Почему не работает RLS в 1С при ограничении доступа к справочнику Контрагенты?

Часто при настройке прав доступа на уровне записей (RLS) в конфигурациях на базе 1С:Предприятие возникает ситуация: мы создаем новую роль, прописываем ограничение на чтение определенного справочника (например, контрагентов), добавляем эту роль пользователю, но он все равно видит все элементы справочника без ограничений. Рассмотрим подробно, почему так происходит, разберем типичные ошибки и выясним, как правильно настраивать фильтрацию данных в современных конфигурациях на базе Библиотеки стандартных подсистем (БСП).

Типичная ошибка: прямое ограничение через регистр сведений

Проанализируем классический подход, который применяют многие разработчики. Создается некий регистр сведений, например, РегистрСведений.ОграниченияПоКонтрагентам, и в новой роли на справочник прописывается следующее условие:

Контрагенты.Ссылка В (ВЫБРАТЬ ОграничениеПоКА.Контрагент ИЗ РегистрСведений.ОграниченияПоКонтрагентам КАК ОграничениеПоКА
    ГДЕ
        ОграничениеПоКА.Пользователь = &ТекущийПользователь
        И ОграничениеПоКА.Разрешено = ИСТИНА)

Роль добавляется в профиль групп доступа, например, Бухгалтер, но ожидаемого ограничения не происходит. Посмотрим на основные причины такого поведения.

Принцип сложения прав RLS: правило логического "ИЛИ"

Разберем базовую механику платформы 1С. Доступ по RLS между разными ролями одного пользователя всегда работает по принципу логического сложения — ИЛИ. Разрешено все, что разрешено хотя бы одной ролью пользователя.

Если в профиле пользователя (или в других назначенных ему профилях) есть хотя бы одна роль, которая дает доступ к справочнику без ограничений RLS, то платформа проигнорирует ваше ограничение из новой роли. Базовые роли, такие как Чтение базовой нормативно-справочной информации, часто неявно присутствуют в типовых профилях и предоставляют полные права на чтение справочников.

Чтобы выявить такие роли, выполним следующие шаги:

1. Откроем конфигурацию, нажмем правой кнопкой мыши на ветку Роли и выберем Все роли.
2. В открывшейся матрице найдем нужный объект метаданных (справочник Контрагенты).
3. Прокручивая список ролей по горизонтали, проанализируем, какие еще роли дают право на Чтение этого объекта.
4. Если у пользователя назначены эти роли, он будет видеть все данные справочника. Для выявления пересечений в пользовательском режиме лучше использовать типовой отчет БСП по правам доступа.

Обновление ключей доступа в конфигурациях на БСП

Рассмотрим важнейший нюанс современных конфигураций, таких как 1С:Бухгалтерия 3.0. Самая частая причина, из-за которой настроенный RLS визуально не работает — это неактуальные ключи доступа.

Архитектура БСП кэширует вычисленные права пользователей в специализированных регистрах сведений (например, КлючиДоступаКОбъектам или КлючиДоступаПользователей). Это сделано для максимального ускорения работы системы при открытии списков. Если вы добавили новую роль, изменили профиль или внесли записи в ваш регистр ограничений, система не применит эти изменения моментально.

Для применения новых прав сделаем следующее:

1. Перейдем в раздел Администрирование.
2. Найдем обработки обслуживания и запустим Обновление доступа на уровне записей.
3. Дождемся окончания процедуры пересчета ключей (или дождемся выполнения регламентного задания, если оно настроено в фоне).

Только после пересчета ключей доступа пользователь увидит отфильтрованный список справочника.

Отказ от прямых запросов и использование подсистемы "Управление доступом"

Посмотрим на приведенный в начале статьи код. В современных версиях БСП прямое написание SQL-подобных запросов в тексте ролей считается устаревшим подходом и часто приводит к ошибкам. Платформа ожидает использование встроенных стандартных шаблонов ограничения доступа.

Вместо создания своих регистров и ролей вручную, воспользуемся штатными механизмами БСП:

1. В общих модулях, таких как УправлениеДоступомПереопределяемый, программно добавляется новый Вид доступа.
2. После обновления конфигурации этот фильтр (например, по контрагентам) штатно появится в режиме 1С:Предприятие в справочнике Профили групп доступа.
3. Администратор сможет без программирования назначить ограничения нужным профилям.
4. В тексте ролей должны применяться стандартные шаблоны, например #ПоЗначениям.

Производительный режим RLS

Проанализируем еще одну архитектурную особенность. В последних версиях БСП 3.x по умолчанию включается так называемый производительный режим RLS. В этом режиме тексты ограничений настраиваются совершенно иначе — через специальные макросы, встроенные в шаблоны (например, конструкции вида РазрешитьЧтениеИзменение).

Классические запросы RLS, написанные вручную напрямую к таблицам, в производительном режиме могут просто игнорироваться платформой или вызывать деградацию производительности, так как платформа не сможет оптимизировать кэширование.

Параметры сеанса и привилегированный режим

Выясним причину, по которой код может срабатывать не так, как ожидается, даже при верной настройке. Использование системной переменной &ТекущийПользователь в чистом виде не рекомендуется. В конфигурациях БСП для этих целей применяются специализированные параметры сеанса (например, ТекущийПользователь как параметр сеанса), инициализацию которых осуществляет сама библиотека при запуске.

Также важно помнить про привилегированный режим. Если пользователь открывает форму списка или вызывает программный код, который исполняется с флагом УстановитьПривилегированныйРежим(Истина), платформа отключит любые проверки RLS, и пользователь увидит абсолютно все записи справочника. Обязательно проверьте, не отрабатывает ли форма выбора контрагента в привилегированном режиме.

Подведение итогов: как сделать правильно

Сведем воедино алгоритм действий, если вам нужно ограничить контрагентов:

1. Не создавайте собственные регистры сведений, если задачу можно решить типовым добавлением "Вида доступа" через переопределяемые модули БСП.
2. Убедитесь, что у пользователя нет других пересекающихся ролей (например, базовых ролей чтения), которые дают полный доступ к справочнику. Помните про правило "ИЛИ".
3. Если вы внесли изменения в профили или роли, обязательно запустите обработку пересчета ключей доступа в пользовательском режиме.
4. Проверьте, не включен ли в конфигурации производительный RLS, и если да, используйте только стандартизированные макросы БСП.
5. Исключите использование прямого обращения к &ТекущийПользователь и проверьте отсутствие привилегированного режима при открытии списка.