Права доступа
Разделяйте два решения: что посетители видят на странице и что сотрудник может изменить. Это разные настройки.
Публичный вывод
Query API читает данные через ORM. Компоненты списка и детальной записи публикуют выбранную разработчиком выборку. ORM не является автоматическим фильтром прав пользователя.
Для закрытых данных разработчик ограничивает доступ к странице, проверяет разрешения до чтения и выбирает безопасные поля. Это относится и к раскрытым связям. Не считайте отключение кнопки редактирования защитой содержимого.
Редактор записей HL
Права задаются штатными средствами Highload-блоков Битрикса, отдельно для каждого блока. В форме настройки HL откройте вкладку прав доступа, добавьте нужную группу и назначьте минимально необходимый уровень.
| Операция | Что проверяется |
|---|---|
| Просмотр формы | Авторизация и право чтения конкретного HL |
| Создание и изменение | Соответствующее штатное право на элемент и допустимость полей |
| Удаление | Штатная операция hl_element_delete и подтверждение |
| Выбор связанной записи | Допустимость целевого HL и права на него |
ENABLE_PUBLIC_EDIT=Y включает интеграцию интерфейса, но не выдаёт права. В текущем коде редактор включён по умолчанию в настройках компонентов; в проектных подключениях задавайте этот параметр явно.
Поле должно допускаться политикой поддержанных типов и иметь EDIT_IN_LIST=Y. В штатных настройках пользовательского поля это разрешение редактирования пользователем. Сервер повторно проверяет права при сохранении: ранее открытая форма не сохраняет отозванный доступ.
Внутренние ContentItems и ContentValues исключены из общего публичного редактора. Даже административный доступ не делает их обычными редактируемыми карточками.
Области контента
Откройте Kokhanenko → HL-блоки → Области → Права доступа. Эта форма согласованно сохраняет штатные права обоих внутренних HL-блоков.
- Для просмотра редактора требуется чтение обоих хранилищ.
- Для сохранения требуется запись в оба хранилища.
- Пользователь с доступом только на чтение видит содержимое без возможности сохранения.
Эти права управляют редактором областей, а не делают текст публичной страницы закрытым. Публичность страницы определяется настройками сайта.
Проверка после настройки
Проверьте страницу под редактором и под обычным посетителем. Для редактора должны быть доступны только согласованные операции; у посетителя не должно быть кнопок изменения. Повторите проверку после прогрева кеша администратором. Права и токены не должны переноситься из административной сессии через общий кеш.
Никогда не публикуйте пароли, токены форм и файлы браузерных сессий в примерах или скриншотах.