已发布的《企业后台权限设计数据权限和角色权限的区别有多大》讲的是概念。这篇讲实现ApplyDataPermission到底生成了什么条件为什么只做查询过滤是不够的以及导入 Excel 时那条最容易被忽略的越权路径是怎么被堵上的。一、先分清两个问题功能权限回答的是你能不能打开这个页面、能不能点这个按钮。数据权限回答的是打开页面之后你能看到、能修改哪些行。这两件事在实现上完全不同功能权限的载体是SysMenu菜单 按钮判定方法是AuthPath/AuthButton数据权限的载体是SysRole.DataPermission和实体上的OrgId判定方法是生成 SQL 过滤条件。一个很典型的漏洞场景用户确实有订单管理的编辑按钮权限功能权限没问题但他把请求里的Id改成别人的订单如果只校验按钮权限这条别人的数据就被改了。所以数据权限必须覆盖查询、新增、修改、删除、批量导入所有落库路径。二、模型一个接口 一个枚举1. 实体侧IDataPermissionpublicinterfaceIDataPermission{/// summary获取或设置组织 ID/summarylongOrgId{get;set;}}就这么简单。实体实现了它就表示这张表的每一行归属于某个组织。实际生效还需要第二个条件实体同时实现IEntityCreated提供CreatedUserId用于仅本人数据规则。源码里的自动判定// 实体实现 IDataPermission IEntityCreated 时自动启用数据权限_autoDataPermissiontypeof(IDataPermission).IsAssignableFrom(typeof(TItem))typeof(IEntityCreated).IsAssignableFrom(typeof(TItem));SysUser就是这样一个例子public partial class SysUser : EntityFull, IDataPermission而EntityFull的继承链上带了IEntityCreated。2. 角色侧五种数据范围publicenumDataPermissionType{[Display(Name全部数据)]AllData,[Display(Name本部门及以下数据)]CurrentDepartmentAndBelow,[Display(Name本部门数据)]CurrentDepartmentOnly,[Display(Name仅本人数据)]PersonalOnly,[Display(Name自定义数据)]Custom}角色上还配了CustomDataPermission逗号分隔的组织 ID 列表。数据权限是按角色配的一个用户有多个角色时取并集——这点在源码里体现得很直接。三、查询路径ApplyDataPermission1. 完整实现publicstaticISelectTApplyDataPermissionT(thisISelectTselect,AdminContextadminContext,boolenablefalse,stringuserIdFieldCreatedUserId)whereT:class{if(!enable||!typeof(IDataPermission).IsAssignableFrom(typeof(T))||!typeof(IEntityCreated).IsAssignableFrom(typeof(T))){returnselect;}varuseradminContext.User;varrolesadminContext.Roles;if(usernull||rolesnull||roles.Count0){returnselect.Where(afalse);}// 管理员角色拥有全部数据权限if(roles.Any(rr.DataPermissionDataPermissionType.AllData))returnselect;varparamExpression.Parameter(typeof(T),a);varorgIdPropExpression.Property(param,OrgId);varuserIdPropExpression.Property(param,userIdField);varuserIdConstantExpression.Constant(user.Id);Expression?combinedConditionnull;foreach(varroleinroles){Expression?roleConditionnull;switch(role.DataPermission){caseDataPermissionType.PersonalOnly:roleConditionExpression.Equal(userIdProp,userIdConstant);break;caseDataPermissionType.CurrentDepartmentOnly:caseDataPermissionType.CurrentDepartmentAndBelow:varorgIdsadminContext.GetOrgIds(role.DataPermissionDataPermissionType.CurrentDepartmentAndBelow);roleConditionBuildOrgInExpression(orgIds,orgIdProp);break;caseDataPermissionType.Custom:// 未配置或配置了非法组织 ID 时按无可见数据处理fail-closedvarcustomOrgIds(role.CustomDataPermission??string.Empty).Split(,,StringSplitOptions.RemoveEmptyEntries|StringSplitOptions.TrimEntries).Select(slong.TryParse(s,outvarid)?id:(long?)null).Where(idid.HasValue).Select(idid!.Value).ToList();roleConditionBuildOrgInExpression(customOrgIds,orgIdProp);break;}if(roleCondition!null){combinedConditioncombinedConditionnull?roleCondition:Expression.OrElse(combinedCondition,roleCondition);}}if(combinedCondition!null){varlambdaExpression.LambdaFuncT,bool(combinedCondition,param);returnselect.Where(lambda);}returnselect;}2. 