Документация для специалистов

modAccessibleObject в MODX. Проверка доступов к объектам.

Логические и технические пробелы в доступах к приватным объектам.

А чтобы свой объект сделать объектом modAccessibleSimpleObject (сейчас он xPDOSimpleObject), достаточно переписать тип объекта в мап-файле и в самом классе объекта?
 

Просто сейчас для проверки доступа сам прописал метод checkAccess (чтобы не путаться с checkPolicy — так как объект другой) и в процессоре приходится в метод beforeSet добавлять $this->object->checkAccess().
 

Было бы хорошо просто в объекте расширить метод checkPolicy и процессор оставить обычный, просто расширяющий modObjectUpdateProcessor.

А чтобы свой объект сделать объектом modAccessibleSimpleObject (сейчас он xPDOSimpleObject), достаточно переписать тип объекта в мап-файле и в самом классе объекта? Просто сейчас для проверки доступа сам прописал метод checkAccess (чтобы не путаться с checkPolicy — так как объект другой) и в процессоре приходится в метод beforeSet добавлять $this->object->checkAccess(). Было бы хорошо просто в объекте расширить метод checkPolicy и процессор оставить обычный, просто расширяющий modObjectUpdateProcessor.

А чтобы свой объект сделать объектом modAccessible

А чтобы свой объект сделать объектом modAccessibleSimpleObject (сейчас он xPDOSimpleObject), достаточно переписать тип объекта в мап-файле и в самом классе объекта?

Достаточно просто класс расширить modAccessibleSimpleObject, так как мап-файлы не имеют отличия.
 

Но в целом все равно этот механизм очень сложный, то есть не стоит прям сразу на него переключаться. Сделай копию сайта и поиграйся с этим как следует.

А чтобы свой объект сделать объектом modAccessibleSimpleObject (сейчас он xPDOSimpleObject), достаточно переписать тип объекта в мап-файле и в самом классе объекта? Достаточно просто класс расширить modAccessibleSimpleObject, так как мап-файлы не имеют отличия. Но в целом все равно этот механизм очень сложный, то есть не стоит прям сразу на него переключаться. Сделай копию сайта и поиграйся с этим как следует.

$xpdo_meta_map['Calls']= array (
  'package' => 'Rehab',
  'version' => '1.1',
  'table' => 'calls',
  'extends' => 'xPDOSimpleObject', // Вот здесь, разве, не нужно менять?
  'fields' => ...

$xpdo_meta_map['Calls']= array (
  'package' => 'R

Можно, но не обязательно, потому что мап-описание классов modAccessibleSimpleObject и xPDOObject не отличаются. Но вообще лишним не будет. Вдруг на каком-то этапе класс modAccessibleSimpleObject и в мап-файле заимеет изменения.

Можно, но не обязательно, потому что мап-описание 

Спасибо! Очень интересно. Я в своем проекте только-только к этому подбираться начал, эта статья будет хорошим подспорьем)
 

У меня как раз к обращению и к контрагенту по умолчанию имеют доступ пользователи одной организации, но каждый отдельный объект (обращение, контрагент) может передаваться в другую организацию, но с меньшими правами… Или вообще — только какому-то одному пользователю дать доступ (например, для чтения)… И вот тут статья будет очень кстати. Буду на практике разбираться плотнее)))

Спасибо! Очень интересно. Я в своем проекте только-только к этому подбираться начал, эта статья будет хорошим подспорьем) У меня как раз к обращению и к контрагенту по умолчанию имеют доступ пользователи одной организации, но каждый отдельный объект (обращение, контрагент) может передаваться в другую организацию, но с меньшими правами… Или вообще — только какому-то одному пользователю дать доступ (например, для чтения)… И вот тут статья будет очень кстати. Буду на практике разбираться плотнее)))

Спасибо! Очень интересно. Я в своем проекте только

Джейсон ответил в скайп по этому поводу:

your are absolutely correct about the permissions...we need a way to query it rather than depend on checks at hydration time...can you enter a tracker ticket where we can start a discussion on implementation to share publicly?

Будем обсуждать, развивать. Наверняка появятся какие-то новые полезные методы в самом xPDO.

