Доброго дня! Прошу подсказать подходы к решению проблемы. Есть веб-сервисы по кадрам, и каждый сотрудник может посмотреть по себе инфу, так же как и руководитель по себе и подчиненным. Было замечено, что на фронте в отладчике, в запросе одата можно подставлять любые табельники и смотреть что приходит. Тоесть любой пытливый юзер увидит к примеру оклад гендира.
Чтобы юзер получал данные согласно полномочиям требуется завязаться на проверку сруктурных полномочий пользователя на входе. Но не совсем понятно как это делается и какая задача ставится разработчику. Повторюсь это касается запросов, в ЛК все ограничено ess mss и тп

У вас либо полномочия неправильно нарезаны, либо ваши веб-сервисы как-то читают данные без проверки полномочий.
Если полномочия нарезаны верно, и программы читают данные как положено через ФМ (не обращаются напрямую к таблицам), то и прочитать данные, до которых нет доступа, нельзя. При этом не требуется в каждой отдельной программе дополнительно что-то проверять, типа структурных полномочий.

там инфотипы читаются через ФМ, но у них стоит параметр не проверять структурные полномочия.
Попробуем включить потестить
И главное не понятно, сломется ли что, например не сможет юзер видеть свои банковские реквизится или что-то в этом роде...

Ну есть же объект полномочий P_PERNR, с помощью которого можно определить доступ к данным своего ТН. Пропишите доступ ко всем ИТ своего ТН, будет доступ ко всем ИТ.

А служба поддержки получается не сможет видеть эти данные, только сам юзер?

Второй вопрос : каким образом формируется структура подчиненных в профиле MSS, хотя-бы по дефолту?

Для MSS ксть отдельная ветка в спро. Технрически это тупо sapquery, который просто отбирает всех сотрудников O, где для этой O есть связь к P через O-B012-S.

Тот P, который находится на этой S, когда запускает свой личный MSS-кабинет видит всех своих нпосредственных подчиненных.

Еще гд мона посмотреть настройки MSS это транзакция POWL_COCKPIT там найдете где нить что-то связайнное с MSS и там уже смотрите как кокпиты настроены.

Про кокпит слышал только ATC - инспектор кода. Что вообще из себя представляют кокпиты?

Это спец.функциональность для ESS/MSS портала (и не только), в двух словах не объяснить, поищите в сети, есть очень хорошие мануалы. Самая главная суть их в том что для них есть из коробки

Стало понятно, то что включив проверку на структурки (в которых задействованы почти стандартные фмники по некоторым объектам ОМ) есс мсс профили до сих пор не исключают получение одата запросов по любым другим табельникам. Хм... знать бы какие практики в этом случае есть... Кажется проверка на полномочия ничем не поможет в случае изменения одата запросов на фронте, в отладке.

можно попортить реальные данные в дев и тест системах
а в проде поставить ограничение на использование DEBUG (через FireFighter например)
но если вы используете в портале SSO то для тестирования ESS/MSS вам только через тестовых пользователей проводить тестирование
но в свете например NW750 SPS22 IE11 Edge Chrome вы будете вынуждены дополнительные настройки выполнять

Оказывается еще в самих методах чтения и доставания данных из ИТ можно включать выключать проверки полномочий... мда это для меня откровение честно говоря))
Тоесть указать юзера в ООСБ это еще верхушка айсберга...

дополнительный веб-сервис с отправкой SMS кодоа доступа на номер телефона

Вопрос решили. Но насчет SMS идея тоже ничего