При попытке программного управления составом групп доступа в 1С разработчики часто сталкиваются с ситуацией, когда метод Найти() для табличной части Пользователи не возвращает ожидаемого результата. Давайте разберем, почему это происходит и как правильно решать задачи управления правами доступа в современных конфигурациях на базе Библиотеки стандартных подсистем (БСП).
Когда вы выполняете код вида ГруппаДоступаОбъект.Пользователи.Найти(Пользователь), система ищет конкретную ссылку в табличной части объекта. Однако часто оказывается, что пользователь, обладающий правами группы, физически в этой табличной части отсутствует. Это происходит по нескольким причинам:
Все пользователи, то права автоматически распространяются на всех сотрудников, заведенных в базе. В самой табличной части справочника ГруппыДоступа в этом случае не будет записей для каждого конкретного человека.Пользователи могут добавляться не только конкретные сотрудники, но и целые группы пользователей (СправочникСсылка.ГруппыПользователей). Если ваш пользователь входит в такую группу, он будет иметь права, но в списке ГруппыДоступа его персональной строки не будет.СоставыГруппПользователей. Именно эти регистры определяют итоговый набор прав, поэтому запрос к ним всегда будет полнее, чем проверка табличной части объекта.Чтобы понять, к каким группам доступа относится пользователь, не следует анализировать табличные части справочников вручную. Вместо этого необходимо использовать специализированные запросы к регистрам сведений, которые хранят уже «развернутую» матрицу прав. Это позволит получить корректный список даже в том случае, если права получены косвенно через группы.
Рассмотрим пример правильного подхода к получению списков:
// Пример получения групп пользователя через запрос к регистру сведений
ВЫБРАТЬ
СоставыГруппПользователей.ГруппаДоступа КАК ГруппаДоступа
ИЗ
РегистрСведений.СоставыГруппПользователей КАК СоставыГруппПользователей
ГДЕ
СоставыГруппПользователей.Пользователь = &Пользователь
Важно помнить: прямое изменение объекта СправочникОбъект.ГруппыДоступа и запись его через Записать() без использования механизмов БСП — это опасная практика. Система может не успеть обновить кэши и записи в регистрах, что приведет к рассинхронизации прав доступа в базе данных.
Для корректного удаления пользователя или управления составом используйте готовые методы БСП, предоставляемые модулем ПользователиСлужебный или аналогичными инструментами подсистемы «Управление доступом».
Важные шаги при реализации:
Все пользователи, вы не сможете удалить его точечно из этой группы. Вам придется либо исключить его из самой группы Все пользователи (что повлияет на всех), либо изменить структуру групп, создав исключение.УдалитьПользователяИзГруппы гарантирует, что система автоматически выполнит перерасчет всех связанных записей в регистрах сведений.Рассмотрим логику действий: если вам нужно ограничить права конкретному пользователю, не трогая остальных, проанализируйте, входит ли он в группу Все пользователи. Если да, рассмотрите возможность исключения его из этой группы путем создания новой группы доступа с набором прав, который ему необходим, и переноса его туда, либо используйте механизм запретов, предусмотренный в вашей конфигурации.
Подводя итог, запомните основные правила:
ГруппыДоступа при проверке прав пользователя.СоставыГруппПользователей), которые отражают иерархию и наследование прав.Если после проверки через регистры вы обнаружили, что пользователь имеет лишние права, проанализируйте, через какую именно группу они предоставлены (через персональное включение или через ГруппуПользователей), и используйте штатные методы УдалитьПользователяИзГруппы для приведения системы в желаемое состояние.