияЗаполнения при открытии формы, чтобы документ сразу создавался с корректными правами.Такой подход позволит сохранить безопасность данных (пользователь по-прежнему не увидит чужие склады), но при этом обеспечит стабильную работу автоматизированных обработок.