Джейсон ответил в скайп по этому поводу: your are absolutely correct about the permissions...we need a way to query it rather than depend on checks at hydration time...can you enter a tracker ticket where we can start a discussion on implementation to share publicly? Будем обсуждать, развивать. Наверняка появятся какие-то новые полезные методы в самом xPDO.

Джейсон ответил в скайп по этому поводу: your are 

Илья, пока не берись за modAccessibleSimpleObject. 
 Я вот только сейчас победил эту тему, и смог для своего объекта прописать проверку прав. Плюс там огромные заморочки с производительностью (много запросов к БД и т.п., часть инфы в сессию пользователя сохраняется). Я несколько переиначил этот механизм под свои нужды, кеширование прикрутил.
 В общем, пакет когда опубликую, скачаешь, посмотришь, но тема невероятно сложная по объему и количеству сопутствующих багов.
 Но справедливости ради стоит заметить, что оно того стоит…

Илья, пока не берись за modAccessibleSimpleObject.

Ох блин, как всё сложно!
 Уже 4 раза полностью переписывал огромный комментарий с возникшими вопросами, но теперь вот окончательная версия)
 

Во-первых, спасибо огромное за материал! Очень ценно!
 

Ну и, собссна, во-вторых.
 Какие у меня вопросы.
 

Возьмём класс modResource.
 Есть шаблоны политик доступа:
 1. ResourceTemplate с разрешениями:
 

add_children
 copy
 create
 delete
 list
 load
 move
 publish
 remove
 save
 steal_lock
 undelete
 unpublish
 view

2. И есть AdministratorTemplate с кучей разрешений, из которых нам интересны:
 

delete_document
 edit_document
 new_document
 new_document_in_root
 new_static_resource
 publish_document
 resource_duplicate
 resource_quick_create
 resource_quick_update
 resource_tree
 save_document
 tree_show_resource_ids
 undelete_document
 unpublish_document
 view_document

В этих списках есть как уникальные, так и политики-«синонимы»:
 

delete		== delete_document create		== new_document publish		== publish_document copy		== resource_duplicate save		== save_document undelete	== undelete_document unpublish	== unpublish_document view		== view_document

(при чём везде '_document', но 'resource_duplicate', очередная странность). И это при условии, что в шаблоне AdministratorTemplate так же есть простые load, list, view, create, delete, copy и т.д.
 

Я, конечно, понимаю, что политики из первого списка можно проверить только через modResource::checkPolicy(), а из второго списка через $modx->hasPermission(), но лично для меня ясности это нифига не вносит.
 1. В чём между ними в итоге разница-то?
 2. Какие политики надо назначать пользователям, для нужных разрешений? Первые? Вторые? И те и другие?
 Здесь у меня ступор :-)
 

Примеры.
 У modResource, как наследника modSimpleAccessibleObject, вшиты проверки на load, save и remove в соответствующие методы (например). Здесь проверяется локальная политика.
 Предположим, что нам надо создать документ. И по сути, логично найти проверку на create где-нибудь в modSimpleAccessibleObject::newObject().
 Так ведь нифига! Проверки на create ресурсов я вообще не нашёл! (может плохо искал?). Зато в процессоре на создание ресурса проверяется глобальная new_document через $modx->hasPermission().
 Как такое понять??
 

Дальше, предположим, что нам надо опубликовать документ. Процессор modResourcePublishProcessor наследуется от modProcessor (кстати, почему бы ему сразу не отнаследоваться от modObjectProcessor, в котором уже прописан метод для проверки для глобальных прав?).
 Как видно из метода modProcessor::run(), в нём сначала проверяются глобальные права (вызывается modResourcePublishProcessor::checkPermissions(), который возвращает $modx->hasPermission('publish_document')), а затем вызывается метод modResourcePublishProcessor::initialize(), который проверяет локальные права save и publish! Масло масляное? Мало того, ещё и при сохрании ресурса ещё раз проверится локальная политика save! Нафига? Нафига делать одно и тоже 2 раза?
 Т.е. получается, что мало дать юзеру (ну группе этих юзеров) право publish_document из шаблона политик AdministratorTemplate, надо ещё и обязательно дать ему права save и publish из шаблона ResourceTemplate??
 Вот об этом я ни разу не подозревал, сколько раз права настраивал. Видать не правильно настраивал?
 Зачем вообще разделять тогда на глобальные и локальные?
 

