如何在API层面实现RBAC？适配自定义角色及跨模块共享API场景

一、把权限粒度拆到最细 #

• 拒绝模糊权限定义，直接将每个权限设为「模块ID+操作类型」的格式，比如module:1:read、module:2:write、module:5:delete，确保每个模块的CRUD操作能单独管控，完全匹配“角色关联不同模块独立CRUD权限”的需求
• 角色就是权限的集合：比如给Role1配置module:1:read、module:1:write、module:3:read，给Role2配置module:2:*（表示拥有模块2的所有操作权限）
• 用户绑定多个角色后，权限取所有角色的并集，比如一个用户同时拥有Role1和Role2，就具备两个角色的全部权限

二、给API绑定对应权限规则 #

• 单模块API：直接关联对应模块的操作权限，比如“获取模块1员工列表”接口，要求用户必须拥有module:1:read权限；“修改模块1员工信息”接口，要求module:1:write权限
• 跨模块API：比如“批量同步员工到模块1和模块3”这类接口，直接列出它需要的所有权限，要求用户同时拥有module:1:write和module:3:write权限，缺少任意一个都禁止访问

三、用中间件做权限拦截（附伪代码） #

不管用什么后端框架，都可以写一个通用的权限验证中间件，每次请求先经过该中间件校验：

// 以Node.js Express为例的权限验证中间件
function checkPermissions(requiredPermissions) {
  return (req, res, next) => {
    // 从请求上下文获取当前用户的权限集合（提前从角色合并完成，建议缓存到Redis或会话中）
    const userPermissions = req.user.permissions;
    // 校验是否满足所有必需权限
    const hasAccess = requiredPermissions.every(perm => userPermissions.includes(perm));
    if (!hasAccess) {
      return res.status(403).send("无权限执行此操作");
    }
    next();
  };
}

// 单模块API示例：获取模块1员工列表
app.get('/api/module1/employees', checkPermissions(['module:1:read']), (req, res) => {
  // 业务逻辑实现
});

// 跨模块API示例：同步员工到模块1和模块3
app.post('/api/sync/employees', checkPermissions(['module:1:write', 'module:3:write']), (req, res) => {
  // 业务逻辑实现
});

四、优化权限查询效率 #

• 避免每次请求都查询数据库获取权限，将用户的权限集合缓存到Redis或会话中，当用户角色更新时同步更新缓存
• 超级管理员角色可直接配置module:*:*的通配权限，无需逐个模块添加权限

五、特殊场景处理 #

• 动态权限调整：若允许管理员实时修改角色权限，需确保缓存立即失效，避免用户使用旧权限访问
• 权限测试：上线前需覆盖全场景测试——单模块权限、跨模块权限、无权限、超级管理员权限，确保无漏洞

内容的提问来源于stack exchange，提问作者Joy Gupta