Составляем список настроек, требующих внимательного изучения кода. Не включаем привилегированный режим и не вызываем найденные модули.
Где и как запускать
Учебная база: создайте серверный общий модуль УчебныеЗадачи (флаг Сервер). Код без директив вставьте в тело процедуры ВыполнитьПример() Экспорт. Вызовите её из серверного обработчика команды учебной обработки. Не запускайте в рабочей базе.
Подготовка
Запускайте в учебной копии конфигурации. Примеры читают структуру метаданных, но не создают объекты, не записывают регистры и не проводят документы.
Сверяйте вывод с деревом конфигурации в Конфигураторе. Имена, длины и настройки в УНФ, КА2, БП, УТ 11 и УТ 10.3 могут различаться.
Имена объектов взяты из XML КА2 Progress: C:\claude\KA2\Progress\XML_CF_KA2_PROGRESS. Исходные XML не изменяйте. Выполняйте код только в своей учебной копии соответствующей конфигурации.
В другой конфигурации предварительно найдите аналогичный объект в Конфигураторе и замените только строку имени в поиске. Отсутствие имени обрабатывается до чтения свойств; оно не доказывает отсутствие аналогичной возможности.
Каждый урок запускайте отдельно. Код не вызывает бизнес-функции модулей и обработчики команд, не переключает привилегированный режим и не меняет параметры сеанса.
Описание = Метаданные.ОбщиеМодули.Найти("АвтономнаяРаботаСлужебный");
Если Описание = Неопределено Тогда
ВызватьИсключение "В учебной конфигурации отсутствует ОбщиеМодули.АвтономнаяРаботаСлужебный";
КонецЕсли;
Сообщить("Выбранный модуль привилегированный: " + Строка(Описание.Привилегированный));
Всего = 0;
Для Каждого Модуль Из Метаданные.ОбщиеМодули Цикл
Если Модуль.Привилегированный Тогда
Всего = Всего + 1;
Сообщить(СтрШаблон("Проверить %1; сервер %2; клиентский вызов %3",
Модуль.ПолноеИмя(), Модуль.Сервер, Модуль.ВызовСервера));
КонецЕсли;
КонецЦикла;
Сообщить("Модулей для аудита: " + Строка(Всего));Разбор по шагам
Привилегированный — настройка выполнения без обычного контроля прав на сервере, не признак доверенного входного параметра.
Перебираем только описания модулей и считаем те, у которых флаг включён.
Отдельно выводим Сервер и ВызовСервера для выбора мест ручного аудита.
Флаг не изменяется, экспортные процедуры не исполняются.
Как проверить результат
Количество строк Проверить совпадает со счётчиком Всего; число зависит от вашей конфигурации.
У выбранного модуля в данном XML Привилегированный = Ложь; это не исключает наличие других привилегированных модулей.
Ожидаемый результат
Получен ограниченный перечень мест для аудита прав и проверки параметров.
На что обратить внимание
Это не доказательство уязвимости и не полный аудит безопасности.
ВызовСервера = Ложь сам по себе не исключает косвенный вызов из другого кода.
Пример не запускался в вашей базе. Перед применением проверьте его в указанном учебном контексте.