---

[I128-2797] Расширить Security для проектных прав, полей, действий и аудита доступа

---

НАЧАЛО >> Оглавление >> Общее описание >> История изменений >> Что нового в проекте I128 >> Версия 2026.3 >> [I128-2797] Расширить Security для проектных прав, полей, действий и аудита доступа📄 Скачать в DOCX

---

Тип	Версия	Статус	Приоритет	Исполнитель
⚙️ Новые возможности	2026.3	🔘 Завершено	Средний	Ilya Mikhaylenko

Компоненты: ИРБИС 128. Модуль Organisations - Организации, ИРБИС 128. Модуль Security - Подсистема безопасности, ИРБИС 128. Модуль Users - Управление пользователями

Завершено: 08.09.2026 12:49

1. Цель Расширить системный модуль Security для единообразной проверки прав на проекты, записи, workflow-действия, поля, представления, публичные формы, вложения, временный доступ и аудит доступа.

2. Контекст Security должен быть общесистемным исполнителем permission contract. Он не должен знать доменную логику Tasks, Workflow*, VirtualRef, FT, EventBus или других модулей. Модули-владельцы предоставляют permission keys, object references, role resolvers и человекочитаемые описания, а Security принимает решение о доступе.

3. Что Нужно Сделать

• Ввести PermissionScheme для проектных и объектных прав: область действия, субъект, роль, permission key, grant/deny, наследование, priority и объяснение решения.

• Ввести FieldSecurityScheme: права на просмотр, редактирование, обязательность, маскирование и экспорт отдельных полей через стабильные field keys, а не через частные проверки в UI.

• Ввести ViewSecurityScheme: права на доступ к представлениям, спискам, карточкам, публичным страницам, вариантам mobile/print/embed и административным разделам.

• Ввести права на workflow-действия: доступность перехода должна учитывать project permission, record permission, transition permission, field security и состояние записи.

• Поддержать dynamic role resolvers: автор, ответственный, наблюдатель, участник проекта, организация заявителя, внешний исполнитель и другие роли, которые вычисляет модуль-владелец.

• Поддержать grants и denies с понятным порядком применения. Deny должен уметь явно запрещать доступ даже при наличии более общего grant.

• Реализовать temporary access: ограниченный по сроку, причине и scope доступ с возможностью отзыва и audit.

• Реализовать access audit: кто, когда, к какому объекту, полю, представлению или действию получил доступ или отказ, с безопасным payload.

• Реализовать explain-доступ: пользователь или администратор должен получать безопасное объяснение отказа без раскрытия скрытых данных.

• Интегрировать Security с Users и Organisations для субъектов, групп, организаций, project roles и resolver-ов.

• Поддержать provider-проверки для HealthCheck: битые role resolvers, неиспользуемые схемы, опасные grants, конфликт field/view/action прав.

  1. Границы Ответственности

• Security не должен реализовывать доменную видимость Tasks или правила конкретного workflow-проекта; он исполняет переданный permission contract.

• UI и API не должны иметь собственные обходные проверки прав вместо вызова Security.

• Права на вложения и публичные формы проверяются тем же механизмом, что и внутренние права.

  1. Критерии Приемки

• Одно и то же permission decision используется в UI, API, WorkflowView, WorkflowScreen, workflow-переходе и download вложения.

• Field security скрывает или маскирует поле во всех представлениях, включая карточку, список, экспорт и diagnostic output.

• Transition/action security влияет на набор доступных кнопок workflow.

• Temporary access можно выдать, отозвать и увидеть в audit.

• Explain отказа понятен администратору и безопасен для пользователя.

• HealthCheck обнаруживает конфликтные или опасные настройки прав.

  1. Проверки И Документация Нужно подготовить TestA-сценарии для grants/denies, dynamic role resolvers, field security, view security, transition/action security, public form access, attachment access, temporary access, audit и explain. В Help должны быть описаны схемы прав, порядок вычисления доступа, настройка ролей и диагностика отказов.

-

Реализован первый кодовый срез I128-2797 для модуля Security.

Что изменено:

• добавлен SecurityAccessDecision как общий результат проверки доступа;
• добавлены runtime registry для PermissionKey, PermissionScheme и DynamicRoleResolver definitions;
• добавлены CheckPermission, BatchCheckPermissions, CheckFieldAccess, CheckViewAccess;
• добавлен audit envelope без сохранения скрытого содержимого;
• добавлен HealthCheck provider JSON и метод Security::HealthCheck_Self для будущего HealthCheck;
• обновлены TestA и Help по новому permission decision contract.

Границы:

• Security не содержит доменной логики Tasks, Workflow, VirtualRef, FT или других модулей;
• для record-level объектов без новой схемы сохранен совместимый fallback на существующие права поля 113;
• field/view checks работают с логическими keys, а не с физическими номерами полей.

Проверка:

• php -l modules/Security/api.php;
• php -l modules/Security/Tests/Module.inc;
• JSON parse modules/Security/healthcheck/security-contract.json;
• TestA HTTP module=Security: total=5, passed=5, failed=0, blocked=0;
• git diff --check: ошибок нет, только штатные CRLF warnings.

1. Связанные задачи

1.1. 🔗 blocks: I128-2791

1.2. 🔗 blocks: I128-2796

1.3. 🔗 blocks: I128-2798

1.4. 🔗 blocks: I128-2800

1.5. 🔗 blocks: I128-2801

1.6. 🔗 blocks: I128-2803

1.7. 🔗 blocks: I128-2804

1.8. 🔗 blocks: I128-2805

1.9. 🔗 blocks: I128-2806

1.10. 🔗 blocks: I128-2807

1.11. 🔗 blocks: I128-2808

1.12. 🔗 blocks: I128-2809

1.13. 🔗 blocks: I128-2810

1.14. 🔗 blocks: I128-2811

1.15. 🔗 blocks: I128-2813

1.16. 🔗 blocks: I128-2814

1.17. 🔗 blocks: I128-2816

1.18. 🔗 blocks: I128-2817

1.19. 🔗 blocks: I128-2818

1.20. 🔗 blocks: I128-2820

1.21. 🔗 blocks: I128-2821

1.22. 🔗 blocks: I128-2822

1.23. 🔗 blocks: I128-2824

1.24. 🔗 blocks: I128-2825

1.25. 🔗 blocks: I128-2826

1.26. 🔗 blocks: I128-2827

1.27. 🔗 blocks: I128-2828

1.28. 🔗 blocks: I128-2829

1.29. 🔗 blocks: I128-2830

1.30. 🔗 blocks: I128-2831

1.31. 🔗 blocks: I128-2832

1.32. 🔗 blocks: I128-2833

1.33. 🔗 blocks: I128-2834

1.34. 🔗 blocks: I128-2835

1.35. 🔗 blocks: I128-2836

1.36. 🔗 blocks: I128-2837

1.37. 🔗 blocks: I128-2838

1.38. 🔗 blocks: I128-2839

1.39. 🔗 blocks: I128-2840

1.40. 🔗 blocks: I128-2823