Razor Pages中基于用户角色与状态禁用表单输入字段的方案咨询

一、实现方式选择 #

优先选择服务端实现，客户端仅作为优化用户体验的补充，核心依据如下：

• 安全性可控：客户端的disabled属性、前端校验逻辑可以通过浏览器控制台、抓包工具轻易篡改，权限校验逻辑放在服务端才能从根本上避免越权操作
• 维护成本低：50+字段的角色权限、业务状态校验逻辑统一收拢在服务端管理，后续规则变更只需修改一处，不会出现前后端逻辑不一致的问题
• 兼容性更好：服务端渲染阶段直接控制字段状态，不需要依赖前端JS加载，不会出现页面加载过程中权限未生效的临时漏洞

二、服务端实现示例 #

1. 基础多角色+业务状态判断（针对单个字段） #

你原有代码的判断逻辑可以直接扩展，同时加入业务状态校验即可，示例如下：

<select id="DrpDwnFinalApprovalStatus" 
        asp-for="ShipmentProfile.ApproverStatus" 
        asp-items="@Model.Status" 
        class="form-control form-control-sm" 
        disabled="@( !new[] {"UserRoleA","UserRoleB"}.Contains(Model.UserRole) || Model.ShipmentProfile.BusinessStatus == "已锁定" )">
    <option value="">Please Select</option>
</select>

2. 多字段场景封装方案 #

如果字段数量多，重复写判断逻辑冗余度高，可以把权限规则封装成服务端扩展方法，统一管理：
首先编写权限判断扩展类：

public static class PermissionHelper
{
    // 字段可编辑角色配置，支持后续写入配置文件、数据库实现动态调整
    private static readonly Dictionary<string, string[]> FieldRoleRules = new()
    {
        { "ApproverStatus", new[] {"UserRoleA", "UserRoleB"} },
        { "SendAddress", new[] {"UserRoleB", "UserRoleC"} },
        // 其余50+字段的权限规则依次配置即可
    };

    public static bool IsFieldEditable(this PageModel model, string fieldKey)
    {
        // 第一步：通用业务状态校验，比如已归档的单据所有字段不可编辑
        if (model.ShipmentProfile.BusinessStatus is "已归档" or "已取消")
            return false;
        
        // 第二步：匹配字段的角色权限规则
        if (FieldRoleRules.TryGetValue(fieldKey, out var allowedRoles))
        {
            return allowedRoles.Contains(model.UserRole);
        }
        
        // 未配置规则的字段默认不可编辑，可根据业务需求调整默认值
        return false;
    }
}

封装后视图层的代码可以大幅简化，所有字段的权限判断逻辑统一入口：

<select id="DrpDwnFinalApprovalStatus" 
        asp-for="ShipmentProfile.ApproverStatus" 
        asp-items="@Model.Status" 
        class="form-control form-control-sm" 
        disabled="@(!Model.IsFieldEditable("ApproverStatus"))">
    <option value="">Please Select</option>
</select>

注意事项 #

表单提交到服务端时，需要再次对字段权限做校验，不要因为前端禁用字段就默认用户不会提交非法值，避免抓包篡改请求的越权操作。

内容的提问来源于stack exchange，提问作者Teena