如何限制非管理员用户仅能访问自身ID对应的UserInfo API？

针对你提出的需求——让普通用户只能查看自己的UserInfo数据，管理员可以访问所有用户的信息，核心思路是先验证用户身份，再做权限匹配检查。下面我结合常见的后端开发场景，给出具体的实现步骤和代码示例：

核心前提 #

首先要确保你的User和UserInfo模型之间有明确的一对一关联（比如UserInfo表中包含user_id字段，关联到User表的主键），这样才能准确判断某个UserInfo属于哪个用户。

步骤1：身份验证（获取当前登录用户） #

不管用什么后端框架，第一步都是要确认请求的发起者是谁。最常用的方式是使用JWT令牌：

• 用户登录成功后，后端生成包含用户ID（以及管理员标识）的JWT令牌返回给前端
• 后续前端请求/userinfo/:id时，在HTTP请求头中携带Authorization: Bearer <token>
• 后端先验证令牌的有效性，解析出当前登录用户的ID和权限信息

步骤2：添加权限检查逻辑 #

在处理/userinfo/:id的接口前，加入一个权限检查的中间件（或装饰器），逻辑如下：

1. 检查当前用户是否是管理员，如果是，直接放行（允许访问任何UserInfo）
2. 如果是普通用户，查询请求的:id对应的UserInfo记录
3. 对比该UserInfo关联的用户ID和当前登录用户的ID，只有匹配时才允许访问，否则返回403权限不足

示例1：Node.js + Express 实现 #

假设你用Express框架和Mongoose操作数据库，代码如下：

const jwt = require('jsonwebtoken');
const User = require('./models/User');
const UserInfo = require('./models/UserInfo');

// 1. 身份验证中间件：解析并验证JWT令牌
const authenticateToken = (req, res, next) => {
  const authHeader = req.headers['authorization'];
  const token = authHeader?.split(' ')[1];

  if (!token) return res.sendStatus(401); // 未携带令牌，返回401

  jwt.verify(token, process.env.JWT_SECRET, (err, decodedUser) => {
    if (err) return res.sendStatus(403); // 令牌无效，返回403
    req.currentUser = decodedUser; // 将解析后的用户信息挂载到req对象
    next();
  });
};

// 2. UserInfo权限检查中间件
const checkUserInfoOwnership = async (req, res, next) => {
  // 先判断是否是管理员
  const user = await User.findById(req.currentUser.id);
  if (user.isAdmin) return next();

  // 查询请求的UserInfo记录
  const targetUserInfo = await UserInfo.findById(req.params.id);
  if (!targetUserInfo) {
    return res.status(404).json({ message: 'UserInfo not found' });
  }

  // 检查当前用户是否拥有该UserInfo
  if (targetUserInfo.userId.toString() !== req.currentUser.id) {
    return res.status(403).json({ message: 'You are not authorized to access this resource' });
  }

  next(); // 权限通过，继续执行后续逻辑
};

// 3. 配置路由
app.get('/userinfo/:id', authenticateToken, checkUserInfoOwnership, async (req, res) => {
  const userInfo = await UserInfo.findById(req.params.id);
  res.json(userInfo);
});

示例2：Django + DRF 实现 #

如果你用Django REST Framework，可以通过自定义权限类实现：

from rest_framework.permissions import BasePermission
from rest_framework.response import Response
from rest_framework.views import APIView
from .models import UserInfo

class IsOwnerOrAdmin(BasePermission):
    """自定义权限：管理员可访问所有，普通用户仅能访问自己的UserInfo"""
    def has_object_permission(self, request, view, obj):
        # 管理员（staff用户）放行
        if request.user.is_staff:
            return True
        # 普通用户仅能访问自己关联的UserInfo
        return obj.user == request.user

class UserInfoDetailView(APIView):
    permission_classes = [IsOwnerOrAdmin]

    def get(self, request, pk):
        try:
            user_info = UserInfo.objects.get(pk=pk)
            # 序列化返回数据（这里假设你有对应的序列化器）
            serializer = UserInfoSerializer(user_info)
            return Response(serializer.data)
        except UserInfo.DoesNotExist:
            return Response({"message": "UserInfo not found"}, status=404)

关键注意事项 #

• 模型关联要准确：一定要保证User和UserInfo的关联字段正确，否则权限检查会出错
• 错误信息要严谨：不要返回诸如"该UserInfo属于用户XXX"这类信息，避免泄露其他用户的隐私，只返回"权限不足"或"资源不存在"即可
• 令牌安全：JWT的密钥要使用环境变量存储，不要硬编码在代码里，同时设置合理的过期时间
• 密码加密：User模型中的password字段一定要加密存储（比如用bcrypt），不要明文保存

内容的提问来源于stack exchange，提问作者pedrosimao