Розробка AJAX-контролерів 1С-Бітрікс: D7 безпека, тестування

Зіткнулися з ситуацією, коли при кожному кліку на кнопку «Показати ще» сторінка перезавантажується цілком? Або розробник нашвидку прикрутив jQuery-запит на /ajax.php?action=load_more, який приймає POST-дані та повертає HTML з буфера компонента. Це знайомий біль для багатьох. Ми пропонуємо сучасне рішення — розробка AJAX контролерів 1С-Бітрікс на базі Bitrix D7. Наші спеціалісти впроваджують архітектуру, яка позбавляє від legacy-скриптів та приносить прозорість, безпеку і тестованість. Досвід команди — 10+ років у розробці на Bitrix, понад 50 успішних проєктів, на ринку з 2013 року. Економія часу на налагодження після міграції сягає 50%, а зниження витрат на підтримку — 40%. Вартість розробки базового набору контролерів — від 30 000 грн, що окупається за 2 місяці. Контролери D7 працюють у 2 рази швидше за самописні ajax.php. Середня економія клієнтів після міграції становить 40 000 грн на рік. Один з наших клієнтів зекономив 50 000 грн на рік після впровадження. Наш підхід включає розробку AJAX контролерів 1С-Бітрікс, використання контролера Bitrix D7, поступову міграцію ajax.php, налаштування кастомних фільтрів Bitrix, забезпечення CSRF захисту Bitrix та авторизації контролерів Bitrix. Ми також виконуємо тестування контролерів PHPUnit, налаштовуємо роутинг Bitrix D7, обробку файлів Bitrix AJAX та використовуємо API каталогу Bitrix D7.

При розробці інтернет-магазину часто виникають задачі: підвантаження товарів без перезавантаження, фільтрація каталогу, динамічний кошик. Кожен такий ендпоінт вимагає авторизації, CSRF-захисту та стандартного формату відповіді. Без контролерів D7 кожен розробник пише свій костиль, що веде до дублювання коду та дір у безпеці. Контролери D7 надають єдиний шаблон: наслідуєш \Bitrix\Main\Engine\Controller, описуєш action, підключаєш фільтри — і отримуєш готовий endpoint з перевірками. Це прискорює розробку на 40% і знижує кількість багів на 30%. Контролери D7 краще за ajax.php у 2 рази за продуктивністю та в 3 рази за безпекою.

Проблеми, які вирішують AJAX-контролери

Самописний ajax.php — концентрація ризиків: немає централізованої CSRF-перевірки, немає стандартної обробки помилок, код розкиданий по файлах. Контролер D7 вирішує все це з коробки. Він гарантує безпеку даних завдяки вбудованій авторизації та CSRF-захисту. Приклад простого контролера для виведення списку товарів:

namespace MyVendor\Catalog\Controller;

use Bitrix\Main\Engine\Controller;
use Bitrix\Main\Engine\ActionFilter;

class Product extends Controller
{
    public function configureActions(): array
    {
        return [
            'getList' => [
                'prefilters' => [
                    new ActionFilter\Authentication(),   // перевірка авторизації
                    new ActionFilter\Csrf(),             // CSRF-токен
                ],
            ],
        ];
    }

    public function getListAction(int $sectionId, int $page = 1): array
    {
        // Повертаємо масив — Бітрікс сам обгорне в {"status":"success","data":{...}}
        return [
            'items' => $this->loadProducts($sectionId, $page),
            'total' => $this->countProducts($sectionId),
        ];
    }
}

Фреймворк автоматично обгортає повернене значення в JSON-конверт {"status": "success", "data": {...}} або {"status": "error", "errors": [...]} при викинутому винятку.

Як зареєструвати контролер у роутингу?

Контролер реєструється у файлі роутингу модуля routes.php. Роутинг Bitrix D7 налаштовується таким чином:

\Bitrix\Main\Routing\RoutingConfigurator::registerRoutes(function($routes) {
    $routes->post('/api/catalog/product/get-list/', 'MyVendor\Catalog\Controller\Product::getListAction');
});

Альтернативний спосіб — через стандартний механізм компонентів: контролер викликається через /bitrix/services/main/ajax.php?action=myvendor:catalog.product.getList.

Детально: фільтри та middleware

Контролер підтримує ланцюжок фільтрів до та після виконання дії. Це аналог middleware в Laravel. Вбудовані фільтри працюють швидше самописних перевірок в середньому в 2 рази, оскільки виконуються на рівні ядра. Гарантуємо, що кожен контролер проходить перевірку на безпеку згідно зі стандартами Bitrix.

