Laravel 5.5中基于角色的多身份验证实现（单User模型）

嘿，这个需求我之前在项目里实现过好几次，基于单个User模型做普通用户和管理员的多身份验证其实挺清晰的，核心就是靠角色字段做区分，然后在登录、路由层面做针对性的校验。我给你一步步捋清楚：

首先得给User模型加一个角色标识字段，用来区分普通用户和管理员。推荐用枚举类型（或者固定的字符串选项），避免随意输入导致的混乱。以Django为例，你可以这么定义：

from django.db import models
from django.contrib.auth.models import AbstractUser

class User(AbstractUser):
    # 定义角色选项，键是存储值，值是显示名称
    ROLE_CHOICES = (
        ('user', '普通用户'),
        ('admin', '管理员'),
    )
    # 默认设为普通用户，确保新注册用户默认是普通身份
    role = models.CharField(max_length=10, choices=ROLE_CHOICES, default='user')

登录的时候，除了校验账号密码的正确性，还要额外检查用户的角色是否符合当前登录入口的要求。比如管理员只能走管理员登录接口，普通用户走普通登录接口：

from django.contrib.auth import authenticate, login
from django.http import JsonResponse

def admin_login(request):
    if request.method == 'POST':
        username = request.POST.get('username')
        password = request.POST.get('password')
        # 先验证账号密码是否正确
        user = authenticate(request, username=username, password=password)
        if user is not None:
            # 再检查是否是管理员角色
            if user.role == 'admin':
                login(request, user)
                return JsonResponse({'message': '管理员登录成功'})
            else:
                return JsonResponse({'message': '当前账号无管理员权限'}, status=403)
        else:
            return JsonResponse({'message': '账号或密码错误'}, status=400)

def user_login(request):
    if request.method == 'POST':
        username = request.POST.get('username')
        password = request.POST.get('password')
        user = authenticate(request, username=username, password=password)
        if user is not None:
            if user.role == 'user':
                login(request, user)
                return JsonResponse({'message': '普通用户登录成功'})
            else:
                return JsonResponse({'message': '当前账号无法以普通用户身份登录'}, status=403)
        else:
            return JsonResponse({'message': '账号或密码错误'}, status=400)

登录之后，得确保不同角色只能访问对应的路由。这里可以用自定义装饰器来实现权限校验：

from django.http import HttpResponseForbidden
from django.contrib.auth.decorators import login_required

# 管理员权限装饰器：必须登录且是管理员角色
def admin_required(view_func):
    @login_required  # 先确保用户已登录
    def wrapper(request, *args, **kwargs):
        if request.user.role == 'admin':
            return view_func(request, *args, **kwargs)
        else:
            return HttpResponseForbidden('抱歉，你没有管理员权限访问此页面')
    return wrapper

# 普通用户权限装饰器：必须登录且是普通用户角色
def user_required(view_func):
    @login_required
    def wrapper(request, *args, **kwargs):
        if request.user.role == 'user':
            return view_func(request, *args, **kwargs)
        else:
            return HttpResponseForbidden('抱歉，你无法以管理员身份访问此页面')
    return wrapper

然后在路由和视图里使用这些装饰器：

# 视图示例
@admin_required
def admin_dashboard(request):
    return JsonResponse({'data': '管理员专属仪表盘内容'})

@user_required
def user_profile(request):
    return JsonResponse({'data': '普通用户个人中心内容'})

# 路由示例
from django.urls import path
from . import views

urlpatterns = [
    path('admin/login/', views.admin_login, name='admin_login'),
    path('user/login/', views.user_login, name='user_login'),
    path('admin/dashboard/', views.admin_dashboard, name='admin_dashboard'),
    path('user/profile/', views.user_profile, name='user_profile'),
]

• 角色字段尽量用枚举或固定选项，不要用自由输入的字符串，避免后续维护混乱
• 登录校验时，先验证账号密码，再检查角色，不要反过来——防止恶意用户通过错误提示判断某个账号是否存在
• 如果以后需要更细粒度的权限（比如管理员分不同等级），可以扩展一个Permission模型，和User做多对多关联，不过普通用户+管理员的场景，上面的方案完全够用

内容的提问来源于stack exchange，提问作者chithra