Yii2：基于权限控制产品列表的状态可见性

这个需求在日常开发里太常见了，我给你整理几种实用的实现方式，从最直接的到更灵活的替代方案都有，你可以根据自己项目的技术栈和扩展性需求来选：

这是最直接且高效的方案，核心逻辑就是在查询Product列表时，根据当前登录用户的角色，动态确定允许查看的status值集合，再将其作为WHERE条件过滤数据。

具体步骤 #

1. 获取当前用户角色：从用户的认证会话或用户模型中拿到角色标识（比如admin/moderator/user）
2. 映射角色到允许的状态集合：提前定义好角色与可查看状态的对应关系
3. 构造过滤查询：把允许的状态集合作为IN条件传入SQL或ORM查询

代码示例（PHP + MySQL 场景） #

// 假设已通过会话获取当前用户角色
$userRole = $_SESSION['current_user_role'];

// 角色-允许状态映射表
$roleStatusMap = [
    'admin' => [1, 2, 3],
    'moderator' => [1, 2],
    'user' => [1]
];

// 获取当前角色对应的允许状态，兜底默认普通用户权限
$allowedStatuses = $roleStatusMap[$userRole] ?? [1];

// 构造预处理SQL，避免注入风险
$placeholders = implode(',', array_fill(0, count($allowedStatuses), '?'));
$sql = "SELECT id_product, name, status FROM PRODUCT WHERE status IN ($placeholders)";

// 绑定参数并执行查询（这里省略PDO预处理执行的代码）

代码示例（Python Django 场景） #

from django.contrib.auth.decorators import login_required
from .models import Product

@login_required
def product_index(request):
    # 从当前请求用户对象获取角色
    user_role = request.user.role
    
    # 角色-状态映射
    role_status_map = {
        'admin': [1, 2, 3],
        'moderator': [1, 2],
        'user': [1]
    }
    
    # 获取允许的状态，默认普通用户权限
    allowed_statuses = role_status_map.get(user_role, [1])
    # ORM过滤查询
    products = Product.objects.filter(status__in=allowed_statuses)
    
    return render(request, 'product/index.html', {'products': products})

1. 数据库视图（Database View） #

把角色对应的过滤逻辑封装到数据库视图中，不同角色查询对应的视图即可。这种方式将过滤逻辑下沉到数据库层，适合多应用共享同一数据库的场景，但角色权限变更时需要修改视图，灵活性稍弱。

创建视图的SQL示例 #

-- 普通用户专属视图：仅展示Active状态的产品
CREATE VIEW v_product_user AS
SELECT id_product, name, status FROM PRODUCT WHERE status = 1;

-- 版主专属视图：展示Active和Inactive状态的产品
CREATE VIEW v_product_moderator AS
SELECT id_product, name, status FROM PRODUCT WHERE status IN (1, 2);

-- 管理员专属视图：展示所有状态的产品
CREATE VIEW v_product_admin AS
SELECT id_product, name, status FROM PRODUCT;

之后根据用户角色，直接查询对应的视图即可，比如管理员查v_product_admin，普通用户查v_product_user。

2. 基于权限框架的细粒度控制 #

如果你的项目已经使用了权限管理框架（比如Spring Security、Laravel Permissions、Django Guardian等），可以给每个状态的查看权限单独分配：

• 创建三个权限：view_active_product、view_inactive_product、view_archived_product
• 给管理员分配全部三个权限，版主分配前两个，普通用户仅分配第一个
• 查询时，根据用户拥有的权限动态拼接过滤条件（比如用户拥有view_archived_product权限，才加入status=3的过滤）

这种方式扩展性极强，后续新增状态（比如4(Draft)）时，只需要新增对应的权限并分配给合适角色，不需要修改查询逻辑。

3. ORM全局查询范围（Query Scope） #

很多ORM支持全局查询范围，可以在模型层定义基于用户权限的过滤规则，这样所有查询Product的地方都会自动应用这个过滤，避免重复编写逻辑。

代码示例（Laravel 场景） #

namespace App\Models;

use Illuminate\Database\Eloquent\Model;
use Illuminate\Support\Facades\Auth;

class Product extends Model
{
    protected static function boot()
    {
        parent::boot();
        
        // 添加全局查询范围
        static::addGlobalScope('status_permission', function ($query) {
            $user = Auth::user();
            if (!$user) return;
            
            // 根据角色确定允许的状态
            $allowedStatuses = match($user->role) {
                'admin' => [1, 2, 3],
                'moderator' => [1, 2],
                default => [1]
            };
            
            $query->whereIn('status', $allowedStatuses);
        });
    }
}

之后在任何地方调用Product::all()、Product::where(...)等查询时，都会自动带上status的过滤条件，无需额外处理。

内容的提问来源于stack exchange，提问作者Giest