И так во многих процессорах — проверяются глобальные разрешения, потом те же, но локальные. Почему тогда не сделать все проверки глобальными и через процессоры?
 Вот всего этого я не понимаю :-(
 

Изучая процессор resource/duplicate, я начал смутно представлять зачем нужны локальные политики — там внутри методов процессора есть проверки разрешения на добавление к родительскому ресурсу дочерних документов, т.е. как-то так:
 

if ($parentResource->checkPolicy()){
// ...
}

Да, здесь это, безусловно, оправдано. Но, исходя из вышеизложенного, картинка у меня всё-равно как-то не складывается.
 

Николай, помоги советом! А то я уже близок к тому, чтоб плюнуть на всё это и загулять))

Ох блин, как всё сложно!
 Уже 4 раза полностью переписывал огромный комментарий с возникшими вопросами, но теперь вот окончательная версия) Во-первых, спасибо огромное за материал! Очень ценно! Ну и, собссна, во-вторых.
 Какие у меня вопросы. Возьмём класс modResource.
 Есть шаблоны политик доступа:
 1. ResourceTemplate с разрешениями: add_children
 copy
 create
 delete
 list
 load
 move
 publish
 remove
 save
 steal_lock
 undelete
 unpublish
 view 2. И есть AdministratorTemplate с кучей разрешений, из которых нам интересны: delete_document
 edit_document
 new_document
 new_document_in_root
 new_static_resource
 publish_document
 resource_duplicate
 resource_quick_create
 resource_quick_update
 resource_tree
 save_document
 tree_show_resource_ids
 undelete_document
 unpublish_document
 view_document В этих списках есть как уникальные, так и политики-«синонимы»: delete		== delete_document create		== new_document publish		== publish_document copy		== resource_duplicate save		== save_document undelete	== undelete_document unpublish	== unpublish_document view		== view_document (при чём везде '_document', но 'resource_duplicate', очередная странность). И это при условии, что в шаблоне AdministratorTemplate так же есть простые load, list, view, create, delete, copy и т.д. Я, конечно, понимаю, что политики из первого списка можно проверить только через modResource::checkPolicy(), а из второго списка через $modx->hasPermission(), но лично для меня ясности это нифига не вносит.
 1. В чём между ними в итоге разница-то?
 2. Какие политики надо назначать пользователям, для нужных разрешений? Первые? Вторые? И те и другие?
 Здесь у меня ступор :-) Примеры.
 У modResource, как наследника modSimpleAccessibleObject, вшиты проверки на load, save и remove в соответствующие методы (например). Здесь проверяется локальная политика.
 Предположим, что нам надо создать документ. И по сути, логично найти проверку на create где-нибудь в modSimpleAccessibleObject::newObject().
 Так ведь нифига! Проверки на create ресурсов я вообще не нашёл! (может плохо искал?). Зато в процессоре на создание ресурса проверяется глобальная new_document через $modx->hasPermission().
 Как такое понять?? Дальше, предположим, что нам надо опубликовать документ. Процессор modResourcePublishProcessor наследуется от modProcessor (кстати, почему бы ему сразу не отнаследоваться от modObjectProcessor, в котором уже прописан метод для проверки для глобальных прав?).
 Как видно из метода modProcessor::run(), в нём сначала проверяются глобальные права (вызывается modResourcePublishProcessor::checkPermissions(), который возвращает $modx->hasPermission('publish_document')), а затем вызывается метод modResourcePublishProcessor::initialize(), который проверяет локальные права save и publish! Масло масляное? Мало того, ещё и при сохрании ресурса ещё раз проверится локальная политика save! Нафига? Нафига делать одно и тоже 2 раза?
 Т.е. получается, что мало дать юзеру (ну группе этих юзеров) право publish_document из шаблона политик AdministratorTemplate, надо ещё и обязательно дать ему права save и publish из шаблона ResourceTemplate??
 Вот об этом я ни разу не подозревал, сколько раз права настраивал. Видать не правильно настраивал?
 Зачем вообще разделять тогда на глобальные и локальные? И так во многих процессорах — проверяются глобальные разрешения, потом те же, но локальные. Почему тогда не сделать все проверки глобальными и через процессоры?
 Вот всего этого я не понимаю :-( Изучая процессор resource/duplicate, я начал смутно представлять зачем нужны локальные политики — там внутри методов процессора есть проверки разрешения на добавление к родительскому ресурсу дочерних документов, т.е. как-то так: if ($parentResource->checkPolicy()){
// ...
} Да, здесь это, безусловно, оправдано. Но, исходя из вышеизложенного, картинка у меня всё-равно как-то не складывается. Николай, помоги советом! А то я уже близок к тому, чтоб плюнуть на всё это и загулять))

