PHP 怎么PHP 定期审查权限

本文目录导读：

1. 策略 1：基于 Session/Cookie 的过期审查（最常用）
2. 策略 2：基于数据库的触发器 + 缓存标记（实时性较高）
3. 策略 3：使用 Cron Job 进行批量审计（非实时，后台处理）
4. 策略 4：使用事件驱动（如 Webhook 或消息队列）
5. 总结：如何选择？

在 PHP 中进行定期审查权限（权限审计），通常不是指语言本身的功能，而是指基于角色的访问控制（RBAC）系统在运行过程中，需要定期验证用户是否仍然拥有其当前权限,或者是否出现了权限泄露。

以下是实现 PHP 定期审查权限的几种常见策略和具体代码思路：

策略 1：基于 Session/Cookie 的过期审查（最常用）

用户登录后，权限数据通常存储在 Session 或 JWT Token 中，定期审查的核心是让权限数据过期,强制用户重新验证。

实现思路： 在存储用户权限的 $_SESSION 中增加一个 last_permission_check 时间戳。

<?php
session_start();
function checkPermissionsPeriodically($intervalSeconds = 3600) { // 默认每小时审查一次
    $lastCheck = $_SESSION['last_permission_check'] ?? 0;
    $currentTime = time();
    if (($currentTime - $lastCheck) > $intervalSeconds) {
        // 过期了，需要重新从数据库加载权限
        $userId = $_SESSION['user_id'] ?? 0;
        if ($userId) {
            $newPermissions = loadPermissionsFromDatabase($userId); // 你的数据库查询函数
            if ($newPermissions === false) {
                // 用户已被禁用或角色已被删除
                session_destroy();
                header('Location: /login?reason=permission_revoked');
                exit;
            }
            // 更新 Session 中的权限和检查时间
            $_SESSION['user_permissions'] = $newPermissions;
            $_SESSION['last_permission_check'] = $currentTime;
        }
    }
}
// 在每个受保护的页面入口调用
checkPermissionsPeriodically();
?>

优点： 实现简单，性能影响小（只在过期时查询数据库）。 缺点： 不是“实时”撤销，最多有 1 小时的延迟。

策略 2：基于数据库的触发器 + 缓存标记（实时性较高）

适用于需要立即生效的场景（如管理员解雇了一个员工，希望他立刻无法访问）。

实现思路： 在数据库用户表或角色表中增加一个 permission_version 或 updated_at 字段，每次修改权限时，增加版本号，PHP 在每次请求时比较版本号。

步骤：

1. 数据库设计： 用户表增加 auth_version 字段 (INT)，默认 1。
2. 修改权限时： 执行 UPDATE users SET auth_version = auth_version + 1 WHERE id = ?。
3. PHP 代码：

<?php
session_start();
function auditPermissionsByVersion($pdo) {
    $userId = $_SESSION['user_id'] ?? 0;
    $sessionVersion = $_SESSION['auth_version'] ?? 0;
    // 快速查询数据库中的最新版本号 (仅查一个INT，非常快)
    $stmt = $pdo->prepare("SELECT auth_version, status FROM users WHERE id = ?");
    $stmt->execute([$userId]);
    $user = $stmt->fetch(PDO::FETCH_ASSOC);
    if (!$user || $user['status'] === 'disabled') {
        // 用户不存在或被禁用
        session_destroy();
        header('Location: /login?reason=account_disabled');
        exit;
    }
    // 比较版本号
    if ($user['auth_version'] !== $sessionVersion) {
        // 版本不一致，说明权限已更新，重新加载权限
        $newPermissions = loadUserRolesAndPermissions($pdo, $userId);
        $_SESSION['user_permissions'] = $newPermissions;
        $_SESSION['auth_version'] = $user['auth_version']; // 更新Session中的版本号
    }
}
// 在每个请求开始处调用
auditPermissionsByVersion($pdo);
?>

优点： 几乎是实时的权限变更检测。 缺点： 每个请求都需要一次数据库查询（虽然只查一个字段，但比策略1多了IO）。

策略 3：使用 Cron Job 进行批量审计（非实时，后台处理）

适用于大规模用户权限的合规性审查，检查所有拥有‘管理员’角色的用户，其部门是否仍然有效”。

实现思路： 写一个独立的 PHP CLI 脚本，由服务器 Cron 任务每 5 分钟或每小时执行一次。

<?php
// 文件名: audit_permissions_cron.php
// 运行方式: php /path/to/audit_permissions_cron.php
require_once 'bootstrap.php'; // 引入数据库连接等
$lockFile = '/tmp/audit_permissions.lock';
// 防止脚本重复执行
if (file_exists($lockFile) && (time() - filemtime($lockFile)) < 300) {
    echo "Script is already running or locked.\n";
    exit;
}
touch($lockFile);
try {
    // 1. 查出所有拥有敏感权限的用户
    $stmt = $pdo->query("SELECT u.id, u.email, r.name as role_name
                         FROM users u
                         JOIN user_roles ur ON u.id = ur.user_id
                         JOIN roles r ON ur.role_id = r.id
                         WHERE r.name IN ('admin', 'super_admin', 'finance')
                         AND u.status = 'active'");
    $usersToAudit = $stmt->fetchAll(PDO::FETCH_ASSOC);
    $auditLog = [];
    foreach ($usersToAudit as $user) {
        // 2. 业务逻辑审查：例如检查用户是否还在正确的部门
        $isValid = checkUserDepartmentEligibility($pdo, $user['id'], $user['role_name']);
        if (!$isValid) {
            // 3. 如果不符合，自动降权或记录
            revokeRole($pdo, $user['id'], $user['role_name']);
            $auditLog[] = [
                'user_id' => $user['id'],
                'action' => 'REVOKED',
                'role' => $user['role_name'],
                'reason' => 'Department mismatch or termination date passed'
            ];
            sendAlertEmail($user['email'], "Your admin privileges have been removed.");
            echo "Revoked role {$user['role_name']} from user {$user['id']}\n";
        }
    }
    // 4. 记录审计日志
    logAuditTrail($pdo, $auditLog);
} catch (Exception $e) {
    error_log("Audit Cron Failed: " . $e->getMessage());
} finally {
    unlink($lockFile);
}
?>

优点： 不影响网站性能，适合复杂的业务逻辑校验。 缺点： 不是实时生效，相当于“批处理”清理。

策略 4：使用事件驱动（如 Webhook 或消息队列）

当后台系统修改了权限时，主动向 PHP 应用发送一个“清除缓存”信号。

实现思路：

1. 权限管理系统修改数据后，往 Redis 中写入一条消息（permission_changed:{user_id}）。
2. PHP 应用在处理用户请求前，检查 Redis 中是否有该用户的变更消息。
3. 如果有，则刷新该用户的 Session 权限并删除该消息。

<?php
// 简化的伪代码
$redis = new Redis();
$redis->connect('127.0.0.1');
$userId = $_SESSION['user_id'];
if ($redis->exists("permission_changed:$userId")) {
    // 重新加载权限
    $_SESSION['user_permissions'] = loadPermissions($userId);
    // 删除消息
    $redis->del("permission_changed:$userId");
}
?>

如何选择？

最佳实践建议：

1. 不要信任客户端： 永远在后端进行权限检查,前端隐藏按钮只是用户体验。
2. 记录日志： 无论哪种方式，建议记录 audit_log 表：user_id, before_role, after_role, changed_by, timestamp。
3. 结合使用： 前端使用 JWT（短期过期），后端使用 Session + 版本号（策略2），后台 Cron 做定期清理（策略3）。