php语言怎样实现基于角色的访问控制 (RBAC) php语言 RBAC 权限控制的实用教程

is_admin

can_edit_posts

can_review_comments

can_view_all_posts

if (user->is_admin || user->can_edit_posts)

Auth

RbacManager

// 假设用户登录成功后
$_SESSION['user_id'] = $user->id;
// 你可能还会把用户的角色ID也存起来，减少后续查询，但这不是必须的
// $_SESSION['user_roles'] = $userRolesArray;

user_id

class RbacManager
{
    private $userId;
    private $permissions = [];

    public function __construct($userId)
    {
        $this->userId = $userId;
        $this->loadUserPermissions();
    }

    private function loadUserPermissions()
    {
        // 这是一个简化示例，实际中会使用PDO或ORM
        // 查询用户的所有角色
        // SELECT role_id FROM user_roles WHERE user_id = :userId
        $userRoles = $this->getRolesForUser($this->userId); // 假设此方法返回角色ID数组

        if (empty($userRoles)) {
            return;
        }

        // 查询这些角色对应的所有权限
        // SELECT p.name FROM permissions p
        // JOIN role_permissions rp ON p.id = rp.permission_id
        // WHERE rp.role_id IN (:roleIds)
        $rolePermissions = $this->getPermissionsForRoles($userRoles); // 假设此方法返回权限名称数组

        $this->permissions = array_unique($rolePermissions);
    }

    // 假设这些是私有辅助方法，实际中会从数据库获取
    private function getRolesForUser($userId) {
        // ... 数据库查询逻辑，返回 ['admin', 'editor'] 或 [1, 2]
        return ['admin']; // 示例
    }

    private function getPermissionsForRoles(array $roleIds) {
        // ... 数据库查询逻辑，返回 ['post_create', 'post_edit', 'user_view']
        return ['post_create', 'post_edit', 'user_view']; // 示例
    }

    public function can($permissionName)
    {
        return in_array($permissionName, $this->permissions);
    }

    public function hasRole($roleName)
    {
        // 如果需要检查角色，可以扩展 loadUserPermissions 来加载角色名称
        // 或者直接查询 user_roles 表
        return in_array($roleName, $this->getRolesForUser($this->userId)); // 示例
    }
}

// 在应用启动时或需要时实例化
// 假设当前用户ID是 $_SESSION['user_id']
if (isset($_SESSION['user_id'])) {
    $rbac = new RbacManager($_SESSION['user_id']);
} else {
    // 未登录用户，或者创建一个匿名用户RBAC实例，权限为空
    $rbac = new RbacManager(null);
}

// 在控制器或视图中进行权限检查
// 例如，检查用户是否有创建文章的权限
if ($rbac->can('post_create')) {
    // 显示创建文章按钮或表单
    echo "<button>创建新文章</button>";
} else {
    // 隐藏或提示无权限
    echo "您没有权限创建文章。";
}

// 检查用户是否是管理员
if ($rbac->hasRole('admin')) {
    // 显示管理面板
}

can()

// posts/create.php
if (!$rbac->can('post_create')) {
    header('Location: /no-permission');
    exit();
}
// 处理创建文章的逻辑...

// users/delete.php
if (!$rbac->can('user_delete')) {
    // 抛出异常或重定向
    throw new Exception("Access Denied.");
}
// 执行删除用户操作...

can('permission_name')

role_permissions

RbacManager

post_edit_own

post_edit_all