员工权限系统评估报告

# 企业管理端员工权限系统评估报告

> 评估时间：2026-03-18
> 评估范围：企业管理后台员工权限系统

---

## 一、系统架构概述

权限系统采用 **菜单驱动权限** 架构，核心组件如下：

### 1. 数据库模型

| 表名 | 用途 | 状态 |
|------|------|------|
| `permission_definitions` | 权限定义（支持4级层级：模块→菜单→页面→操作） | ✅ 完整 |
| `backend_roles` | 角色表（租户隔离、权限码数组） | ✅ 完整 |
| `backend_users` | 后台用户表（手机号登录、员工关联、状态管理） | ✅ 完整 |
| `backend_operation_logs` | 操作日志表（审计追踪） | ✅ 完整 |

**文件路径**：`src/storage/database/permission/schema.ts`

### 2. 后端 API

| API 路径 | 功能 | 状态 |
|----------|------|------|
| `/api/permission/definitions` | 权限定义查询（支持按应用分组） | ✅ 完整 |
| `/api/permission/init` | 权限系统初始化 | ✅ 完整 |
| `/api/permission/roles` | 角色 CRUD | ✅ 完整 |
| `/api/permission/roles/[id]` | 角色详情/更新/删除 | ✅ 完整 |
| `/api/permission/users` | 用户列表/创建 | ✅ 完整 |
| `/api/permission/users/[id]` | 用户详情/更新 | ✅ 完整 |
| `/api/permission/users/[id]/disable` | 禁用用户 | ✅ 完整 |
| `/api/permission/users/[id]/enable` | 启用用户 | ✅ 完整 |
| `/api/permission/users/[id]/reset-password` | 重置密码 | ✅ 完整 |
| `/api/permission/users/[id]/change-password` | 修改密码 | ✅ 完整 |
| `/api/permission/logs` | 操作日志查询 | ✅ 完整 |
| `/api/permission/logs/[id]` | 日志详情 | ✅ 完整 |

### 3. 前端页面

| 页面路径 | 功能 | 状态 |
|----------|------|------|
| `/admin/permissions` | 平台管理端权限管理（角色+用户+权限点） | ✅ 完整 |
| `/tenant/enterprise/employee-permissions` | 企业管理端员工权限管理 | ✅ 完整 |

### 4. 权限验证中间件

**文件路径**：`src/proxy.ts`

- ✅ Next.js 16 proxy 替代已弃用的 middleware
- ✅ 多端角色隔离（platform/partner/tenant）
- ✅ JWT Token 验证（支持 JWT 格式和旧版 base64 格式）
- ✅ API 和页面路径统一拦截
- ✅ 权限不足自动重定向

---

## 二、核心功能评估

### 1. 角色管理 ✅

- 创建/编辑/删除角色
- 权限树选择器（按应用模块分组）
- 系统内置角色保护（不可删除）
- 角色启用/禁用

### 2. 用户管理 ✅

- 创建后台账号（自动生成随机密码）
- 编辑用户信息
- 启用/禁用账号
- 重置密码
- 关联员工信息
- 状态管理（pending/active/disabled/locked）

### 3. 权限定义 ✅

- 四级权限层级
- 按应用模块组织
- 支持菜单配置联动
- 默认权限和系统权限标识

### 4. 操作日志 ✅

- 记录所有敏感操作
- 变更前后数据对比
- 设备信息、IP 地址记录
- 严重级别分类

### 5. 安全特性 ✅

- 密码加密存储（bcryptjs）
- 敏感数据加密（身份证号、初始密码）
- 登录失败计数和账号锁定
- 首次登录强制修改密码

---

## 三、已修复问题回顾

| 问题 | 解决方案 | 状态 |
|------|----------|------|
| 管理后台登录失败 | 用户名为 `platform` 而非 `admin`，重置密码为 `admin123` | ✅ |
| Buffer.from 浏览器兼容性 | 使用 `atob()` 替代 `Buffer.from()` 解码 JWT | ✅ |
| 菜单加载卡住"Rendering..." | 修复 `useMemo` 中调用 `setState`，改用 `useEffect` | ✅ |
| 登录后无权限提示 | 修复角色判断逻辑，使用 API 返回的角色 | ✅ |

