Вы совершенно правы: всю рутинную работу не относящуюся к логике модуля на себя берет движок. Задача модуля только получить некие входные данные, сформировать ответ и передать его шаблонизатору, опрашивая при этом методы ядра, на предмет интересующей информации. То есть на предмет авторизованности и прав доступа достаточно спросить ядро.
К сожалению, у меня пока не готово описание API для написания модулей. Так что можно просто посмотреть как сделаны те модули, которые идут в комплекте. Если решите писать свой модуль, но я готов ответить на Ваши вопросы.
скажите, а как скоро можно ждать описания API?
дело в том, что я решил сделать достаточно серьезный сайт для нашей компании. там многие вещи придется писать самому (smscontrol, например).