01 / Ситуация
Лишнее в списке
Клиент заходит в кабинет и видит документы, которые к нему не относятся: чужие счета, чужие акты. Доступ открылся потому, что файлы лежали в общей папке.
Обычно это выясняется уже после того, как клиент позвонил и спросил, почему ему показывают чужое.
02 / Причина
Почему не заметили
Проверяли под администратором
У администратора права на всё. Он не увидит, что именно лишнее открыто клиенту.
Файлы в общей папке
Права наследуются от папки, а не от документа. Один общий каталог открывает всё, что в нём лежит.
Кабинет проверяется из-под внешнего пользователя: что видно, что можно скачать, какие документы чужие.
03 / Подход
Смотреть глазами клиента
Завести тестового клиента
Отдельный внешний пользователь с типовыми правами. Под ним и проверяется кабинет.
Развести документы по папкам
У каждой компании своя папка и свои права. Общие каталоги для клиентских файлов не используются.
Проверять после каждого изменения
Новый раздел, новая папка, новая роль — повод пройти кабинет заново.
04 / Нюансы
Что учесть
Права на файл и на папку
Файл может быть закрыт, но виден через папку. Проверять нужно оба уровня.
Поиск в кабинете
Даже скрытые разделы иногда находятся поиском. Это тоже проверяется.
Дилеры и их клиенты
У дилера свой набор видимых документов. Смешивать его с клиентским нельзя.
05 / Первый шаг
Один вход под клиентом
Заведём тестового внешнего пользователя и пройдём кабинет так, как это делает клиент.
- Какие разделы открыты внешним пользователям.
- Где лежат клиентские документы.
- Кто проверял кабинет из-под клиента.
По итогу согласуем структуру папок и порядок проверки прав.