Пишем различные технические топики

Документация для специалистов

Разработчикам на заметку. Чем может грозить точка в конце доменного имени

Авторизация по  емейлу

PHP. Клонирование объектов и ООП-метод __clone()

по поводу cache.xPDOAPCCache

modAccessibleObject в MODX. Проверка доступов к объектам.

Хитрый запрос с условием

Логические и технические пробелы в доступах к приватным объектам.

Подгрузка "классных" процессоров средствами API MODX

На modxcloud.com этот вопрос легко решается просисыванием nginx-правил для конкретного облака. Пример:
 

if($http_host != 'mydomain.ru'){
  return 301 mydomain.ru$request_uri;
 }

На modxcloud.com этот вопрос легко решается просисыванием nginx-правил для конкретного облака. Пример: if($http_host != 'mydomain.ru'){
  return 301 mydomain.ru$request_uri;
 }

На modxcloud.com этот вопрос легко решается просис

А я в принципе не вижу особой опасности в этом… Если есть возможность прописать такое правило сразу в сборку, то можно заморочиться, а так — для каждого нового сайта прописывать правила — в любом случае когда-нибудь да забудешь…

А я в принципе не вижу особой опасности в этом… Ес

У меня как раз такой плагин часто использовался на сайтах. В него прописывался mainHost, и если хост не совпадал, то редиректилось на основной. Но на уровне nginx-а это гораздо правильней, так как нагрузки на движок нету.

У меня как раз такой плагин часто использовался на

Супер! Когда сменили на коммюнити дизайн сразу заметил, что авторизация по e-mail не проходит и понял, что это из-за MODX)))

Супер! Когда сменили на коммюнити дизайн сразу зам

Нет, там авторизация по емейлу работает. Потому что там вообще нет синхронизации MODX и Livestreet пользователей (специально там сейчас перепроверил).
 А вот здесь синхронизация есть. Вот пришлось поправить :-)

Нет, там авторизация по емейлу работает. Потому чт

А вот это очень познавательная вещь. Однозначно намотать на ус)

А вот это очень познавательная вещь. Однозначно на

Вот прям точно не скажу, но скорее всего как и у всех подобных кеш-провайдеров время задается на уровне конфигурации самого кеш-сервера. Даже если он у вас локально на том же сервере, что и сайт, это все равно сторонняя служба. надо править его конфиги.

Вот прям точно не скажу, но скорее всего как и у в

у меня обычный шаред на timeweb. т.е. с настройками я пролетаю?

у меня обычный шаред на timeweb. т.е. с настройкам

Вам правильно подсказали. Придется поковырять конфиг на сервере. Если у вас ubunta или debian то apc.ini лежит в /etc/php5/conf.d/apc.ini. Тут вам нужна настройка:
 apc.ttl – сколько секунд должны отсутствовать обращения к записи кэша прежде, чем apc перезапишет ее.(значения в милисикундах)
 По умолчанию вроде стоит 7200 т.е. два часа. Если стоит 0 то кэш чиститься не будет.

Вам правильно подсказали. Придется поковырять конф

Вы можете попросить хостера поменять нужное значение.

Вы можете попросить хостера поменять нужное значен

А чтобы свой объект сделать объектом modAccessibleSimpleObject (сейчас он xPDOSimpleObject), достаточно переписать тип объекта в мап-файле и в самом классе объекта?
 

Просто сейчас для проверки доступа сам прописал метод checkAccess (чтобы не путаться с checkPolicy — так как объект другой) и в процессоре приходится в метод beforeSet добавлять $this->object->checkAccess().
 

Было бы хорошо просто в объекте расширить метод checkPolicy и процессор оставить обычный, просто расширяющий modObjectUpdateProcessor.

А чтобы свой объект сделать объектом modAccessibleSimpleObject (сейчас он xPDOSimpleObject), достаточно переписать тип объекта в мап-файле и в самом классе объекта? Просто сейчас для проверки доступа сам прописал метод checkAccess (чтобы не путаться с checkPolicy — так как объект другой) и в процессоре приходится в метод beforeSet добавлять $this->object->checkAccess(). Было бы хорошо просто в объекте расширить метод checkPolicy и процессор оставить обычный, просто расширяющий modObjectUpdateProcessor.

А чтобы свой объект сделать объектом modAccessible

А чтобы свой объект сделать объектом modAccessibleSimpleObject (сейчас он xPDOSimpleObject), достаточно переписать тип объекта в мап-файле и в самом классе объекта?

Достаточно просто класс расширить modAccessibleSimpleObject, так как мап-файлы не имеют отличия.
 

Но в целом все равно этот механизм очень сложный, то есть не стоит прям сразу на него переключаться. Сделай копию сайта и поиграйся с этим как следует.

А чтобы свой объект сделать объектом modAccessibleSimpleObject (сейчас он xPDOSimpleObject), достаточно переписать тип объекта в мап-файле и в самом классе объекта? Достаточно просто класс расширить modAccessibleSimpleObject, так как мап-файлы не имеют отличия. Но в целом все равно этот механизм очень сложный, то есть не стоит прям сразу на него переключаться. Сделай копию сайта и поиграйся с этим как следует.

$xpdo_meta_map['Calls']= array (
  'package' => 'Rehab',
  'version' => '1.1',
  'table' => 'calls',
  'extends' => 'xPDOSimpleObject', // Вот здесь, разве, не нужно менять?
  'fields' => ...

