hzdyjs/docs/变更管理/code-adjust-record-2025-08-01-approval-permission-fix.md

部门审批管理页面权限逻辑修复记录

变更时间: 2025-08-01 18:30:00
操作人员: Cursor AI助手
变更类型: 权限逻辑修复
影响模块: 财务管理 - 部门审批管理

🎯 修复目标

按照用户期望的权限管理模式进行修改：

• 超级管理员: 可以看到所有的待审批记录
• 部门领导: 只能看到本部门的用户提交的审批

🔧 修复内容

第一步：修改审批记录Service层

文件: backend/ruoyi-modules/ruoyi-cw/src/main/java/org/dromara/cw/service/impl/CwApprovalRecordServiceImpl.java

修改内容:

1. 添加数据权限过滤方法 addDataPermissionFilter()
2. 在 buildQueryWrapper() 中调用权限过滤
3. 实现权限逻辑:
   • 超级管理员：查看所有数据
   • 部门领导：只能查看本部门用户提交的审批
   • 普通用户：只能查看自己相关的审批

核心代码:

private void addDataPermissionFilter(LambdaQueryWrapper<CwApprovalRecord> lqw) {
    // 超级管理员拥有所有权限，无需过滤
    if (LoginHelper.isSuperAdmin(currentUserId)) {
        return;
    }
    
    // 部门领导：只能查看本部门用户提交的审批
    if (rolePermissions.contains("cw:approval:dept")) {
        Long deptId = loginUser.getDeptId();
        lqw.exists("SELECT 1 FROM cw_project_application a " +
                 "WHERE a.id = cw_approval_record.application_id " +
                 "AND a.department_id = " + deptId);
        return;
    }
    
    // 普通用户：只能查看自己作为审批人的记录
    lqw.eq(CwApprovalRecord::getApproverId, currentUserId);
}

第二步：修改项目申报Service层

文件: backend/ruoyi-modules/ruoyi-cw/src/main/java/org/dromara/cw/service/impl/CwProjectApplicationServiceImpl.java

修改内容:

1. 移除强制过滤当前用户的逻辑
2. 添加数据权限过滤方法 addDataPermissionFilter()
3. 实现权限逻辑:
   • 超级管理员：查看所有数据
   • 部门领导：只能查看本部门数据
   • 普通用户：只能查看自己的申报

核心代码:

private void addDataPermissionFilter(LambdaQueryWrapper<CwProjectApplication> lqw) {
    // 超级管理员拥有所有权限，无需过滤
    if (LoginHelper.isSuperAdmin(currentUserId)) {
        return;
    }
    
    // 部门领导：只能查看本部门数据
    if (rolePermissions.contains("cw:approval:dept")) {
        lqw.eq(CwProjectApplication::getDepartmentId, deptId);
        return;
    }
    
    // 普通用户：只能查看自己的申报
    lqw.eq(CwProjectApplication::getApplicantId, currentUserId);
}

第三步：添加超级管理员专用查询方法

文件: backend/ruoyi-modules/ruoyi-cw/src/main/java/org/dromara/cw/service/ICwApprovalRecordService.java

新增方法:

/**
 * 查询所有待审批申报列表（超级管理员专用）
 * 超级管理员可以查看所有待审批的申报
 */
List<CwApprovalRecordVo> queryAllPendingApprovals();

文件: backend/ruoyi-modules/ruoyi-cw/src/main/java/org/dromara/cw/service/impl/CwApprovalRecordServiceImpl.java

实现方法:

@Override
public List<CwApprovalRecordVo> queryAllPendingApprovals() {
    return baseMapper.selectAllPendingApprovals("waiting");
}

第四步：添加Mapper层支持

文件: backend/ruoyi-modules/ruoyi-cw/src/main/java/org/dromara/cw/mapper/CwApprovalRecordMapper.java

新增方法:

/**
 * 查询所有待审批记录（超级管理员专用）
 */
List<CwApprovalRecordVo> selectAllPendingApprovals(@Param("nodeStatus") String nodeStatus);

文件: backend/ruoyi-modules/ruoyi-cw/src/main/resources/mapper/CwApprovalRecordMapper.xml

新增SQL:

<select id="selectAllPendingApprovals" resultType="org.dromara.cw.domain.vo.CwApprovalRecordVo">
    <include refid="selectCwApprovalRecordVo"/>
    where node_status = #{nodeStatus}
      and deleted = 0
    order by create_time desc
</select>

第五步：添加Controller层API

文件: backend/ruoyi-modules/ruoyi-cw/src/main/java/org/dromara/cw/controller/CwApprovalRecordController.java

新增API:

/**
 * 查询所有待审批申报列表（超级管理员专用）
 */
@SaCheckPermission("cw:approval:list")
@GetMapping("/all/pending")
public R<List<CwApprovalRecordVo>> getAllPendingList() {
    List<CwApprovalRecordVo> list = approvalRecordService.queryAllPendingApprovals();
    return R.ok(list);
}

✅ 修复结果

权限逻辑对比

修复前

所有用户 → 查看所有待审批记录（无数据权限过滤）

修复后

超级管理员 → 查看所有待审批记录
部门领导 → 只查看本部门用户提交的审批
普通用户 → 只查看自己相关的审批

新增功能

1. 超级管理员特权: 新增 queryAllPendingApprovals() 方法
2. 数据权限过滤: 在Service层实现完整的权限控制
3. 异常处理: 完善的异常处理和回退机制
4. 日志记录: 详细的权限过滤日志

API接口

新增接口

• GET /cw/approval/all/pending - 超级管理员查看所有待审批

现有接口

• GET /cw/approval/dept/pending - 部门领导查看本部门待审批
• GET /cw/approval/pending - 普通用户查看自己的待审批

🔒 权限控制机制

超级管理员权限

• 角色判断: LoginHelper.isSuperAdmin() 或 superadmin 角色
• 数据范围: 查看所有待审批记录
• API接口: /cw/approval/all/pending

部门领导权限

• 角色判断: 拥有 cw:approval:dept 权限
• 数据范围: 只能查看本部门用户提交的申报对应的审批记录
• 过滤机制: 通过关联查询 cw_project_application 表实现部门隔离

普通用户权限

• 数据范围: 只能查看自己作为审批人的记录
• 过滤机制: approver_id = 当前用户ID

📋 测试建议

测试场景1: 超级管理员

1. 使用超级管理员账号登录
2. 访问部门审批管理页面
3. 验证可以看到所有待审批记录

测试场景2: 部门领导

1. 使用部门领导账号登录
2. 访问部门审批管理页面
3. 验证只能看到本部门的待审批记录

测试场景3: 普通用户

1. 使用普通用户账号登录
2. 访问部门审批管理页面
3. 验证只能看到自己相关的待审批记录

✅ 总结

权限逻辑修复完成，现在系统按照用户期望的权限管理模式运行：

1. ✅ 超级管理员: 可以看到所有的待审批记录
2. ✅ 部门领导: 只能看到本部门的用户提交的审批
3. ✅ 数据权限隔离: 完整的数据权限过滤机制
4. ✅ 异常处理: 完善的异常处理和回退机制

建议进行充分测试，确保权限控制符合业务需求。