Jeecg Boot中关联记录控件的权限控制问题解析

问题背景

在Jeecg Boot 3.7.0版本中，开发人员发现了一个关于关联记录控件的权限控制问题。当用户没有"在线表单"菜单权限时，即使拥有相关表单的访问权限，使用关联记录控件时也会出现权限错误。

问题现象

具体表现为：

1. 系统中有两个在线表单：订单表(order)和客户信息表(client)
2. order表中配置了一个client_id字段，使用"关联记录"控件类型关联client表记录
3. 当用户没有"在线开发-在线表单"菜单权限时，打开order表单会报错，提示没有权限访问client表

技术分析

问题根源

通过分析发现，关联记录控件在后台调用了两个关键接口：

1. /online/cgform/api/getFormItem/{table_name}
2. /online/cgform/api/getColumns/{table_name}

这些接口的权限检查存在问题，没有正确按照表单权限进行验证，而是依赖了"在线表单"菜单权限。

复现步骤

1. 创建两个在线表单（如订单和客户表）
2. 在一个表单中添加关联记录控件指向另一个表单
3. 为用户分配表单权限但不分配"在线表单"菜单权限
4. 用户访问包含关联记录的表单时会出现权限错误

解决方案

目前有两种解决方案：

临时解决方案

1. 从数据库配置一个隐藏的"在线表单"菜单
2. 将该菜单授权给相关用户
3. 这样可以在不显示菜单的情况下解决权限问题

永久解决方案

需要修改Jeecg Boot的源代码，具体应：

1. 修改关联记录控件的权限检查逻辑
2. 使其基于表单权限而非菜单权限进行验证
3. 确保接口/getFormItem和/getColumns能正确识别用户的表单访问权限

最佳实践建议

1. 对于使用关联记录控件的场景，建议统一规划权限体系
2. 如果采用临时方案，应确保隐藏菜单不会影响系统安全性
3. 长期来看，建议升级到修复该问题的Jeecg Boot版本

总结

这个问题揭示了Jeecg Boot在权限控制方面的一个设计缺陷，特别是在跨表单关联场景下的权限验证不够完善。开发人员在使用关联记录控件时需要注意这一限制，并根据实际情况选择合适的解决方案。