PHP后端校验权限并传递标识至前端控制按钮显隐，推荐写入全局JS变量或data属性，前端遍历匹配隐藏无权按钮；模板引擎可服务端直接过滤；所有敏感接口必须二次校验权限。
PHP平台本身不直接渲染按钮，按钮显隐控制发生在前端（HTML/JS），但权限逻辑必须由PHP后端驱动。核心思路是：PHP决定“用户有没有这个按钮的权限”，把结果传给前端，再由前端执行显示或隐藏。
后端准备权限标识并输出到前端
在PHP模板（如ThinkPHP的view、原生PHP文件）中，先查出当前用户拥有的权限码，比如["user:add", "user:edit", "article:delete"]，然后以安全方式注入到页面中：
- 推荐方式：写入全局JS变量（确保转义）：
<script>window.userPerms = <?php echo json_encode($userPermissions); ?>;</script> - 替代方式：为每个按钮加自定义data属性：
- 避免硬编码权限数组，应从数据库或缓存（如Redis）实时读取，保证角色变更后立即生效
前端用JS批量控制按钮显隐
页面加载完成后，遍历所有带权限标记的按钮（例如统一加class="permission"），比对window.userPerms是否包含其对应权限码：
- 匹配成功 → 保留显示（默认可见）
- 匹配失败 → 添加
style="display:none"或移除DOM节点（更彻底） - 示例逻辑：
document.querySelectorAll('.permission').forEach(btn => {
if (!window.userPerms.includes(btn.dataset.perm)) {
btn.style.display = 'none';
}
});
结合模板引擎动态渲染（更干净）
如果使用ThinkPHP、Laravel Blade等模板引擎，可直接在服务端判断，不把无权限按钮输出到HTML中：
立即学习“PHP免费学习笔记（深入）”；
- ThinkPHP示例：
- 优势：减少无效DOM、避免JS执行延迟导致的“闪现”、SEO友好
- 注意：需确保权限数据在模板渲染前已准备好，不能依赖AJAX异步获取
必须配合后端接口权限校验
按钮隐藏只是体验优化，绝不能替代后端校验：
- 所有涉及敏感操作的接口（如删除、导出），PHP控制器中必须再次检查权限码，未通过则返回403
- 不要用
$_SESSION['role'] === 'admin'这种粗粒度判断，应校验具体动作权限，如checkPermission('order:refund') - 权限缓存建议按角色ID维度存储，变更时主动清理，避免脏数据