Ох блин, как всё сложно!
 Уже 4 раза полностью пер

Просто у меня ситуация такая — есть свои классы и задумал я тут прикрутить к ним процессоры. Проблема не в создании процессоров, а в организации прав.
 Чего я хочу.
 Я хочу, чтобы юзеры с фронта могли просматривать/создавать/редактировать/удалять/getlist своих/чужих этих самых объектов. И чтобы все разрешения можно было гибко настроить из админки.
 Какие есть варианты?
 а) Создать свои глобальные политики доступа с именами вроде:
 'load_my_super_object', 'list_my_super_object', 'view_my_super_object', 'create_my_super_object', 'delete_my_super_object' и т.п.
 Т.е. какие процессоры нужны, такие политики и насоздавать. И в каждом из этих процессоров проверять нужную в методе mod<какой-то там>Processor::checkPermission().
 

б) Отнаследоваться от modAccessibleSimpleObject, чтобы из коробки получить стандартные проверки на delete, save, load.
 Но здесь я нифига не понял — что именно нужно писать в findPolicy() и checkPolicy()?..
 Всё остальное делать в процессорах.
 Ну и всё так же создать шаблон с вышеописанными политиками.
 

А ведь ещё как-то надо организовать, чтобы политиками можно было регулировать возможность просмотра/редактирования/удаления/etc. чужих объектов, т.е. созданными другими юзерами. Как такое провернуть?
 Надо так же создать несколько политик, вроде такого:
 'load_another_my_super_object', 'list_another_my_super_object', 'view_another_my_super_object', 'delete_another_my_super_object'
 И в каждом процессоре на каждый чих делать проверки — нужной «another» политики и является ли юзер «владельцем» этого объекта? Или есть пути попроще?
 

Решил начать с создания шаблона политик. И вот здесь я снова в тупике.
 

Дело в том, что, при создании своего шаблона политик, modx мне предлагает в принудительном порядке выбрать на основании какого шаблона политик доступа делать новый. (нда, «политики»-«шаблоны», «политики»-«шаблоны»..))
 ?
 Какой бы шаблон не был выбран в качестве основы, при создании новой политики — всё-равно в подсказках будет отображаться весь список всех возможных политик из всех возможных шаблонов.
 ?
 Зачем тогда давать выбирать основу? Что вообще это даёт? Я понимаю, если бы политики из этого шаблона-основы были бы доступны в созданном шаблоне, так ведь нет же! Создаётся пустой список.
 

И какой всё-таки надо выбирать? Есть несколько кандидатов:
 

ElementTemplate:
 add_children, copy, create, delete, list, load, remove, save, view

ObjectTemplate:
 list, load, remove, save, view

ResourceTemplate:
 add_children, copy, create, delete, list, load, move, publish, remove, save, steal_lock, undelete, unpublish, view

и AdministratorTemplate со всем его зоопарком политик.
 

Вот столько у меня вопросов…
 Извини за назойливость, но я реально здесь нифига не понимаю :-(

