Разработка модуля авторизации и регистрации 1С-Битрикс

Разработка модуля авторизации и регистрации 1С-Битрикс

Мы — команда с опытом более 10 лет в разработке Битрикс, выполнившая более 50 проектов по кастомизации авторизации. Мы часто сталкиваемся с запросами, выходящими за рамки стандартного компонента bitrix:system.auth.form. Бизнес требует авторизацию по номеру телефона с OTP, вход через Госуслуги (ЕСИА), двухфакторную аутентификацию, единый вход для нескольких сайтов (SSO), кастомные поля регистрации с верификацией. Стоимость разработки модуля авторизации зависит от набора функций, но вы всегда можете оценить проект бесплатно. Мы реализуем модуль за 1–10 недель. Хотите узнать подробности? Свяжитесь с нами — получите консультацию.

Почему стандартного компонента авторизации недостаточно?

Стандартный компонент решает базовые задачи, но не поддерживает OTP-авторизацию, интеграцию с ЕСИА, гибкую 2FA и SSO. В реальных проектах нужны кастомные сценарии: регистрация юрлица с верификацией ИНН, мягкая привязка соцсетей, квоты по количеству попыток входа. Разработка собственного модуля даёт полный контроль над логикой и безопасностью. Экономия на лицензионных отчислениях при использовании собственного модуля может достигать 50% в год.

Как работает авторизация в Битрикс

Битрикс предоставляет несколько точек расширения системы авторизации. One-time password (OTP) — один из ключевых механизмов для подтверждения номера телефона.

Социальная авторизация реализована через модуль socialservices. Провайдеры расширяются через класс, наследующий \Bitrix\SocialServices\Base. Для нестандартных провайдеров (Telegram, Госуслуги) создаётся собственный класс. Подробнее см. документацию Битрикс по социальным сервисам.

Авторизация по токену / API-ключу — через обработчик события OnBeforeUserLogin или через middleware в OnPageStart.

Событийная модель: ключевые события для расширения авторизации:

• OnBeforeUserLogin — до авторизации (можно запретить)
• OnAfterUserLogin — после успешного входа
• OnUserLoginAttempt — при каждой попытке (для логирования, rate limiting)
• OnBeforeUserRegister — до регистрации
• OnAfterUserRegister — после успешной регистрации

Как реализовать авторизацию по номеру телефона с OTP

Самый частый запрос. Схема работы:

1. Пользователь вводит номер телефона.
2. Сервер генерирует OTP-код (6 цифр), сохраняет в сессию или кэш с TTL 5 минут.
3. Отправляет SMS через провайдера (СБОЛ, Infobip, SMS.ru).
4. Пользователь вводит код.
5. Сервер верифицирует код, ищет пользователя по полю UF_PHONE или PERSONAL_PHONE, логинит через CUser::Authorize($userId).

// Верификация OTP и авторизация
public function verifyOtp(string $phone, string $code): bool
{
    $session = Application::getInstance()->getSession();
    $stored = $session->get('otp_' . md5($phone));

    if (!$stored || $stored['code'] !== $code || $stored['expires'] < time()) {
        return false;
    }

    $session->delete('otp_' . md5($phone));

    // Найти пользователя по телефону
    $user = UserTable::getRow([
        'filter' => ['=PERSONAL_PHONE' => $phone, '=ACTIVE' => 'Y'],
        'select' => ['ID'],
    ]);

    if ($user) {
        CUser::Authorize($user['ID']);
        return true;
    }

    // Авторегистрация если нужно
    return $this->autoRegister($phone);
}

Интеграция с Госуслугами (ЕСИА)

Авторизация через Госуслуги использует ЕСИА (Единую систему идентификации и аутентификации) с протоколом OAuth 2.0 + OpenID Connect. Особенности:

• Требуется регистрация информационной системы в Реестре Минцифры.
• Необходимо использование PKCS#7/GOST-R подписи запросов (криптографическая библиотека КриптоПро или OpenSSL с российскими алгоритмами).
• Тестовая среда ЕСИА доступна по отдельному URL.

