Заметки
Права каталога: просмотр, цены и изменение — отдельные проверки
У товара есть несколько независимых действий: посмотреть карточку, изменить описание, увидеть закупочную цену, провести складской документ. Требование «закрыть каталог» лучше разложить на эти операции.
В коробке дополнительно проверьте свои обработчики и REST-методы. Код, работающий под административным контекстом, может вернуть данные в обход того ограничения, которое видно в интерфейсе.
Проверяйте не только страницу списка, но и прямое открытие товара по ID, выгрузку и приложение. Если запрет реализован лишь скрытием колонки, данные могут оставаться в JSON-ответе.