Zend Framework 2：工厂创建表单，如何按角色移除Fieldset元素？

当然可以不用这么麻烦地手动删除字段！我们完全可以把角色权限配置直接写到Fieldset的元素定义里，让表单自动根据用户角色来决定哪些字段显示/可用，不用在控制器里写一堆重复的remove代码。下面给你两种实用的实现方式：

方法一：在Fieldset中内置角色权限配置 #

这种方式把字段的权限规则和字段定义放在一起，逻辑更内聚，维护起来更方便。

步骤1：给字段添加自定义权限选项 #

修改你的Fieldset元素配置，新增allowed_roles选项来指定哪些角色能编辑该字段：

class ZoneDefaultElement extends Fieldset implements InputFilterProviderInterface {
    private $authService;

    public function __construct($name, $entity) {
        parent::__construct($name);

        // 仅admin可编辑的字段
        $this->add([
            'name' => 'title',
            'type' => Element\Text::class,
            'attributes' => [
                'class' => 'form-control',
            ],
            'options' => [
                'label' => 'Title',
                'label_attributes' => [
                    'class' => 'col-sm-2 control-label required',
                ],
                // 新增：指定允许编辑的角色
                'allowed_roles' => ['admin'],
            ],
        ], ['priority' => 1]);

        // admin和client都可编辑的字段
        $this->add([
            'name' => 'description',
            'type' => Element\Textarea::class,
            'attributes' => [
                'class' => 'form-control',
            ],
            'options' => [
                'label' => 'Description',
                'label_attributes' => [
                    'class' => 'col-sm-2 control-label',
                ],
                'allowed_roles' => ['admin', 'client'],
            ],
        ], ['priority' => 2]);
    }

    // 注入身份验证服务
    public function setAuthenticationService(AuthenticationService $authService)
    {
        $this->authService = $authService;
    }

    // 在init方法中过滤字段
    public function init()
    {
        parent::init();

        // 未登录用户直接返回（可根据需求调整逻辑）
        if (!$this->authService->hasIdentity()) {
            return;
        }

        // 获取当前用户的角色列表
        $user = $this->authService->getIdentity();
        $userRoles = $user->getRoles(); // 假设你的用户实体有getRoles()方法返回角色数组

        // 遍历所有字段，移除用户无权限编辑的元素
        foreach ($this->getElements() as $element) {
            $allowedRoles = $element->getOption('allowed_roles');
            // 如果字段设置了权限，且用户角色不在允许列表中，移除该字段
            if ($allowedRoles && !array_intersect($userRoles, $allowedRoles)) {
                $this->remove($element->getName());
                // 同步移除InputFilter中的验证规则
                $inputFilter = $this->getInputFilter();
                if ($inputFilter->has($element->getName())) {
                    $inputFilter->remove($element->getName());
                }
            }
        }
    }

    // 你的InputFilter实现
    public function getInputFilterSpecification()
    {
        return [
            'title' => [
                'required' => true,
                'filters' => [
                    ['name' => StringTrim::class],
                ],
            ],
            'description' => [
                'required' => false,
                'filters' => [
                    ['name' => StringTrim::class],
                ],
            ],
        ];
    }
}

步骤2：给Fieldset注入AuthenticationService #

需要在Fieldset的工厂类中注入身份验证服务，这样才能获取当前用户角色：

class ZoneDefaultElementFactory implements FactoryInterface
{
    public function __invoke(ContainerInterface $container, $requestedName, array $options = null)
    {
        $entity = $options['entity'] ?? null;
        $authService = $container->get(AuthenticationService::class);
        $fieldset = new ZoneDefaultElement('zone_default', $entity);
        $fieldset->setAuthenticationService($authService);
        return $fieldset;
    }
}

方法二：在Form工厂中集中处理权限逻辑 #

如果不想修改Fieldset的代码，可以把权限逻辑集中在Form工厂里，适合权限规则需要统一管理的场景：

class ZoneFormFactory implements FactoryInterface
{
    public function __invoke(ContainerInterface $container, $requestedName, array $options = null)
    {
        $form = new ZoneForm();
        $authService = $container->get(AuthenticationService::class);
        // 获取Fieldset实例
        $fieldset = $container->get(ZoneDefaultElement::class, $options);

        if ($authService->hasIdentity()) {
            $user = $authService->getIdentity();
            $userRoles = $user->getRoles();

            // 定义不同角色的可编辑字段映射
            $roleAllowedFields = [
                'admin' => ['title', 'name', 'message', 'description'],
                'client' => ['description'],
            ];

            // 合并当前用户所有角色的允许字段
            $allowedFields = [];
            foreach ($userRoles as $role) {
                if (isset($roleAllowedFields[$role])) {
                    $allowedFields = array_merge($allowedFields, $roleAllowedFields[$role]);
                }
            }
            $allowedFields = array_unique($allowedFields);

            // 移除不在允许列表中的字段
            foreach ($fieldset->getElements() as $element) {
                if (!in_array($element->getName(), $allowedFields)) {
                    $fieldset->remove($element->getName());
                    // 同步移除InputFilter规则
                    $inputFilter = $fieldset->getInputFilter();
                    if ($inputFilter->has($element->getName())) {
                        $inputFilter->remove($element->getName());
                    }
                }
            }
        }

        $form->add($fieldset);
        return $form;
    }
}

注意事项 #

• 一定要同步处理InputFilter：移除字段后，记得把对应的验证规则也删掉，避免出现不必要的验证错误。
• 权限逻辑放在服务端：不要只在视图层隐藏字段，这样不安全，用户可以通过修改请求参数提交未授权的字段，必须在服务端移除字段和对应的验证规则。

内容的提问来源于stack exchange，提问作者Volo