本文介绍如何从数据库查询用户信息后，正确提取并使用 roles 字段判断用户权限（如是否为管理员），同时强调会话存储与直接校验的适用场景及最佳实践。
本文介绍如何从数据库查询用户信息后，正确提取并使用 `roles` 字段判断用户权限（如是否为管理员），同时强调会话存储与直接校验的适用场景及最佳实践。
在基于角色的访问控制（RBAC）系统中，roles 字段是决定用户权限的关键依据。你当前的 find_user_by_username() 函数已能成功查询用户数据，但需进一步安全、可靠地使用返回的 roles 值进行逻辑判断。
✅ 正确使用查询结果判断角色
函数本身无需在内部赋值或做权限判断——它的职责应是单一且纯粹地获取数据。权限校验应在调用层完成，例如：
$user = find_user_by_username('john_doe');
if ($user && $user['roles'] === 'admin') {
// 允许执行管理员操作
grantAdminAccess();
} else {
// 拒绝或降级访问
denyAccess();
}⚠️ 注意事项：
- 始终校验 $user 是否为非空数组（避免 null 或 false 导致 Notice: Trying to access array offset on value of type bool）；
- 使用严格比较 === 防止类型混淆（如 '1' == true）；
- 若 roles 字段可能存储多个角色（如 JSON 数组或逗号分隔字符串），应扩展校验逻辑，例如：
$roles = json_decode($user['roles'], true) ?? []; if (in_array('admin', $roles, true)) { /* ... */ }
? 推荐：登录时存入 Session（更高效、更安全）
频繁查询数据库判断角色既低效又增加风险。最佳实践是在用户成功登录后，将角色信息存入 $_SESSION：
// login.php 中认证成功后
session_start();
$user = find_user_by_username($username);
if ($user && password_verify($inputPassword, $user['password'])) {
$_SESSION['username'] = $user['username'];
$_SESSION['roles'] = $user['roles']; // 或 ['admin', 'editor']
$_SESSION['logged_in'] = true;
}后续页面中可直接、快速校验：
session_start();
if ($_SESSION['logged_in'] && $_SESSION['roles'] === 'admin') {
echo "Welcome, Admin!";
}✅ 优势：减少重复数据库查询、提升响应速度、便于统一权限中间件封装。
? 总结
- find_user_by_username() 应保持职责单一：只负责查询，不处理业务逻辑；
- 角色判断必须在调用处进行，并做好空值与类型防护；
- 生产环境强烈建议将角色信息持久化至 Session（或 JWT Payload），而非每次请求都查库；
- 若系统需支持多角色，建议将 roles 设计为 JSON 字段或关联角色表，配合规范化权限检查工具（如 in_array() 或自定义 hasRole() 方法）。
