Откройте сайт под учётной записью обычного сотрудника и попробуйте попасть в настройки двумя путями: через меню и по прямому адресу страницы. После правок ИИ-агента кнопка «Настройки» может исчезнуть, хотя сама страница останется доступной. Чтобы проверить права доступа перед публикацией, понадобятся отдельные учётные записи администратора и сотрудника, список разрешённых действий для каждой роли и тестовая версия сайта. Ниже — порядок проверки, который поможет заметить ошибку до того, как правки увидят сотрудники.
Что подготовить перед проверкой прав?
Сначала запишите, что сотруднику разрешено делать на сайте. Например, менеджер может просматривать заказы и менять их статус, а настройки сайта доступны только администратору. Без такого списка трудно отличить ошибку от задуманного поведения: сотрудник открыл страницу заказа — это нормально или уже лишний доступ?
Возьмите две отдельные тестовые учётные записи. Не проверяйте роли, последовательно выходя из своего рабочего аккаунта администратора и входя в него же: так легко перепутать сохранённую сессию с правами сотрудника. Откройте роли в разных приватных окнах браузера и подпишите их для себя. Проверку действий, которые меняют настройки или удаляют записи, проводите на тестовой версии сайта с тестовыми данными.
| Действие | Администратор | Обычный сотрудник |
|---|---|---|
| Открыть список заказов | Доступен | Доступен, если нужен для работы |
| Открыть настройки сайта | Доступен | Закрыт |
| Изменить права других сотрудников | Доступен, если входит в обязанности | Закрыт |
| Открыть служебную страницу по прямому адресу | Доступен при наличии нужных прав | Закрыт |
Подставьте в таблицу реальные задачи своей команды. Если сотруднику нужен доступ к части настроек, выделите конкретные действия вместо общего разрешения «можно в админку». Так проверка покажет, где проходит граница его роли.
Как проверить доступ через меню и прямой адрес?
Начните с обычного пути сотрудника. Войдите под его тестовой учётной записью, откройте меню и пройдите по разделам, которыми он пользуется. Запишите, какие кнопки ведут к настройкам, управлению сотрудниками или другим закрытым страницам. Если такая кнопка появилась после правок, сохраните название страницы и сделайте снимок экрана для разработчика.
Затем откройте нужную страницу под администратором и скопируйте её адрес из браузера. Перейдите по этому адресу в окне сотрудника. Сайт должен отказать в доступе к закрытому разделу и не показывать его содержимое. Исчезнувшая кнопка сама по себе ничего не доказывает: человек может открыть сохранённую закладку или получить адрес от коллеги.
Проверьте и действие внутри страницы. Если сотрудник видит форму редактирования, попробуйте сохранить безвредное изменение на тестовом сайте. Возможна ситуация, когда экран открывается, но сохранение запрещено; бывает и обратная — кнопка скрыта, а запрос на сохранение проходит. Разработчику полезно получить точное описание: под какой ролью вы вошли, какой адрес открыли, что нажали и что изменилось.
Повторите ключевой маршрут на телефоне, если сотрудники работают с сайта в мобильном браузере. Там меню выглядит иначе, и после правок ИИ-агента можно пропустить отдельную кнопку или ссылку. Для остальной части интерфейса пригодится проверка мобильной версии сайта после правок ИИ-агента.
Что делать, если сотрудник открыл настройки?
Остановите публикацию правок, если проверяете тестовую версию. Если ошибка уже на рабочем сайте, ограничьте доступ к затронутому действию через предусмотренные настройки или попросите разработчика вернуть предыдущую рабочую версию. Не проверяйте последствия на настоящих заказах и не меняйте права действующих сотрудников ради эксперимента.
Передайте разработчику короткий воспроизводимый сценарий: «войти как сотрудник → открыть адрес страницы настроек → нажать кнопку сохранения → увидеть результат». Укажите, должна ли роль видеть страницу и выполнять действие. Это помогает проверить причину в коде: право доступа нужно проверять при открытии страницы и при выполнении действия, а не только при показе пункта меню.
После исправления повторите тот же сценарий под обеими ролями. Сотрудник должен получить отказ, администратор — сохранить нужный доступ. Затем проверьте соседний рабочий раздел сотрудника: исправление не должно закрыть ему заказы, с которыми он работает. Если поручаете эту проверку специалисту, передайте ему таблицу ролей и тестовые учётные записи, а не пароли от личных аккаунтов.
Какие ошибки чаще всего мешают заметить лишний доступ?
- Проверяют только видимость кнопки. Исправление: открыть закрытую страницу по её адресу под учётной записью сотрудника.
- Тестируют обе роли в одном окне браузера. Исправление: использовать отдельные приватные окна и заново войти под каждой ролью.
- Считают появившееся сообщение об ошибке достаточным результатом. Исправление: убедиться, что закрытые данные не появились на странице и действие не выполнилось.
- Проверяют сохранение на рабочем сайте. Исправление: использовать тестовую версию и тестовые записи.
- После исправления смотрят только на сотрудника. Исправление: повторить проверку под администратором и открыть рабочий раздел сотрудника.
Откройте сейчас список ролей сайта и запишите одну страницу, которая должна быть закрыта для обычного сотрудника. Её адрес станет первым пунктом проверки после следующей правки ИИ-агента.