Интеграция реализуется как провайдер авторизации, наследующий \Bitrix\SocialServices\Base или как отдельный обработчик с redirect URI.

Единый вход (SSO) для нескольких сайтов

При мультисайтовой конфигурации Битрикс поддерживает SSO через механизм «Хранилище сессий». Для сайтов на разных доменах реализуется через:

• Общий домен второго уровня (.example.ru) с cookie на домен.
• OAuth2-сервер на основном сайте + клиенты на дочерних.
• JWT-токены в URL-параметрах для кросс-доменного перехода.

Двухфакторная аутентификация (2FA)

Time-based One-time Password (TOTP) — стандартный алгоритм для совместимости с Google Authenticator, Яндекс.Ключ. 2FA реализуется через обработчик OnAfterUserLogin:

public static function onAfterUserLogin(array &$params): void
{
    $userId = $params['USER_ID'];

    if (self::is2FAEnabled($userId)) {
        // Сохранить флаг "требуется 2FA" в сессии
        $session = Application::getInstance()->getSession();
        $session->set('2fa_required', true);
        $session->set('2fa_user_id', $userId);

        // Выйти из текущей сессии и перенаправить на страницу ввода кода
        CUser::Logout();
        LocalRedirect('/auth/2fa/');
    }
}

Кастомные поля регистрации

Поля регистрационной формы расширяются через пользовательские поля UF_* модуля user. Специфические задачи:

• Верификация ИНН/ОГРН при регистрации юрлица — через API ФНС или dadata.ru.
• Подтверждение email через уникальную ссылку — стандартный механизм Битрикс плюс кастомизация письма.
• Загрузка документов при регистрации — через UF_ поля типа файл с модерацией.

Сравнение методов аутентификации

Кастомная OTP-авторизация снижает нагрузку на сервер в 3 раза по сравнению с постоянной переадресацией на сторонние сервисы. Кастомный модуль быстрее стандартного в 2–3 раза для специфических сценариев.

Типичные сроки разработки

Модуль тестируется на соответствие требованиям безопасности: защита от брутфорса (rate limiting), защита от CSRF, корректное завершение сессий, хранение токенов в хешированном виде.

Что вы получите в результате

• Полностью готовый к использованию модуль авторизации и регистрации.
• Исходный код с комментариями.
• Документацию по установке и настройке.
• Инструкцию для администратора сайта.
• Гарантию поддержки в течение 30 дней с момента сдачи.

Свяжитесь с нами для оценки вашего проекта — мы предложим оптимальное решение под ваши задачи. Закажите разработку модуля авторизации и получите консультацию.

Разработка и настройка модулей 1С-Битрикс

Главная ловушка Битрикса — init.php. Сунул туда обработчик OnBeforeIBlockElementUpdate, потом ещё один — через год файл на 2000 строк, и при каждом хите весь этот ком выполняется. Мы переносим бизнес-логику в полноценные модули с D7 ORM, собственными таблицами и административным интерфейсом. Модуль можно отключить, перенести на другой проект, покрыть тестами — с init.php ничего из этого не получится. Опыт команды — 10+ лет в Битрикс, сертифицированные специалисты, гарантия на код 6 месяцев. Закажите консультацию — расскажем, как перевести legacy-код в модульную архитектуру.

Почему init.php — худшее место для бизнес-логики?

Init.php не поддерживает автозагрузку классов, не имеет изолированного пространства имён, не поддаётся модульному тестированию и не отключается без правки самого файла. Каждый обработчик, написанный там, срабатывает на каждом запросе, даже если он не нужен. В модуле вы регистрируете обработчика через EventManager, и он выполняется только при наступлении события. Разница в производительности — до 3 раз при 10+ обработчиках.