$xpdo_meta_map['Calls']= array (
  'package' => 'R

Можно, но не обязательно, потому что мап-описание классов modAccessibleSimpleObject и xPDOObject не отличаются. Но вообще лишним не будет. Вдруг на каком-то этапе класс modAccessibleSimpleObject и в мап-файле заимеет изменения.

Можно, но не обязательно, потому что мап-описание 

Спасибо! Очень интересно. Я в своем проекте только-только к этому подбираться начал, эта статья будет хорошим подспорьем)
 

У меня как раз к обращению и к контрагенту по умолчанию имеют доступ пользователи одной организации, но каждый отдельный объект (обращение, контрагент) может передаваться в другую организацию, но с меньшими правами… Или вообще — только какому-то одному пользователю дать доступ (например, для чтения)… И вот тут статья будет очень кстати. Буду на практике разбираться плотнее)))

Спасибо! Очень интересно. Я в своем проекте только-только к этому подбираться начал, эта статья будет хорошим подспорьем) У меня как раз к обращению и к контрагенту по умолчанию имеют доступ пользователи одной организации, но каждый отдельный объект (обращение, контрагент) может передаваться в другую организацию, но с меньшими правами… Или вообще — только какому-то одному пользователю дать доступ (например, для чтения)… И вот тут статья будет очень кстати. Буду на практике разбираться плотнее)))

Спасибо! Очень интересно. Я в своем проекте только

Джейсон ответил в скайп по этому поводу:

your are absolutely correct about the permissions...we need a way to query it rather than depend on checks at hydration time...can you enter a tracker ticket where we can start a discussion on implementation to share publicly?

Будем обсуждать, развивать. Наверняка появятся какие-то новые полезные методы в самом xPDO.

Джейсон ответил в скайп по этому поводу: your are absolutely correct about the permissions...we need a way to query it rather than depend on checks at hydration time...can you enter a tracker ticket where we can start a discussion on implementation to share publicly? Будем обсуждать, развивать. Наверняка появятся какие-то новые полезные методы в самом xPDO.

Джейсон ответил в скайп по этому поводу: your are 

Илья, пока не берись за modAccessibleSimpleObject. 
 Я вот только сейчас победил эту тему, и смог для своего объекта прописать проверку прав. Плюс там огромные заморочки с производительностью (много запросов к БД и т.п., часть инфы в сессию пользователя сохраняется). Я несколько переиначил этот механизм под свои нужды, кеширование прикрутил.
 В общем, пакет когда опубликую, скачаешь, посмотришь, но тема невероятно сложная по объему и количеству сопутствующих багов.
 Но справедливости ради стоит заметить, что оно того стоит…

Илья, пока не берись за modAccessibleSimpleObject.

Честно признаться использовал метод loadClass, но только совместно с методом setPackage, а вот про addExtensionPackage услышал впервые.
 В очередной раз спасибо за новую информацию.

Честно признаться использовал метод loadClass, но 

Пожалуйста.
 Я про это еще здесь писал: community.modx-cms.ru/blog/documentation/9226.html

Пожалуйста.
 Я про это еще здесь писал: community.

Да как только увидел её здесь и всемогущий google помог мне отыскать статью в которой и был он описан, сейчас знакомлюсь)

Да как только увидел её здесь и всемогущий google 

Топик дополнил новым материалом.

Кстати, есть второй способ прописать пакет, чтобы он подключался при инициализации MODx (по идее это тот же способ, только ручками): заходим в настройки системы, раздел «Система и сервер» и находим там параметр «Пакеты расширений» (extension_packages). Если мы до этого хоть раз запускали addExtensionPackage(), то в его значении уже будут все параметры в JSON — их можно исправить, что-нибудь добавить к ним… Если addExtensionPackage() не запускали, то можно там прописать ручками:
 

(конечно, в одну строчку)
 

Для разных нужных методов, которые используются в разных местах я создал отдельный класс Rehab (в папке пакета) и в нем прописываю функционал. Благодаря этому я в любом месте могу написать
 

и массив обработается с нужными проверками, дефолтными значениями. И результат будет каким надо. Если потребуется изменить алгоритм обработки телефонов, я всегда знаю, где искать этот код.
 

А вот пути для процессоров прописывать приходится, конечно… Надо попробовать добавить в extension_packages строчку и для процессоров. Тогда вообще не придется задумываться, что у меня какие-то левые объекты или процессоры — весь код будет стандартным))))

Кстати, есть второй способ прописать пакет, чтобы он подключался при инициализации MODx (по идее это тот же способ, только ручками): заходим в настройки системы, раздел «Система и сервер» и находим там параметр «Пакеты расширений» (extension_packages). Если мы до этого хоть раз запускали addExtensionPackage(), то в его значении уже будут все параметры в JSON — их можно исправить, что-нибудь добавить к ним… Если addExtensionPackage() не запускали, то можно там прописать ручками: [{"Rehab":
  {
   "path":"[[++core_path]]components/rehab/model/",
   "tablePrefix":"modx_rehab_",
   "serviceName":"Rehab",
   "serviceClass":"Rehab"
  }
}] (конечно, в одну строчку) Для разных нужных методов, которые используются в разных местах я создал отдельный класс Rehab (в папке пакета) и в нем прописываю функционал. Благодаря этому я в любом месте могу написать $modx->Rehab->phonesToJSON($phones); и массив обработается с нужными проверками, дефолтными значениями. И результат будет каким надо. Если потребуется изменить алгоритм обработки телефонов, я всегда знаю, где искать этот код. А вот пути для процессоров прописывать приходится, конечно… Надо попробовать добавить в extension_packages строчку и для процессоров. Тогда вообще не придется задумываться, что у меня какие-то левые объекты или процессоры — весь код будет стандартным))))

Кстати, есть второй способ прописать пакет, чтобы 

Привет, Илья! 
 Да, результат addExtensionPackacge() — это как раз запись в эту настройку. Так что и так, и так можно.
 

