Гибкая система прав в CMS Bitrix: от простых проверок до собственных контроллеров

Расширенные примеры управления доступом

Пример 1: Создание полноценного AccessController с ролевой моделью

Создадим контроллер, который использует таблицу ролей. Предположим, есть таблица b_my_module_role_permission с полями: ROLE_ID, PERMISSION_ID (например, 'edit_article', 'delete_article'), а у пользователя есть связь с ролями через таблицу b_my_module_user_role.

namespace MyModule\Access;

use Bitrix\Main\Access\AccessController;
use Bitrix\Main\Access\User\AccessibleUser;

class RoleBasedAccessController extends AccessController
{
    protected function canDo(string $action, int $itemId = null, AccessibleUser $user = null): bool
    {
        if (!$user) {
            $user = $this->user;
        }
        $userId = $user->getUserId();
        if (!$userId) {
            return false;
        }
        // Получаем роли пользователя
        $roles = $this->getUserRoles($userId);
        foreach ($roles as $roleId) {
            // Проверяем, есть ли у роли нужное действие
            if ($this->roleHasPermission($roleId, $action)) {
                return true;
            }
        }
        return false;
    }

    private function getUserRoles(int $userId): array
    {
        $result = [];
        $dbRoles = \Bitrix\Main\Application::getConnection()->query(
            "SELECT ROLE_ID FROM b_my_module_user_role WHERE USER_ID = ".intval($userId)
        );
        while ($row = $dbRoles->fetch()) {
            $result[] = $row['ROLE_ID'];
        }
        return $result;
    }

    private function roleHasPermission(int $roleId, string $permissionId): bool
    {
        $row = \Bitrix\Main\Application::getConnection()->query(
            "SELECT 1 FROM b_my_module_role_permission WHERE ROLE_ID = ".$roleId." AND PERMISSION_ID = '".\Bitrix\Main\Application::getConnection()->getSqlHelper()->forSql($permissionId)."'"
        )->fetch();
        return $row !== false;
    }
}

Пример проверки:
$controller = new RoleBasedAccessController(\Bitrix\Main\Engine\CurrentUser::get());
var_dump($controller->check('edit_article', null)); // true, если право есть

Пример 2: Использование PermissionDictionary для описания прав

Права можно описать в виде конфигурации и зарегистрировать через событие onBuildPermissionsList.

use Bitrix\Main\Access\Permission\PermissionDictionary;

class ArticlePermission extends PermissionDictionary
{
    const EDIT_ARTICLE = 'edit_article';
    const DELETE_ARTICLE = 'delete_article';
    const READ_ARTICLE = 'read_article';

    public static function getPermissions(): array
    {
        return [
            self::EDIT_ARTICLE => [
                'title' => 'Редактирование статьи',
                'description' => 'Позволяет изменять содержание статьи',
            ],
            self::DELETE_ARTICLE => [
                'title' => 'Удаление статьи',
                'description' => 'Позволяет удалять статьи',
            ],
            self::READ_ARTICLE => [
                'title' => 'Чтение статьи',
                'description' => 'Просмотр текста статьи',
            ],
        ];
    }
}

Регистрация в обработчике:

\Bitrix\Main\EventManager::getInstance()->addEventHandler(
    'main',
    'OnBuildPermissionsList',
    function (\Bitrix\Main\Event $event) {
        return new \Bitrix\Main\EventResult(
            \Bitrix\Main\EventResult::SUCCESS,
            [
                'my_module' => [
                    'title' => 'Мой модуль',
                    'permissions' => ArticlePermission::getPermissions(),
                ]
            ]
        );
    }
);

Пример 3: Проверка прав с учётом владельца элемента

Часто нужно, чтобы пользователь мог редактировать только свои элементы. Модифицируем canDo:

protected function canDo(string $action, int $itemId = null, AccessibleUser $user = null): bool
{
    if (!$user) {
        $user = $this->user;
    }
    // Если действие 'edit_article', проверяем владельца
    if ($action === 'edit_article' && $itemId) {
        $ownerId = $this->getArticleOwner($itemId);
        if ($ownerId === $user->getUserId()) {
            return true;
        }
        // Если не владелец, смотрим, есть ли глобальное право
        return $this->hasGlobalPermission($user->getUserId(), 'edit_any_article');
    }
    return false;
}

Пример 4: Работа с правами на раздел инфоблока

$sectionId = 10;
$iblockId = 2;
$userId = $USER->GetID();
// Получить уровень доступа к разделу
$sectionPermission = CIBlockSection::checkAccess($sectionId, $iblockId, $userId, 'read');
if ($sectionPermission) {
    echo 'Раздел доступен для чтения';
}

Результат: true или false.

Пример 5: Кеширование прав в AccessController

use Bitrix\Main\Data\Cache;

protected function getUserPermissionsCache(int $userId): array
{
    $cache = Cache::createInstance();
    $cacheKey = 'user_'.$userId.'_permissions';
    $cachePath = '/user_permissions/';
    if ($cache->initCache(86400, $cacheKey, $cachePath)) {
        return $cache->getVars();
    }
    $permissions = $this->loadPermissionsFromDb($userId);
    $cache->startDataCache();
    $cache->endDataCache($permissions);
    return $permissions;
}

Эти примеры покрывают большинство сценариев управления доступом в Bitrix. Выбор конкретной реализации зависит от архитектуры модуля и требований к производительности.