YII2批量删除如何配合RBAC-php教程-PHP中文网

yii2批量删除需与rbac协同设计，权限检查必须前置且不可绕过；应定义业务粒度专属权限项（如adjustment/batch-delete），在accesscontrol中显式绑定；deleteall前须补充租户隔离、关键数据排除等业务校验；操作日志需在事务内记录以保障审计完整性。

yii2批量删除如何配合rbac

Yii2 中批量删除操作与 RBAC 权限控制必须协同设计，否则容易出现「能删但不该删」或「该删却无权删」的问题。核心原则是：RBAC 控制入口权限，deleteAll() 执行时不做二次校验，所以权限检查必须前置、明确、不可绕过。

定义专属删除权限项

不要复用通用权限名（如 delete），应按业务场景粒度定义清晰的权限项，例如：

adjustment/batch-delete：用于调整项批量删除
user/inactive-batch-delete：仅允许对非活跃用户批量清理
log/clear-old：日志表按时间范围批量清除

在 RBAC 初始化代码中注册：

$auth = Yii::$app->authManager;
$perm = $auth->createPermission('adjustment/batch-delete');
$perm->description = '允许批量删除调整配置';
$auth->add($perm);

在控制器中做权限拦截

批量删除接口（如 actionBatchDelete）必须显式声明权限要求，推荐使用 AccessControl 行为：

public function behaviors()
{
    return [
        'access' => [
            'class' => AccessControl::className(),
            'rules' => [
                [
                    'actions' => ['batch-delete'],
                    'allow' => true,
                    'roles' => ['@'],
                    'permissions' => ['adjustment/batch-delete'], // ✅ 关键：绑定具体权限项
                ],
            ],
        ],
    ];
}

注意：不能只靠角色（如 'admin'）放行，因为 RBAC 的优势在于细粒度控制——同一角色下不同用户可能被赋予不同批量删除权限。

Yii Framework 2.0.51

Yii Framework 2.0.51 官方 Basic 应用模板，适合旧项目兼容、升级验证和开发测试。

下载

执行 deleteAll 前再做一次业务级校验

RBAC 只管“能不能删”，不管“删哪些才安全”。因此在调用 deleteAll() 前，需结合当前用户上下文补充限制条件：

限制可操作的数据范围（如仅本部门数据、仅本人创建的记录）
排除系统关键记录（如 ['NOT', ['id' => [1, 2]]]）
校验参数合法性（如 $plan_year_id 是否属于用户可见年度）

示例：

// 获取用户所属部门 ID
$deptId = Yii::$app->user->identity->department_id;

// 构建带租户隔离的条件
$condition = [
    'AND',
    ['plan_year_id' => $plan_year_id],
    ['dept_id' => $deptId], // ✅ 加入业务维度约束
    ['is_auto' => $is_auto],
    ['NOT', ['column_id' => 1]],
];

AllAdjustments::deleteAll($condition);