Надо попробовать добавить в extension_packages строчку и для процессоров. Тогда вообще не придется задумываться, что у меня какие-то левые объекты или процессоры — весь код будет стандартным)))) 

Не получится здесь одной строчкой обойтись. Задача того, что я делал — возможность подгружать любой процессор из любого пакета, при чем с автоформированием пути. Там слишком много тонкостей. Плюс мой метод возвращает реальное имя класса (сам знаешь, в процессорах используется return 'classname';) Все это никак не укладывается в одну строчку. Еще момент — ты вот своим методом подгрузишь мой процессор, а у меня там используется $this->loadClass(), а у тебя $this будет другим объектом. И все, код разваливается. 
 Здесь любое решение будет костылями (и лучше использовать одни костыли). Решить это можно только тогда, когда Джейсон новый релиз выпустит, учитывающий все эти моменты. Мы вчера с ним основательно пообщались на этот счет. Уверен, он и других людей мнение учитывает, так что будет стандартное решение.

Привет, Илья! 
 Да, результат addExtensionPackacge() — это как раз запись в эту настройку. Так что и так, и так можно. Надо попробовать добавить в extension_packages строчку и для процессоров. Тогда вообще не придется задумываться, что у меня какие-то левые объекты или процессоры — весь код будет стандартным)))) Не получится здесь одной строчкой обойтись. Задача того, что я делал — возможность подгружать любой процессор из любого пакета, при чем с автоформированием пути. Там слишком много тонкостей. Плюс мой метод возвращает реальное имя класса (сам знаешь, в процессорах используется return 'classname';) Все это никак не укладывается в одну строчку. Еще момент — ты вот своим методом подгрузишь мой процессор, а у меня там используется $this->loadClass(), а у тебя $this будет другим объектом. И все, код разваливается. 
 Здесь любое решение будет костылями (и лучше использовать одни костыли). Решить это можно только тогда, когда Джейсон новый релиз выпустит, учитывающий все эти моменты. Мы вчера с ним основательно пообщались на этот счет. Уверен, он и других людей мнение учитывает, так что будет стандартное решение.

Привет, Илья! 
 Да, результат addExtensionPackacge

Если такая возможность появится штатно, будет очень здорово! Как всегда, Спасибо тебе за статью!

Если такая возможность появится штатно, будет очен

Пожалуйста:-)

Ох блин, как всё сложно!
 Уже 4 раза полностью переписывал огромный комментарий с возникшими вопросами, но теперь вот окончательная версия)
 

Во-первых, спасибо огромное за материал! Очень ценно!
 

Ну и, собссна, во-вторых.
 Какие у меня вопросы.
 

Возьмём класс modResource.
 Есть шаблоны политик доступа:
 1. ResourceTemplate с разрешениями:
 

add_children
 copy
 create
 delete
 list
 load
 move
 publish
 remove
 save
 steal_lock
 undelete
 unpublish
 view

2. И есть AdministratorTemplate с кучей разрешений, из которых нам интересны:
 

delete_document
 edit_document
 new_document
 new_document_in_root
 new_static_resource
 publish_document
 resource_duplicate
 resource_quick_create
 resource_quick_update
 resource_tree
 save_document
 tree_show_resource_ids
 undelete_document
 unpublish_document
 view_document

В этих списках есть как уникальные, так и политики-«синонимы»:
 

delete		== delete_document create		== new_document publish		== publish_document copy		== resource_duplicate save		== save_document undelete	== undelete_document unpublish	== unpublish_document view		== view_document

(при чём везде '_document', но 'resource_duplicate', очередная странность). И это при условии, что в шаблоне AdministratorTemplate так же есть простые load, list, view, create, delete, copy и т.д.
 

Я, конечно, понимаю, что политики из первого списка можно проверить только через modResource::checkPolicy(), а из второго списка через $modx->hasPermission(), но лично для меня ясности это нифига не вносит.
 1. В чём между ними в итоге разница-то?
 2. Какие политики надо назначать пользователям, для нужных разрешений? Первые? Вторые? И те и другие?
 Здесь у меня ступор :-)
 

Примеры.
 У modResource, как наследника modSimpleAccessibleObject, вшиты проверки на load, save и remove в соответствующие методы (например). Здесь проверяется локальная политика.
 Предположим, что нам надо создать документ. И по сути, логично найти проверку на create где-нибудь в modSimpleAccessibleObject::newObject().
 Так ведь нифига! Проверки на create ресурсов я вообще не нашёл! (может плохо искал?). Зато в процессоре на создание ресурса проверяется глобальная new_document через $modx->hasPermission().
 Как такое понять??
 

