后端数据权限控制：如何高效判断用户对数据的操作权限？

后端数据权限校验：提升效率，避免冗余查询

许多后端系统在设计数据权限控制时，常常面临一个挑战：如何高效地验证用户对特定数据的操作权限？本文将探讨一种优化方案，避免低效的重复数据库查询。

假设数据库中存储着一些数据，每条数据都关联一个创建者 createUserId。前端请求数据修改或删除时，只提供数据 id 和用户 userId（通常通过 JWT 等机制从请求头获取）。示例数据如下：

[   {     "id": "100",     "name": "data1",     "createUserId": 1   },   {     "id": "101",     "name": "data2",     "createUserId": 2   },   {     "id": "102",     "name": "data3",     "createUserId": 3   },   {     "id": "103",     "name": "data4",     "createUserId": 4   },   {     "id": "104",     "name": "data5",     "createUserId": 4   } ]

如果用户要删除 id 为 103 的数据，前端只提供 id 为 103 和 userId（例如 4）。直接根据 id 删除是不安全的，因为 createUserId 容易被伪造。传统的做法是先根据 id 查询数据，再比对 createUserId 和 userId，只有相等才允许操作。这种方法需要两次数据库查询，效率低下。

更优的方案是优化权限校验流程。 避免每次操作都进行数据库查询验证权限。 更好的方法是在用户登录成功后，将用户的权限信息（包括 userId 及其关联的权限）存储在服务器端，例如使用 ThreadLocal 或类似机制，将其绑定到当前请求线程。 这样，后续任何数据操作前，可以直接从 ThreadLocal 获取用户信息，无需重复数据库查询。

这种方法显著提升效率，简化代码逻辑。处理数据修改或删除请求时，直接从 ThreadLocal 获取用户信息，根据预设的权限规则进行判断，无需再次查询数据库，从而保证系统安全性和效率。