RBAC通过角色中转实现用户权限管理，核心包括用户、角色、权限及关联表；PHP中可创建Auth类查询用户权限并校验，结合数据库或缓存优化性能，适用于页面级和路由级控制。
在PHP开发中，实现用户权限控制常用的是RBAC（Role-Based Access Control，基于角色的访问控制）模型。它通过将权限分配给角色，再将角色赋予用户，从而灵活管理用户的操作权限。这种方式比直接给用户赋权更清晰、易维护。
1. RBAC核心概念与数据库设计
RBAC模型包含四个主要元素：用户（User）、角色（Role）、权限（Permission）、用户-角色关系和角色-权限关系。
基本数据表结构如下：
- users：存储用户信息（id, username, password等）
- roles：角色表（id, name, description）
- permissions：权限表（id, name, route）如：user.view、post.edit
- user_roles：用户与角色的多对多关系（user_id, role_id）
- role_permissions：角色与权限的多对多关系（role_id, permission_id）
2. 权限验证类的实现
创建一个简单的权限检查类，用于判断当前用户是否拥有某项权限。
立即学习“PHP免费学习笔记（深入）”；
class Auth {
private $pdo;
private $userId;
public function __construct($pdo, $userId) {
$this->pdo = $pdo;
$this->userId = $userId;
}
// 获取用户所有权限
public function getPermissions() {
$sql = "SELECT p.name FROM permissions p
JOIN role_permissions rp ON p.id = rp.permission_id
JOIN user_roles ur ON rp.role_id = ur.role_id
WHERE ur.user_id = ?";
$stmt = $this->pdo->prepare($sql);
$stmt->execute([$this->userId]);
return array_column($stmt->fetchAll(), 'name');
}
// 检查是否有某个权限
public function can($permission) {
$permissions = $this->getPermissions();
return in_array($permission, $permissions);
}
}
3. 在页面或路由中使用权限控制
在需要权限校验的地方调用Auth类进行判断。
// 示例：编辑文章页面
session_start();
$userId = $_SESSION['user_id'] ?? null;
if (!$userId) {
die('请先登录');
}
$pdo = new PDO("mysql:host=localhost;dbname=test", "root", "");
$auth = new Auth($pdo, $userId);
if (!$auth->can('post.edit')) {
die('您没有权限编辑文章');
}
echo "可以编辑文章";
4. 扩展建议
实际项目中可做以下优化：
- 将权限缓存到Session或Redis，减少数据库查询
- 支持权限层级，如“post.*”代表所有文章相关权限
- 结合中间件或过滤器，在请求进入前统一做权限检查
- 前端菜单也根据权限动态渲染，避免显示无权访问的入口
基本上就这些。RBAC的核心是解耦用户和权限，通过角色中转，让权限管理更灵活。不复杂但容易忽略细节，比如数据一致性、缓存更新机制等。
