Роли пользователей сайта агенты добавляют вместе с запретами на сервере

Название «редактор» не отвечает, что можно делать. Править только свои черновики или чужие тоже? Публиковать сразу или после согласования?

Название «администратор» тоже не даёт всех прав. В справке ЮKassa добавлять пользователей могут владелец и управляющий, а администратор не может.

Руководитель согласует матрицу до разработки. В строке операция, в столбце роль, в клетке разрешение. «Свои заявки» и «все заявки» дают разный доступ.

Вход подтверждает личность, проверка доступа разрешает действие. Менеджер вошёл в админку, но право читать свою заявку не даёт права читать чужую.

Запрет исполняет сервер. OWASP рекомендует проверять каждый запрос и отказывать без заданного разрешения. Скрытая кнопка оставляет прямой путь к операции.

Сервер проверяет конкретный объект. Фильтра списка мало: чужая карточка тоже закрыта. Права берутся из доверенной учётной записи, а не из полей запроса.

Машина агентов собрала админку вместе с сайтом. Выбор разобран в статье о своей CRM. Пароль страницы не защищает отдельный запрос данных.

Разрешённое удаление тоже может повредить. Если администратор удалит соседнюю строку, запрет для менеджера не поможет. Нужны подтверждение и след изменения.

После поломок мы меняли механизм. Обе истории ниже относятся к vibecoding.ru. Матрица ролей выше остаётся примером задания, а не нашей внедрённой системой.

Следы работы машины открыты на сайте. Это разработка собственной системы. Внедрение ролей в чужую компанию такими следами не подтверждается.

Руководитель утверждает полномочия, инженер ведёт машину агентов. Агент добавляет проверки в код. Кому разрешено видеть все заявки, решает компания.

В постановке задачи агенту границу «готово» записывают заранее. Здесь каждую клетку матрицы подтверждает разрешённая операция или отказ сервера.

Для проверки нужны тестовые сотрудники и вымышленные заявки. Данные реальных клиентов и пароли сотрудников агенту не передают.

Порядок разобран в уроке «Одиннадцать шагов одной задачи». Матрицу и проверки сохраняют рядом с кодом. Они ловят возврат лишнего доступа при следующей правке.

Разрешённые операции должны работать. Менеджер меняет свою заявку, редактор сохраняет черновик. Если сервер запрещает всё, нужная работа тоже не сделана.

Запреты проверяют прямым запросом. Менеджер запрашивает чужую заявку, редактор пытается назначить роль. Такие сценарии описаны в руководстве OWASP WSTG.

Отказ подтверждают результатом. Надпись «доступ запрещён» бесполезна, если запись уже изменилась. В протоколе остаются ответ сервера и состояние после запроса.

Отзыв прав проверяют при открытой вкладке. Если сессия хранит старое разрешение, одной смены роли мало. В приёмку включают запрос из прежней сессии.

Заказ описывают матрицей и сценариями для действующей админки. Разработку новой модели безопасности всей компании обсуждают отдельной задачей.

В подписке «Один проект» месяц стоит 250 000 ₽ на 8 октября 2026. Согласованные роли с проверками можно заказать для действующей админки. Объём обсуждают до старта.

Код идёт в ваш репозиторий. Инженер ведёт машину агентов: в работе одна задача, остальные в очереди. Пауза возможна в любой месяц.

Выбрать задачу поможет следующий шаг для руководителя. На обсуждение принесите матрицу и операцию, доступную лишней роли.

1. Опишите роль через действия и данные: свои заявки отличаются от всех заявок.

2. Заказывайте серверные запреты вместе с интерфейсом. Скрытая кнопка их не заменяет.

3. Передайте агентам утверждённую матрицу и тестовые данные.

4. Принимайте и разрешённые, и запрещённые операции по результату на сервере.

5. Сохраните проверки рядом с кодом и повторяйте их после изменения ролей.