逐段拆解1不满足条件就不过滤enable false、实体没实现IDataPermission、或者没实现IEntityCreated都直接返回原查询。这是显式开关 自动识别的双保险不实现接口的实体不会被误伤。2拿不到用户或角色时 fail-closedif(usernull||rolesnull||roles.Count0){returnselect.Where(afalse);}注意这里是Where(a false)不是返回全部。权限上下文不完整时宁可看不到数据也不能放开。3AllData 直接短路只要用户有任意一个AllData角色直接返回原查询不生成任何条件。管理员角色IsAdministrator在角色页里通常也配成全部数据。4多角色取并集每个角色生成一个条件表达式最后用Expression.OrElse串起来。举例用户有A 角色本部门和B 角色仅本人两个角色最终条件等价于(OrgIdIN(本部门及子部门)ORCreatedUserId当前用户)这符合角色叠加只增不减的直觉。5本部门用树形 CTE 算范围publicListlongGetOrgIds(boolincludeChildren){if(User?.OrgIdnull)return[];varorgIdsnewListlong();if(includeChildren){varchildOrgsOrm.SelectSysOrg().Where(aa.IdUser.OrgId).AsTreeCte().ToList();orgIds.AddRange(childOrgs.Select(aa.Id));}else{orgIds.Add(User.OrgId);}returnorgIds;}AsTreeCte()让数据库递归展开整棵子树。“本部门及以下就是自己 所有子孙部门”本部门只取一个 ID。6自定义非法配置按无数据CustomDataPermission里解析不出任何合法 ID 时BuildOrgInExpression会返回privatestaticExpressionBuildOrgInExpression(ListlongorgIds,MemberExpressionorgIdProp){if(orgIds.Count0)returnExpression.Constant(false);...}也就是WHERE 1 0。这条 fail-closed 设计很重要——配置漏了不该等于看到全部数据。3. 生成的 SQL 长什么样以本部门及以下为例最终落到数据库上大致是SELECT*FROMblog_articleWHEREOrgId100OROrgId101OROrgId105;仅本人则是SELECT*FROMblog_articleWHERECreatedUserId9001;条件是表达式树直接拼进查询的不是取出数据后在内存里过滤。这意味着分页Count、导出、排序都作用在同一个过滤后的集合上不会出现第一页看着正常第二页混进别人的数据。四、新增路径OrgId 由框架自动写查询过滤做好了新增时如果OrgId是手填的或者默认 0数据就会掉进谁都看不到或者被误认为属于 0 号组织的坑。框架在AdminExtensions.cs里通过RepositoryOptions.AuditValue统一处理AuditValuee{varuserr.GetServiceAdminContext()?.User;if(usernull)return;// 插入操作时设置创建用户信息if(e.AuditValueTypeAuditValueType.Inserte.ObjectisIEntityCreatedobj1obj1!null){obj1.CreatedUserIduser.Id;obj1.CreatedUserNameuser.Username;obj1.CreatedTimeDateTime.Now;}// 更新操作时设置修改用户信息if(e.AuditValueTypeAuditValueType.Updatee.ObjectisIEntityModifiedobj2obj2!null){obj2.ModifiedUserIduser.Id;obj2.ModifiedUserNameuser.Username;obj2.ModifiedTimeDateTime.Now;}// 用户部门if(e.AuditValueTypeAuditValueType.Inserte.ObjectisIDataPermissionobj3obj3!null){obj3.OrgIduser.OrgId;return;}}所以业务代码里不需要也不应该手填OrgId插入时它会被当前用户的组织覆盖。五、修改 / 删除 / 批量操作FilterAuthorizedAsync查询用 SQL 过滤没问题但修改和删除是按主键直接落库的没有先查再改这个过程。如果只靠前端传过来的实体伪造Id就能越权。所以框架提供了第二个入口/// summary/// 从候选记录中筛出当前用户确实有权限操作的记录仅依据主键回查条件与查询数据权限一致。/// 用于 Excel 导入 / 批量更新 / 批量删除等按主键直接落库的路径/// 防止只靠前端按钮权限而被伪造 Id 绕过。/// /summarypublicstaticasyncTaskListTFilterAuthorizedAsyncT,TKey(thisIAggregateRootRepositoryTrepo,AdminContextadminContext,IEnumerableTcandidates,boolenablePermission,stringuserIdFieldCreatedUserId)whereT:class,IEntityTKey,new(){varlistcandidates?.ToList()??[];if(list.Count0)return[];if(!repo.Select.IsDataPermissionEnabled(adminContext,enablePermission)){returnlist;}varidslist.Select(xx.Id).Distinct().ToList();varauthorizedawaitrepo.Select.Where(aids.Contains(a.Id)).ApplyDataPermission(adminContext,true,userIdField).ToListAsync(aa.Id);varauthorizedSetnewHashSetTKey(authorized);returnlist.Where(xauthorizedSet.Contains(x.Id)).ToList();}它的做法是按主键回查一次把候选 Id 丢回数据库用和查询完全相同的ApplyDataPermission条件筛一遍只保留查得到的主键。