من يجوز له الاطلاع، وعلى ماذا

معظم ضبط الوصول في البرمجيات القانونية زخرفة. تُخفي الشاشة زراً. وتُغفل القائمة خياراً. ولا يرى المحامي المعاون الملف المقيَّد، لأن الواجهة اختارت ألا ترسمه. هذه مجاملة، لا حماية. فالسجل لا يزال قابعاً في قاعدة البيانات، على بُعد طلب واحد مُحكَم الصياغة من كل من تبلغ جلسته الخادم.

لهذا التمييز أهميته لأن الواجهات هي الطبقة الألين في أي نظام. فهي تُعاد كتابتها، ويُلتَف عليها، وتُفحَص. والقاعدة التي لا تُفرَض إلا عند الشاشة قاعدة تتوقف على أن يحترم كل مهندس قادم، وكل مسار تصدير، وكل استعلام مباشر، اتفاقاً قد لا يكونون قد قرأوه قط. وهذا ليس ضبطاً. بل هو رجاء.

السؤال ليس عمّا يُعرَض للدور. السؤال هو عمّا يستطيع الدور بلوغه.

يدير المكتب أيادٍ متمايزة. فالشريك يحمل علاقة الموكِّل والمسؤولية. والمحامي المعاون يصوغ ويدفع الملف قُدُماً. والمساعد القانوني يجمِّع ويودِع. وقسم الفوترة يُعِدّ المال ويُساءَل أمام المدقِّق. كلٌّ يحتاج مدى مختلفاً، ومدى الواحد هو انكشاف الآخر.

في مِرسال، يُرشِّح أمن مستوى الصف (Row-Level Security) في محرِّك قاعدة البيانات كل استعلام بحسب المكتب وبحسب الدور، فيغدو الملف المقيَّد غير مرئي لكل من هو خارج دائرته دون أي مسار يلتفّ عليه من جانب التطبيق. لا يقيم الحدّ في الصفحة. بل يقيم في طبقة واحدة أسفل كل صفحة، وكل تصدير، وكل تقرير، في الموضع الذي تستقر فيه البيانات فعلاً.

تأمّل النتيجة. فالمساعد القانوني الذي يبني فهرس إيداعات لا يستطيع تعداد تكليف مختوم لأحد الشركاء. وموظف الفوترة الذي يُصدِّر بيانات الشهر لا يستطيع إظهار ملف محجوب لأسباب تضارب المصالح. الجدار لا ترسمه القائمة. بل يرسمه المحرِّك الذي يجيب القائمة.

يمتد المبدأ نفسه إلى ما وراء من يقرأ، ليبلغ من يجوز له أن يفعل. فلا يستطيع المحامون المعاونون تفعيل الملفات منفردين؛ إذ تُفرَض بوابة الموافقة من قاعدة البيانات، لا بزرٍّ معطَّل قد تعيد يدٌ متحمسة تفعيله. ويرفض سجل التدقيق التعديل عبر مُطلِقات (triggers) تنطلق قبل كل تحديث وكل حذف، ولكل دور بمن فيهم المسؤولون الإداريون. لا أحد يعدِّل سجل ما جرى، لأن السجل يرفض التعديل عند المستوى الذي تُجرى فيه التعديلات.

السياسة المكتوبة في دليل إرشادي تفضيل. والسياسة المكتوبة في المحرِّك قيد. والفرق هو أن تبقى القاعدة صامدةً بعد الشخص الذي يريد كسرها، أو لا تبقى.