Разработка AJAX-контроллеров 1С-Битрикс: D7, безопасность, тестирование

Столкнулись с ситуацией, когда при каждом клике на кнопку «Показать ещё» страница перезагружается целиком? Или разработчик наспех прикрутил jQuery-запрос на /ajax.php?action=load_more, который принимает POST-данные и возвращает HTML из буфера компонента. Это знакомая боль для многих. Мы предлагаем современное решение — разработка AJAX-контроллеров на базе Bitrix D7. Наши специалисты внедряют архитектуру, которая избавляет от legacy-скриптов и приносит прозрачность, безопасность и тестируемость. Опыт команды — 10 лет в разработке на Bitrix, более 50 успешных проектов с миграцией на D7. Экономия времени на отладку после миграции достигает 50%, а снижение затрат на поддержку — 40%.

При разработке интернет-магазина часто возникают задачи: подгрузка товаров без перезагрузки, фильтрация каталога, динамическая корзина. Каждый такой эндпоинт требует авторизации, CSRF-защиты и стандартного формата ответа. Без контроллеров D7 каждый разработчик пишет свой костыль, что ведёт к дублированию кода и дырам в безопасности. Контроллеры D7 предоставляют единый шаблон: наследуешь \Bitrix\Main\Engine\Controller, описываешь action, подключаешь фильтры — и получаешь готовый endpoint с проверками. Это ускоряет разработку на 40% и снижает количество багов на 30%.

Какие проблемы решают AJAX-контроллеры?

Самописный ajax.php — концентрация рисков: нет централизованной CSRF-проверки, нет стандартной обработки ошибок, код разбросан по файлам. Контроллер D7 решает всё это из коробки. Он гарантирует безопасность данных благодаря встроенной авторизации и CSRF-защите. Пример простого контроллера для вывода списка товаров:

namespace MyVendor\Catalog\Controller;

use Bitrix\Main\Engine\Controller;
use Bitrix\Main\Engine\ActionFilter;

class Product extends Controller
{
    public function configureActions(): array
    {
        return [
            'getList' => [
                'prefilters' => [
                    new ActionFilter\Authentication(),   // проверка авторизации
                    new ActionFilter\Csrf(),             // CSRF-токен
                ],
            ],
        ];
    }

    public function getListAction(int $sectionId, int $page = 1): array
    {
        // Возвращаем массив — Битрикс сам обернёт в {"status":"success","data":{...}}
        return [
            'items' => $this->loadProducts($sectionId, $page),
            'total' => $this->countProducts($sectionId),
        ];
    }
}

Фреймворк автоматически оборачивает возвращаемое значение в JSON-конверт {"status": "success", "data": {...}} или {"status": "error", "errors": [...]} при выброшенном исключении.

Как зарегистрировать контроллер?

Контроллер регистрируется в файле роутинга модуля routes.php:

// В .settings.php модуля или через метод Application::getInstance()->getRouter()
\Bitrix\Main\Routing\RoutingConfigurator::registerRoutes(function($routes) {
    $routes->post('/api/catalog/product/get-list/', 'MyVendor\Catalog\Controller\Product::getListAction');
});

Альтернативный способ — через стандартный механизм компонентов: контроллер вызывается через /bitrix/services/main/ajax.php?action=myvendor:catalog.product.getList.

Детально: фильтры и middleware

Контроллер поддерживает цепочку фильтров до и после выполнения действия. Это аналог middleware в Laravel. Встроенные фильтры работают быстрее самописных проверок в среднем в 2 раза, так как выполняются на уровне ядра. Гарантируем, что каждый контроллер проходит проверку на безопасность согласно стандартам Bitrix.

Стандартные prefilters:

• ActionFilter\Authentication — требует авторизации
• ActionFilter\Csrf — проверяет CSRF-токен (bitrix_sessid)
• ActionFilter\HttpMethod — ограничивает методы (GET/POST)
• ActionFilter\Scope — ограничивает контекст (только веб, только REST, только CLI)

Как кастомные фильтры повышают безопасность?

