Безопасность: чтение, запись и пароли

Коротко

Read-tools без confirmed; write, PDF и проведение — только с confirmed:true; пароль в passwordEnc; connections:write для записи в 1С.

Чтение и запись

Действие	Подтверждение	Скоуп MCP
Списки, карточки, metadata, parse/process УПД (read)	Не требуется	`connections:read` для hub; invoke read-tools
Создание счёта/контрагента, copy, post/unpost, PDF, apply_upd, create_sale	`confirmed: true`	`connections:write` для write-tools invoke
connections_create / update / delete	`confirmed: true`	`connections:write`

Без confirmed invoke вернёт confirmation_required («Write-tool 1С: повторите с confirmed:true в args»).

Чат Призмы: запись контрагента в 1С без confirmed возвращает confirmation_required, ассистент просит согласие и после «да» создаёт запись — Подтверждение записи в 1С

WRITE_TOOLS (invoke)

1c_create_invoice, 1c_create_counterparty, 1c_copy_invoice, 1c_post_document, 1c_unpost_document, 1c_get_invoice_pdf, 1c_get_document_pdf, 1c_apply_upd, 1c_create_sale.

Хранение пароля

На диске: passwordEnc + encSecret в erp-connections-*.json.
В карточке хаба, mobile/web observer и MCP list — пароль не отдаётся.
Basic только при HTTP-запросе к 1С; в логах detail маскируется.

TLS

tlsInsecure отключает проверку сертификата (env ONEC_TLS_INSECURE=1 в процессе MCP) — используйте только в доверенной сети.

Роли

Субагент не расширяет права родителя: effective scopes пересекаются. Для записи в 1С у роли должны быть connections:write и подключён MCP 1С.

← Требования к базе 1С для Призмы Ежедневная работа с 1С из чата →

Не нашли ответ? Задайте вопрос

Или напишите на info@prizmaai.ru

Была ли статья полезна?