Учёт прав и уровней доступа
при AJAX-запросах в Joomla 6
Разберём по шагам, как модуль Reemake AJAX Content соблюдает права доступа Joomla на всех этапах. Если материал скрыт — он не должен попасть в AJAX-ответ. Классика безопасности — 🚫/✅.
Классика: проблема и решение
Что игнорируют другие модули
Отдают всё подряд
AJAX-запрос возвращает все материалы, включая скрытые для текущего пользователя. Потенциальная утечка контента.
Проверяют ACL на каждой итерации
Reemake AJAX Content фильтрует материалы по уровням доступа на каждом AJAX-запросе.
Игнорируют статус публикации
Скрытые, архивные и запланированные материалы попадают в ленту. Выглядит как баг.
Фильтр по published=1
Только опубликованные материалы. Скрытые и архивные — не попадают в AJAX-ответ.
Кешируют без учёта user_id
Кеш от одного пользователя отдаётся другому. Видны чужие материалы.
Кеш-ключ с user_id
Кеш привязан к конкретному пользователю. Никаких утечек между сессиями.
Что проверяет модуль
Полный список проверок
Уровни доступа
Public, Registered, Special, Super Users — всё учитывается.
Текущий пользователь
Модуль проверяет права гостя или авторизованного через Factory::getUser().
Статус публикации
Скрытые и снятые материалы не попадут в ленту.
Даты публикации
Запланированные на будущее материалы не показываются.
Права категорий
Если категория закрыта — материалы из неё не отдаются.
Роль пользователя
Разные роли видят разные материалы — как в обычном каталоге.
Кейс · ПрофиСервис
Корпоративный сайт: закрытая документация для партнёров
Задача: «ПрофиСервис» — корпоративный сайт на Joomla 6. Есть раздел «Партнёрам» с закрытой документацией. Доступ — только для авторизованных партнёров. Раньше AJAX-подгрузка отдавала эти материалы всем подряд — утечка контента.
Что сделали: установили Reemake AJAX Content. Настроили проверку ACL на каждом AJAX-запросе — не только при первой отрисовке. Настроили кеш с ключом user_id — разные пользователи видят только своё. Настроили фильтр по access-уровням.
Результат: утечек нет. Гости видят только публичные материалы. Партнёры — только свои. За 6 месяцев — ни одной жалобы. Клиент закрыл риск утечки данных.
Вопросы и ответы
Про процесс и гарантии
Как проходит настройка ACL?
Присылаете доступ к админке. Смотрим текущие права, категории, уровни доступа. Настраиваем модуль под вашу структуру. Тестируем под разными пользователями. Всё удалённо, обычно 1–2 дня.
Что если пользователь теряет доступ в процессе?
Модуль проверяет права при каждом AJAX-запросе — не только при первой отрисовке. Если пользователь потерял доступ — следующая подгрузка вернёт пустой результат.
Как проверить, что права соблюдаются?
Авторизуйтесь под разными пользователями и посмотрите, что попадает в ленту. Мы проводим такой тест при настройке. Можете повторить сами в любое время.
Даёте ли гарантию?
Да, 2 месяца гарантии на код. Прозрачная смета без скрытых доплат. Фиксируем состав работ и сроки в договоре.
Закажите аудит прав доступа
Проверим, как сейчас отдаются материалы через AJAX. Найдём потенциальные утечки. Предложим схему настройки. Бесплатный аудит — без обязательств.
Закажите аудит →
Messenger Max