ABP.IO：如何基于租户功能特性隐藏对应权限项？

1. 在权限列表接口中动态过滤权限 #

PermissionDefinitionProviderImpl 是应用启动时初始化全局权限定义的地方，只会执行一次，没法做租户级别的动态校验。所以得在获取权限列表的后端接口里，每次请求时检查当前租户的功能启用状态，过滤掉未启用功能对应的权限。

以ABP框架为例，你可以重写权限管理AppService的GetPermissionsAsync方法：

public override async Task<PagedResultDto<PermissionGrantInfoDto>> GetPermissionsAsync(GetPermissionsInput input)
{
    var baseResult = await base.GetPermissionsAsync(input);
    var tenantId = CurrentTenant.Id;

    if (tenantId.HasValue)
    {
        var featureChecker = LazyServiceProvider.LazyGetRequiredService<IFeatureChecker>();
        // 检查FeatureA是否启用，禁用则过滤ScreenA相关权限
        if (!await featureChecker.IsEnabledAsync("FeatureA", tenantId.Value))
        {
            baseResult.Items = baseResult.Items.Where(p => !p.Name.StartsWith("ScreenA.")).ToList();
        }
        // 同理处理FeatureB
        if (!await featureChecker.IsEnabledAsync("FeatureB", tenantId.Value))
        {
            baseResult.Items = baseResult.Items.Where(p => !p.Name.StartsWith("ScreenB.")).ToList();
        }
    }

    return baseResult;
}

2. 拦截权限分配请求，防止非法操作 #

光过滤展示还不够，得在权限分配的接口里加校验，避免有人通过恶意请求给禁用Feature的租户分配对应权限：

public override async Task UpdatePermissionsAsync(UpdatePermissionsInput input)
{
    var tenantId = CurrentTenant.Id;

    if (tenantId.HasValue)
    {
        var featureChecker = LazyServiceProvider.LazyGetRequiredService<IFeatureChecker>();
        // 检查是否要分配ScreenA权限，若FeatureA未启用则报错
        var hasScreenAPerms = input.Permissions.Any(p => p.Name.StartsWith("ScreenA."));
        if (hasScreenAPerms && !await featureChecker.IsEnabledAsync("FeatureA", tenantId.Value))
        {
            throw new BusinessException("FeatureA未启用，无法分配ScreenA相关权限");
        }
        // 同理处理FeatureB
        var hasScreenBPerms = input.Permissions.Any(p => p.Name.StartsWith("ScreenB."));
        if (hasScreenBPerms && !await featureChecker.IsEnabledAsync("FeatureB", tenantId.Value))
        {
            throw new BusinessException("FeatureB未启用，无法分配ScreenB相关权限");
        }
    }

    await base.UpdatePermissionsAsync(input);
}

3. 前端辅助过滤（可选） #

为了优化用户体验，前端可以先获取当前租户的功能启用状态，在渲染权限页面时直接隐藏对应功能的权限项，避免用户看到无法操作的内容。

核心逻辑说明 #

全局权限定义是静态的，没法针对每个租户动态调整。必须在权限的获取和分配这两个用户交互的核心环节，针对当前请求的租户做实时的功能状态校验，实现动态的权限可见性控制。

内容的提问来源于stack exchange，提问作者spiralni