查不到的说明越权。用回查而不是在内存里比对 OrgId是有意为之规则只有一份查询和写操作不会不一致本部门及子部门的展开是数据库算的内存里没有完整组织树自定义数据权限的解析逻辑也复用同一段代码。AdminTable在更新、删除、软删除路径上都调用了它// 更新if(changedTypeItemChangedType.Update){varauthorizedawaitFilterAuthorizedAsync([item],CommonLocalizer[没有权限修改该数据]);if(authorized.Count0)returnfalse;}// 删除itemsawaitFilterAuthorizedAsync(items,CommonLocalizer[没有权限操作部分数据已取消删除]);if(items.Count0)returnfalse;六、Excel 导入最容易被忽略的越权入口导入的默认实现是InsertOrUpdateId 0的行按主键更新。也就是说Excel 里写什么主键就可能更新哪一行。如果这里只做按钮权限校验能不能用导入是过了但能导谁的数据完全没管。所以AdminTable在导入路径上单独加了过滤privateasyncTaskListTItemFilterAuthorizedImportRowsAsync(ListTItemrows){if(rows.Count0||!(UseDataPermission||_autoDataPermission)){returnrows;}varauthorizedawaitFilterAuthorizedAsync(rows);if(authorized.Countrows.Count){varrejectedrows.Count-authorized.Count;awaitToastService.Warning(CommonLocalizer[导入结果],string.Format(CommonLocalizer[已忽略 {0} 条没有权限操作的数据。],rejected));}returnauthorized;}调用点在导入主流程里// 数据权限Excel 导入/更新同样不能操作当前用户无权限的数据。// Id 0 的行会走数据库按主键更新因此必须逐行确认该记录在当前用户的数据权限范围内// 不能只依赖前端按钮权限否则伪造 Id 即可越权更新他人数据rowsawaitFilterAuthorizedImportRowsAsync(rows);if(rows.Count0)return;affectedRowsawait_repo.Orm.InsertOrUpdateTItem().SetSource(rows).UpdateColumns(updateColumns).ExecuteAffrowsAsync();行为是剔除 提示而不是整批失败有权限的行正常导入越权的行被丢弃用户能看到已忽略 N 条没有权限操作的数据。如果你用OnImportAsync完全接管导入记得自己补这一步——默认过滤不会执行。七、测试是怎么锁定这些行为的EasyAdminBlazor.Tests/Security/DataPermissionTests.cs用一套真实 SQLite 数据库覆盖了四条路径每条都是必须有权限的留下、越权的剔除测试覆盖路径断言Query_OnlyReturnsAuthorizedRows查询结果只包含本组织OrgId 100Query_CannotReadOtherUsersData查询结果中不出现OrgId 200Update_ForgedIdOutsideScope_IsRejected更新伪造 Id 被拦截数据库状态未变Update_WithinScope_IsAllowed更新权限范围内可正常更新ExcelImport_OtherOrgRow_IsDropped导入混入的他人行被剔除只保留自己的Delete_OtherOrgRows_AreFilteredOut删除越权记录未被删除Admin_RoleWithAllData_SeesEverything管理员AllData角色不受限DisabledDataPermission_DoesNotFilter关闭开关保持既有行为不做过滤这些用例的价值不只是测试过了而是把设计意图写成了可执行的约束四条路径都不能只靠 UI 权限。八、边界与坑userIdField默认是CreatedUserId。仅本人规则按这个字段判定。如果你的业务里归属人不是创建人要在调用时传入正确的字段名。实体必须同时实现IDataPermission和IEntityCreated否则自动启用不生效显式传UseDataPermissiontrue也不会过滤ApplyDataPermission里有接口判断。AdminTable的自动启用只发生在实体实现两个接口时这时不需要页面写UseDataPermission。AdminSelectTable/AdminMultiSelect也支持数据权限用法一致UseDataPermission 同样的接口约定。自定义OnBeforeQuery里做的 Join / Include 要留意数据权限条件作用在TItem上Join 出来的关联表不会自动带过滤条件。文件等非标准资源要单独判定。SysFileController就没有复用IDataPermission而是明确注释了文件实体本身不实现IDataPermission因此采用与数据权限一致的判定并且上传人缺失时拒绝访问。它不是通用行级权限引擎。按金额区间、按状态、按自定义表达式这类复杂规则不在当前模型里需要自己在OnBeforeQuery/ 写路径上补充。九、小结把数据权限的实现串起来就是四个位置、一个原则路径实现查询ApplyDataPermission生成 SQL 过滤条件新增AuditValue自动写入当前用户的OrgId修改 / 删除 / 批量FilterAuthorizedAsync按主键回查权限范围Excel 导入FilterAuthorizedImportRowsAsync逐行过滤 提示一个原则权限上下文不完整时 fail-closed。拿不到用户、拿不到角色、自定义配置解析为空一律看不到任何数据而不是放开全部。功能权限决定你能进哪扇门数据权限决定你在门里能碰哪些东西。两者都做才叫权限控制。如果你正在用 .NET 10 Blazor 做企业后台数据隔离通常是绕不开的需求。EasyAdminBlazor 的数据权限模型可以直接用需要扩展时也能顺着FreeSqlExtensions改。文档https://easyadmin.wang-zhan.com.cn/doc源码https://gitee.com/gudufy/EasyAdminBlazor
