如何利用闭包实现的“访问权限代理”在运行中动态锁定敏感业务接口-js教程-PHP中文网

访问权限代理是一种基于闭包的轻量级控制模式，通过封装业务函数并注入用户身份、角色等上下文，在调用前实时校验权限，满足则执行原逻辑，否则拒绝；支持动态重建代理以适配登录态变更与运行时策略切换。

如何利用闭包实现的“访问权限代理”在运行中动态锁定敏感业务接口

什么是访问权限代理

访问权限代理不是独立的类或框架，而是一种基于闭包的轻量级控制模式：它把一个业务函数包裹进闭包中，在调用前插入权限校验逻辑，并通过闭包“捕获”当前上下文（如用户身份、角色、请求参数），实现运行时按需判断是否放行。关键在于——校验逻辑和被代理函数共存于同一作用域，且不污染全局。

核心实现步骤

只需三步就能构建一个可动态锁定的代理：

封装原始接口函数：将敏感操作（如删除订单、导出用户数据）定义为纯函数，不直接暴露调用入口
用闭包注入权限上下文：创建一个工厂函数，接收当前用户权限信息（如 role、scopes 数组）并返回代理后的函数
在每次调用时实时校验：代理函数内部先检查权限码是否匹配，不满足则抛出错误或静默拒绝，满足才执行原逻辑

一个可复用的权限代理示例

以下代码模拟了“仅管理员可导出全量用户”的场景：

function createPermissionProxy(fn, requiredScope) {
  return function(...args) {
    const user = getCurrentUser(); // 假设从 auth store 或 token 中获取
    if (!user?.scopes?.includes(requiredScope)) {
      throw new Error(`Access denied: missing scope '${requiredScope}'`);
    }
    return fn.apply(this, args);
  };
}

// 敏感业务函数（不暴露给外部直接调用）
const exportAllUsers = () => {
  console.log("✅ 正在导出全部用户数据...");
  return fetch("/api/users/export?all=true");
};

// 动态生成带权限控制的代理函数
const safeExport = createPermissionProxy(exportAllUsers, "user.export.all");

// 运行时调用（若用户无权限，立刻中断，不执行任何后端请求）
safeExport();