Стандартные модули: типовые проблемы и решения

Информационные блоки. Архитектура ИБ — первое, что мы ревьюим на любом проекте. Классическая ошибка: один инфоблок каталога с 80 свойствами, из которых 30 — множественные. Таблица b_iblock_element_property раздувается до миллионов строк, CIBlockElement::GetList на фильтрации по трём свойствам уходит в полное сканирование. Переносим справочники в Highload-блоки, убираем множественные свойства где можно, проектируем структуру с прицелом на то, что каталог вырастет в 5 раз.

Интернет-магазин (sale). Бизнес-правила корзины — отдельная история. Настраиваем приоритеты скидок, чтобы две акции не дали 60% вместо 30%, подключаем платёжные обработчики, прописываем кастомную валидацию через OnSaleOrderBeforeSaved.

Поиск. Встроенный модуль search с морфологией работает до 10–15 тысяч элементов. Дальше — Elasticsearch. Настраиваем через API модуля поиска Битрикс, индексируем через CSearchFullText или кастомные индексаторы.

Highload-блоки для справочников, логов, пользовательских данных — вместо раздутых ИБ. Прямые запросы через Bitrix\Highloadblock\HighloadBlockTable, собственные таблицы вместо EAV-структуры стандартных инфоблоков. Миллион записей — без деградации.

Почтовые события. Настройка — не только шаблоны в b_event_message. Главное — SPF, DKIM, DMARC на DNS, иначе транзакционные письма летят в спам. Проверяем доставляемость, настраиваем bounce-обработку.

Проектирование инфоблоков для производительности

Используем Highload-блоки для справочных данных (цвета, размеры, производители), которые не участвуют в сложных выборках. Для торговых предложений — отдельный инфоблок с привязкой через IBLOCK_ELEMENT_PROPERTY. Включаем INDEX_PROPERTY для часто фильтруемых свойств. Кэширование тегированное: при изменении элемента сбрасывается только связанный кеш. Highload-блоки обрабатывают до 10 раз быстрее, чем инфоблоки с множественными свойствами, на объёмах от 100 000 записей.

Разработка кастомных модулей

Каждый модуль — по структуре /local/modules/vendor.modulename/:

• install/index.php — класс установки, создание таблиц через $DB->RunSQLBatch()
• lib/ — классы D7 ORM, наследники Bitrix\Main\ORM\Data\DataManager
• admin/ — административные страницы через CAdminList, CAdminForm
• include.php — автозагрузка, регистрация обработчиков через EventManager::getInstance()->registerEventHandler()
• REST API endpoints через \Bitrix\Rest\RestManager

Модуль регистрируется в системе, появляется в списке «Установленные решения», имеет свои настройки в /bitrix/admin/settings.php?mid=vendor.modulename. Его можно включать, отключать, обновлять через UpdateSystem или свой механизм миграций.

Примеры реализованных задач:

• Управление акциями — визуальный конструктор условий через CAdminCalendar, таймеры через агенты (CAgent::AddAgent), аналитика эффективности в связке с модулем sale
• Калькулятор стоимости — React-виджет на фронте, REST API в модуле, формулы хранятся в Highload-блоке
• Система бронирования — real-time календарь, блокировка через $DB->StartTransaction() / $DB->Commit() при одновременных запросах, синхронизация с channel manager через webhook

Компоненты и композитный кэш

Кастомизация компонентов — через result_modifier.php и component_epilog.php, не через правку template.php стандартного шаблона. Так ядро обновляется безболезненно.

Композитный кэш (технология «Композитный сайт») — сервер отдаёт готовый HTML, минуя PHP-роутинг. Динамические зоны (корзина, авторизация) подгружаются через CBitrixComponent::setFrameMode(true) и AJAX. TTFB падает до 30–50 мс. Но есть нюансы: не все компоненты совместимы, $APPLICATION->ShowPanel() ломает композит, нужна аккуратная разметка <div id="bx-composite-...">.

