Ошибка «Нарушение прав доступа»: ищем роль и объект, на которые нет прав

Чтобы определить, каких прав не хватает пользователю 1С, откройте журнал регистрации (Администрирование → Обслуживание → Журнал регистрации), отберите события этого пользователя за минуту, когда он увидел ошибку. В колонке «Метаданные» будет объект, к которому не пустила платформа. Дальше сверяете этот объект с ролями пользователя: в типовых конфигурациях — через профили групп доступа, в остальных — через Конфигуратор.

Способ работает в любой конфигурации на платформе 8.3: Бухгалтерии 3.0, ЗУП 3.1, УТ 11 и самописных базах. Пути меню ниже даны для интерфейса «Такси». Права меняет администратор базы, поэтому все проверки делайте под учётной записью с полными правами.

1. Разбираем текст ошибки: что уже сказала 1С

Первая подсказка — сам текст ошибки. Попросите пользователя не закрывать окно, а нажать «Подробнее» и прислать скриншот целиком. Короткое Нарушение прав доступа! мало что даёт, а в подробностях часто видно модуль, строку кода и объект.

Что выяснить у пользователя сразу:

• 🕐 время ошибки с точностью до минуты — по нему ищете запись в журнале;
• 🖱 действие: открыл список, провёл документ, нажал «Печать», сформировал отчёт;
• 📄 конкретный документ или элемент — номер и дату;
• 👥 повторяется ли у коллег с такими же обязанностями.

Последний пункт экономит половину поиска. Если у коллеги из того же отдела всё работает, сравните группы доступа двух пользователей — разница почти всегда там.

Как отличить нехватку прав от другой ошибки

2. Журнал регистрации: где видно, к чему 1С не пустила пользователя

Журнал регистрации — главный инструмент. Откройте Администрирование → Обслуживание → Журнал регистрации и нажмите «Установить отбор». В Конфигураторе тот же журнал вызывается через Администрирование → Журнал регистрации.

Порядок поиска:

1. Укажите интервал: 5 минут до и после ошибки.
2. В поле «Пользователь» выберите нужного сотрудника.
3. В «Событиях» оставьте группу «Доступ» с событием «Отказ в доступе». Если таких записей нет, снимите отбор по событию и оставьте только уровень «Ошибка».
4. Откройте найденную запись двойным щелчком.

В записи смотрите три поля:

• 📦 Метаданные — объект, к которому не дали доступ, например Документ.ПоступлениеТоваровУслуг или РегистрНакопления.ТоварыНаСкладах;
• 💬 Комментарий — текст ошибки, часто с видом права;
• 🗂 Данные — ссылка на конкретный документ или элемент, если платформа её записала.

Чаще всего проблемный объект — не тот документ, с которым работал пользователь. Документ проводится и пишет движения в регистры. Если к одному из регистров нет права «Изменение», проведение упадёт, хотя сам документ открыт и доступен. Журнал покажет именно регистр.

3. Профили и группы доступа: какие права у пользователя сейчас

В Бухгалтерии 3.0, ЗУП 3.1, УТ 11, КА и ERP права выдаются не ролями напрямую, а через профили групп доступа. Профиль — набор ролей. Группа доступа — профиль плюс список участников и ограничения.

Где это смотреть:

Откройте профиль из группы пользователя и посмотрите список ролей. Названия ролей говорят сами за себя: «Чтение документов по банку», «Добавление и изменение документов по банку». Если объект из журнала регистрации относится к банку, а в профиле есть только роль чтения — вот и недостающее право.

Как понять, какая роль даёт право на объект

Самый надёжный приём практика — окно «Все роли» в Конфигураторе. Откройте Конфигурация → Открыть конфигурацию, в дереве щёлкните правой кнопкой по ветке «Роли» и выберите «Все роли». Откроется матрица: слева объекты метаданных, сверху роли, в ячейках — права.

Найдите объект из журнала и посмотрите, в каких ролях стоит нужная галочка, например «Проведение» или «Изменение». Затем найдите профиль, который содержит такую роль.

Чего не делать в базах на БСП

Не добавляйте роли пользователю вручную в Конфигураторе в базах, где права ведутся через группы доступа. Программа пересчитывает роли по профилям, и ваша правка пропадёт при следующем изменении групп. Правильный путь — добавить пользователя в подходящую группу доступа или создать свой профиль.

Типовые поставляемые профили менять нельзя: их состав задаёт поставщик конфигурации. Скопируйте профиль командой копирования в списке профилей, добавьте нужную роль в копию и назначьте её группе.

4. Ограничения на уровне записей: права есть, а документов не видно

Бывает, что роль на объект есть, а пользователь всё равно не видит часть документов или получает отказ при записи. Это ограничение доступа на уровне записей, по-английски RLS (Record Level Security).

Признаки RLS:

• 📋 список открывается, но в нём только документы «своей» организации или склада;
• 🔗 в документе вместо контрагента или склада пусто;
• ✍️ новый документ нельзя записать с конкретной организацией, а с другой — можно;
• 📊 отчёт выводит меньше строк, чем у бухгалтера с полными правами.