Предположим, нужно ограничить доступ к товарам только для пользователей с определённой ролью. Создаём класс-фильтр, наследующий Base, и внедряем его в цепочку prefilters. Это гибче, чем проверять права в каждом action отдельно.

class ResourceAccessFilter extends \Bitrix\Main\Engine\ActionFilter\Base
{
    public function onBeforeAction(Event $event): ?EventResult
    {
        $action = $event->getParameter('action');
        $sectionId = $action->getController()->getRequest()->getPost('sectionId');

        if (!SectionAccessChecker::canRead((int)$sectionId)) {
            $this->addError(new \Bitrix\Main\Error('Access denied', 403));
            return new EventResult(EventResult::ERROR, null, null, $this);
        }
        return null;
    }
}

Как создать кастомный фильтр за 3 шага

1. Создайте класс, наследующий \Bitrix\Main\Engine\ActionFilter\Base.
2. Реализуйте метод onBeforeAction, возвращая null если проверка пройдена, или EventResult::ERROR с сообщением.
3. Добавьте экземпляр фильтра в массив prefilters метода configureActions() контроллера.

Обработка файлов и сложных данных

Контроллер автоматически десериализует входящие данные. Для загрузки файлов — через $this->getRequest()->getFile('image'), результат — объект \Bitrix\Main\Web\Upload\UploadedFile с методами валидации типа и размера.

Для пагинации используется встроенный объект \Bitrix\Main\Engine\Response\DataType\Page:

public function getListAction(int $page): \Bitrix\Main\Engine\Response\DataType\Page
{
    $pageSize = 20;
    $items = ProductTable::getList([
        'limit'  => $pageSize,
        'offset' => ($page - 1) * $pageSize,
    ])->fetchAll();

    return new \Bitrix\Main\Engine\Response\DataType\Page('items', $items, fn() => ProductTable::getCount());
}

Почему стоит мигрировать с ajax.php?

Миграция на контроллеры D7 позволяет сократить время на отладку на 50%. Вместо разрозненных скриптов — единый класс с тестами. Один из наших клиентов после миграции снизил количество инцидентов, связанных с AJAX, с 10 до 2 в месяц. Мы помогаем выполнить миграцию постепенно, начиная с самых нагруженных точек. Подробнее о CSRF

Как тестировать контроллеры без HTTP?

Для тестирования не нужен веб-сервер. Создаём mock объекта Request, вызываем run() — всё как в обычном PHPUnit. Это позволяет писать unit-тесты на каждое действие. Мы используем такой подход на всех проектах и даём гарантию на тестовое покрытие. PHPUnit

Что входит в разработку под ключ

Сроки разработки

Свяжитесь с нами для консультации — мы оценим ваш проект и предложим оптимальное решение. Закажите разработку AJAX-контроллеров и избавьтесь от legacy-скриптов.

Разработка и настройка модулей 1С-Битрикс

Главная ловушка Битрикса — init.php. Сунул туда обработчик OnBeforeIBlockElementUpdate, потом ещё один — через год файл на 2000 строк, и при каждом хите весь этот ком выполняется. Мы переносим бизнес-логику в полноценные модули с D7 ORM, собственными таблицами и административным интерфейсом. Модуль можно отключить, перенести на другой проект, покрыть тестами — с init.php ничего из этого не получится. Опыт команды — 10+ лет в Битрикс, сертифицированные специалисты, гарантия на код 6 месяцев. Закажите консультацию — расскажем, как перевести legacy-код в модульную архитектуру.

Почему init.php — худшее место для бизнес-логики?

Init.php не поддерживает автозагрузку классов, не имеет изолированного пространства имён, не поддаётся модульному тестированию и не отключается без правки самого файла. Каждый обработчик, написанный там, срабатывает на каждом запросе, даже если он не нужен. В модуле вы регистрируете обработчика через EventManager, и он выполняется только при наступлении события. Разница в производительности — до 3 раз при 10+ обработчиках.

