.Net Core REST API如何基于用户部门管控文档Endpoint访问权限

.Net Core 下按部门实现文档接口权限管控的落地方案 #

你提到的多层关联时逐层遍历关联表到人员部门表的方案，维护成本和查询性能都会随着业务关联层级加深快速劣化，生产环境不建议这么做，以下是经过验证的可直接落地的方案：

方案1：资源归属字段冗余 + EF Core全局查询过滤器（最推荐，覆盖90%常规业务场景）

核心思路是把权限校验需要的部门信息直接冗余到文档实体上，从根源避免多层表关联：

• 给Document表新增BelongDepartmentIds字段，用JSON数组格式存储该文档可访问的所有部门ID，给字段加数据库索引优化查询速度
• 维护这个冗余字段不需要重复写零散逻辑：可以借助EF Core的变更追踪、领域事件机制，当文档关联的中间层级实体（比如文件夹、项目组、文档分类等任意嵌套层级的上级实体）修改归属部门时，自动级联更新其下所有关联文档的BelongDepartmentIds值
• 配置EF Core全局查询过滤器，所有对Document实体的查询会自动拼接部门权限过滤条件，业务代码完全不需要额外写校验逻辑，从根本上避免漏加权限判断的问题，最小实现代码如下：

// 定义当前用户上下文，用来从请求中获取当前登录用户的所属部门ID
public interface ICurrentUserContext
{
    Guid CurrentDepartmentId { get; }
}

// 在DbContext中配置全局权限过滤规则
protected override void OnModelCreating(ModelBuilder modelBuilder)
{
    var currentUserContext = this.GetService<ICurrentUserContext>();
    modelBuilder.Entity<Document>()
        .HasQueryFilter(doc => doc.BelongDepartmentIds.Contains(currentUserContext.CurrentDepartmentId));
}

• 接口层直接用.Net Core原生的授权策略做一层前置拦截即可，整体查询性能和单表权限校验没有区别，后续加多少层关联关系都不需要修改权限核心逻辑。

方案2：闭包表存储归属关系（适合层级极深、归属关系频繁变动的场景）

如果你的文档和部门之间的关联层级超过5层，且归属关系调整非常频繁，冗余字段的级联更新成本变高，可以用闭包表替代冗余字段：

• 单独建一张ResourceDepartmentClosure表，字段包含ResourceId、AncestorDepartmentId、Depth，提前把每个文档对应的所有归属部门ID预存到这张表里，不需要每次查询实时join多层关联
• 查询文档时只需要一次join这张闭包表，判断当前用户部门ID是否在对应文档的关联记录里即可，查询效率远高于逐层遍历关联表
• 维护逻辑和冗余字段方案一致，在上层关联实体变更时增量更新闭包表数据即可。

避坑提醒

• 绝对不要在每次接口请求时实时递归遍历多层关联表做权限校验：高并发场景下会产生大量多表join查询，数据库压力会陡增，且一旦中间某层关联数据出现脏数据，很容易出现越权漏洞。
• 权限校验逻辑不要散落在各个业务接口的代码块中，尽量通过全局过滤器、授权中间件统一处理，避免后续迭代时新写的接口漏加校验。
• 如果后续需要加跨部门授权、人员特殊权限等扩展逻辑，只需要在全局过滤器的判断条件里追加对应的规则即可，不需要重构整体权限架构。

内容的提问来源于stack exchange，提问作者domds