如何在Angular/Node架构中防止权限提升并解决授权困境？

这绝对是前后端权限控制里最容易踩的坑——永远不要信任客户端存储/传递的任何权限信息，LocalStorage本质就是浏览器里的明文存储，随便开个开发者工具就能改，前端只能用它做「UI层面的权限交互优化」，真正能挡住恶意操作的只有后端的权限校验。

下面结合Angular/Node的场景给你几个落地的方案：

1. 后端做「每一次操作」的权限校验 #

不管前端传什么、显示什么，后端在处理核心请求（比如删除、修改敏感数据）时，必须从自己的可信数据源（数据库、Redis会话）获取用户的真实权限，再判断是否允许执行操作。

举个Node.js的中间件例子，专门做权限校验：

// Node.js 权限校验中间件
async function checkDeletePermission(req, res, next) {
  // 从已验证的用户会话里取ID（比如JWT解析后存在req.user里）
  const userId = req.user.id;
  // 从数据库拉取用户真实权限
  const userPermissions = await UserPermissionModel.findOne({ userId });

  if (!userPermissions?.allowDelete) {
    return res.status(403).json({ message: "无删除权限，请联系管理员" });
  }
  // 权限通过，继续执行接口逻辑
  next();
}

// 给删除接口挂载这个中间件
app.delete('/api/resources/:id', authenticateToken, checkDeletePermission, async (req, res) => {
  // 这里才是真正的删除逻辑
  await ResourceModel.findByIdAndDelete(req.params.id);
  res.json({ message: "删除成功" });
});

哪怕用户把LocalStorage里的allowDelete改成true，点击删除按钮后请求到后端，还是会被这个中间件拦截，根本到不了删除逻辑那一步。

2. 前端权限只做「UI交互优化」 #

前端存LocalStorage的权限，目的是给正常用户更好的体验——比如隐藏没有权限的按钮、拦截无权限的路由跳转，但这只是“防君子不防小人”。

Angular里可以用路由守卫来做路由级别的权限控制：

// Angular 路由守卫
@Injectable({ providedIn: 'root' })
export class DeletePermissionGuard implements CanActivate {
  constructor(private router: Router) {}

  canActivate(): boolean {
    const storedPermissions = JSON.parse(localStorage.getItem('userPermissions') || '{}');
    if (!storedPermissions.allowDelete) {
      this.router.navigate(['/access-denied']);
      return false;
    }
    return true;
  }
}

// 在路由配置里使用
const routes: Routes = [
  { path: 'delete-resource', component: DeleteResourceComponent, canActivate: [DeletePermissionGuard] }
];

但要明确：恶意用户可以直接通过URL跳转、或者用Postman发请求绕开这个守卫，所以前端的权限控制只是体验优化，不能替代后端校验。

3. 用签名的JWT携带权限（可选） #

如果想在客户端带权限信息，别存明文的LocalStorage，把权限放在JWT的Payload里，由后端用密钥签名。客户端无法篡改JWT内容（篡改后签名会失效，后端验证时直接拒绝）。

比如后端生成JWT时加入权限：

// Node.js 生成带权限的JWT
const jwt = require('jsonwebtoken');

const generateToken = (user) => {
  return jwt.sign(
    { 
      id: user.id, 
      permissions: { allowDelete: user.allowDelete, allowEdit: user.allowEdit } 
    },
    process.env.JWT_SECRET_KEY,
    { expiresIn: '2h' }
  );
};

前端请求时把JWT放在Authorization头里，后端解析时先验证签名，再从Payload里取权限做校验——这样既避免了客户端篡改，又不用每次都查数据库（适合权限不频繁变更的场景）。

4. 定期同步权限（辅助优化） #

如果后端的用户权限可能随时变更，前端可以在页面刷新、或者每隔一段时间（比如30分钟）主动拉取最新权限，更新LocalStorage。比如Angular里在AppComponent的ngOnInit里加个请求：

ngOnInit(): void {
  this.permissionService.getLatestPermissions().subscribe(permissions => {
    localStorage.setItem('userPermissions', JSON.stringify(permissions));
  });
}

这能保证前端显示的权限是最新的，但依然不能替代后端的实时校验。

核心总结 #

前端权限是「体验层」，后端权限是「安全层」——两者必须结合，但安全的核心永远在后端。不管客户端怎么篡改，只要后端每一次操作都校验用户的真实权限，就不可能出现权限提升的问题。

内容的提问来源于stack exchange，提问作者John Cruz