权限控制怎么实现？PHP RBAC简单实现方法有哪些

RBAC即基于角色的访问控制，核心逻辑是将权限分配给角色，再将角色分配给用户，用户通过所属角色获得对应权限，避免了直接给用户分配权限带来的管理复杂度。这种模型适合大多数需要权限管控的PHP项目，实现起来逻辑清晰，后期扩展也方便。

RBAC核心表结构设计

实现RBAC首先需要设计合理的数据库表，核心需要四张表，分别是用户表、角色表、权限表、用户角色关联表、角色权限关联表，具体结构如下：

基础功能实现

1. 给用户分配角色

管理员给用户分配角色时，只需要往user_role表插入对应记录即可，以下是简单的分配逻辑代码：

<?php
/**
 * 给用户分配角色
 * @param int $userId 用户ID
 * @param array $roleIds 角色ID数组
 * @param PDO $pdo 数据库连接对象
 * @return bool
 */
function assignUserRole($userId, $roleIds, $pdo) {
    // 先删除用户已有的角色关联
    $delSql = "DELETE FROM user_role WHERE user_id = :user_id";
    $delStmt = $pdo->prepare($delSql);
    $delStmt->execute([':user_id' => $userId]);
    
    // 插入新的角色关联
    $insertSql = "INSERT INTO user_role (user_id, role_id) VALUES (:user_id, :role_id)";
    $insertStmt = $pdo->prepare($insertSql);
    foreach ($roleIds as $roleId) {
        $insertStmt->execute([
            ':user_id' => $userId,
            ':role_id' => $roleId
        ]);
    }
    return true;
}

// 使用示例
$userId = 1;
$roleIds = [2, 3]; // 给用户分配ID为2和3的角色
$pdo = new PDO('mysql:host=127.0.0.1;dbname=test;charset=utf8', 'root', '123456');
assignUserRole($userId, $roleIds, $pdo);
?>

2. 给角色分配权限

给角色添加权限的逻辑和分配用户角色类似，操作role_permission表即可：

<?php
/**
 * 给角色分配权限
 * @param int $roleId 角色ID
 * @param array $permIds 权限ID数组
 * @param PDO $pdo 数据库连接对象
 * @return bool
 */
function assignRolePermission($roleId, $permIds, $pdo) {
    // 先删除角色已有的权限关联
    $delSql = "DELETE FROM role_permission WHERE role_id = :role_id";
    $delStmt = $pdo->prepare($delSql);
    $delStmt->execute([':role_id' => $roleId]);
    
    // 插入新的权限关联
    $insertSql = "INSERT INTO role_permission (role_id, permission_id) VALUES (:role_id, :permission_id)";
    $insertStmt = $pdo->prepare($insertSql);
    foreach ($permIds as $permId) {
        $insertStmt->execute([
            ':role_id' => $roleId,
            ':permission_id' => $permId
        ]);
    }
    return true;
}

// 使用示例
$roleId = 2;
$permIds = [5, 6, 7]; // 给角色分配ID为5、6、7的权限
$pdo = new PDO('mysql:host=127.0.0.1;dbname=test;charset=utf8', 'root', '123456');
assignRolePermission($roleId, $permIds, $pdo);
?>

3. 权限校验逻辑

用户访问某个接口或页面时，需要校验当前用户是否拥有对应的权限，核心逻辑是先获取用户的所有角色，再获取这些角色对应的所有权限，最后判断目标权限是否在权限列表中：

<?php
/**
 * 校验用户是否拥有指定权限
 * @param int $userId 用户ID
 * @param string $permUrl 待校验的权限URL
 * @param PDO $pdo 数据库连接对象
 * @return bool
 */
function checkUserPermission($userId, $permUrl, $pdo) {
    // 1. 获取用户的所有角色ID
    $roleSql = "SELECT role_id FROM user_role WHERE user_id = :user_id";
    $roleStmt = $pdo->prepare($roleSql);
    $roleStmt->execute([':user_id' => $userId]);
    $roleList = $roleStmt->fetchAll(PDO::FETCH_COLUMN);
    
    if (empty($roleList)) {
        return false;
    }
    
    // 2. 获取这些角色对应的所有权限URL
    $placeHolder = implode(',', array_fill(0, count($roleList), '?'));
    $permSql = "SELECT DISTINCT p.perm_url FROM permission p 
                INNER JOIN role_permission rp ON p.id = rp.permission_id 
                WHERE rp.role_id IN ({$placeHolder})";
    $permStmt = $pdo->prepare($permSql);
    $permStmt->execute($roleList);
    $permUrls = $permStmt->fetchAll(PDO::FETCH_COLUMN);
    
    // 3. 判断目标权限是否在权限列表中
    return in_array($permUrl, $permUrls);
}

// 使用示例
$userId = 1;
$targetPermUrl = '/admin/user/list'; // 待访问的权限路径
$pdo = new PDO('mysql:host=127.0.0.1;dbname=test;charset=utf8', 'root', '123456');
if (checkUserPermission($userId, $targetPermUrl, $pdo)) {
    echo '有权限访问';
} else {
    echo '无权限访问';
}
?>

注意事项

• 实际项目中可以给角色设置层级，比如超级管理员角色拥有所有权限，不需要走校验逻辑，提升性能
• 权限URL可以设计成通配符形式，比如/admin/*代表所有admin开头的路径，校验时做模糊匹配即可
• 用户和角色、角色和权限的关联表建议添加唯一索引，避免重复关联数据
• 如果用户有多个角色，权限取所有角色权限的并集即可，符合大多数业务场景的需求

PHPRBAC权限控制用户角色修改时间：2026-07-10 08:18:36