Безопасность чат-бота с доступом к HL-блокам и инфоблокам

Бот, который читает HL-блок или инфоблок, становится ещё одним входом к этим данным. Права на чат сами по себе не определяют, какие записи он может показать.

Сопоставьте отправителя сообщения с пользователем портала и разрешённой операцией. Не принимайте user_id из произвольного текста команды как доказательство личности.

Для поиска задайте серверный набор доступных полей и фильтров. Произвольный SQL или имя таблицы из сообщения боту передавать нельзя.

ORM-запрос к HL-блоку не добавляет бизнес-права вашего приложения автоматически. Ограничение записей должно быть явно частью сервиса, который возвращает ответ боту.