thinkphp平台，auth权限控制，如何防止低组别的用户去修改高组别的信息及用户组？谢谢

[buyifly]

系统中设置了三个用户组，超级管理员、网站管理员、编辑
如图：
分别添加了三个用户，admin、jsitt、测试

并且都给三个用户组设置了允许查看会员，修改会员信息的权限

现在出现了问题，就是网站管理员能修改超级管理员的信息和组别，编辑组也能修改超级管理员和网站管理员的组别和权限等

我想要的是，超级管理员>网站管理员>编辑

网站管理员能修改所有编辑的组别和信息，但不能修改超级管理员的信息和组别

谢谢！

[buyifly]

引用 5 楼 xuzuning 的回复:

用户只能处理以自己权限相符的数据，没有权限是什么也做不了的
所以权限是主体，用户是客体
权限管理就是将权限抽象出来，只认权限，不认用户
做到了，你的问题就不存在了

权限是一样的呀，都可以修改用户信息，现在我加了修改用户信息前判断自己的用户组是不是比要修改的用户的用户组低，低才可以修改，高就不可以修改了

TP的AUTH权限认证是给了操作

如果我给了低级别的用户第15条、17条的权限，他是可以修改所有的用户的
我现在是判断他们的用户组的ID，他们只能操作比他们更低的级别的用户信息
有没有更好的办法？
谢谢

[xuzuning]

这应该是在角色处理时进行的

[buyifly]

判断用户组吗？是这意思吗？

[xuzuning]

权限和应用是通过角色挂钩的 你的需求是具有权限的角色去执行某个应用时还需要判定一下级别 因此你可以细分角色，也可以在应用中设置宿主 如果你的权限管理中有“例外”的话，当然也可以用“例外”处理

[小在在]

现在的问题是你的用户级别区分不了

[buyifly]

求帮助！！谢谢

[断点Bingo]

tp的权限控制是RBAC模式，权限都是对应一个个节点即控制器或方法。 你的编辑是统一个方法，要有编辑的权限肯定都有了。 要不你把 编辑用户的方法分开来写。。。

[ghj902260]

很简单在权限编辑的时候加个用户组等级，写规则的时候判断修改用户组等级是否高于当前用户所属用户组

[buyifly]

引用 3 楼 ghj902260 的回复:

很简单在权限编辑的时候加个用户组等级，写规则的时候判断修改用户组等级是否高于当前用户所属用户组

恩，谢谢！

[xuzuning]

用户只能处理以自己权限相符的数据，没有权限是什么也做不了的 所以权限是主体，用户是客体 权限管理就是将权限抽象出来，只认权限，不认用户 做到了，你的问题就不存在了

[buyifly]

引用 10 楼 whg4585 的回复:

现在的问题是你的用户级别区分不了

用用户组的，三个角色就是三个用户组，就是用户级别呀

[buyifly]

求关注，谢谢大家了！

[小在在]

可以给角色组一个级别排序，当前用户的角色如果修改其它用户，只能修改比此角色排序低的角色用户

[buyifly]

引用 13 楼 whg4585 的回复:

可以给角色组一个级别排序，当前用户的角色如果修改其它用户，只能修改比此角色排序低的角色用户

我目前就是这么弄的，有没有其它好办法呀

[小在在]

引用 14 楼 buyifly 的回复:

[quote=引用 13 楼 whg4585 的回复:] 可以给角色组一个级别排序，当前用户的角色如果修改其它用户，只能修改比此角色排序低的角色用户

我目前就是这么弄的，有没有其它好办法呀[/quote] 可以把每个级别的角色用户修改单独做成功能，把相应的功能加到相应的角色上去

[buyifly]

引用 15 楼 whg4585 的回复:

[quote=引用 14 楼 buyifly 的回复:] [quote=引用 13 楼 whg4585 的回复:] 可以给角色组一个级别排序，当前用户的角色如果修改其它用户，只能修改比此角色排序低的角色用户

我目前就是这么弄的，有没有其它好办法呀[/quote] 可以把每个级别的角色用户修改单独做成功能，把相应的功能加到相应的角色上去[/quote] 明白这意思了：）有点小复杂：）