同类型RBAC权限模型最佳实践与客户端权限校验方案咨询

核心思路 #

服务端侧提前完成所有递归、去重逻辑，将用户最终生效的权限集合拍平后同步到客户端，客户端仅做简单的存在性校验，完全规避递归计算、冗余请求、内存占用过高的问题。

具体实现步骤 #

1. 服务端新增权限拍平逻辑 #

• 仅在用户权限发生变更的节点触发计算：包括用户登录、角色绑定关系调整、角色权限配置更新、promote晋升事件触发这几个场景，其余时间不需要重复计算。
• 计算逻辑：递归遍历用户关联的所有角色、所有角色继承链上的角色，汇总所有绑定的权限点后去重，输出一维字符串数组，比如["user:create", "order:delete", "dashboard:view"]。nextRole字段属于服务端晋升逻辑的专属字段，不需要纳入权限集合计算，客户端也无需感知。
• 拍平后的权限集合通常只有几十到上百个字符串，整体体积仅几KB，完全不存在内存占用过高的问题。

2. 客户端同步方案二选一 #

• 方案A：嵌入JWT Payload：拍平后的权限集合体积极小，完全可以直接放到Access Token的Payload中签发，登录后客户端解码JWT即可拿到完整权限列表，不需要额外发起任何接口请求。权限点属于业务规则配置，不存在敏感数据泄露风险。
• 方案B：单次接口拉取：如果不想增大JWT体积，可以在登录完成后调用1次getUserPermissions接口获取拍平后的权限数组，存储到前端状态管理库（如Redux、Pinia）或localStorage中即可，全程仅需要发起1次请求，权限变更时再主动调用刷新。

3. 客户端校验逻辑 #

封装通用校验方法，直接做存在性判断即可，没有任何递归计算开销：

// 示例实现
const userPermissions = [] // 从本地存储/状态管理器中取
function hasPermission(permCode: string): boolean {
  return userPermissions.includes(permCode)
}

前端路由拦截、按钮可见性控制、操作前置校验都可以直接调用该方法，性能损耗可以忽略不计。

问题对应解法 #

• 无需每次校验都发请求：权限全量存储在客户端本地，所有校验走本地逻辑，无额外接口开销。
• 无需客户端处理继承递归：所有角色继承、多角色聚合逻辑全部在服务端侧完成，客户端仅拿到最终生效的权限集合，完全感知不到底层RBAC的复杂规则。
• 无冗余数据：返回给客户端的只有用户实际持有的权限点字符串，没有角色关联关系、继承链等冗余数据，存储和读取效率极高。

可选优化点 #

如果业务权限点量级超过千级，可以用BitMap压缩权限存储，每个权限点对应一个Bit位，进一步降低存储体积和校验耗时。

内容的提问来源于stack exchange，提问作者Jordan Renaud