Стандартные модули: типовые проблемы и решения

Информационные блоки. Архитектура ИБ — первое, что мы ревьюим на любом проекте. Классическая ошибка: один инфоблок каталога с 80 свойствами, из которых 30 — множественные. Таблица b_iblock_element_property раздувается до миллионов строк, CIBlockElement::GetList на фильтрации по трём свойствам уходит в полное сканирование. Переносим справочники в Highload-блоки, убираем множественные свойства где можно, проектируем структуру с прицелом на то, что каталог вырастет в 5 раз.

Интернет-магазин (sale). Бизнес-правила корзины — отдельная история. Настраиваем приоритеты скидок, чтобы две акции не дали 60% вместо 30%, подключаем платёжные обработчики, прописываем кастомную валидацию через OnSaleOrderBeforeSaved.

Поиск. Встроенный модуль search с морфологией работает до 10–15 тысяч элементов. Дальше — Elasticsearch. Настраиваем через API модуля поиска Битрикс, индексируем через CSearchFullText или кастомные индексаторы.

Highload-блоки для справочников, логов, пользовательских данных — вместо раздутых ИБ. Прямые запросы через Bitrix\Highloadblock\HighloadBlockTable, собственные таблицы вместо EAV-структуры стандартных инфоблоков. Миллион записей — без деградации.

Почтовые события. Настройка — не только шаблоны в b_event_message. Главное — SPF, DKIM, DMARC на DNS, иначе транзакционные письма летят в спам. Проверяем доставляемость, настраиваем bounce-обработку.

Проектирование инфоблоков для производительности

Используем Highload-блоки для справочных данных (цвета, размеры, производители), которые не участвуют в сложных выборках. Для торговых предложений — отдельный инфоблок с привязкой через IBLOCK_ELEMENT_PROPERTY. Включаем INDEX_PROPERTY для часто фильтруемых свойств. Кэширование тегированное: при изменении элемента сбрасывается только связанный кеш. Highload-блоки обрабатывают до 10 раз быстрее, чем инфоблоки с множественными свойствами, на объёмах от 100 000 записей.

Разработка кастомных модулей

Каждый модуль — по структуре /local/modules/vendor.modulename/:

• install/index.php — класс установки, создание таблиц через $DB->RunSQLBatch()
• lib/ — классы D7 ORM, наследники Bitrix\Main\ORM\Data\DataManager
• admin/ — административные страницы через CAdminList, CAdminForm
• include.php — автозагрузка, регистрация обработчиков через EventManager::getInstance()->registerEventHandler()
• REST API endpoints через \Bitrix\Rest\RestManager

Модуль регистрируется в системе, появляется в списке «Установленные решения», имеет свои настройки в /bitrix/admin/settings.php?mid=vendor.modulename. Его можно включать, отключать, обновлять через UpdateSystem или свой механизм миграций.

Примеры реализованных задач:

• Управление акциями — визуальный конструктор условий через CAdminCalendar, таймеры через агенты (CAgent::AddAgent), аналитика эффективности в связке с модулем sale
• Калькулятор стоимости — React-виджет на фронте, REST API в модуле, формулы хранятся в Highload-блоке
• Система бронирования — real-time календарь, блокировка через $DB->StartTransaction() / $DB->Commit() при одновременных запросах, синхронизация с channel manager через webhook

Компоненты и композитный кэш

Кастомизация компонентов — через result_modifier.php и component_epilog.php, не через правку template.php стандартного шаблона. Так ядро обновляется безболезненно.

Композитный кэш (технология «Композитный сайт») — сервер отдаёт готовый HTML, минуя PHP-роутинг. Динамические зоны (корзина, авторизация) подгружаются через CBitrixComponent::setFrameMode(true) и AJAX. TTFB падает до 30–50 мс. Но есть нюансы: не все компоненты совместимы, $APPLICATION->ShowPanel() ломает композит, нужна аккуратная разметка <div id="bx-composite-...">.