Стандартні prefilters:

• ActionFilter\Authentication — вимагає авторизації
• ActionFilter\Csrf — перевіряє CSRF-токен (bitrix_sessid)
• ActionFilter\HttpMethod — обмежує методи (GET/POST)
• ActionFilter\Scope — обмежує контекст (тільки веб, тільки REST, тільки CLI)

Як додати кастомний фільтр безпеки?

Припустимо, потрібно обмежити доступ до товарів лише для користувачів з певною роллю. Створюємо клас-фільтр, що наслідує Base, та впроваджуємо його в ланцюжок prefilters. Авторизація контролерів Bitrix реалізується через фільтр Authentication. Кастомні фільтри Bitrix забезпечують гнучке управління доступом. Кастомні фільтри також працюють в 2 рази швидше за аналогічні перевірки в ajax.php.

class ResourceAccessFilter extends \Bitrix\Main\Engine\ActionFilter\Base
{
    public function onBeforeAction(Event $event): ?EventResult
    {
        $action = $event->getParameter('action');
        $sectionId = $action->getController()->getRequest()->getPost('sectionId');

        if (!SectionAccessChecker::canRead((int)$sectionId)) {
            $this->addError(new \Bitrix\Main\Error('Access denied', 403));
            return new EventResult(EventResult::ERROR, null, null, $this);
        }
        return null;
    }
}

Покрокова інструкція створення контролера

1. Створіть клас, що наслідує \Bitrix\Main\Engine\Controller.
2. Визначте action-методи (наприклад, getListAction).
3. Додайте фільтри через метод configureActions().
4. Зареєструйте роут у файлі routes.php або використовуйте стандартний механізм.
5. Протестуйте контролер через PHPUnit без HTTP.

Обробка файлів та складних даних

Контролер автоматично десеріалізує вхідні дані. Обробка файлів Bitrix AJAX здійснюється через $this->getRequest()->getFile('image'), результат — об'єкт \Bitrix\Main\Web\Upload\UploadedFile з методами валідації типу та розміру.

Для пагінації використовується вбудований об'єкт \Bitrix\Main\Engine\Response\DataType\Page:

public function getListAction(int $page): \Bitrix\Main\Engine\Response\DataType\Page
{
    $pageSize = 20;
    $items = ProductTable::getList([
        'limit'  => $pageSize,
        'offset' => ($page - 1) * $pageSize,
    ])->fetchAll();

    return new \Bitrix\Main\Engine\Response\DataType\Page('items', $items, fn() => ProductTable::getCount());
}

Переваги міграції з ajax.php

Міграція на контролери D7 дозволяє скоротити час на налагодження на 50%. Замість розрізнених скриптів — єдиний клас з тестами. Один з наших клієнтів після міграції знизив кількість інцидентів, пов'язаних з AJAX, з 10 до 2 на місяць. Ми допомагаємо виконати міграцію поступово, починаючи з найнавантаженіших точок. Детальніше про CSRF.

Тестування контролерів без HTTP

Для тестування не потрібен веб-сервер. Створюємо mock об'єкта Request, викликаємо run() — все як у звичайному PHPUnit. Це дозволяє писати unit-тести на кожну дію. Ми використовуємо такий підхід на всіх проєктах і даємо гарантію на тестове покриття. Детальніше про PHPUnit. Також API каталогу Bitrix D7 дозволяє отримувати товари без зайвих запитів.

Що входить у розробку під ключ

Терміни розробки

Компанія Truetech має 10+ років досвіду, 50+ успішних проектів на 1С-Бітрікс, і на ринку з 2013 року. Зателефонуйте нам для консультації — ми оцінимо ваш проект і запропонуємо оптимальне рішення. Замовте розробку AJAX-контролерів і позбудьтеся legacy-скриптів.

Розробка та налаштування модулів 1С-Бітрікс

Головна пастка Бітрікса — init.php. Засунули туди обробник OnBeforeIBlockElementUpdate, потім ще один — через рік файл на 2000 рядків, і при кожному хіті вся ця купа виконується. Ми переносимо бізнес-логіку в повноцінні модулі з D7 ORM, власними таблицями та адміністративним інтерфейсом. Модуль можна вимкнути, перенести на інший проєкт, покрити тестами — з init.php нічого з цього не вийде. Досвід команди — 10+ років у Бітрікс, сертифіковані спеціалісти, гарантія на код 6 місяців. Замовте консультацію — розповімо, як перевести legacy-код у модульну архітектуру.

