技术咨询：表单编辑权限规则——仅登录用户可编辑及互斥访问机制

针对你提到的咨询表单编辑权限规则，我分享一套实战性的实现思路，从后端控制到前端交互都覆盖到：

1. 仅已登录用户拥有编辑权限 #

这是基础的身份校验逻辑，前后端要做双重保障，避免绕过前端限制的情况：

• 后端层面：在所有表单编辑相关的接口（比如获取可编辑表单、提交修改、锁定表单）中，先校验用户登录状态。可以用Session会话或者JWT令牌判断，若用户未登录，直接返回401 Unauthorized状态码，拒绝后续操作。
  示例代码（Node.js/Express）：

  // 登录校验中间件
  const requireAuth = (req, res, next) => {
    // 这里根据你的登录校验逻辑调整，比如检查session或JWT
    if (!req.session.userId && !req.headers.authorization) {
      return res.status(401).json({ message: "请先登录后再进行编辑操作" });
    }
    next();
  };
  
  // 把校验中间件应用到编辑接口
  app.put("/api/forms/:id/edit", requireAuth, (req, res) => {
    // 处理表单编辑的业务逻辑
  });
  

• 前端层面：在路由跳转前做拦截（比如Vue的路由守卫、React的PrivateRoute组件），未登录用户直接跳转到登录页；同时把编辑按钮设为禁用状态，避免无效点击。

2. 同一表单的独占编辑控制 #

核心是实现表单锁定机制，确保同一时间只有一个用户能编辑，避免多人冲突。具体可以这么落地：

核心思路 #

在数据库中新增一个表单锁定表（或者在原表单表中新增字段），存储以下关键信息：

• form_id：关联的目标表单ID
• locked_by：锁定该表单的用户ID
• locked_at：锁定时间戳
• expires_at：锁定过期时间（防止用户异常退出导致锁一直占用）

具体流程 #

• 用户进入编辑页时：
  前端发起请求到后端检查表单锁定状态：
  • 若未锁定：后端将表单锁定给当前用户，设置过期时间（比如30分钟），返回成功，允许用户开始编辑。
  • 若已锁定：检查锁定用户是否为当前用户，是则刷新过期时间并允许继续编辑；否则返回提示（比如“该表单正在被用户XXX编辑，请稍后再试”）。
• 用户退出编辑时：
  • 正常关闭页面/登出：前端监听beforeunload事件，发起解锁请求，后端清除锁定状态。
  • 异常退出：后端通过定时任务扫描过期的锁定记录，自动释放锁，避免死锁。
• 实时状态提示：前端可以通过轮询（比如每30秒请求一次锁定状态）或者WebSocket，实时更新表单锁定状态，给用户及时反馈。

示例代码（后端锁定接口） #

app.post("/api/forms/:id/lock", requireAuth, async (req, res) => {
  const { id: formId } = req.params;
  const userId = req.session.userId;

  // 查询当前表单的有效锁定记录
  const lockRecord = await db.query(
    "SELECT * FROM form_locks WHERE form_id = ? AND expires_at > NOW()",
    [formId]
  );

  if (lockRecord.length > 0) {
    if (lockRecord[0].locked_by === userId) {
      // 是当前用户锁定的，刷新过期时间
      await db.query(
        "UPDATE form_locks SET expires_at = DATE_ADD(NOW(), INTERVAL 30 MINUTE) WHERE form_id = ?",
        [formId]
      );
      return res.json({ success: true, message: "可以继续编辑表单" });
    } else {
      // 其他用户锁定了表单
      return res.status(403).json({ message: "该表单正在被其他用户编辑，请稍后再试" });
    }
  } else {
    // 未锁定，创建新的锁定记录
    await db.query(
      "INSERT INTO form_locks (form_id, locked_by, locked_at, expires_at) VALUES (?, ?, NOW(), DATE_ADD(NOW(), INTERVAL 30 MINUTE))",
      [formId, userId]
    );
    return res.json({ success: true, message: "已锁定表单，开始编辑" });
  }
});

额外优化点 #

• 给用户显示锁定剩余时间，提升体验；
• 开放管理员“强制解锁”权限，应对特殊情况；
• 前端在编辑过程中定时刷新锁定过期时间，避免中途锁失效。

内容的提问来源于stack exchange，提问作者Mainul Hasan