Strapi如何限制非管理员用户仅访问自身创建的数据？

1. 给目标内容类型添加用户关联字段 #

• 进入Strapi后台，打开需要限制的内容类型（如Article）的编辑页面
• 添加关联字段，类型选择用户，关联关系设为多对一（即单条内容归属单个用户），保存后执行数据库迁移

2. 配置普通用户角色的权限过滤规则 #

• 进入后台设置 -> 角色与权限，找到普通用户对应的角色（默认是Authenticated）
• 针对目标内容类型，逐个配置权限：
  • 勾选查找（find）、查找一个（findOne）权限后，点击设置条件
  • 在条件编辑器中，选择新增的用户关联字段（如author），匹配规则选等于，值选择当前用户（Current User）
  • 对更新（update）、删除（delete）权限重复上述条件设置，确保用户仅能操作自己创建的内容
  • 保存所有权限配置

3. 自动关联内容创建者（可选） #

如果希望用户创建内容时自动关联自身，无需手动选择作者，可以通过生命周期钩子实现：

• 找到对应内容类型的生命周期文件（路径示例：./src/api/article/content-types/article/lifecycles.js）
• 添加beforeCreate钩子代码：

  module.exports = {
    async beforeCreate(event) {
      const { data, context } = event;
      // 将当前登录用户ID关联到内容的作者字段
      data.author = context.state.user.id;
    },
  };
  

• 保存后，用户通过API创建内容时会自动绑定自身为创建者

4. 验证配置效果 #

• 使用普通用户账号调用API，比如GET /api/articles，应仅返回该用户创建的内容
• 尝试访问其他用户创建的内容详情，会返回403无权限或空结果

内容的提问来源于stack exchange，提问作者Revansiddh