request-portal/docs/permissions.md

# Особые права в портале — реестр

Здесь собраны все места, где кому-то выданы права **сверх обычных**. Обычные
права такие: автор правит свою незавершённую заявку, согласующий или исполнитель
решает на своём активном шаге.

Многие права пока выданы **по email или по должности прямо в коде**. Это
временно: план — переехать на группы SharePoint. Этот файл нужен, чтобы при
переезде, смене сотрудника или разборе «почему у него есть или нет кнопки»
ничего не потерять.

> **Правило.** Добавили, изменили или убрали особое право — поправьте таблицу
> ниже в том же коммите.

## Сводная таблица

| Право | Кто | Как определяется | Где действует | Файл с проверкой |
|---|---|---|---|---|
| Удалять согласующих, которые ещё ждут очереди | Алтынай Бултурукова, Павел Горбенко | email в коде | Подбор, Приём, Реферальная рекомендация: и при составлении, и в поданной заявке | `shared/approval/routeEditRights.ts` → `canEditRoute` |
| Удалять любых согласующих **при составлении** заявки | те же (`canEditRoute`) | email в коде | Все остальные формы с маршрутом согласования (отпуск, увольнение, 1С и т. д.); в поданной заявке — нет | `shared/approval/routeEditRights.ts` → `composeRemoveRowRule` |
| Добавлять и удалять исполнителей **при составлении** заявки | те же (`canEditRoute`) | email в коде | Все формы, где в маршруте из админки есть фаза исполнения; в поданной заявке — нет | `shared/approval/routeEditRights.ts` → `canEditExecutors` |
| Заменять и удалять исполнителей, **в том числе активного** («На исполнении») | Алтынай Бултурукова | тот же email (`canEditRoute`) | **Только** Заявка на подбор, матрица «Исполнение» | `canEditRoute` + `forms/RecruitingSelection/RecruitingSelectionView.tsx` |
| Править **все поля** заявки на своём активном шаге согласования (без вложений) | Алтынай Бултурукова | email в коде | Подбор, Приём (Реферальная рекомендация — нет) | `shared/approval/fullEditRights.ts` → `canEditAllFields` |
| Править оклад на ИС, оклад после ИС, «Отдел/Участок» на своём шаге согласования | Начальник расчётной группы (сейчас Ким Анна) | должность шага: «начальник/руководитель» + «расчет» | Заявка на приём | `forms/RecruitingHire/approverRights.ts` → `canEditPayrollFields` |
| Ставить дату приёма (2.2) | Активный исполнитель | роль в маршруте (шаг «Исполнение»), без проверки должности | Заявка на приём | `forms/RecruitingHire/RecruitingHireView.tsx` (`hireDateEditable`) |
| Править карту СКУД и сумму за обучение | Начальник отдела кадрового делопроизводства | должность шага: «начальник/руководитель» + «кадров» + «делопроизводств» | Обходной лист | `forms/Clearance/approverRights.ts` → `canEditHrRecordsFields` |
| Править парковочную карту | Начальник отдела подбора и адаптации | должность шага: «начальник/руководитель» + «подбор» + «адаптац» | Обходной лист | `forms/Clearance/approverRights.ts` → `canEditParkingField` |
| Видеть раздел «Отчёты» | Группа SP «Отчеты по заявкам» (Id 199) **и** всегда: Тришина М., Городецкий Т., Горбенко П., Сарниязова А. | группа SharePoint + email в коде | Боковое меню | `shared/reports/reportsAccess.ts` → `hasReportsAccess` |
| Видеть «Все заявки» типа (чужие тоже, только просмотр) | Список email для каждого типа | настраивается **в админке approval-route**, не в коде | Раздел «Все заявки» | `shared/approval/requestTypeAccess.ts` |
| Подавать заявки, пока действует заморозка | Группа SP «Тестирование» (Id 124) | группа SharePoint | Все замороженные формы (разморожены для всех: 1С, Подбор, Приём, Реферал, Рабочее место) | `shared/ui/SubmitActions/SubmitActions.tsx` (`SUBMISSION_FROZEN`, `UNFROZEN_FORMS`) + `testerGroupAccess.ts` |
| Открывать формы «в разработке» (`comingSoon`) | Группа SP «Тестирование» (Id 124) | группа SharePoint | Плитки и формы с `comingSoon` | `shared/useIsTester.ts`, `components/RequestGrid/RequestGrid.tsx`, `features/submit/SubmitFeature.tsx` |
| Отладочная подмена личности (портал работает от имени другого сотрудника) | Тот, кто может править свойства веб-части на странице (владельцы или редакторы сайта) | поле в свойствах веб-части | Весь портал; на экране красная плашка | `shared/impersonation.ts` |

## Как проверяются права по должности

Права «по должности» (приём, обходной лист) сравнивают **ключевые слова** в
должности шага маршрута: это колонка Title строки согласования, её подставляет
маршрут при планировании. Обязателен управленческий маркер
«начальник»/«руководитель», иначе право получили бы рядовые сотрудники того же
отдела.

Риск: опечатка или переформулировка должности в кадровом справочнике молча
отключит право. Случайное совпадение слов может выдать его не тому человеку.

## Что сделать при переезде на группы SharePoint

1. Под каждый набор прав завести группу на сайте данных (`/sites/requests`).
2. В коде проверять членство по **Id группы**, а не по Title, как уже сделано
   в `reportsAccess.ts` и `testerGroupAccess.ts`.
3. Проверка должна учитывать отладочную подмену личности (`effectiveUserEmail`,
   см. `reportsAccess.ts`). Иначе под подменой будут проверяться права
   настоящего пользователя.
4. Обновить эту таблицу.

## Известные ограничения

- **Замена активного исполнителя (подбор).** Если прежний исполнитель держит
  заявку открытой и, не обновив страницу, нажмёт «Выполнено», решение
  запишется в шаг, который уже принадлежит новому исполнителю. При решении
  пока не перепроверяется, что шаг всё ещё за этим человеком
  (`ApproverService.decide`).