Дальше, предположим, что нам надо опубликовать документ. Процессор modResourcePublishProcessor наследуется от modProcessor (кстати, почему бы ему сразу не отнаследоваться от modObjectProcessor, в котором уже прописан метод для проверки для глобальных прав?).
 Как видно из метода modProcessor::run(), в нём сначала проверяются глобальные права (вызывается modResourcePublishProcessor::checkPermissions(), который возвращает $modx->hasPermission('publish_document')), а затем вызывается метод modResourcePublishProcessor::initialize(), который проверяет локальные права save и publish! Масло масляное? Мало того, ещё и при сохрании ресурса ещё раз проверится локальная политика save! Нафига? Нафига делать одно и тоже 2 раза?
 Т.е. получается, что мало дать юзеру (ну группе этих юзеров) право publish_document из шаблона политик AdministratorTemplate, надо ещё и обязательно дать ему права save и publish из шаблона ResourceTemplate??
 Вот об этом я ни разу не подозревал, сколько раз права настраивал. Видать не правильно настраивал?
 Зачем вообще разделять тогда на глобальные и локальные?
 

И так во многих процессорах — проверяются глобальные разрешения, потом те же, но локальные. Почему тогда не сделать все проверки глобальными и через процессоры?
 Вот всего этого я не понимаю :-(
 

Изучая процессор resource/duplicate, я начал смутно представлять зачем нужны локальные политики — там внутри методов процессора есть проверки разрешения на добавление к родительскому ресурсу дочерних документов, т.е. как-то так:
 

if ($parentResource->checkPolicy()){
// ...
}

Да, здесь это, безусловно, оправдано. Но, исходя из вышеизложенного, картинка у меня всё-равно как-то не складывается.
 

Николай, помоги советом! А то я уже близок к тому, чтоб плюнуть на всё это и загулять))

Ох блин, как всё сложно!
 Уже 4 раза полностью переписывал огромный комментарий с возникшими вопросами, но теперь вот окончательная версия) Во-первых, спасибо огромное за материал! Очень ценно! Ну и, собссна, во-вторых.
 Какие у меня вопросы. Возьмём класс modResource.
 Есть шаблоны политик доступа:
 1. ResourceTemplate с разрешениями: add_children
 copy
 create
 delete
 list
 load
 move
 publish
 remove
 save
 steal_lock
 undelete
 unpublish
 view 2. И есть AdministratorTemplate с кучей разрешений, из которых нам интересны: delete_document
 edit_document
 new_document
 new_document_in_root
 new_static_resource
 publish_document
 resource_duplicate
 resource_quick_create
 resource_quick_update
 resource_tree
 save_document
 tree_show_resource_ids
 undelete_document
 unpublish_document
 view_document В этих списках есть как уникальные, так и политики-«синонимы»: delete		== delete_document create		== new_document publish		== publish_document copy		== resource_duplicate save		== save_document undelete	== undelete_document unpublish	== unpublish_document view		== view_document (при чём везде '_document', но 'resource_duplicate', очередная странность). И это при условии, что в шаблоне AdministratorTemplate так же есть простые load, list, view, create, delete, copy и т.д. Я, конечно, понимаю, что политики из первого списка можно проверить только через modResource::checkPolicy(), а из второго списка через $modx->hasPermission(), но лично для меня ясности это нифига не вносит.
 1. В чём между ними в итоге разница-то?
 2. Какие политики надо назначать пользователям, для нужных разрешений? Первые? Вторые? И те и другие?
 Здесь у меня ступор :-) Примеры.
 У modResource, как наследника modSimpleAccessibleObject, вшиты проверки на load, save и remove в соответствующие методы (например). Здесь проверяется локальная политика.
 Предположим, что нам надо создать документ. И по сути, логично найти проверку на create где-нибудь в modSimpleAccessibleObject::newObject().
 Так ведь нифига! Проверки на create ресурсов я вообще не нашёл! (может плохо искал?). Зато в процессоре на создание ресурса проверяется глобальная new_document через $modx->hasPermission().
 Как такое понять?? Дальше, предположим, что нам надо опубликовать документ. Процессор modResourcePublishProcessor наследуется от modProcessor (кстати, почему бы ему сразу не отнаследоваться от modObjectProcessor, в котором уже прописан метод для проверки для глобальных прав?).
 Как видно из метода modProcessor::run(), в нём сначала проверяются глобальные права (вызывается modResourcePublishProcessor::checkPermissions(), который возвращает $modx->hasPermission('publish_document')), а затем вызывается метод modResourcePublishProcessor::initialize(), который проверяет локальные права save и publish! Масло масляное? Мало того, ещё и при сохрании ресурса ещё раз проверится локальная политика save! Нафига? Нафига делать одно и тоже 2 раза?
 Т.е. получается, что мало дать юзеру (ну группе этих юзеров) право publish_document из шаблона политик AdministratorTemplate, надо ещё и обязательно дать ему права save и publish из шаблона ResourceTemplate??
 Вот об этом я ни разу не подозревал, сколько раз права настраивал. Видать не правильно настраивал?
 Зачем вообще разделять тогда на глобальные и локальные? И так во многих процессорах — проверяются глобальные разрешения, потом те же, но локальные. Почему тогда не сделать все проверки глобальными и через процессоры?
 Вот всего этого я не понимаю :-( Изучая процессор resource/duplicate, я начал смутно представлять зачем нужны локальные политики — там внутри методов процессора есть проверки разрешения на добавление к родительскому ресурсу дочерних документов, т.е. как-то так: if ($parentResource->checkPolicy()){
// ...
} Да, здесь это, безусловно, оправдано. Но, исходя из вышеизложенного, картинка у меня всё-равно как-то не складывается. Николай, помоги советом! А то я уже близок к тому, чтоб плюнуть на всё это и загулять))

