后端數據權限校驗：如何高效安全地驗證用戶數據修改權限？

后端數據權限校驗：數據庫級高效安全方案

在后端系統中，確保數據安全和訪問控制至關重要。本文探討一種高效安全的方案，用于驗證用戶對數據的修改權限，避免因前端惡意操作導致數據被篡改。

假設數據庫中存在如下數據結構：

[   {     "id": "100",     "name": "data1",     "createuserid": 1   },   {     "id": "101",     "name": "data2",     "createuserid": 2   },   {     "id": "102",     "name": "data3",     "createuserid": 3   },   {     "id": "103",     "name": "data4",     "createuserid": 4   },   {     "id": "104",     "name": "data5",     "createuserid": 4   } ]

前端請求攜帶userid（例如，經JWT解密獲得）、id和name。 直接使用GET請求獲取數據再進行userid與createuserid比對效率低下且冗余。

更優的方案是利用數據庫自身的特性進行權限校驗。 通過一條sql語句即可完成數據更新和權限驗證：

UPDATE 表名 SET name = #{name} WHERE id = #{id}   AND createUserId = #{userId}

其中，#{id}、#{name}和#{userId}分別對應前端傳遞的id、name和從JWT獲取的userId。 只有當id和createUserId同時匹配時，更新操作才會執行。 如果createUserId不匹配，則更新失敗，返回受影響行數為0；否則，返回受影響行數大于0，表示更新成功。

這種方法避免了額外的GET請求，直接在數據庫層面進行權限校驗，顯著提高效率并增強安全性，因為只有授權用戶才能修改數據。