前后端分离项目，你们是怎么控制权限的？

[bobiscool]

已经做前后端分离 快一年了 技术栈趋向成熟

• vue
• vue router
• vuex
• node
• express

做出来的是单页面应用，但是在权限上一直都有问题。 现在我做权限 是 后台有一套，前端又有重复的一套，麻烦就在这里，

• 只有我对后台有请求的时候，我才知道用户到底有没有这个权限「因为前台的权限，就存在 localSorage 里面，用户可以更改」，如果请求发现没权限，还是前端 router 跳到没权限或者登录页，但是如果这个页面没有请求呢。

• 因为是一个管理系统，权限特别细，比如某些用户只有这几个目录可以看，其他用户只有那几个目录可以看，但我用的是前端路由，问题又来了。

  • 前端路由一般都是配置好的，我怎么让用户一进来就跳到他自己有权限的页面的第一页。
  • 如果用户直接输入 一个没有权限进入的地址 我该怎么拦截「须知我的拦截其实没有意义，因为页面都在他那里，他只需要改掉我的拦截代码就行」

---

这里 我现在的解决方案是

• 还是后台传给我 详细的权限，用于我铺设页面，如果这个没有权限，导航上也是没有显示的，但是这样还是可以被更改。
• 用户登录 就会跳他能看到页面的第一个。
  • 首先 路由上 是全部都注册好的
  • 请求之后拿到权限，然后根据权限 生成导航数组
  • 然后自动页面跳到导航数组的 第一个
  • 切换页面的时候，都要去根据导航数组判断他是否有这个页面权限。

但是我觉得自己的办法太笨拙，而且还是会被篡改，所以求各位解答疑惑，谢谢了。

[Mutoo]

在 SPA 中前端所有子页面都是在客户端机子上的，前端路由的限制是为了体验，而不是安全。用户自己改了前端路由，能进到本来没有权限的子面页，但是他并没有接口权限获得数据，所以也没什么意义。

[naixiaoxin]

通过接口返回菜单。然后业务接口加上权限控制就差不多了

[hsluoyz]

后端权限检查可以用 Casbin： https://github.com/casbin/node-casbin

[igeeky]

我来推荐一个吧:
github.com/iGeeky/wolf
通用 RBAC 系统，统一用户权限系统, 统一授权及访问控制.