---

## 四、系统完整性评分

| 评估维度 | 完整度 | 说明 |
|----------|--------|------|
| 数据模型 | ⭐⭐⭐⭐⭐ | 完整覆盖权限、角色、用户、日志 |
| API 接口 | ⭐⭐⭐⭐⭐ | CRUD 完整，支持分页、搜索、过滤 |
| 前端页面 | ⭐⭐⭐⭐⭐ | 角色管理、用户管理、日志查看完整 |
| 权限验证 | ⭐⭐☆☆☆ | **仅验证角色类型，未验证具体权限码** |
| 安全机制 | ⭐⭐⭐⭐⭐ | 密码加密、敏感数据加密、登录保护 |

---

## 五、&#128308; 关键缺陷分析（权限系统未生效）

### 5.1 问题描述

**当前状态**：员工权限设置无效，所有员工账号拥有相同权限。

**根本原因**：权限验证链路存在三个关键断点：

```
┌─────────────────────────────────────────────────────────────┐
│                    权限验证链路断点                          │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  断点1: 登录后权限未加载                                     │
│  ─────────────────────                                      │
│  /api/v2/auth/me 只查询 saasUsers 表                        │
│  员工账号在 backend_users 表，无法找到 → 返回空权限          │
│                                                             │
│  断点2: 静态菜单无权限过滤                                   │
│  ─────────────────────                                      │
│  ProLayoutWrapper 使用静态菜单作为 fallback                 │
│  静态菜单没有权限过滤逻辑 → 显示所有菜单                     │
│                                                             │
│  断点3: 权限过滤逻辑缺失                                     │
│  ─────────────────────                                      │
│  if (!allowedModules || Object.keys(allowedModules).length === 0) │
│    return true; // 无权限配置时默认放行！                   │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 5.2 影响范围

| 问题 | 影响 | 严重程度 |
|------|------|----------|
| 员工权限不生效 | 所有员工拥有相同权限 | &#128308; 严重 |
| 权限设置无意义 | 管理员设置的权限不生效 | &#128308; 严重 |
| 数据安全隐患 | 低权限员工可访问敏感数据 | &#128308; 严重 |

---

## 六、修复方案

### 6.1 修复 `/api/v2/auth/me` 权限加载

**文件**: `src/app/api/v2/auth/me/route.ts`

**问题**: 只查询 `saasUsers` 表，员工账号查询失败

**修复**: 添加 `backend_users` 表的 fallback 查询

```typescript
// 首先尝试从 saasUsers 表查询
const saasUsersResult = await db.select()...;

if (saasUsersResult[0]) {
  // 找到用户，使用 saasUsers 的权限
  ...
} else {
  // 如果 saasUsers 表没找到，尝试从 backend_users 表查询
  const backendUsersResult = await db.execute(sql`
    SELECT bu.*, r.permissions
    FROM backend_users bu
    LEFT JOIN backend_roles r ON bu.role_id = r.id
    WHERE bu.id = ${session.userId}
  `);
  
  if (backendUsersResult.rows[0]) {
    // 从角色权限提取 allowedModules
    ...
  }
}
```

### 6.2 修复静态菜单权限过滤

**文件**: `src/components/layouts/ProLayoutWrapper.tsx`

**问题**: 静态菜单 fallback 没有权限过滤

**修复**: 为静态菜单添加权限过滤逻辑

```typescript
// 一级菜单顶部
const primaryMenusTop = useMemo(() => {
  // 动态菜单优先
  if (!menusLoading && dynamicPrimaryMenusTop.length > 0) {
    return dynamicPrimaryMenusTop;
  }
  
  // 静态 fallback - 应用权限过滤
  const staticMenus = [...];
  
  if (userPermissions.isAdmin) return staticMenus;
  
  if (userPermissions.allowedModules && Object.keys(userPermissions.allowedModules).length > 0) {
    return staticMenus.filter(menu => 
      userPermissions.allowedModules[menu.moduleCode] === true
    );
  }
  
  return staticMenus; // 无权限配置时保留兼容性
}, [userPermissions, ...]);
```

### 6.3 修复二级菜单权限过滤

---

## 七、相关文档

- [统一身份权限体系](../10-平台规划/03-统一身份权限体系.md)
- [系统架构](./系统架构.md)
- [前端架构](./前端架构.md)

---

## 八、变更记录

| 日期 | 变更内容 | 操作人 |
|------|----------|--------|
| 2026-03-18 | 创建文档，记录权限系统评估结果 | AI |