И ещё пара моментов. Просто у меня ситуация такая — есть свои классы и задумал я тут прикрутить к ним процессоры. Проблема не в создании процессоров, а в организации прав.
 Чего я хочу.
 Я хочу, чтобы юзеры с фронта могли просматривать/создавать/редактировать/удалять/getlist своих/чужих этих самых объектов. И чтобы все разрешения можно было гибко настроить из админки.
 Какие есть варианты?
 а) Создать свои глобальные политики доступа с именами вроде:
 'load_my_super_object', 'list_my_super_object', 'view_my_super_object', 'create_my_super_object', 'delete_my_super_object' и т.п.
 Т.е. какие процессоры нужны, такие политики и насоздавать. И в каждом из этих процессоров проверять нужную в методе mod<какой-то там>Processor::checkPermission(). б) Отнаследоваться от modAccessibleSimpleObject, чтобы из коробки получить стандартные проверки на delete, save, load.
 Но здесь я нифига не понял — что именно нужно писать в findPolicy() и checkPolicy()?..
 Всё остальное делать в процессорах.
 Ну и всё так же создать шаблон с вышеописанными политиками. А ведь ещё как-то надо организовать, чтобы политиками можно было регулировать возможность просмотра/редактирования/удаления/etc. чужих объектов, т.е. созданными другими юзерами. Как такое провернуть?
 Надо так же создать несколько политик, вроде такого:
 'load_another_my_super_object', 'list_another_my_super_object', 'view_another_my_super_object', 'delete_another_my_super_object'
 И в каждом процессоре на каждый чих делать проверки — нужной «another» политики и является ли юзер «владельцем» этого объекта? Или есть пути попроще? Решил начать с создания шаблона политик. И вот здесь я снова в тупике. Дело в том, что, при создании своего шаблона политик, modx мне предлагает в принудительном порядке выбрать на основании какого шаблона политик доступа делать новый. (нда, «политики»-«шаблоны», «политики»-«шаблоны»..))
 ?
 Какой бы шаблон не был выбран в качестве основы, при создании новой политики — всё-равно в подсказках будет отображаться весь список всех возможных политик из всех возможных шаблонов.
 ?
 Зачем тогда давать выбирать основу? Что вообще это даёт? Я понимаю, если бы политики из этого шаблона-основы были бы доступны в созданном шаблоне, так ведь нет же! Создаётся пустой список. И какой всё-таки надо выбирать? Есть несколько кандидатов: ElementTemplate:
 add_children, copy, create, delete, list, load, remove, save, view ObjectTemplate:
 list, load, remove, save, view ResourceTemplate:
 add_children, copy, create, delete, list, load, move, publish, remove, save, steal_lock, undelete, unpublish, view и AdministratorTemplate со всем его зоопарком политик. Вот столько у меня вопросов…
 Извини за назойливость, но я реально здесь нифига не понимаю :-(

И ещё пара моментов. Просто у меня ситуация такая 

В коде ошибку допустил, когда редактировал. Надо вот так:
 

if ($parentResource->checkPolicy('add_children')){
	// ...
}

В коде ошибку допустил, когда редактировал. Надо вот так: if ($parentResource->checkPolicy('add_children')){
	// ...
}

В коде ошибку допустил, когда редактировал. Надо в

Привет!
 Коммент реально зачетный! Сразу видно, что не 5 минут потратил на изучение этого вопроса. Но наверно правильней было сразу в отдельный топик оформить. Ну да ладно, пусть здесь будет.
 Итак, по сабжу: так много писать не буду, а выделю основное. Ты много раз говоришь про локальные и глобальные политики, но никак не можешь уловить разницу между ними. А между тем, суть как раз и кроется в том, что означают эти названия. Глобальные — они и в Африке глобальные. И локальные там же. Вот у тебя есть глобальное право сохранять документы. ОК, априори ты можешь взять, и сохранить документ. НО, документ может находиться в той группе документов, на которую у тебя нет прав на сохранение. То есть, в принципе ты можешь сохранять их, но конкретный документ, находящийся в конкретной группе, ты сохранить не можешь — нет прав на это. То же самое и с публикацией и т.п. Это все равно, как есть у тебя глобальное право Копать. В принципе ты можешь пойти и где-то начать копать. Но придешь в городской парк, и скорее всего тебя быстро скрутят, так как конкретно в этом парке ты копать не имеешь права. Надеюсь ответил на твой вопрос.
 

По поводу расширения не тех процессоров, лишних проверок и т.п.: безусловно, где-то не все оптимально. Но по большей степени там все оправдано.
 

И еще вот такой момент по поводу проверок прав до и после сохранения. Как я и писал выше, проверки прав на документы (ресурсы), основаны на участии документов в группах ресурсов. А так как документ, пока не сохранен, по сути не может и в группе находиться, то прав локальных как бы и не имеется. И получается, что после сохранения и возможного попадения документа в какую-либо группу ресурсов, могут измениться локальные политики конкретно на этот документ.