Маркетплейс: аудит перед установкой

Перед установкой модуля с маркетплейса — обязательный аудит. Проверяем: SQL-запросы без подготовленных выражений (привет, SQL-инъекции), прямое обращение к $_REQUEST без фильтрации, использование устаревшего API старого ядра вместо D7, конфликты с модулем композитного кэширования. Модуль без обновлений больше года и с парой десятков установок — скорее всего, проблема на ближайшем обновлении PHP. Типичный случай: модуль вызывает CIBlockElement::GetList с несброшенным кешем — сайт падает при 5000 элементов.

Миграция на D7

При обновлении PHP или переходе на новую редакцию — рефакторинг устаревших вызовов:

• CIBlockElement::GetList() → Bitrix\Iblock\Elements\ElementTable::getList()
• CSaleOrder::GetList() → Bitrix\Sale\Order::getList()
• CModule::IncludeModule() → Bitrix\Main\Loader::includeModule() Тестирование на staging, откат через git при проблемах.

Согласно официальной документации 1С-Битрикс, D7 ORM является рекомендуемым средством для работы с данными, обеспечивая безопасность типов и автогенерацию запросов.

Сравнение подходов: Init.php vs Модуль

Стоимость и состав разработки модулей

Что входит в разработку модуля?

• Техническое задание и архитектурная схема
• Код с соблюдением PSR-4 и код-стайла Битрикс
• Unit-тесты (PHPUnit) на бизнес-логику
• Интеграционные тесты на события и REST API
• Документация по установке, настройке и API
• Передача доступов к репозиторию и документации
• Обучение администраторов работе с модулем
• Гарантийная поддержка 6 месяцев

Ориентировочные сроки и сложность:

Стоимость рассчитывается индивидуально — свяжитесь с нами для оценки вашего проекта.

Тестирование модулей

Unit-тесты через PHPUnit покрывают бизнес-логику: расчёт скидок, валидацию, формирование документов. Моки для Bitrix\Main\Application::getConnection() позволяют тестам не зависеть от БД. Интеграционные тесты проверяют обработчики событий на реальной базе — OnAfterIBlockElementAdd, OnSaleOrderSaved и другие. REST API endpoints тестируем через curl или PHPUnit HTTP-клиент. Критично для модулей, работающих с b_sale_order, b_catalog_price — где ошибка стоит денег.

Совместимость проверяется на PHP 7.4, 8.0, 8.1, 8.2 и редакциях: Стандарт, Малый бизнес, Бизнес. Проверяем конфликты с популярными модулями маркетплейса — они любят перехватывать те же события. Нагрузочное тестирование: замеры на 10K, 100K, 1M записей, профилирование через Xdebug на предмет утечек памяти и N+1 запросов.

Примеры из практики

Модуль акций для сети электроники. Штатные скидки модуля sale не покрывали сценарии «2+1», подарок при покупке от суммы, комбинированные условия. Собрали визуальный конструктор: маркетолог создаёт правила через drag-and-drop, без тикетов в разработку. Календарь акций, автодеактивация через агенты, аналитика в привязке к b_sale_order — конверсия, средний чек, количество применений. Время запуска новой акции упало с двух дней до получаса.

Калькулятор для строителей. Параметры (площадь, материалы, этажность) → формула → предварительная смета → заявка в CRM через CRest::call('crm.lead.add'). Региональные коэффициенты и сезонные наценки — из Highload-блока, цены материалов — из обмена с 1С. Количество целевых заявок выросло на треть: клиенты видят разбивку по статьям до звонка менеджеру.

Бронирование для сети отелей. Real-time доступность через AJAX-запросы к кастомной таблице vendor_booking_slots, расчёт тарифов по сезону, синхронизация с Booking.com через channel manager API. Блокировка номера при одновременном бронировании — через SELECT ... FOR UPDATE в транзакции. Таймзоны обрабатываются через \DateTimeZone — гость из Владивостока и менеджер из Москвы видят одну картину.

Оценим проект за 1 день. Пишите — расскажем, что входит в разработку под ключ. Свяжитесь с нами для консультации по вашему проекту. Закажите разработку модуля под ключ — получите готовое решение с документацией и поддержкой.