PHP项目垂直越权如何校验权限身份

本文目录导读：

1. 核心原理：基于角色的权限控制（RBAC）
2. 具体实现方案（从简单到完善）
3. 关键细节与陷阱
4. 终极方案：结合“最小权限原则” + “访问控制矩阵”
5. 校验流程

针对PHP项目的垂直越权（Vertical Privilege Escalation）校验，核心思路是：在每个需要权限的操作中，先验证用户身份，再验证用户角色/权限等级是否满足该操作的授权要求。

以下是具体、可落地的校验方案：

核心原理：基于角色的权限控制（RBAC）

垂直越权是指低权限用户（如普通用户）尝试执行高权限操作（如管理员删除用户），校验的核心是比对“当前用户的角色”是否在“该操作允许的角色列表”中。

具体实现方案（从简单到完善）

中间件/过滤器模式（推荐）

在控制器的入口处（路由分发前）统一校验，避免在每个函数里重复写判断。

<?php
// 假设你已经从 session/token 中拿到了当前登录用户的信息
class AuthMiddleware {
    // 假设用户角色：1=普通用户, 2=编辑, 3=管理员
    public static function requireRole(int $requiredLevel): void {
        // 1. 校验身份是否存在（防止未登录）
        $user = $_SESSION['user'] ?? null;
        if (!$user) {
            http_response_code(401);
            echo json_encode(['error' => '未登录']);
            exit;
        }
        // 2. 校验角色等级（核心：垂直权限检查）
        if ((int)$user['role_level'] < $requiredLevel) {
            http_response_code(403);
            echo json_encode(['error' => '权限不足，需要更高等级的角色']);
            exit;
        }
        // 通过，继续执行后续逻辑
    }
}
// 在路由中使用
Route::group(['prefix' => 'admin'], function () {
    Route::get('/users', function () {
        AuthMiddleware::requireRole(3); // 只有管理员(3)才能访问
        // ... 业务逻辑
    });
    Route::post('/delete-user/{id}', function ($id) {
        AuthMiddleware::requireRole(3);
        // ... 删除逻辑
    });
    Route::get('/dashboard', function () {
        AuthMiddleware::requireRole(2); // 编辑(2)及以上可以看仪表盘
        // ...
    });
});

基于注解/属性的声明式校验（适合框架）

使用 PHP 8 的 Attribute（注解）或框架的 @Middleware 注解，将权限声明和业务逻辑分离。

<?php
#[Attribute(Attribute::TARGET_METHOD)]
class RequiresRole {
    public function __construct(public int $minLevel) {}
}
class AdminController {
    #[RequiresRole(minLevel: 3)]
    public function deleteUser(int $id): void {
        // 业务逻辑
    }
    #[RequiresRole(minLevel: 2)]
    public function viewReports(): void {
        // 业务逻辑
    }
}
// 在路由分发时，自动读取方法上的 RequiresRole 属性并检查
function dispatch($controller, $method, $params) {
    $reflection = new ReflectionMethod($controller, $method);
    $attributes = $reflection->getAttributes(RequiresRole::class);
    if (!empty($attributes)) {
        $roleAttr = $attributes[0]->newInstance();
        // 调用中间件校验
        AuthMiddleware::requireRole($roleAttr->minLevel);
    }
    // 调用原方法
    $controller->$method(...$params);
}

关键细节与陷阱

1 数据库层面的角色设计（不要只用个数字）

-- 推荐：角色表与用户表分离
CREATE TABLE roles (
    id INT PRIMARY KEY,
    name VARCHAR(50),
    level INT NOT NULL UNIQUE  -- 等级：数字越大权限越高
);
CREATE TABLE users (
    id INT PRIMARY KEY,
    username VARCHAR(100),
    role_id INT,
    FOREIGN KEY (role_id) REFERENCES roles(id)
);
-- 不要只存一个数字 'role = 3'，原因：系统扩展后角色可能不连续，数字含义不直观

2 不要把“是否管理员”的判断硬编码在 SQL 里

// 错误示例（SQL 层直接判断，容易被绕过或误解）：
$sql = "SELECT * FROM orders WHERE user_id = ? OR role = 'admin'";
// 这样如果 role 值错误，可能让普通用户看到所有订单
// 正确做法：
// 先由 PHP 逻辑判断用户角色，再决定 SQL 查询范围
$currentUserRole = $_SESSION['user']['role_level'];
if ($currentUserRole >= 3) {
    // 管理员：查全部
    $sql = "SELECT * FROM orders";
} else {
    // 普通用户：只查自己的
    $sql = "SELECT * FROM orders WHERE user_id = ?";
}

3 垂直越权的常见遗漏点

4 防范“代理调用”越权

如果系统有“用户 A 可以以用户 B 的身份操作”的功能（如客服代下单），必须单独标记这种操作并限制范围。

// 安全的代理模式
class ImpersonateMiddleware {
    public static function check(int $targetUserId): void {
        $currentUser = $_SESSION['user'];
        // 只有管理员可以模拟其他用户
        if ($currentUser['role_level'] < 3) {
            http_response_code(403);
            exit('无权模拟他人');
        }
        // 管理员不能模拟超级管理员（防止低管爬高）
        $targetRole = UserModel::getRoleById($targetUserId);
        if ($targetRole['level'] >= $currentUser['role_level']) {
            http_response_code(403);
            exit('不能模拟同级或更高级用户');
        }
    }
}

终极方案：结合“最小权限原则” + “访问控制矩阵”

如果你需要更精确的控制（不只是按等级，而是按具体操作），建议实现一个访问控制矩阵（ACL）：

// 定义权限
$permissions = [
    'delete_user'    => ['admin'],
    'edit_article'   => ['admin', 'editor'],
    'view_article'   => ['admin', 'editor', 'user'],
];
// 校验函数
function checkPermission(string $action, string $userRole): bool {
    global $permissions;
    if (!isset($permissions[$action])) {
        return false; // 未知操作，默认不允许
    }
    return in_array($userRole, $permissions[$action]);
}
// 使用
if (!checkPermission('delete_user', $currentUser['role_name'])) {
    die('无权限');
}

校验流程

1. 身份认证：判断用户是否登录（Session/Token）。
2. 角色识别：从可信存储（Session/DB/缓存）获取当前用户的角色和等级。
3. 权限比对：用当前角色等级 >= 操作要求的最低等级（或角色名在允许列表中）。
4. 结果处理：不通过则返回 403 + 日志记录（用于审计）。
5. 防御加固：后端所有入口统一使用中间件，禁止在任何地方信任前端传入的角色信息。

做到这5步,可以在大部分场景下有效防止垂直越权漏洞。