Привет!
 Коммент реально зачетный! Сразу видно, что не 5 минут потратил на изучение этого вопроса. Но наверно правильней было сразу в отдельный топик оформить. Ну да ладно, пусть здесь будет.
 Итак, по сабжу: так много писать не буду, а выделю основное. Ты много раз говоришь про локальные и глобальные политики, но никак не можешь уловить разницу между ними. А между тем, суть как раз и кроется в том, что означают эти названия. Глобальные — они и в Африке глобальные. И локальные там же. Вот у тебя есть глобальное право сохранять документы. ОК, априори ты можешь взять, и сохранить документ. НО, документ может находиться в той группе документов, на которую у тебя нет прав на сохранение. То есть, в принципе ты можешь сохранять их, но конкретный документ, находящийся в конкретной группе, ты сохранить не можешь — нет прав на это. То же самое и с публикацией и т.п. Это все равно, как есть у тебя глобальное право Копать. В принципе ты можешь пойти и где-то начать копать. Но придешь в городской парк, и скорее всего тебя быстро скрутят, так как конкретно в этом парке ты копать не имеешь права. Надеюсь ответил на твой вопрос. По поводу расширения не тех процессоров, лишних проверок и т.п.: безусловно, где-то не все оптимально. Но по большей степени там все оправдано. И еще вот такой момент по поводу проверок прав до и после сохранения. Как я и писал выше, проверки прав на документы (ресурсы), основаны на участии документов в группах ресурсов. А так как документ, пока не сохранен, по сути не может и в группе находиться, то прав локальных как бы и не имеется. И получается, что после сохранения и возможного попадения документа в какую-либо группу ресурсов, могут измениться локальные политики конкретно на этот документ.

Привет!
 Коммент реально зачетный! Сразу видно, чт

По поводу проверки прав и наиболее удобного способа: вот это очень и очень сложный момент. Можно даже почитать статью, которая была почти сразу написана после этой статьи, чтобы оценить это примерно. Так вот, в метод checkPolicy лучше не лезть вообще. Нет, в упрощенном варианте конечно можно по какому-либо условию сделать свою проверку, и либо сразу вернуть четкий результат, либо отдать дальше на выполнение родителю через return parent::checkPolicy(), но лучше все-таки этого не делать. Если у тебя все это дело будет использоваться во фронте, то лучше все это делать именно на процессорах, так как тебе довольно не сложно будет расширить базовые процессоры и просто в своих выполнить проверку на уровне нативных методов. Это получится дешево и сердито.
 

Я хочу, чтобы юзеры с фронта могли просматривать/создавать/редактировать/удалять/getlist своих/чужих

Вот это тоже очень интересный момент. Я не раз говорил (и Джейсону тоже), что у нас с политиками есть очень большой промах. У нас в принципе нет такого понятия сейчас как владелец. В моем понимании все создаваемые объекты должны иметь флаг владельца, чтобы можно было выставить исключительные права. Второй момент (тоже очень досадный), что все рассчитано на групповые политики. То есть, права выдаются на группы пользователей, но не выдаются на конкретного пользователя. В итоге получается, что чтобы дать индивидуальные права одному пользователю, надо создать для него группу и отнести его к этой группе. В итоге 1000 пользователей — 1000 групп. Вообще не кульно получается. В своем ModZilla я расширил этот механизм и добавил механизм индивидуальных прав для пользователей, но во-первых, там все равно все не идеально, во-вторых, это вряд ли будет включено в официальное ядро в обозримом будущем, а в третьих, это вообще становится все сложно :-)

По поводу проверки прав и наиболее удобного способа: вот это очень и очень сложный момент. Можно даже почитать статью, которая была почти сразу написана после этой статьи, чтобы оценить это примерно. Так вот, в метод checkPolicy лучше не лезть вообще. Нет, в упрощенном варианте конечно можно по какому-либо условию сделать свою проверку, и либо сразу вернуть четкий результат, либо отдать дальше на выполнение родителю через return parent::checkPolicy(), но лучше все-таки этого не делать. Если у тебя все это дело будет использоваться во фронте, то лучше все это делать именно на процессорах, так как тебе довольно не сложно будет расширить базовые процессоры и просто в своих выполнить проверку на уровне нативных методов. Это получится дешево и сердито. Я хочу, чтобы юзеры с фронта могли просматривать/создавать/редактировать/удалять/getlist своих/чужих Вот это тоже очень интересный момент. Я не раз говорил (и Джейсону тоже), что у нас с политиками есть очень большой промах. У нас в принципе нет такого понятия сейчас как владелец. В моем понимании все создаваемые объекты должны иметь флаг владельца, чтобы можно было выставить исключительные права. Второй момент (тоже очень досадный), что все рассчитано на групповые политики. То есть, права выдаются на группы пользователей, но не выдаются на конкретного пользователя. В итоге получается, что чтобы дать индивидуальные права одному пользователю, надо создать для него группу и отнести его к этой группе. В итоге 1000 пользователей — 1000 групп. Вообще не кульно получается. В своем ModZilla я расширил этот механизм и добавил механизм индивидуальных прав для пользователей, но во-первых, там все равно все не идеально, во-вторых, это вряд ли будет включено в официальное ядро в обозримом будущем, а в третьих, это вообще становится все сложно :-)