Ох блин, как всё сложно!
 Уже 4 раза полностью пер

Просто у меня ситуация такая — есть свои классы и задумал я тут прикрутить к ним процессоры. Проблема не в создании процессоров, а в организации прав.
 Чего я хочу.
 Я хочу, чтобы юзеры с фронта могли просматривать/создавать/редактировать/удалять/getlist своих/чужих этих самых объектов. И чтобы все разрешения можно было гибко настроить из админки.
 Какие есть варианты?
 а) Создать свои глобальные политики доступа с именами вроде:
 'load_my_super_object', 'list_my_super_object', 'view_my_super_object', 'create_my_super_object', 'delete_my_super_object' и т.п.
 Т.е. какие процессоры нужны, такие политики и насоздавать. И в каждом из этих процессоров проверять нужную в методе mod<какой-то там>Processor::checkPermission().
 

б) Отнаследоваться от modAccessibleSimpleObject, чтобы из коробки получить стандартные проверки на delete, save, load.
 Но здесь я нифига не понял — что именно нужно писать в findPolicy() и checkPolicy()?..
 Всё остальное делать в процессорах.
 Ну и всё так же создать шаблон с вышеописанными политиками.
 

А ведь ещё как-то надо организовать, чтобы политиками можно было регулировать возможность просмотра/редактирования/удаления/etc. чужих объектов, т.е. созданными другими юзерами. Как такое провернуть?
 Надо так же создать несколько политик, вроде такого:
 'load_another_my_super_object', 'list_another_my_super_object', 'view_another_my_super_object', 'delete_another_my_super_object'
 И в каждом процессоре на каждый чих делать проверки — нужной «another» политики и является ли юзер «владельцем» этого объекта? Или есть пути попроще?
 

Решил начать с создания шаблона политик. И вот здесь я снова в тупике.
 

Дело в том, что, при создании своего шаблона политик, modx мне предлагает в принудительном порядке выбрать на основании какого шаблона политик доступа делать новый. (нда, «политики»-«шаблоны», «политики»-«шаблоны»..))
 ?
 Какой бы шаблон не был выбран в качестве основы, при создании новой политики — всё-равно в подсказках будет отображаться весь список всех возможных политик из всех возможных шаблонов.
 ?
 Зачем тогда давать выбирать основу? Что вообще это даёт? Я понимаю, если бы политики из этого шаблона-основы были бы доступны в созданном шаблоне, так ведь нет же! Создаётся пустой список.
 

И какой всё-таки надо выбирать? Есть несколько кандидатов:
 

ElementTemplate:
 add_children, copy, create, delete, list, load, remove, save, view

ObjectTemplate:
 list, load, remove, save, view

ResourceTemplate:
 add_children, copy, create, delete, list, load, move, publish, remove, save, steal_lock, undelete, unpublish, view

и AdministratorTemplate со всем его зоопарком политик.
 

Вот столько у меня вопросов…
 Извини за назойливость, но я реально здесь нифига не понимаю :-(

И ещё пара моментов. Просто у меня ситуация такая — есть свои классы и задумал я тут прикрутить к ним процессоры. Проблема не в создании процессоров, а в организации прав.
 Чего я хочу.
 Я хочу, чтобы юзеры с фронта могли просматривать/создавать/редактировать/удалять/getlist своих/чужих этих самых объектов. И чтобы все разрешения можно было гибко настроить из админки.
 Какие есть варианты?
 а) Создать свои глобальные политики доступа с именами вроде:
 'load_my_super_object', 'list_my_super_object', 'view_my_super_object', 'create_my_super_object', 'delete_my_super_object' и т.п.
 Т.е. какие процессоры нужны, такие политики и насоздавать. И в каждом из этих процессоров проверять нужную в методе mod<какой-то там>Processor::checkPermission(). б) Отнаследоваться от modAccessibleSimpleObject, чтобы из коробки получить стандартные проверки на delete, save, load.
 Но здесь я нифига не понял — что именно нужно писать в findPolicy() и checkPolicy()?..
 Всё остальное делать в процессорах.
 Ну и всё так же создать шаблон с вышеописанными политиками. А ведь ещё как-то надо организовать, чтобы политиками можно было регулировать возможность просмотра/редактирования/удаления/etc. чужих объектов, т.е. созданными другими юзерами. Как такое провернуть?
 Надо так же создать несколько политик, вроде такого:
 'load_another_my_super_object', 'list_another_my_super_object', 'view_another_my_super_object', 'delete_another_my_super_object'
 И в каждом процессоре на каждый чих делать проверки — нужной «another» политики и является ли юзер «владельцем» этого объекта? Или есть пути попроще? Решил начать с создания шаблона политик. И вот здесь я снова в тупике. Дело в том, что, при создании своего шаблона политик, modx мне предлагает в принудительном порядке выбрать на основании какого шаблона политик доступа делать новый. (нда, «политики»-«шаблоны», «политики»-«шаблоны»..))
 ?
 Какой бы шаблон не был выбран в качестве основы, при создании новой политики — всё-равно в подсказках будет отображаться весь список всех возможных политик из всех возможных шаблонов.
 ?
 Зачем тогда давать выбирать основу? Что вообще это даёт? Я понимаю, если бы политики из этого шаблона-основы были бы доступны в созданном шаблоне, так ведь нет же! Создаётся пустой список. И какой всё-таки надо выбирать? Есть несколько кандидатов: ElementTemplate:
 add_children, copy, create, delete, list, load, remove, save, view ObjectTemplate:
 list, load, remove, save, view ResourceTemplate:
 add_children, copy, create, delete, list, load, move, publish, remove, save, steal_lock, undelete, unpublish, view и AdministratorTemplate со всем его зоопарком политик. Вот столько у меня вопросов…
 Извини за назойливость, но я реально здесь нифига не понимаю :-(