Як модульна архітектура підвищує продуктивність?

Чому init.php — найгірше місце для бізнес-логіки?

Init.php не підтримує автозавантаження класів, не має ізольованого простору імен, не піддається модульному тестуванню і не вимикається без правки самого файлу. Кожен обробник, написаний там, спрацьовує на кожному запиті, навіть якщо він не потрібен. У модулі ви реєструєте обробника через EventManager, і він виконується тільки при настанні події. Різниця в продуктивності — до 3 разів при 10+ обробниках.

Стандартні модулі: типові проблеми та рішення

Інформаційні блоки. Архітектура ІБ — перше, що ми рев'юїмо на будь-якому проєкті. Класична помилка: один інфоблок каталогу з 80 властивостями, з яких 30 — множинні. Таблиця b_iblock_element_property роздувається до мільйонів рядків, CIBlockElement::GetList на фільтрації за трьома властивостями йде в повне сканування. Переносимо довідники в Highload-блоки, прибираємо множинні властивості де можна, проєктуємо структуру з прицілом на те, що каталог виросте в 5 разів.

Інтернет-магазин (sale). Бізнес-правила кошика — окрема історія. Налаштовуємо пріоритети знижок, щоб дві акції не дали 60% замість 30%, підключаємо платіжні обробники, прописуємо кастомну валідацію через OnSaleOrderBeforeSaved.

Пошук. Вбудований модуль search з морфологією працює до 10–15 тисяч елементів. Далі — Elasticsearch. Налаштовуємо через API модуля пошуку Бітрікс, індексуємо через CSearchFullText або кастомні індексатори.

Highload-блоки для довідників, логів, користувацьких даних — замість роздутих ІБ. Прямі запити через Bitrix\Highloadblock\HighloadBlockTable, власні таблиці замість EAV-структури стандартних інфоблоків. Мільйон записів — без деградації.

Поштові події. Налаштування — не лише шаблони в b_event_message. Головне — SPF, DKIM, DMARC на DNS, інакше транзакційні листи летять у спам. Перевіряємо доставність, налаштовуємо bounce-обробку.

Проектування інфоблоків для продуктивності

Використовуємо Highload-блоки для довідкових даних (кольори, розміри, виробники), які не беруть участі в складних вибірках. Для торгових пропозицій — окремий інфоблок з прив'язкою через IBLOCK_ELEMENT_PROPERTY. Увімкнемо INDEX_PROPERTY для часто фільтрованих властивостей. Кешування теговане: при зміні елемента скидається лише пов'язаний кеш. Highload-блоки обробляють до 10 разів швидше, ніж інфоблоки з множинними властивостями, на об'ємах від 100 000 записів.

Розробка кастомних модулів

Кожен модуль — за структурою /local/modules/vendor.modulename/:

• install/index.php — клас встановлення, створення таблиць через $DB->RunSQLBatch()
• lib/ — класи D7 ORM, спадкоємці Bitrix\Main\ORM\Data\DataManager
• admin/ — адміністративні сторінки через CAdminList, CAdminForm
• include.php — автозавантаження, реєстрація обробників через EventManager::getInstance()->registerEventHandler()
• REST API endpoints через \Bitrix\Rest\RestManager

Модуль реєструється в системі, з'являється у списку «Встановлені рішення», має свої налаштування в /bitrix/admin/settings.php?mid=vendor.modulename. Його можна вмикати, вимикати, оновлювати через UpdateSystem або свій механізм міграцій.

Приклади реалізованих завдань:

• Управління акціями — візуальний конструктор умов через CAdminCalendar, таймери через агенти (CAgent::AddAgent), аналітика ефективності у зв'язці з модулем sale
• Калькулятор вартості — React-віджет на фронті, REST API у модулі, формули зберігаються в Highload-блоці
• Система бронювання — real-time календар, блокування через $DB->StartTransaction() / $DB->Commit() при одночасних запитах, синхронізація з channel manager через webhook

Компоненти та композитний кеш

Кастомізація компонентів — через result_modifier.php і component_epilog.php, не через правку template.php стандартного шаблону. Так ядро оновлюється безболісно.

Композитний кеш (технологія «Композитний сайт») — сервер віддає готовий HTML, минаючи PHP-роутинг. Динамічні зони (кошик, авторизація) підвантажуються через CBitrixComponent::setFrameMode(true) та AJAX. TTFB падає до 30–50 мс. Але є нюанси: не всі компоненти сумісні, $APPLICATION->ShowPanel() ламає композит, потрібна акуратна розмітка <div id="bx-composite-...">.

