Роли и доступ
Гранулярные права по модулям: склад, наряды, бухгалтерия, настройки. Кладовщик не видит финансы, бухгалтер не правит остатки.
Безопасность для операционного бизнеса
Спроектирован для многопользовательской эксплуатации: права доступа, аудит и прозрачность — не дополнение, а фундамент архитектуры.
RBAC
Права по модулям и ролям
100%
Изоляция данных компаний
Realtime
Журнал активности
Server
Проверки в API-маршрутах
Фундамент, не дополнение
Права, аудит и изоляция данных встроены в архитектуру с первого дня эксплуатации.
Журнал активности
Каждое значимое изменение фиксируется с указанием сотрудника, роли и времени. Руководитель видит картину в Mission Control без выгрузок.
Изоляция компаний
Multi-tenant архитектура: данные каждой организации изолированы на уровне Firestore Security Rules и server-side проверок.
Аудит операций
След остатков, проводок, прав доступа и документов: прозрачная цепочка «кто · что · когда», без «спроси у Пети».
Защита на каждом слое
От входа пользователя до генерации PDF: контроль доступа на каждом этапе.
Аутентификация
Firebase Auth: email, Apple ID. Сессии управляются платформой.
Правила данных
Firestore rules ограничивают чтение и запись по companyId и роли пользователя.
API-маршруты
Server-side проверки доступа перед любой операцией с заказами, складом и финансами.
Документы
PDF и печать через одноразовые токены рендера, без публичных ссылок на данные.
Журнал активности
Пример записей, которые видит руководитель в Mission Control: кто, что, когда и в каком модуле.
Закрыл наряд НЗ-2026-0142
НарядыСписала G4KC-88421 со склада A-12
СкладОбновил пробег в карточке авто
АвтопаркВыдал права бухгалтерии модулю «Операции»
КомандаПринципы
Минимум необходимых прав
Роль выдаёт доступ только к нужным модулям. Расширение прав через владельца или администратора с записью в журнале.
Прозрачность для руководителя
Владелец видит, кто изменил остаток, закрыл наряд или выдал права, в журнале активности в реальном времени.
Production-ready стек
Firebase Authentication, Firestore Security Rules, server-only API с проверкой companyId и роли на каждом запросе.
Контрольный список
Что проверяем при проектировании каждого модуля AutoCore.
- Доступ к данным только после аутентификации
- Каждый запрос привязан к companyId
- RBAC проверяется на сервере, не только в UI
- Журнал значимых действий для руководителя
- Изоляция tenant-данных в Firestore rules