Strapi数据与权限关联配置：后台面板操作及代码实现疑问

一、后台面板配置基础访问权限 #

• 进入后台Settings → Roles & Permissions，选择目标角色（如Authenticated、Editor）
• 在Permissions模块找到router相关权限，勾选find、findOne等需要开放的操作，完成基础的“是否允许访问”控制
• 注：仅靠后台面板只能实现角色对整个表的访问权限，无法做到角色对应特定数据行的过滤，需结合后续方法

二、代码实现数据行过滤（无需逐个表写自定义查询） #

方式1：单表自定义控制器（针对router表） #

修改./src/api/router/controllers/router.js，重写find方法实现角色过滤：

module.exports = {
  async find(ctx) {
    const user = ctx.state.user;
    if (!user) return ctx.unauthorized('请先登录');
    
    // 假设router表有role字段，存储对应角色标识
    const filter = {};
    // 管理员跳过过滤，普通用户仅查看自身角色匹配的路由
    if (user.role.name !== 'Administrator') {
      filter.role = user.role.name;
    }

    const result = await strapi.service('api::router.router').find({
      ...ctx.query,
      where: { ...ctx.query.where, ...filter }
    });
    return result;
  }
};

方式2：全局生命周期钩子（多表通用） #

在./src/index.js添加全局钩子，统一处理指定表的角色过滤：

module.exports = {
  async bootstrap({ strapi }) {
    strapi.db.lifecycles.subscribe({
      models: ['api::router.router'], // 可添加多个表的标识
      beforeFind(event) {
        const { ctx } = event.params;
        if (ctx?.state?.user && ctx.state.user.role.name !== 'Administrator') {
          event.params.where = {
            ...event.params.where,
            role: ctx.state.user.role.name
          };
        }
      }
    });
  }
};

三、可用插件简化配置 #

• Strapi RBAC Plugin：官方角色权限插件，支持字段级、数据级的细粒度权限配置，可在后台直接给角色设置数据过滤规则
• Strapi Filter by Role：第三方插件，无需手写代码，在后台角色配置页即可为每个角色指定对应表的数据过滤条件

四、你的router表实操步骤 #

1. 给router表添加role字段（或关联角色表），标记每条路由对应的角色
2. 后台给Authenticated角色开启router的find权限
3. 选择代码方式或插件方式实现过滤：
   • 用自定义控制器：修改router控制器文件，添加角色匹配逻辑
   • 用插件：安装后在后台角色配置页，给Authenticated角色设置router表的过滤规则（如role == 当前用户角色）
4. 测试：用不同角色的用户登录，携带JWT调用/api/routers，验证返回数据是否符合角色范围

内容的提问来源于stack exchange，提问作者土建华