Python权限判断案例如何校验用户权限

wen python案例 2026-06-29 25

Python权限判断案例：如何高效校验用户权限（附完整代码）

📖 文章目录导读

权限校验的核心概念
背景与需求分析
五种常见权限校验方案
- 1 基于角色的访问控制(RBAC)
- 2 基于资源与操作的细粒度校验
- 3 装饰器模式实现权限拦截
- 4 JWT Token 携带权限信息
- 5 数据库权限表动态查询
完整案例：从零实现权限校验系统
常见问题与回答(FAQ)
总结与最佳实践

权限校验的核心概念

权限校验是任何Web系统、API服务乃至桌面应用不可或缺的安全屏障，用户权限判断的核心在于：谁（用户）能对什么（资源）执行什么（操作），Python作为后端开发的主流语言，提供了丰富的库与模式来实现灵活、可扩展的权限校验逻辑。

Python权限判断案例如何校验用户权限

问：为什么不能只在客户端做权限校验？
答：客户端校验（如隐藏按钮）仅为提升用户体验，真正的权限校验必须在服务端执行，因为客户端数据可被篡改，即使用户绕过前端限制发送恶意请求，服务端的权限判断仍能阻止未授权操作。

背景与需求分析

假设我们正在开发一个“内容管理系统(CMS)”，需实现如下权限规则：

管理员（role: admin）：可创建、编辑、删除任何文章。
编辑员（role: editor）：只能编辑自己创建的文章，不能删除他人文章。
普通用户（role: user）：只能查看公开文章，不能进行修改操作。

需求明确：我们需要一个可重用、性能高效、易于维护的权限校验系统。

五种常见权限校验方案

1 基于角色的访问控制(RBAC)

最经典的方案,用户有一个角色，角色绑定一组权限，Python示例：

PERMISSIONS = {
    'admin': ['create', 'edit', 'delete', 'view'],
    'editor': ['create', 'edit', 'view'],
    'user': ['view']
}
def check_permission(user_role, required_perm):
    return required_perm in PERMISSIONS.get(user_role, [])

2 基于资源与操作的细粒度校验

不仅校验操作,还要校验资源归属，只能编辑自己的文章”：

def can_edit_article(user, article):
    if user.role == 'admin':
        return True
    return user.id == article.author_id

3 装饰器模式实现权限拦截

在Flask或FastAPI中,装饰器是对视图函数进行权限检查的优雅方式：

from functools import wraps
def require_permission(perm):
    def decorator(func):
        @wraps(func)
        def wrapper(*args, **kwargs):
            if not check_permission(current_user.role, perm):
                return jsonify({"error": "Forbidden"}), 403
            return func(*args, **kwargs)
        return wrapper
    return decorator

4 JWT Token 携带权限信息

将用户权限编码进JWT的payload中,减少数据库查询：

token_payload = {
    "user_id": 123,
    "role": "editor",
    "scopes": ["read:articles", "write:own_articles"]
}

5 数据库权限表动态查询

更复杂的系统使用多张关联表：users -> user_roles -> role_permissions -> permissions，优点是灵活，可动态配置。

完整案例：从零实现权限校验系统

我们将方案1与方案2结合,构建一个可直接运行的类：

class PermissionChecker:
    def __init__(self, user):
        self.user = user
        self.role_perms = {
            'admin': {'create', 'edit', 'delete', 'view'},
            'editor': {'create', 'edit', 'view'},
            'user': {'view'}
        }
    def has_permission(self, perm: str) -> bool:
        user_perms = self.role_perms.get(self.user.get('role', ''), set())
        return perm in user_perms
    def can_edit_article(self, article: dict) -> bool:
        if self.has_permission('edit'):
            # 只有admin或文章作者有权限
            return self.user['role'] == 'admin' or self.user['id'] == article.get('author_id')
        return False
# 使用示例
user = {'id': 1, 'role': 'editor'}
checker = PermissionChecker(user)
article = {'id': 100, 'author_id': 1}
print(checker.can_edit_article(article))  # True

优化点：