Почему запрос с УстановитьПривилегированныйРежим(Истина) все равно требует ключевое слово РАЗРЕШЕННЫЕ?

Часто у разработчиков 1С возникает вопрос: если мы используем УстановитьПривилегированныйРежим(Истина), не должны ли все ограничения прав доступа (RLS) автоматически сниматься? Казалось бы, логика проста — мы находимся в «привилегированном» состоянии, система должна «видеть» всё. Однако на практике часто случается так, что запрос всё равно выдает ошибку доступа к данным, и решить её удается только добавлением ключевого слова РАЗРЕШЕННЫЕ. Давайте разберемся, почему это происходит и как правильно использовать эти механизмы.

Разбираемся в природе привилегированного режима

Прежде всего, важно понимать, что УстановитьПривилегированныйРежим(Истина) отключает проверку прав доступа на уровне записей (RLS) для текущего блока кода. Когда система выполняет запрос в этом режиме, она действительно игнорирует ограничения, наложенные на пользователя. Однако привилегированный режим — это механизм глобального управления правами, а РАЗРЕШЕННЫЕ — это инструмент управления выборкой данных внутри самого языка запросов.

Ошибка доступа при работе с составными типами данных часто возникает не из-за того, что привилегированный режим «не включился», а из-за того, как 1С интерпретирует структуру данных в запросе. Когда в запросе фигурирует реквизит составного типа, платформа пытается проверить права на каждый из типов, входящих в этот составной тип. Если какой-то из них недоступен текущему пользователю, запрос может завершиться ошибкой.

Почему РАЗРЕШЕННЫЕ помогает там, где не справляется привилегированный режим?

Ключевое слово РАЗРЕШЕННЫЕ в запросе — это не просто «костыль». Это инструкция для системы 1С: «выбери только те записи, на которые у пользователя есть явные права, и проигнорируй остальные». Это позволяет избежать ошибок обращения к запрещенным данным.

Когда вы добавляете РАЗРЕШЕННЫЕ, вы, по сути, приказываете системе отфильтровать результат еще до того, как произойдет обращение к «запрещенным» полям. Даже в привилегированном режиме использование РАЗРЕШЕННЫЕ имеет смысл, если логика вашего приложения подразумевает, что вы работаете с данными, которые должны быть доступны текущему пользователю согласно его правам, даже если технически вы можете «видеть» всё.

Разберем на примере

Рассмотрим, как выглядит корректное выполнение запроса, чтобы избежать ошибок доступа:

// Включаем привилегированный режим для выполнения операции
УстановитьПривилегированныйРежим(Истина);

Запрос = Новый Запрос;
Запрос.Текст = 
    "ВЫБРАТЬ РАЗРЕШЕННЫЕ
    |    Док.Ссылка,
    |    Док.СуммаДокумента
    |ИЗ
    |    Документ.РеализацияТоваровУслуг КАК Док";

РезультатЗапроса = Запрос.Выполнить();

В этом примере мы используем комбинацию двух механизмов:

1. УстановитьПривилегированныйРежим(Истина) — гарантирует, что мы не получим ошибку из-за глобальных ограничений доступа.
2. ВЫБРАТЬ РАЗРЕШЕННЫЕ — гарантирует, что результат запроса будет содержать только те записи, которые корректно обрабатываются механизмом прав доступа, что особенно важно при работе с составными полями или сложными связями.

Что важно проверить при возникновении ошибок доступа?

Если даже с применением РАЗРЕШЕННЫЕ вы получаете ошибку, проанализируйте следующие факторы:

• Контекст выполнения: Убедитесь, что УстановитьПривилегированныйРежим(Истина) вызывается непосредственно перед Запрос.Выполнить() и исполняется на сервере. Помните, что на клиенте этот метод не оказывает влияния на права доступа.
• Безопасный режим: Если ваш код выполняется в рамках расширения или внешней обработки, проверьте, не включен ли безопасный режим. В безопасном режиме некоторые возможности платформы ограничены, что может приводить к отказам в доступе.
• Транзакции: Если запрос выполняется внутри открытой транзакции, права доступа могут наследоваться от контекста вызова. Убедитесь, что вызов метода установки привилегий происходит в том же контексте, где будет выполняться запрос.
• Составные типы: Если ошибка возникает при чтении поля составного типа, проблема почти всегда кроется в отсутствии прав на один из типов данных, который может содержаться в этом поле. РАЗРЕШЕННЫЕ здесь является лучшим решением, так как оно исключает «проблемные» записи из выборки.

Подводя итог, можно сказать, что РАЗРЕШЕННЫЕ и ПривилегированныйРежим — это два разных инструмента. Первый фильтрует данные, второй отключает проверку доступа. Совместное их использование в сложных запросах является хорошей практикой, позволяющей писать надежный и устойчивый код.