Buffalo框架怎么限制路由访问权限-Golang-PHP中文网

Buffalo框架无内置RBAC，auth_required仅校验登录态，不检查角色或权限；权限控制须手动实现，全局中间件适用于统一策略（如AdminOnly），细粒度校验（如资源所有权）必须在Action内完成。

buffalo框架怎么限制路由访问权限

Buffalo 框架没有内置 RBAC 或角色权限系统，所有访问控制必须手动实现——要么在中间件里做逻辑判断，要么在 Action 函数里校验，且必须注意 session、context 传递时机和路由作用域范围。

为什么 auth_required 中间件不能直接当“权限控制”用

Buffalo 自带的 auth_required 只检查用户是否登录（即 c.Session().Get("current_user_id") 是否存在），它不识别角色、权限字段或资源所有权。你写 app.GET("/admin/users", AdminUsers).Use(auth_required)，只要用户已登录，就能进；哪怕数据库里这个用户是普通 member，照样放行。

它不读取 User 模型里的 role 字段，也不支持自定义策略函数
它不会自动从 DB 查用户，只依赖 session 中已存的 ID，后续需手动 pop.Find
若你在中间件里调 pop.Find(&u, c.Session().Get("current_user_id"))，但没提前注册 pop.Transaction 中间件，c.DB() 会是 nil，panic

在中间件里做角色校验的正确写法

要限制 /admin/* 路由仅 admin 可访问，得自己写中间件，并确保它在 pop.Transaction 之后、路由 handler 之前执行：

Skill Weave Chains — 技能链路由引擎

开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。

下载

func AdminOnly(next buffalo.Handler) buffalo.Handler {
	return func(c buffalo.Context) error {
		// 1. 先确认已登录
		uid := c.Session().Get("current_user_id")
		if uid == nil {
			return c.Error(401, errors.New("unauthorized"))
		}
		// 2. 查用户（依赖 pop.Transaction 已注入 c.DB()）
		var u models.User
		if err := c.DB().Find(&u, uid); err != nil {
			return c.Error(401, errors.New("user not found"))
		}
		// 3. 校验角色字段（假设模型有 Role string `db:"role"`）
		if u.Role != "admin" {
			return c.Error(403, errors.New("forbidden"))
		}
		return next(c)
	}
}

注册时顺序很重要：app.Use(pop.Transaction(app.DB)) 必须在 app.Use(AdminOnly) 之前
别在中间件里调 c.Render() —— 除非你明确想终止流程并返回页面；否则用 c.Error() 更一致
如果 User 模型用的是整数 role_id，记得查关联表或预加载，避免 N+1

按资源所有权做细粒度控制（比如 /posts/{id}/edit）

这种控制没法放在全局中间件，必须下沉到具体 Action 里，因为要读 URL 参数和 DB 数据做比对：

func EditPost(c buffalo.Context) error {
	id := c.Param("id")
	var post models.Post
	if err := c.DB().Find(&post, id); err != nil {
		return c.Error(404, err)
	}

	// 获取当前登录用户
	uid := c.Session().Get("current_user_id")
	if uid == nil {
		return c.Error(401, errors.New("login required"))
	}

	// 判断是否为作者
	if post.UserID != uid {
		return c.Error(403, errors.New("not your post"))
	}

	c.Set("post", &post)
	return c.Render(200, r.HTML("posts/edit.html"))
}

别在中间件里解析 c.Param("id") 并查 DB —— 因为不同路由参数名不同（id、slug、uuid），无法通用
别用 c.Request().URL.Query().Get("id") 替代 c.Param("id")，REST 路由的路径参数必须走命名匹配
如果用了软删除（deleted_at），记得在 Find 时加 .Where("deleted_at IS NULL")，否则未授权用户可能通过 ID 碰撞看到已删内容