По поводу проверки прав и наиболее удобного способ

По поводу шаблонов и общего списка: шаблоны созданы не для того, чтобы сделать исключительно индивидуальные списки, а чтобы разделить единый список. Ведь в конкретной политике на основе конкретного шаблона имеется ограниченное количество вариантов. Согласись, гораздо удобней видеть, что в этой политике назначено 7 из 15-ти, чем просто 7 из вообще всего набора прав. Это если ты пользователям всего одну роль создаешь, это может особо и не понятно, но когда у тебя на сайте штук 30 политик, тогда ты это все оценишь.

По поводу шаблонов и общего списка: шаблоны создан

Сразу видно, что не 5 минут потратил на изучение этого вопроса.

Даа, не один час ушёл)) И даже не три)
 

еще вот такой момент по поводу проверок прав до и после сохранения. Как я и писал выше...

А, блин! Вот теперь дошло, почему я ни где локальной проверки на create не нашёл.

Сразу видно, что не 5 минут потратил на изучение этого вопроса. Даа, не один час ушёл)) И даже не три) еще вот такой момент по поводу проверок прав до и после сохранения. Как я и писал выше... А, блин! Вот теперь дошло, почему я ни где локальной проверки на create не нашёл.

Сразу видно, что не 5 минут потратил на изучение э

Блин, а можно в скайп голосом вопрос задать? А то, если я сейчас свой вопрос печатать буду, то ещё 2 часа уйдёт(

Блин, а можно в скайп голосом вопрос задать? А то,

У меня не много, просто печатать это сложно и долго.

У меня не много, просто печатать это сложно и долг

А аналогия с копанием порвала! Спасибо, стало понятнее))

А аналогия с копанием порвала! Спасибо, стало поня

Пожалуйста :-)

В скайпе у меня такса 1000 рублей/час. Сорри, но со временем у меня напряг. Здесь, в паблике, вы платите уникальным контентом. А в привате для меня все в минус.

В скайпе у меня такса 1000 рублей/час. Сорри, но с

Я, кстати, полностью разобрался в вопросе. Прям вот полностью)
 

Сорри, но со временем у меня напряг

Нельзя ж постоянно работать!))

Я, кстати, полностью разобрался в вопросе. Прям вот полностью) Сорри, но со временем у меня напряг Нельзя ж постоянно работать!))

Я, кстати, полностью разобрался в вопросе. Прям во

Нельзя. Но когда я не работаю, я лучше просто погулять пойду. А консультации — это тоже работа, и бесплатно ее делать не улыбается.

Нельзя. Но когда я не работаю, я лучше просто погу

Не, ничего не подумай, я с этим согласен полностью!
 Сам так же поступаю)

Не, ничего не подумай, я с этим согласен полностью

checkPolicy

findPolicy

modAccessibleObject

modAccessibleSimpleObject

modx

modx revolution

xPDO

xPDOObject

xPDOSimpleObject

права

# Николай Ланец aka Fi1osof
**Lead Fullstack Developer / Ментор / Евангелист современного JS‑стека**

---

## О себе

Я — не просто Senior Developer с 2007 года. Я — тот, кто строит продукты будущего на базе современных технологий и помогает другим подниматься на новую ступень айти-карьеры. Создатель и идейный вдохновитель freecode.academy — платформы, где обучение перестает быть скучной обязаловкой и становится настоящим технологическим приключением.

