PHP应用中应通过RBAC、路由拦截、字段过滤、SQL条件拼接及Token权限验证五种方法实现增删改查权限控制：一、RBAC基于角色分配权限并校验；二、控制器层按路由映射权限拦截；三、模型层白名单过滤敏感字段；四、SQL动态添加owner_id等行级条件；五、JWT Token签名携带权限并验证。
如果在PHP应用中实现增删改查操作，但未对用户权限进行有效控制，则可能导致未授权访问、数据泄露或恶意篡改。以下是针对不同场景实施权限限制的具体方法：
一、基于角色的访问控制（RBAC）
通过为用户分配角色，并为每个角色定义可执行的操作权限，实现细粒度的增删改查控制。系统在执行数据库操作前检查当前用户角色是否具备对应权限。
1、创建角色表与权限表，例如 roles（id, name）、permissions（id, name）、role_permissions（role_id, permission_id）。
2、用户登录后，从数据库加载其角色ID及关联的所有权限标识，如 'user:read'、'post:delete'，并存入会话变量 $_SESSION['permissions']。
3、在处理增删改查请求前，调用权限验证函数 checkPermission('post:delete')，该函数判断当前权限数组是否包含指定权限字符串。
4、若权限不足，立即终止脚本并返回 HTTP 403 Forbidden 响应，不执行任何数据库操作。
二、控制器层路由级拦截
在MVC架构的控制器入口处统一校验请求路径与用户权限的映射关系，避免权限逻辑分散到各业务方法中。
1、定义路由权限映射表，如 ['/admin/user/delete' => 'admin:user:delete', '/api/post/update' => 'editor:post:update']。
2、在基控制器的 __construct() 或前置中间件中，获取当前请求URI和HTTP方法，匹配对应权限标识。
3、调用权限服务类的 hasAccess() 方法，传入当前用户角色和目标权限标识。
4、匹配失败时抛出异常并渲染 403页面或JSON错误响应，确保不进入后续业务逻辑。
三、模型层字段级权限过滤
针对敏感字段（如密码、手机号、余额），在查询结果返回前动态移除或脱敏，防止越权读取。
1、在数据模型的 toArray() 或 getAttributes() 方法中，检查当前用户角色是否允许查看某字段。
2、使用白名单机制，仅允许当前角色显式声明的字段参与序列化输出，其余字段设为 null 或省略。
3、对 update 操作，解析请求参数，比对字段名与用户可修改权限列表，过滤掉 非授权字段（如 status、is_admin），防止参数污染攻击。
4、执行更新前构造严格限定字段的 
SQL SET 子句，排除所有未授权字段名。
四、数据库查询语句动态拼接权限条件
在SELECT、UPDATE、DELETE语句中嵌入用户上下文约束，使SQL本身具备行级访问控制能力，避免应用层遗漏校验。
1、为每张核心业务表添加 owner_id 或 tenant_id 字段，标识数据归属主体。
2、在构建查询时，自动追加 WHERE owner_id = ? 参数，值为当前登录用户的ID。
3、对管理员角色，可额外允许查看全部数据，但需显式启用 flag：if ($user->hasRole('admin')) { $query->withoutGlobalScopes(); }。
4、执行删除操作前，使用带 WHERE 条件的 DELETE 语句，确保 无法删除非本人创建的数据记录，即使传入了合法ID参数。
五、Token携带权限声明并签名验证
在JWT或自定义Token中嵌入权限列表，并在每次API请求时解码验证，防止客户端伪造权限标识。
1、用户登录成功后，生成Token时将权限数组写入 payload，如 "perms": ["user:read", "post:create"]。
2、使用服务器私钥对Token签名，确保内容不可篡改。
3、在API入口处解析Authorization头中的Token，验证签名有效性及过期时间。
4、从解码后的payload提取权限列表，与当前请求所需权限比对，缺失则拒绝并返回 401 Unauthorized 状态码。
