给PHP框架添加权限控制是项目开发中的常见需求，核心是通过Auth模块实现用户身份认证和权限校验，避免未授权用户访问受保护的接口或页面。下面我们从基础结构开始，一步步实现完整的Auth模块。
Auth模块核心功能设计
一个基础的Auth模块需要包含三个核心部分：用户认证、权限存储、权限校验。我们可以先梳理清楚每个部分的作用：
- 用户认证：验证用户登录状态，确认当前请求的用户身份
- 权限存储：保存用户和权限的对应关系，比如用户所属角色、角色对应的权限列表
- 权限校验：判断当前用户是否有访问目标资源的权限
基础数据表结构设计
首先我们需要设计存储用户、角色、权限关系的数据表，这里用三张基础表实现RBAC（基于角色的访问控制）模型：
| 表名 | 字段说明 |
|---|---|
| users | id, username, password, role_id（关联角色表） |
| roles | id, role_name（角色名称，比如管理员、普通用户） |
| permissions | id, permission_name（权限标识，比如user:list、article:edit）, role_id（关联角色表） |
用户认证功能实现
用户认证的核心是登录时验证账号密码，通过后将用户信息存入Session或者Token中，后续请求时取出验证。下面是基础的登录验证代码：
<?php
// 用户登录验证方法
function login($username, $password) {
// 模拟从数据库查询用户，实际项目中需要替换成数据库查询逻辑
$user = [
'id' => 1,
'username' => 'test',
'password' => password_hash('123456', PASSWORD_DEFAULT),
'role_id' => 1
];
// 验证密码
if ($username == $user['username'] && password_verify($password, $user['password'])) {
// 将用户信息存入Session，实际框架中可以用框架自带的Session操作类
$_SESSION['user'] = [
'id' => $user['id'],
'username' => $user['username'],
'role_id' => $user['role_id']
];
return true;
}
return false;
}
// 获取当前登录用户
function getCurrentUser() {
return $_SESSION['user'] ?? null;
}
// 退出登录
function logout() {
unset($_SESSION['user']);
}
?>
权限校验逻辑实现
权限校验需要先根据当前用户的角色ID，查询对应的权限列表，再判断当前请求的权限标识是否在列表中。下面是权限校验的基础代码：
<?php
// 获取用户对应的权限列表
function getUserPermissions($roleId) {
// 模拟从permissions表查询权限，实际项目替换为数据库查询
$permissionMap = [
1 => ['user:list', 'user:edit', 'article:list', 'article:edit'], // 管理员角色权限
2 => ['article:list'] // 普通用户角色权限
];
return $permissionMap[$roleId] ?? [];
}
// 校验用户是否有指定权限
function checkPermission($permissionName) {
$user = getCurrentUser();
// 未登录用户直接返回无权限
if (!$user) {
return false;
}
$permissions = getUserPermissions($user['role_id']);
return in_array($permissionName, $permissions);
}
?>
框架中间件适配
大多数PHP框架都支持中间件机制，我们可以把权限校验逻辑封装成中间件，在需要权限控制的路由中调用。下面是简单的中间件实现示例：
<?php
// 权限校验中间件
function authMiddleware($requiredPermission = null) {
return function() use ($requiredPermission) {
$user = getCurrentUser();
// 未登录跳转登录页
if (!$user) {
header('Location: /login.php');
exit;
}
// 如果指定了需要的权限，校验权限
if ($requiredPermission && !checkPermission($requiredPermission)) {
echo '无权限访问该页面';
exit;
}
};
}
// 使用示例：访问用户列表页需要user:list权限
$router->get('/user/list', function() {
echo '用户列表页面';
}, authMiddleware('user:list'));
?>
注意事项
实际项目中还需要注意几个问题：密码存储必须使用password_hash函数加密，不能明文存储；Session需要做安全配置，避免会话劫持；权限标识建议统一规范，比如采用模块:操作的形式，方便后续维护。如果是前后端分离项目，可以把Session换成JWT Token，校验逻辑只需要调整获取用户信息的部分即可。