基于Django Rest Framework的层级角色与权限管理技术问询

一、高效管理层级化角色权限 #

1. 搭建适配层级的角色权限模型 #

• 采用RBAC（基于角色的访问控制）+ 层级继承的组合方式：
  • 先定义顶层角色的基础权限：比如服务提供者的管理员拥有全平台权限，客户管理员负责所属客户域内的所有权限。
  • 区域/站点级子角色直接继承父角色的权限，再根据层级添加范围限制——比如区域操作员仅能操作所属区域内的任务，无法跨区域执行操作。
• 拆分权限颗粒度：将权限划分为「数据查看权」「操作执行权」「配置修改权」三类，每个角色对应不同的权限组合，比如报告员仅拥有报表查看的权限，无操作或配置权限。

2. 设计合理的存储与校验逻辑 #

• 数据库核心表设计：
  • 四张核心表：users（存储用户基本信息，标记用户类型为服务提供者/客户）、roles（角色表，包含角色层级、父角色ID、所属用户类型）、permissions（权限表，存储权限编码与描述）、role_permissions（角色与权限的关联表）。
  • 给每个角色添加level字段（例如服务提供者=1，客户=2，区域=3，站点=4）和parent_id字段，通过parent_id关联父角色，实现权限的自动继承。
• 权限校验逻辑：
  • 用户发起请求时，先递归查询其所属角色的所有继承权限，再结合用户所在的区域/站点做范围限制——比如站点操作员查询数据时，自动过滤出该站点下的内容。

3. 开发可视化权限配置工具 #

• 配置界面需支持：
  • 按用户类型（服务提供者/客户）筛选角色，以树状图展示层级关系，直观呈现角色的继承链路。
  • 给角色批量分配权限，同时支持单独调整区域/站点级角色的权限，比如给区域服务支持额外开放区域内工单处理的权限。
  • 记录权限变更日志，追踪谁在什么时间修改了哪个角色的权限，便于后续审计排查问题。

二、高效获取层级化数据 #

1. 优化数据库层级数据存储 #

• 选择适配的层级存储模型：
  • 邻接表模型：给区域、站点这类层级数据添加parent_id字段，关联上级节点，适合层级不深的场景，查询子节点时可使用递归SQL（如MySQL的WITH RECURSIVE）。
  • 嵌套集模型：给数据添加left和right字段，通过区间范围快速查询整个子树，适合层级较深、需频繁查询子树数据的场景。
• 业务数据关联层级：在任务、报表等业务数据表中添加region_id或site_id字段，直接关联对应的层级节点，方便按层级过滤数据。

2. 提升数据查询效率 #

• 缓存常用层级数据：将区域-站点树这类高频使用的层级结构缓存到Redis中，避免每次查询都递归访问数据库，大幅提升查询速度。
• 开发分级查询接口：
  • 提供按层级查询的接口，例如/api/data?level=site&site_id=xxx，直接返回指定站点下的所有业务数据。
  • 针对跨层级的汇总数据查询，先通过一次递归获取所有子节点ID，再批量查询业务数据，减少数据库访问次数。

3. 自动实现数据权限过滤 #

• 在接口拦截器中注入权限逻辑：用户是区域操作员时，查询数据自动添加where region_id = 用户所属区域ID的过滤条件，无需在每个业务接口中重复编写过滤代码。
• 支持权限范围叠加：服务提供者管理员可查看全平台所有层级的数据，客户管理员可查看所属客户下所有区域、站点的数据，区域管理员仅能查看所属区域内的站点数据，层级越高权限范围越大。

内容的提问来源于stack exchange，提问作者Jiwan Gharti