Максим Ткачев

$product_id = $_POST['product_id'];
$product_options = $_POST['options'];
$product_key = md5($product_id.serialize($product_options));

$products[$product_key] = [..........];

Из коробки пока никак. Можете скомпилировать сущность со свойствами на лету и через рантайм секцию в гет-листе её добавить к выборке.

Пример (для свойств в отдельной таблице):

//<?php

\Bitrix\Main\Loader::includeModule('iblock');

$iblockId = 155;

$entityPropsSingle = Bitrix\Main\Entity\Base::compileEntity(
    sprintf('PROPS_SINGLE_%s', $iblockId),
    [
        'IBLOCK_ELEMENT_ID' => ['data_type' => 'integer'],
        'PROPERTY_1020' => ['data_type' => 'integer'],
    ],
    [
        'table_name' => sprintf('b_iblock_element_prop_s%s', $iblockId),
    ]
);

\Bitrix\Main\Application::getConnection()->startTracker();

$result = \Bitrix\Iblock\ElementTable::getList([
    'select' => [
        'ID',
        'NAME',
        'PROPS_SINGLE.*',
    ],
    'filter' => [
        '>PROPS_SINGLE.PROPERTY_1020' => 0,
    ],
    'order' => [
        'PROPS_SINGLE.PROPERTY_1020' => 'ASC',
    ],
    'runtime' => [
        'PROPS_SINGLE' => [
            'data_type' => $entityPropsSingle->getDataClass(),
            'reference' => [
                '=this.ID' => 'ref.IBLOCK_ELEMENT_ID'
            ],
            'join_type' => 'inner'
        ],
    ],
]);

// Можно смотреть сформированный запрос
echo '<pre>', $result->getTrackerQuery()->getSql(), '</pre>';

echo '<pre>';print_r($result->fetchAll());echo '</pre>';

Мне надо проверить что запрос несет в себе json и определенный header, что бы ни кто просто так не мог запросы кидать

исторически это делают через авторизацию

Добавить basic auth либо на стороне веб сервера либо прямо в php дело нескольких строчек. Для отправки запроса практически любой библиотекой можно пользоваться следующим форматом url - http://user:password@site.com/path (даже php file_get_contents поддерживает)

Ну и самое простое - по токену
токен это буквально пароль, который либо прописан в конфигах/исходниках твоего сервиса либо выдается сервисом авторизации на время. Этот токен можно указывать либо в заголовках (тогда для отправки запроса нужно этот заголовок установить или еще проще - разместить этот токен прямо в запросе, т.е. site.com/doit?auth=secret_password

Если протокол общения с твоим сервером будет https никто не сможет узнать ни логин пароль, ни токен авторизации, не имея доступа к машине с которой они вызываются