Access rights, RLS and integration: JSON, XML, HTTP services

In a real project, writing code is only half the job. Murad, a storekeeper, must see only the documents of his own warehouse and must not see salaries at all. An online shop's website must get stock levels from 1C every minute, and 1C must load exchange rates from a bank. This lesson covers two professional skills of a 1C developer: security and integration.

Roles and access rights

A role (Общие › Роли) is a set of rights for each metadata object. A user can have several roles, and rights add up: if at least one role grants a right, the user has it. There is no “denying” role — so make roles small and purposeful: Кладовщик (storekeeper), Бухгалтер (accountant), ЧтениеСправочников (read catalogs).

Если Не ПравоДоступа("Изменение", Метаданные.Документы.РасходТовара) Тогда
    ВызватьИсключение "Недостаточно прав для изменения документа";
КонецЕсли;

Если РольДоступна("Бухгалтер") Тогда
    // показываем дополнительные колонки
КонецЕсли;

Record-level security (RLS)

A role says “you may read РасходТовара documents” but not “which ones”. For that there is RLS (record-level security): a query-like condition is attached to the Чтение, Добавление, Изменение and Удаление rights. The condition usually uses session parameters, which are filled when the session starts in the УстановкаПараметровСеанса (SessionParametersSetting) handler.

// Модуль сеанса
Процедура УстановкаПараметровСеанса(ТребуемыеПараметры)
    // НастройкиПользователей - наш общий модуль
    ПараметрыСеанса.ТекущийСклад = НастройкиПользователей.СкладТекущегоПользователя();
КонецПроцедуры

ГДЕ Склад = &ТекущийСклад

RLS has two important consequences. First, a query on a table with a read restriction raises an error if it meets a record the user may not see; to silently get only allowed records, write ВЫБРАТЬ РАЗРЕШЕННЫЕ (SELECT ALLOWED). Second, the platform adds the condition to every query, so complex RLS can slow the base down. When server code must deliberately bypass rights, use УстановитьПривилегированныйРежим(Истина) (SetPrivilegedMode) or a common module with the Привилегированный flag.

Data formats: JSON and XML

Данные = Новый Структура;
Данные.Вставить("code", "0001");
Данные.Вставить("name", "Çay 100 q");
Данные.Вставить("price", 4);

Запись = Новый ЗаписьJSON;
Запись.УстановитьСтроку();
ЗаписатьJSON(Запись, Данные);
ТекстJSON = Запись.Закрыть();

Чтение = Новый ЧтениеJSON;
Чтение.УстановитьСтроку(ТекстJSON);
Прочитано = ПрочитатьJSON(Чтение);   // Структура
Чтение.Закрыть();
Сообщить(Прочитано.name);

Çay 100 q

For XML there are the ЗаписьXML (XMLWriter) and ЧтениеXML (XMLReader) objects, and for structured exchange the XDTO mechanism: СериализаторXDTO writes a whole catalog item or document to XML. For exchange between distributed bases, exchange plans (Планы обмена) track changes themselves, and typical configurations exchange data with each other in the EnterpriseData format.

HTTP services, web services and external APIs

An HTTP service (Общие › HTTP-сервисы) turns 1C into a REST API. It has a root URL (for example shop), URL templates (for example /items/{code}) and methods for each template (GET, POST…). After the infobase is published on a web server, the service answers at an address like https://server/base/hs/shop/items/0001. Each method's handler is a function that takes an HTTPСервисЗапрос (request) and returns an HTTPСервисОтвет (response).

// HTTP-сервис Shop, шаблон URL /items/{code}, метод GET
Функция ItemsGET(Запрос)
    Код = Запрос.ПараметрыURL["code"];
    Товар = Справочники.Товары.НайтиПоКоду(Код);
    Если Товар.Пустая() Тогда
        Возврат Новый HTTPСервисОтвет(404);
    КонецЕсли;

    Данные = Новый Структура("code, name, price", Код, Товар.Наименование, Товар.Цена);
    Запись = Новый ЗаписьJSON;
    Запись.УстановитьСтроку();
    ЗаписатьJSON(Запись, Данные);

    Ответ = Новый HTTPСервисОтвет(200);
    Ответ.Заголовки.Вставить("Content-Type", "application/json; charset=utf-8");
    Ответ.УстановитьТелоИзСтроки(Запись.Закрыть());
    Возврат Ответ;
КонецФункции

// Вызов внешнего API из 1С
Соединение = Новый HTTPСоединение("api.example.com", 443, , , , 30, Новый ЗащищенноеСоединениеOpenSSL);
ЗапросHTTP = Новый HTTPЗапрос("/v1/rates?base=AZN");
Ответ = Соединение.Получить(ЗапросHTTP);
Если Ответ.КодСостояния <> 200 Тогда
    ВызватьИсключение СтрШаблон("Сервис курсов вернул код %1", Ответ.КодСостояния);
КонецЕсли;

Чтение = Новый ЧтениеJSON;
Чтение.УстановитьСтроку(Ответ.ПолучитьТелоКакСтроку());
Курсы = ПрочитатьJSON(Чтение, Истина);   // Соответствие
Чтение.Закрыть();