И ещё пара моментов. Просто у меня ситуация такая 

В коде ошибку допустил, когда редактировал. Надо вот так:
 

if ($parentResource->checkPolicy('add_children')){
	// ...
}

В коде ошибку допустил, когда редактировал. Надо вот так: if ($parentResource->checkPolicy('add_children')){
	// ...
}

В коде ошибку допустил, когда редактировал. Надо в

Привет!
 Коммент реально зачетный! Сразу видно, что не 5 минут потратил на изучение этого вопроса. Но наверно правильней было сразу в отдельный топик оформить. Ну да ладно, пусть здесь будет.
 Итак, по сабжу: так много писать не буду, а выделю основное. Ты много раз говоришь про локальные и глобальные политики, но никак не можешь уловить разницу между ними. А между тем, суть как раз и кроется в том, что означают эти названия. Глобальные — они и в Африке глобальные. И локальные там же. Вот у тебя есть глобальное право сохранять документы. ОК, априори ты можешь взять, и сохранить документ. НО, документ может находиться в той группе документов, на которую у тебя нет прав на сохранение. То есть, в принципе ты можешь сохранять их, но конкретный документ, находящийся в конкретной группе, ты сохранить не можешь — нет прав на это. То же самое и с публикацией и т.п. Это все равно, как есть у тебя глобальное право Копать. В принципе ты можешь пойти и где-то начать копать. Но придешь в городской парк, и скорее всего тебя быстро скрутят, так как конкретно в этом парке ты копать не имеешь права. Надеюсь ответил на твой вопрос.
 

По поводу расширения не тех процессоров, лишних проверок и т.п.: безусловно, где-то не все оптимально. Но по большей степени там все оправдано.
 

И еще вот такой момент по поводу проверок прав до и после сохранения. Как я и писал выше, проверки прав на документы (ресурсы), основаны на участии документов в группах ресурсов. А так как документ, пока не сохранен, по сути не может и в группе находиться, то прав локальных как бы и не имеется. И получается, что после сохранения и возможного попадения документа в какую-либо группу ресурсов, могут измениться локальные политики конкретно на этот документ.

Привет!
 Коммент реально зачетный! Сразу видно, что не 5 минут потратил на изучение этого вопроса. Но наверно правильней было сразу в отдельный топик оформить. Ну да ладно, пусть здесь будет.
 Итак, по сабжу: так много писать не буду, а выделю основное. Ты много раз говоришь про локальные и глобальные политики, но никак не можешь уловить разницу между ними. А между тем, суть как раз и кроется в том, что означают эти названия. Глобальные — они и в Африке глобальные. И локальные там же. Вот у тебя есть глобальное право сохранять документы. ОК, априори ты можешь взять, и сохранить документ. НО, документ может находиться в той группе документов, на которую у тебя нет прав на сохранение. То есть, в принципе ты можешь сохранять их, но конкретный документ, находящийся в конкретной группе, ты сохранить не можешь — нет прав на это. То же самое и с публикацией и т.п. Это все равно, как есть у тебя глобальное право Копать. В принципе ты можешь пойти и где-то начать копать. Но придешь в городской парк, и скорее всего тебя быстро скрутят, так как конкретно в этом парке ты копать не имеешь права. Надеюсь ответил на твой вопрос. По поводу расширения не тех процессоров, лишних проверок и т.п.: безусловно, где-то не все оптимально. Но по большей степени там все оправдано. И еще вот такой момент по поводу проверок прав до и после сохранения. Как я и писал выше, проверки прав на документы (ресурсы), основаны на участии документов в группах ресурсов. А так как документ, пока не сохранен, по сути не может и в группе находиться, то прав локальных как бы и не имеется. И получается, что после сохранения и возможного попадения документа в какую-либо группу ресурсов, могут измениться локальные политики конкретно на этот документ.

Привет!
 Коммент реально зачетный! Сразу видно, чт

По поводу проверки прав и наиболее удобного способа: вот это очень и очень сложный момент. Можно даже почитать статью, которая была почти сразу написана после этой статьи, чтобы оценить это примерно. Так вот, в метод checkPolicy лучше не лезть вообще. Нет, в упрощенном варианте конечно можно по какому-либо условию сделать свою проверку, и либо сразу вернуть четкий результат, либо отдать дальше на выполнение родителю через return parent::checkPolicy(), но лучше все-таки этого не делать. Если у тебя все это дело будет использоваться во фронте, то лучше все это делать именно на процессорах, так как тебе довольно не сложно будет расширить базовые процессоры и просто в своих выполнить проверку на уровне нативных методов. Это получится дешево и сердито.
 

