hyperf中批量修改权限校验需通过自定义@requirebatchpermission注解配合@aspect切面实现：拦截方法提取id列表，调用permissionservice::batchcheck()批量鉴权，确保用户对具体数据而非仅接口具备操作权限。
在 Hyperf 框架中，AOP（面向切面编程）是通过 @Aspect 和 @Around 等注解实现的，非常适合将权限校验这类横切关注点统一管理。针对「批量修改操作」的权限校验，核心思路是：**拦截批量更新方法，在执行前校验当前用户是否具备对这批目标数据的操作权限**，而非只校验接口访问权。
1. 定义自定义注解 @RequireBatchPermission
先创建一个用于标记批量修改方法的注解，携带业务标识（如资源类型、操作类型），便于切面动态解析校验逻辑：
#[Attribute(Attribute::TARGET_METHOD)]
class RequireBatchPermission
{
public function __construct(
public string $resource, // 例如 'user', 'post'
public string $action = 'update' // 例如 'update', 'delete'
) {}
}
2. 编写权限校验切面类
创建一个切面类，使用 @Aspect 声明，并用 @Around 拦截带 @RequireBatchPermission 的方法。关键在于从方法参数中提取待修改的 ID 列表（或实体集合），再调用权限服务批量鉴权：
#[Aspect]
#[AutoController]
class BatchPermissionAspect
{
#[Around("@annotation(App\Annotation\RequireBatchPermission)")]
public function checkBatchPermission(ProceedingJoinPoint $proceedingJoinPoint)
{
$method = $proceedingJoinPoint->getMethod();
$annotation = $method->getAttributes(RequireBatchPermission::class)[0]->newInstance();
// 从参数中提取 IDs（约定：第一个参数为 array|int[]|Collection）
$args = $proceedingJoinPoint->getArguments();
$ids = [];
if (!empty($args)) {
$firstArg = $args[0];
if (is_array($firstArg)) {
$ids = array_filter(array_map(fn($v) => is_numeric($v) ? (int)$v : null, $firstArg));
} elseif ($firstArg instanceof Collection) {
$ids = $firstArg->map(fn($item) => $item instanceof Model ? $item->id : $item)->filter('is_numeric')->map('intval')->all();
}
}
if (empty($ids)) {
throw new BadRequestHttpException('Missing valid target IDs for batch operation.');
}
// 调用权限服务（需自行实现，支持按用户+资源+ID列表批量校验）
$userId = Context::get(UserContext::USER_ID); // 假设已通过中间件注入用户上下文
$canAccess = $this->container->get(PermissionService::class)
->batchCheck($userId, $annotation->resource, $annotation->action, $ids);
if (!$canAccess) {
throw new ForbiddenException('Insufficient permissions for some or all targets.');
}
return $proceedingJoinPoint->process();
}
}
3. 实现 PermissionService::batchCheck() 批量鉴权逻辑
该方法应避免 N+1 查询，推荐一次查出所有目标记录的归属信息（如 owner_id、team_id），再结合 RBAC/ABAC 规则判断。示例简化逻辑：
- 查出
$ids对应的全部记录（如User::query()->whereIn('id', $ids)->pluck('id', 'owner_id')） - 根据当前用户角色、部门、数据分级等策略，生成允许操作的 ID 白名单
- 对比输入
$ids是否全部在白名单内；若部分越权，可选择抛异常，或返回过滤后的安全子集（视业务而定）
4. 在 Controller 中使用
直接在批量更新方法上添加注解，保持控制器干净：
class UserController
{
#[PostMapping("/users/batch-update")]
#[RequireBatchPermission(resource: 'user', action: 'update')]
public function batchUpdate(array $ids, array $data): ResponseInterface
{
// 此处执行实际更新，无需重复校验权限
User::whereIn('id', $ids)->update($data);
return $this->response->success();
}
}
不复杂但容易忽略的是：批量场景下权限不能只校验“能否调用这个接口”，而必须校验“能否操作这组具体数据”。Hyperf 的 AOP 提供了优雅的解耦方式，把校验下沉到切面，让业务代码专注数据操作本身。
