Права и роли в Nex1on: кто что может на сайте

Кто на сайте может писать новости, кто — править настройки, а кто видит только публичные страницы, в Nex1on решают права. Права не раздают по одному: их собирают в роли, а роли выдают людям. Ниже — как это устроено, как выдать человеку нужные возможности и ничего лишнего и какие страховки движок ставит сам, чтобы вы не заперли себя вне панели.

Как это устроено #

• Право — одно конкретное действие: например, «создавать записи» или «управлять пользователями». Права объявляют ядро и модули; когда вы включаете модуль, у роли появляются и его права.
• Роль — набор прав с названием: Редактор, Модератор, Участник. Роль можно настроить, а можно завести свою.
• Уровень — число роли. Он отвечает не за то, что можно делать, а за то, кого можно править: роль не ниже вашей трогать нельзя. Уровень человека — наибольший из уровней его ролей.
• Личные права — исключения для одного человека: что-то добавить или отнять сверх его ролей.

Если у человека несколько ролей, права складываются. Личное правило сильнее прав роли, а личный запрет сильнее личного разрешения. Владельцу разрешено всё без записей: его права нарочно не настраиваются, иначе одна снятая галочка оставила бы сайт без управления.

Роли из поставки #

Сразу после установки есть шесть ролей; уровни ниже — как в чистой установке.

• Владелец, уровень 100: всё разрешено, права не настраиваются.
• Администратор, 80: широкий набор прав на управление сайтом, но ниже владельца.
• Помощник администратора, 70: ведёт содержимое сайта, без власти администратора; видит почту авторов комментариев и отзывов.
• Редактор, 60: работает с записями и страницами.
• Модератор, 40: следит за порядком в комментариях и на форуме.
• Участник, 10: обычный зарегистрированный человек.

Роли «Владелец», «Администратор», «Редактор», «Модератор» и «Участник» удалить нельзя. «Помощник администратора» и роли, заведённые вами, удалить можно, но только если их никто не носит.

Шаг 1. Посмотрите, какие роли есть #

Откройте «Пользователи и доступ → Роли». В таблице у каждой роли уровень, число прав и число людей, которые её носят; вверху сказано, какой уровень у вас.

Внизу страницы есть «Сравнение ролей»: таблица «право — роль», где сразу видно, чем роли отличаются друг от друга. Она считается по нажатию «Показать».

Шаг 2. Настройте права роли #

Нажмите «Изменить» у нужной роли. Права собраны по разделам: админка, содержимое, безопасность, система, пользователи. У каждого раздела есть кнопки «Отметить всю» и «Снять всю», а поиск находит право по части названия или машинного имени: например, users.edit.

Отметки не действуют, пока вы не нажали «Сохранить»: до этого у роли прежние права. Поиск ничего не снимает, остальные права остаются как были.

Ниже на странице роли два блока. «О роли» — уровень, описание и вид имени: цвет и значок рядом с именем человека в комментариях, на форуме и в профиле. Вид меняет только оформление, доступ он не трогает. «Пределы» — сколько можно роли: размер файла, число файлов и комментариев за сутки, время на правку своего комментария. Ноль означает, что предела от роли нет и действует общая настройка сайта; если у человека несколько ролей, берётся самый щедрый предел.

Шаг 3. Выдайте роль человеку #

Откройте «Пользователи», выберите человека и найдите справа вверху блок «Роли»: отметьте нужные роли и нажмите «Сохранить». У каждой роли подписаны машинное имя и уровень, так что сразу видно, кто выше кого.

Левее и ниже на той же странице — «Личные права». Они нужны для исключений: например, редактору, которому нельзя удалять записи. Переключатель «Только отличия от роли» показывает лишь то, что отличается от роли, так что видно, чем этот человек не похож на остальных с такой же ролью.

Если роль нужна на время, выдайте её в блоке «Санкции и сроки» (строка «Выдать роль на срок»): роль выдаётся на заданное число дней и снимается сама. Туда же относятся блокировка на срок и запрет на публикации.

Правила, которые работают сами #

• Автоперевод («Роли → Автоперевод»): правило вида «у кого есть роль A и с регистрации прошло 30 дней — тому дать роль B». Сайт проверяет правила раз в сутки; менять их может только владелец. Автоматически можно выдать только безопасную роль — не выше обычного участника по правам — и ниже уровня модератора.
• Рубрики роли («Роли → Рубрики роли»): какие рубрики видит роль. По умолчанию видно всё; можно скрыть часть рубрик или оставить только выбранные, а у скрытых рубрик закрыть только полный текст, оставив краткий в ленте. Человек с несколькими ролями видит рубрику, если её открывает хотя бы одна его роль.

Страховки движка #

• Владельца нельзя удалить, пока он владелец, и нельзя оставить сайт без владельца: последнему владельцу сначала надо назначить преемника.
• Себе нельзя отнять вход в панель или управление правами: вернуть их сможет только владелец.
• Роль не ниже вашей править нельзя, а уровень новой роли должен быть ниже вашего.
• При копировании прав из другой роли берутся только те права, которые есть у вас.
• Об изменении правил автоперевода все владельцы получают письмо, а выдача роли записывается в историю человека: на его странице, блок «История».

Что проверить после настройки #

• У владельцев нет лишних людей: «Роли» → число людей у роли «Владелец».
• У каждого редактора и модератора только та роль, что нужна для работы.
• Права, отмеченные как чувствительные (злоупотребление ими бьёт по людям сайта), выданы только тем, кому вы доверяете.
• Пробный вход под учётной записью с ролью «Участник» показывает только то, что вы хотели: вы не видите лишних разделов.
• Для своей учётной записи владельца мы настоятельно советуем включить вход в два шага: такая учётная запись — главная цель. Включается в личном профиле, в разделе безопасности.

Если что-то пошло не так #

• У человека нет раздела в меню. Раздел показывается по праву. Откройте страницу человека, «Личные права» → «Только отличия от роли» и роли: чаще всего права нужной роли не отмечены или личный запрет перекрывает роль.
• «Роль не ниже вашей — править нельзя». Так задумано: меняйте такие роли от учётной записи с уровнем выше или от владельца.
• Роль не удаляется. Её кто-то носит: сначала снимите её у людей, список виден на странице роли.
• Рубрика не видна гостям. Проверьте «Рубрики роли» для роли «Посетитель (без входа)».

Что дальше #

Права проще всего раздавать ролями, а личные исключения оставлять редкими. Когда сайт растёт, заведите отдельную роль под каждое занятие, например «Автор блога», и настройте её пределы. А чтобы увидеть, кто что делал с настройками, откройте журнал событий безопасности.