Я хочу, чтобы юзеры с фронта могли просматривать/создавать/редактировать/удалять/getlist своих/чужих

Вот это тоже очень интересный момент. Я не раз говорил (и Джейсону тоже), что у нас с политиками есть очень большой промах. У нас в принципе нет такого понятия сейчас как владелец. В моем понимании все создаваемые объекты должны иметь флаг владельца, чтобы можно было выставить исключительные права. Второй момент (тоже очень досадный), что все рассчитано на групповые политики. То есть, права выдаются на группы пользователей, но не выдаются на конкретного пользователя. В итоге получается, что чтобы дать индивидуальные права одному пользователю, надо создать для него группу и отнести его к этой группе. В итоге 1000 пользователей — 1000 групп. Вообще не кульно получается. В своем ModZilla я расширил этот механизм и добавил механизм индивидуальных прав для пользователей, но во-первых, там все равно все не идеально, во-вторых, это вряд ли будет включено в официальное ядро в обозримом будущем, а в третьих, это вообще становится все сложно :-)

По поводу проверки прав и наиболее удобного способа: вот это очень и очень сложный момент. Можно даже почитать статью, которая была почти сразу написана после этой статьи, чтобы оценить это примерно. Так вот, в метод checkPolicy лучше не лезть вообще. Нет, в упрощенном варианте конечно можно по какому-либо условию сделать свою проверку, и либо сразу вернуть четкий результат, либо отдать дальше на выполнение родителю через return parent::checkPolicy(), но лучше все-таки этого не делать. Если у тебя все это дело будет использоваться во фронте, то лучше все это делать именно на процессорах, так как тебе довольно не сложно будет расширить базовые процессоры и просто в своих выполнить проверку на уровне нативных методов. Это получится дешево и сердито. Я хочу, чтобы юзеры с фронта могли просматривать/создавать/редактировать/удалять/getlist своих/чужих Вот это тоже очень интересный момент. Я не раз говорил (и Джейсону тоже), что у нас с политиками есть очень большой промах. У нас в принципе нет такого понятия сейчас как владелец. В моем понимании все создаваемые объекты должны иметь флаг владельца, чтобы можно было выставить исключительные права. Второй момент (тоже очень досадный), что все рассчитано на групповые политики. То есть, права выдаются на группы пользователей, но не выдаются на конкретного пользователя. В итоге получается, что чтобы дать индивидуальные права одному пользователю, надо создать для него группу и отнести его к этой группе. В итоге 1000 пользователей — 1000 групп. Вообще не кульно получается. В своем ModZilla я расширил этот механизм и добавил механизм индивидуальных прав для пользователей, но во-первых, там все равно все не идеально, во-вторых, это вряд ли будет включено в официальное ядро в обозримом будущем, а в третьих, это вообще становится все сложно :-)

По поводу проверки прав и наиболее удобного способ

По поводу шаблонов и общего списка: шаблоны созданы не для того, чтобы сделать исключительно индивидуальные списки, а чтобы разделить единый список. Ведь в конкретной политике на основе конкретного шаблона имеется ограниченное количество вариантов. Согласись, гораздо удобней видеть, что в этой политике назначено 7 из 15-ти, чем просто 7 из вообще всего набора прав. Это если ты пользователям всего одну роль создаешь, это может особо и не понятно, но когда у тебя на сайте штук 30 политик, тогда ты это все оценишь.

По поводу шаблонов и общего списка: шаблоны создан

Сразу видно, что не 5 минут потратил на изучение этого вопроса.

Даа, не один час ушёл)) И даже не три)
 

еще вот такой момент по поводу проверок прав до и после сохранения. Как я и писал выше...

А, блин! Вот теперь дошло, почему я ни где локальной проверки на create не нашёл.

Сразу видно, что не 5 минут потратил на изучение этого вопроса. Даа, не один час ушёл)) И даже не три) еще вот такой момент по поводу проверок прав до и после сохранения. Как я и писал выше... А, блин! Вот теперь дошло, почему я ни где локальной проверки на create не нашёл.

Сразу видно, что не 5 минут потратил на изучение э

Блин, а можно в скайп голосом вопрос задать? А то, если я сейчас свой вопрос печатать буду, то ещё 2 часа уйдёт(

Блин, а можно в скайп голосом вопрос задать? А то,

У меня не много, просто печатать это сложно и долго.

У меня не много, просто печатать это сложно и долг

А аналогия с копанием порвала! Спасибо, стало понятнее))

А аналогия с копанием порвала! Спасибо, стало поня

Пожалуйста :-)

В скайпе у меня такса 1000 рублей/час. Сорри, но со временем у меня напряг. Здесь, в паблике, вы платите уникальным контентом. А в привате для меня все в минус.

В скайпе у меня такса 1000 рублей/час. Сорри, но с

Я, кстати, полностью разобрался в вопросе. Прям вот полностью)
 

Сорри, но со временем у меня напряг

Нельзя ж постоянно работать!))

Я, кстати, полностью разобрался в вопросе. Прям вот полностью) Сорри, но со временем у меня напряг Нельзя ж постоянно работать!))

Я, кстати, полностью разобрался в вопросе. Прям во

Нельзя. Но когда я не работаю, я лучше просто погулять пойду. А консультации — это тоже работа, и бесплатно ее делать не улыбается.