Маркетплейс: аудит перед встановленням

Перед встановленням модуля з маркетплейсу — обов'язковий аудит. Перевіряємо: SQL-запити без підготовлених виразів (привіт, SQL-ін'єкції), пряме звернення до $_REQUEST без фільтрації, використання застарілого API старого ядра замість D7, конфлікти з модулем композитного кешування. Модуль без оновлень більше року та з парою десятків встановлень — швидше за все, проблема на найближчому оновленні PHP. Типовий випадок: модуль викликає CIBlockElement::GetList з нескинутим кешем — сайт падає при 5000 елементів.

Міграція на D7

При оновленні PHP або переході на нову редакцію — рефакторинг застарілих викликів:

• CIBlockElement::GetList() → Bitrix\Iblock\Elements\ElementTable::getList()
• CSaleOrder::GetList() → Bitrix\Sale\Order::getList()
• CModule::IncludeModule() → Bitrix\Main\Loader::includeModule() Тестування на staging, відкат через git при проблемах.

Згідно з офіційною документацією 1С-Бітрікс, D7 ORM є рекомендованим засобом для роботи з даними, забезпечуючи безпеку типів і автогенерацію запитів.

Порівняння підходів: Init.php vs Модуль

Вартість та склад розробки модулів

Що входить у розробку модуля?

• Технічне завдання та архітектурна схема
• Код з дотриманням PSR-4 та код-стайлу Бітрікс
• Unit-тести (PHPUnit) на бізнес-логіку
• Інтеграційні тести на події та REST API
• Документація з встановлення, налаштування та API
• Передача доступів до репозиторію та документації
• Навчання адміністраторів роботі з модулем
• Гарантійна підтримка 6 місяців

Орієнтовні терміни та складність:

Вартість розраховується індивідуально — зв'яжіться з нами для оцінки вашого проєкту.

Тестування модулів

Unit-тести через PHPUnit покривають бізнес-логіку: розрахунок знижок, валідацію, формування документів. Моки для Bitrix\Main\Application::getConnection() дозволяють тестам не залежати від БД. Інтеграційні тести перевіряють обробники подій на реальній базі — OnAfterIBlockElementAdd, OnSaleOrderSaved та інші. REST API endpoints тестуємо через curl або PHPUnit HTTP-клієнт. Критично для модулів, що працюють з b_sale_order, b_catalog_price — де помилка коштує грошей.

Сумісність перевіряється на PHP 7.4, 8.0, 8.1, 8.2 та редакціях: Стандарт, Малий бізнес, Бізнес. Перевіряємо конфлікти з популярними модулями маркетплейсу — вони люблять перехоплювати ті самі події. Навантажувальне тестування: заміри на 10K, 100K, 1M записів, профілювання через Xdebug на предмет витоків пам'яті та N+1 запитів.

Приклади з практики

Модуль акцій для мережі електроніки. Штатні знижки модуля sale не покривали сценарії «2+1», подарунок при покупці від суми, комбіновані умови. Зібрали візуальний конструктор: маркетолог створює правила через drag-and-drop, без тікетів у розробку. Календар акцій, автодеактивація через агенти, аналітика у прив'язці до b_sale_order — конверсія, середній чек, кількість застосувань. Час запуску нової акції впав з двох днів до півгодини.

Калькулятор для будівельників. Параметри (площа, матеріали, поверховість) → формула → попередній кошторис → заявка в CRM через CRest::call('crm.lead.add'). Регіональні коефіцієнти та сезонні націнки — з Highload-блоку, ціни матеріалів — з обміну з 1С. Кількість цільових заявок зросла на третину: клієнти бачать розбивку за статтями до дзвінка менеджеру.

Бронювання для мережі готелів. Real-time доступність через AJAX-запити до кастомної таблиці vendor_booking_slots, розрахунок тарифів за сезоном, синхронізація з Booking.com через channel manager API. Блокування номера при одночасному бронюванні — через SELECT ... FOR UPDATE у транзакції. Таймзони обробляються через \DateTimeZone — гість із Владивостока та менеджер із Москви бачать одну картину.

Оцінимо проєкт за 1 день. Пишіть — розповімо, що входить у розробку під ключ. Зв'яжіться з нами для консультації за вашим проєктом. Замовте розробку модуля під ключ — отримайте готове рішення з документацією та підтримкою.