Безопасность локального приложения в коробке

Приложение установлено локально и лежит на том же сервере, что портал. Это ещё не означает, что его PHP-обработчик доступен только сотрудникам: URL может открываться напрямую.

У обработчика в контексте коробки должны быть подключены пролог, проверка авторизации и проверка прав на конкретное действие. Для запросов из пользовательской сессии, меняющих данные, нужна защита от CSRF. check_bitrix_sessid() проверяет токен сессии, но не заменяет проверку CRM-прав.

Если приложение получает OAuth-запросы извне, авторизацию нужно строить по этому протоколу. Нельзя переносить в такой обработчик предположение «пользователь уже вошёл в портал».

Отдельно проверьте обращения по ID. Подмена deal_id в запросе не должна открывать соседнюю сделку, недоступную пользователю. Скрытая кнопка в интерфейсе такую проверку не обеспечивает.