---

## Мой стек и философия разработки

Основу моего рабочего арсенала составляют:

- [Javascript](/technologies/ck1faudv928l40a89c4u9zxlm), [TypeScript](/technologies/ckcvwwx010kov08009u7y2rav)
- [React](/technologies/ck1fawbdw28v20a891k4wlh27), [Next.js](/technologies/ckg2jd4ffr9260730aog66dri)
- [Node.js](/technologies/ckt55wm59272831wo9gg9r8ynx), [GraphQL](/technologies/ck1fawhqk28vu0a8995lqvlsj), [Apollo Client](/technologies/ck2zdcg0vpvc10a89xjmhj1e0), [Nexus](/technologies/ckl2pbh0fxew60730ifl3zozp), [Prisma](/technologies/ck2zdbmi7pv8r0a89ntc2r0f1)
- DevOps: [Docker](/technologies/ck2y1x9lho9cy0a8953xzfjr8), [docker-compose](/technologies/ck2y1xqino9g80a89tsftxin2), [Caddy](/technologies/ck2zd8ovqpuyl0a8909748sbu), [Ubuntu](/technologies/cktu8giks3593911vmle30ztqxt)
- UI-инструменты: [Styled-Components](/technologies/ckk8myysio7lw0730csszvrdw), [Material-UI](/technologies/ckljv3jwd7bgf0730huxlko9n), [react-hook-form](/technologies/ckmx8cn9fmwrv073032e67722)
- Всё актуальное для разработки, CI/CD и автоматизации 
- Эксперименты с [WebGL](/technologies/ckan9anntc12f08003saqttrq), [A‑Frame](/technologies/ck2tgoiz8j37y0a89c7gxsrxc), [Three.js](/technologies/ck2tgns1nj32z0a89vmw7xw3f), [Unreal Engine 4](/technologies/ck7puswy6g4yb07004cdp6lbr), [Elixir](/technologies/ckn0olavrnnzi0730xs8rctn8), [C++](/technologies/cknin1y8lu2fr07307mskn2fn)

---

## Разработка и менторство

- Более 15 лет **hands-on** разработки и проджект‑менеджмента
- Главный разработчик и преподаватель платформы [freecode.academy](https://freecode.academy)
- **Ведущий менти-пул на платформе** — лично выращиваю новых звезд отрасли

### Мои менти и их результаты

| Менти (ФИО \| username)                               | Уровень | Рейтинг |
|-------------------------------------------------------|---------|---------|
| [Попов Дмитрий \| linklib](/users/cjoe890c706ji0d962oismzoe)           | 3       | 315     |
| [Сэт \| defk1lla](/users/ckzh1ita312978121imr9hpqfc64)                 | 3       | 670     |
| [Ксения Матвеева \| Ксения Матвеева](/users/ckz4awwlh10627771imr4wvpb7cj) | 2       | 0       |
| [Михаил \| Balamut](/users/cl1npq92z10258261vmbq0w6vfh2)               | 2       | 0       |
| [Ольга Ершова \| angel](/users/cjoe87zhk00250d969arluevk)              | 1       | 0       |
| [Егор \| rogedkone](/users/cksrdp47d3308261ijuq7wfrxdl)                | 3       | 0       |
| [Roman \| Roman43](/users/ckur2qtt64721431xoboyjcte52)                 | 2       | 0       |
| [Бут Игорь \| santiment](/users/ckttd9x20893951vmltb8t7sha)            | 1       | 0       |

**Доношу простую мысль: успех — это не магия, это осознанная системная работа и кайф от роста.**
Мои менти выводят решения в продакшн, пробиваются в лидеры рейтингов — кому не хочется быть в такой команде?

---

## Почему я?

- **Прокачаю проект** — от TDD архитектуры до культурного CI/CD
- **Вдохновлю команду** — и научу мыслить по‑новому, где ИИ — напарник, а не угроза
- **Выращу мидлов и сеньоров** — доказано платформой и рейтингами моих учеников

**Сила — в сообществе, а техника — это просто смазка для ваших побед. Присоединяйтесь!**

---

## Контакты

- 📧 [n.lanets@freecode.academy](mailto:n.lanets@freecode.academy)
- Телеграм: [@freecode_academy](https://t.me/freecode_academy)

---

**P.S.**: Мой опыт — ваш драйвер роста. Хотите в команду? Ищете менторство? Пишите. Растём вместе!