Нельзя. Но когда я не работаю, я лучше просто погу

Не, ничего не подумай, я с этим согласен полностью!
 Сам так же поступаю)

Не, ничего не подумай, я с этим согласен полностью

Apache

cache.xPDOAPCCache

checkPolicy

findPolicy

loadClass

modAccessibleObject

modAccessibleSimpleObject

modx

modx revolution

modx-клуб

modxclub

nginx

orCondition

where

xPDO

xPDOObject

xPDOSimpleObject

__clone

авторизация

авторизация по емейлу

доменные имена

домены

клонирование объектов

права

процессоры

скопировать объект

# Николай Ланец aka Fi1osof
**Lead Fullstack Developer / Ментор / Евангелист современного JS‑стека**

---

## О себе

Я — не просто Senior Developer с 2007 года. Я — тот, кто строит продукты будущего на базе современных технологий и помогает другим подниматься на новую ступень айти-карьеры. Создатель и идейный вдохновитель freecode.academy — платформы, где обучение перестает быть скучной обязаловкой и становится настоящим технологическим приключением.

---

## Мой стек и философия разработки

Основу моего рабочего арсенала составляют:

- [Javascript](/technologies/ck1faudv928l40a89c4u9zxlm), [TypeScript](/technologies/ckcvwwx010kov08009u7y2rav)
- [React](/technologies/ck1fawbdw28v20a891k4wlh27), [Next.js](/technologies/ckg2jd4ffr9260730aog66dri)
- [Node.js](/technologies/ckt55wm59272831wo9gg9r8ynx), [GraphQL](/technologies/ck1fawhqk28vu0a8995lqvlsj), [Apollo Client](/technologies/ck2zdcg0vpvc10a89xjmhj1e0), [Nexus](/technologies/ckl2pbh0fxew60730ifl3zozp), [Prisma](/technologies/ck2zdbmi7pv8r0a89ntc2r0f1)
- DevOps: [Docker](/technologies/ck2y1x9lho9cy0a8953xzfjr8), [docker-compose](/technologies/ck2y1xqino9g80a89tsftxin2), [Caddy](/technologies/ck2zd8ovqpuyl0a8909748sbu), [Ubuntu](/technologies/cktu8giks3593911vmle30ztqxt)
- UI-инструменты: [Styled-Components](/technologies/ckk8myysio7lw0730csszvrdw), [Material-UI](/technologies/ckljv3jwd7bgf0730huxlko9n), [react-hook-form](/technologies/ckmx8cn9fmwrv073032e67722)
- Всё актуальное для разработки, CI/CD и автоматизации 
- Эксперименты с [WebGL](/technologies/ckan9anntc12f08003saqttrq), [A‑Frame](/technologies/ck2tgoiz8j37y0a89c7gxsrxc), [Three.js](/technologies/ck2tgns1nj32z0a89vmw7xw3f), [Unreal Engine 4](/technologies/ck7puswy6g4yb07004cdp6lbr), [Elixir](/technologies/ckn0olavrnnzi0730xs8rctn8), [C++](/technologies/cknin1y8lu2fr07307mskn2fn)

---

## Разработка и менторство

- Более 15 лет **hands-on** разработки и проджект‑менеджмента
- Главный разработчик и преподаватель платформы [freecode.academy](https://freecode.academy)
- **Ведущий менти-пул на платформе** — лично выращиваю новых звезд отрасли

### Мои менти и их результаты

| Менти (ФИО \| username)                               | Уровень | Рейтинг |
|-------------------------------------------------------|---------|---------|
| [Попов Дмитрий \| linklib](/users/cjoe890c706ji0d962oismzoe)           | 3       | 315     |
| [Сэт \| defk1lla](/users/ckzh1ita312978121imr9hpqfc64)                 | 3       | 670     |
| [Ксения Матвеева \| Ксения Матвеева](/users/ckz4awwlh10627771imr4wvpb7cj) | 2       | 0       |
| [Михаил \| Balamut](/users/cl1npq92z10258261vmbq0w6vfh2)               | 2       | 0       |
| [Ольга Ершова \| angel](/users/cjoe87zhk00250d969arluevk)              | 1       | 0       |
| [Егор \| rogedkone](/users/cksrdp47d3308261ijuq7wfrxdl)                | 3       | 0       |
| [Roman \| Roman43](/users/ckur2qtt64721431xoboyjcte52)                 | 2       | 0       |
| [Бут Игорь \| santiment](/users/ckttd9x20893951vmltb8t7sha)            | 1       | 0       |

**Доношу простую мысль: успех — это не магия, это осознанная системная работа и кайф от роста.**
Мои менти выводят решения в продакшн, пробиваются в лидеры рейтингов — кому не хочется быть в такой команде?

---

## Почему я?

- **Прокачаю проект** — от TDD архитектуры до культурного CI/CD
- **Вдохновлю команду** — и научу мыслить по‑новому, где ИИ — напарник, а не угроза
- **Выращу мидлов и сеньоров** — доказано платформой и рейтингами моих учеников

**Сила — в сообществе, а техника — это просто смазка для ваших побед. Присоединяйтесь!**

---

## Контакты

- 📧 [n.lanets@freecode.academy](mailto:n.lanets@freecode.academy)
- Телеграм: [@freecode_academy](https://t.me/freecode_academy)

---

**P.S.**: Мой опыт — ваш драйвер роста. Хотите в команду? Ищете менторство? Пишите. Растём вместе!