Вопрос по правам доступа

[andreysw]

Есть дерево сущностей: Проект->Задача->Выполненая работа.
На проект назначен "Руководитель", у задачи есть "Исполнитель".
Нужно настроить права доступа чтобы только "Руководитель" мог создавать и редактировать "Задачи", а работы мог создавать и редактировать только назначенный "Исполнитель", причем руководителей(точнее кураторов) у проекта может быть несколько, и они могут смениться. Аналогично Исполнитель может смениться(сотрудник уволился) а задача длительная...

Штатными средствами настроить не получается. Через Группы этого не сделать, права должны быть динамическими.
Частично получилось привязавшись к полю создателя записи и прав типа обновить-удалить создателем + пару костылей через автоматизацию и смену автора записи при определенных условиях(это нужно для случаев когда руководитель проекта сменился)

Так что вопрос как реализовать правильно и красиво остается. Предполагаю что нужно программирование, что то вроде хуков или обработки событий например после проверки прав доступа запускается некая пользовательская функция в которой принимается решение предоставить доступ к действию или отклонить.

[support]

В группах доступ ставите только на просмотр. А на каждое действие создаете кнопку автоматизации. Для кнопки можно настроить фильтры, когда ее отображать.

[andreysw]

Идея понятна, то есть придется в автоматизации указывать каждое редактируемое поле и стандартную уже настроенную форму редактирования для сущности использовать не получится?
Или есть способ например через php запустить форму редактирования?

[andreysw]

И обнаружил еще одну неприятную вещь. Да, фильтр на кнопку поставить можно, и кнопка исчезнет, но доступ останется, то есть если перейти по прямой ссылке то поля редактируется без проблем, что конечно же не очень хорошо с точки зрения безопасности.
Хорошим вариантом было бы иметь возможность в процессе выбирать в "Доступ к назначенным пользователям" поля из родительской сущьности.
Либо нужна дополнительная проверка при редактировании через автоматизацию с учетом фильтров, как это сделано у сущьности в правилах доступа Скрыть кнопку "Добавить"

[support]

Идея понятна, то есть придется в автоматизации указывать каждое редактируемое поле и стандартную уже настроенную форму редактирования для сущности использовать не получится?

Да, форму нужно будет настроить заново.