Стандартное ограничение доступа по чтению (в частности по справочнику Физические лица) имеет такой кусок запроса

(НЕ 1 В
  (ВЫБРАТЬ ПЕРВЫЕ 1
      1
   ИЗ
      РегистрСведений.НазначениеВидовОбъектовДоступа КАК НазначениеВидовОбъектовДоступа
                 
       ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.НастройкиПравДоступаПользователей КАК НастройкиПравДоступаПользователей
       ПО
                           НастройкиПравДоступаПользователей.ОбъектДоступа = ЕСТЬNULL(ТекущаяТаблица.ГруппаДоступаФизическогоЛица, ЗНАЧЕНИЕ(Справочник.ГруппыДоступаФизическихЛиц.ПустаяСсылка))
            И НастройкиПравДоступаПользователей.ВидОбъектаДоступа = НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа
            И НастройкиПравДоступаПользователей.ОбластьДанных = ЗНАЧЕНИЕ(Перечисление.ОбластиДанныхОбъектовДоступа.ФизическиеЛицаДанные)
            И НастройкиПравДоступаПользователей.Пользователь = ГруппыПользователей.ГруппаПользователей
         ГДЕ                
            НазначениеВидовОбъектовДоступа.ГруппаПользователей = ГруппыПользователей.ГруппаПользователей
             И НазначениеВидовОбъектовДоступа.ВидОбъектаДоступа = ЗНАЧЕНИЕ(Перечисление.ВидыОбъектовДоступа.ФизическиеЛица)
             И НастройкиПравДоступаПользователей.ОбъектДоступа ЕСТЬ NULL))

не могу разобраться как оно работает. в частности почему отбрасываются не нужные элементы.

а где хоть один параметр?

Смысл такой
Ищется хотя бы один объект доступа для которого не заданы права доступа.

(2) насколько я понимаю строку

НастройкиПравДоступаПользователей.ОбъектДоступа = ЕСТЬNULL(ТекущаяТаблица.ГруппаДоступаФизическогоЛица, ЗНАЧЕНИЕ(Справочник.ГруппыДоступаФизическихЛиц.ПустаяСсылка))

то если у элемента (физ лица) не заполнено значение, то никак не получится ничего выбрать.

Не заполнена группа доступа у физ лица?
Получится, надо дать права к пустому значению.

разобрался

в плане образования - в вышеописанном куске запроса что в первую очередь отрабатывается ПО или ГДЕ?

А это стандартный РЛС? просто меня "(НЕ 1 В" смущает. "В" в РЛС не работает

(6) это из стандартного УПП. Там эта конструкция повсеместно.
А "В" обращается к результатам подзапроса (насколько я понимаю).

"В" работает, а вот "В ИЕРАРХИИ" не работает.

(8) точно. звиняюсь тогда :)

(9) то есть в RLS нельзя сделать выборку элементов подчиненных определенной группе?

(10) приходится делать связки через родитель.родитель.родитель.... и т.д на столько уровней сколько нужно.

(11) а если не известно сколько уровней? вставлять на всякий случай до предполагаемого максимального уровня?

(12) угу. сколько уровней столько строк в условии. я както три поставил клиент звонил поменял на 6 больше не звонит.

(13) спасибо. как раз хотел конструкцию через "В ИЕРАРХИИ" делать. хоть время не потеряю.

(14) да тут тем полно про это. моя в том числе :)