Механизм включается флажком Администрирование → Настройки пользователей и прав → Ограничивать доступ на уровне записей. Если флажок снят, RLS не работает , и причину ищите в ролях.

Где задаются ограничения

Откройте группу доступа пользователя и перейдите на вкладку ограничений. Там перечислены виды доступа: организации, склады, группы контрагентов и другие — набор зависит от конфигурации и профиля. Для каждого вида задано правило:

Типичная ситуация: бухгалтеру открыли новую организацию, а в группе стоит «Все запрещены» со списком из двух старых. Документы третьей организации он не увидит. Добавьте её в список и запишите группу.

Если ограничение задано в самописной конфигурации прямо в тексте роли, его видно в Конфигураторе: откройте роль, выберите объект и право — внизу будет поле «Ограничение доступа к данным» с условием.

5. Технические права: запуск, печать, внешние обработки

Отдельная группа — права на корень конфигурации. Они не привязаны к документам и справочникам, поэтому журнал регистрации и матрица объектов на них не укажут. В окне роли эти права видны, если выделить в дереве саму конфигурацию (верхний узел).

Чаще всего не хватает этих прав:

Пример. Пользователь жалуется, что «отчёт формируется, но не печатается и не сохраняется в Excel». Ошибки нет, журнал пуст. Причина — у роли снято право «Вывод».

В конфигурациях на БСП внешние обработки обычно подключают через Администрирование → Печатные формы, отчёты и обработки → Дополнительные отчеты и обработки. Тогда пользователю не нужно право интерактивного открытия файлов — достаточно доступа к разделу, в котором обработка размещена.

6. Отладчик и код: находим строку, на которой не хватает прав

Если журнал не дал ответа, ошибку ловят отладчиком. Этот способ показывает точное место в коде, где платформа выбросила исключение.

Остановка по ошибке

1. Создайте тестового пользователя с теми же группами доступа или с теми же ролями. Под реальным сотрудником без его пароля не войти, а сбрасывать чужой пароль ради проверки не стоит.
2. В Конфигураторе откройте меню Отладка → Остановка по ошибке и включите остановку.
3. Запустите отладку под тестовым пользователем: Отладка → Начать отладку → Тонкий клиент, в окне входа укажите его имя.
4. Повторите действие, на котором падала ошибка.
5. Отладчик остановится на строке. Откройте «Стек вызовов» — видно, из какой процедуры и какого модуля пришёл вызов, и к какому объекту обращался код.

Часто окажется, что форма документа в фоне читает регистр сведений или константу, к которой у роли нет доступа. Сам пользователь эту константу никогда не открывал, но без права на неё форма не работает.

Проверка права кодом

Когда объект известен, проверить права ролей можно функцией ПравоДоступа(). Код ниже выполняется на сервере, например во внешней обработке под администратором. Он выводит все роли, которые дают право на проведение документа, и проверяет конкретного пользователя.

&НаСервере
Процедура ПроверитьПраваНаСервере()

    ОбъектМД = Метаданные.Документы.ПоступлениеТоваровУслуг;
    ИмяПрава = "Проведение";

    // Роли, которые дают это право
    Для Каждого Роль Из Метаданные.Роли Цикл
        Если ПравоДоступа(ИмяПрава, ОбъектМД, Роль) Тогда
            Сообщить("Право даёт роль: " + Роль.Имя);
        КонецЕсли;
    КонецЦикла;

    // Есть ли право у конкретного пользователя
    ПользовательИБ = ПользователиИнформационнойБазы.НайтиПоИмени("Иванова");
    Если ПользовательИБ = Неопределено Тогда
        Сообщить("Пользователь не найден");
        Возврат;
    КонецЕсли;

    Если ПравоДоступа(ИмяПрава, ОбъектМД, ПользовательИБ) Тогда
        Сообщить("У пользователя право есть");
    Иначе
        Сообщить("У пользователя права нет");
    КонецЕсли;

КонецПроцедуры

Подставьте свой объект метаданных и имя пользователя ИБ. Имя права пишется так же, как в окне роли: «Чтение», «Добавление», «Изменение», «Удаление», «Проведение», «Просмотр».

7. Как выдать недостающее право и не открыть лишнего

Найти право — половина дела. Выдать его нужно так, чтобы пользователь не получил доступ к зарплате всей организации ради одного отчёта.

Порядок действий:

1. Подберите профиль, в котором есть нужная роль и нет лишних. В типовых конфигурациях профили поставляются по обязанностям: «Бухгалтер», «Кассир», «Кладовщик» и так далее.
2. Если подходящего профиля нет, скопируйте близкий и добавьте одну роль.
3. Создайте группу доступа с этим профилем или добавьте пользователя в существующую.
4. Заполните ограничения: организации, склады — только нужные.
5. Попросите пользователя перезапустить программу: роли применяются к новому сеансу.

Не выдавайте профиль «Администратор» ради одной операции. Администратор видит всё, включая зарплату и настройки пользователей, а действия под ним сложно разобрать по журналу.

Если нужного права нет ни в одной типовой роли, создайте роль в расширении конфигурации и подключите её в свой профиль. Основную конфигурацию при этом снимать с поддержки не придётся.

Частые вопросы