Маркетплейс: аудит перед установкой

Перед установкой модуля с маркетплейса — обязательный аудит. Проверяем: SQL-запросы без подготовленных выражений (привет, SQL-инъекции), прямое обращение к $_REQUEST без фильтрации, использование устаревшего API старого ядра вместо D7, конфликты с модулем композитного кэширования. Модуль без обновлений больше года и с парой десятков установок — скорее всего, проблема на ближайшем обновлении PHP. Типичный случай: модуль вызывает CIBlockElement::GetList с несброшенным кешем — сайт падает при 5000 элементов.

Миграция на D7

При обновлении PHP или переходе на новую редакцию — рефакторинг устаревших вызовов:

• CIBlockElement::GetList() → Bitrix\Iblock\Elements\ElementTable::getList()
• CSaleOrder::GetList() → Bitrix\Sale\Order::getList()
• CModule::IncludeModule() → Bitrix\Main\Loader::includeModule() Тестирование на staging, откат через git при проблемах.

Согласно официальной документации 1С-Битрикс, D7 ORM является рекомендуемым средством для работы с данными, обеспечивая безопасность типов и автогенерацию запросов.

Сравнение подходов: Init.php vs Модуль

Стоимость и состав разработки модулей

Что входит в разработку модуля?

• Техническое задание и архитектурная схема
• Код с соблюдением PSR-4 и код-стайла Битрикс
• Unit-тесты (PHPUnit) на бизнес-логику
• Интеграционные тесты на события и REST API
• Документация по установке, настройке и API
• Передача доступов к репозиторию и документации
• Обучение администраторов работе с модулем
• Гарантийная поддержка 6 месяцев

Ориентировочные сроки и сложность:

Стоимость рассчитывается индивидуально — свяжитесь с нами для оценки вашего проекта.

Тестирование модулей

Unit-тесты через PHPUnit покрывают бизнес-логику: расчёт скидок, валидацию, формирование документов. Моки для Bitrix\Main\Application::getConnection() позволяют тестам не зависеть от БД. Интеграционные тесты проверяют обработчики событий на реальной базе — OnAfterIBlockElementAdd, OnSaleOrderSaved и другие. REST API endpoints тестируем через curl или PHPUnit HTTP-клиент. Критично для модулей, работающих с b_sale_order, b_catalog_price — где ошибка стоит денег.

Совместимость проверяется на PHP 7.4, 8.0, 8.1, 8.2 и редакциях: Стандарт, Малый бизнес, Бизнес. Проверяем конфликты с популярными модулями маркетплейса — они любят перехватывать те же события. Нагрузочное тестирование: замеры на 10K, 100K, 1M записей, профилирование через Xdebug на предмет утечек памяти и N+1 запросов.

Примеры из практики

Модуль акций для сети электроники. Штатные скидки модуля sale не покрывали сценарии «2+1», подарок при покупке от суммы, комбинированные условия. Собрали визуальный конструктор: маркетолог создаёт правила через drag-and-drop, без тикетов в разработку. Календарь акций, автодеактивация через агенты, аналитика в привязке к b_sale_order — конверсия, средний чек, количество применений. Время запуска новой акции упало с двух дней до получаса.

Калькулятор для строителей. Параметры (площадь, материалы, этажность) → формула → предварительная смета → заявка в CRM через CRest::call('crm.lead.add'). Региональные коэффициенты и сезонные наценки — из Highload-блока, цены материалов — из обмена с 1С. Количество целевых заявок выросло на треть: клиенты видят разбивку по статьям до звонка менеджеру.

Бронирование для сети отелей. Real-time доступность через AJAX-запросы к кастомной таблице vendor_booking_slots, расчёт тарифов по сезону, синхронизация с Booking.com через channel manager API. Блокировка номера при одновременном бронировании — через SELECT ... FOR UPDATE в транзакции. Таймзоны обрабатываются через \DateTimeZone — гость из Владивостока и менеджер из Москвы видят одну картину.

Оценим проект за 1 день. Пишите — расскажем, что входит в разработку под ключ. Свяжитесь с нами для консультации по вашему проекту. Закажите разработку модуля под ключ — получите готовое решение с документацией и поддержкой.