Back4App Parse Class级权限设置：如何限制仅指定用户列表可操作

完全可以实现仅指定用户列表可操作目标Class的需求，以下是两种可落地的实现方式：

方案1：基于Class级权限（CLP）配置（适合用户列表固定的场景） #

该方案无需编写代码，直接在Back4App控制台操作即可完成配置：

• 进入Back4App控制台，打开目标App的「Dashboard」，找到需要配置权限的Class
• 点击Class右上角的「Security」按钮进入权限配置页
• 先将所有公开权限（Public Read、Public Write等所有公开选项）全部取消勾选
• 找到「User Access」板块，点击「Add User」，逐个将允许访问的用户添加到列表中
• 分别给每个添加的用户勾选对应的读、写、删除等你需要开放的操作权限，保存即可
  注意：这个方案适合允许访问的用户名单长期固定、不会频繁变更的场景，如果需要动态更新允许列表，推荐使用方案2

方案2：基于Cloud Code钩子校验（适合用户列表动态变更的场景） #

如果允许访问的用户列表需要经常调整，或者你想把允许列表存在另一个配置Class里统一管理，可以用Cloud Code的前置钩子做校验：

1. 先把目标Class的CLP配置里的所有公开权限关闭，仅保留「Master Key」权限和已添加的管理员权限
2. 创建一个用来存储允许访问用户列表的配置Class，比如命名为AllowedClassUsers，字段包含：targetClassName（字符串类型，存储要控制权限的Class名）、allowedUser（Pointer类型，指向_User表）
3. 在你的Cloud Code文件中添加对应Class的前置钩子，示例代码如下：

// 针对写操作的校验
Parse.Cloud.beforeSave('你的目标Class名', async (req) => {
  // 校验请求是否来自已登录用户
  if (!req.user) throw new Parse.Error(401, '未登录用户无权操作');
  // 主密钥请求直接放行（适配管理员后台操作）
  if (req.master) return;
  
  // 查询当前用户是否在允许列表中
  const query = new Parse.Query('AllowedClassUsers');
  query.equalTo('targetClassName', '你的目标Class名');
  query.equalTo('allowedUser', req.user);
  const isAllowed = await query.first({ useMasterKey: true });
  
  if (!isAllowed) throw new Parse.Error(403, '你不在该资源的允许访问列表中，无权操作');
});

// 如果需要控制读/查询权限，添加beforeFind钩子
Parse.Cloud.beforeFind('你的目标Class名', async (req) => {
  if (!req.user) throw new Parse.Error(401, '未登录用户无权查询');
  if (req.master) return;
  
  const query = new Parse.Query('AllowedClassUsers');
  query.equalTo('targetClassName', '你的目标Class名');
  query.equalTo('allowedUser', req.user);
  const isAllowed = await query.first({ useMasterKey: true });
  
  if (!isAllowed) throw new Parse.Error(403, '你不在该资源的允许访问列表中，无权查询');
});

• 你可以按需添加beforeDelete等其他钩子覆盖所有需要管控的操作
• 后续要调整允许列表时，只需要增删AllowedClassUsers表中的对应记录即可，无需修改代码或重新配置CLP

注意事项 #

• 两种方案都建议保留主密钥（Master Key）的操作权限，避免配置错误导致管理员也无法操作数据
• 如果你需要分角色管控，也可以结合Parse的Role表做权限分组，将同一权限等级的用户加入同一个Role，给Role开放对应Class的访问权限，比逐个添加用户效率更高

内容的提问来源于stack exchange，提问作者Oleksandr Matrosov