本文介绍如何从数据库查询用户角色信息，并基于该角色值进行权限判断，重点讲解函数返回值的正确使用方式及权限校验的最佳实践。
本文介绍如何从数据库查询用户角色信息，并基于该角色值进行权限判断，重点讲解函数返回值的正确使用方式及权限校验的最佳实践。
在开发用户权限系统时，常需根据数据库中存储的 roles 字段（如 'admin'、'user' 或 'editor'）动态判断用户权限级别。您提供的 find_user_by_username() 函数已正确实现了数据库查询与参数化绑定，能安全获取包含 username、password 和 roles 的关联数组。但关键在于：函数本身只负责查询与返回数据，权限逻辑应在调用处完成，而非在函数内部赋值或分支处理——这符合单一职责原则，也便于测试与维护。
以下是推荐的完整使用流程：
✅ 正确调用方式（推荐）
// 调用函数获取用户数据
$user = find_user_by_username('john_doe');
// 检查查询是否成功（避免空结果导致 Notice）
if ($user && isset($user['roles'])) {
if ($user['roles'] === 'admin') {
// 执行管理员专属操作（如跳转后台、显示管理菜单等）
echo "Welcome, Admin!";
} else if ($user['roles'] === 'editor') {
echo "Editor access granted.";
} else {
echo "Standard user access.";
}
} else {
throw new Exception('User not found or role missing.');
}
⚠️ 注意事项
- 不要在函数内直接赋值全局变量或修改外部状态（如 $isAdmin = true），这会破坏函数纯度，增加耦合风险；
- 始终验证 $user 是否为非空数组，且 roles 键存在且非空，防止未定义索引错误；
- 若角色字段可能为 JSON 数组（如 ["admin", "editor"]），需用 json_decode() 解析后使用 in_array() 判断；
- 生产环境建议将角色校验逻辑封装为独立函数（如 isUserAdmin($user)），提升可读性与复用性；
- 更安全的长期方案是：用户登录成功后，将精简的权限信息（如 role 或 permissions）存入加密的 Session 或 JWT，避免每次操作都查库。
? 权限校验进阶建议（最佳实践）
虽然直接查询可行，但高频权限判断应避免重复数据库访问。推荐在用户认证成功后，将角色信息写入服务端 Session：
session_start();
$_SESSION['user'] = [
'username' => $user['username'],
'roles' => $user['roles'], // 或预解析的权限标识
'logged_in' => true
];
后续权限检查可直接读取 $_SESSION['user']['roles']，既高效又解耦。
综上，函数的核心任务是“可靠查询”，权限决策应由业务层明确驱动——清晰分离关注点，才是健壮权限系统的设计基石。
