Как реализовать на фронтенде отображение доступных действий (например, смены статусов) в зависимости от роли пользователя и его отношения к объекту?

Управление доступными действиями на фронтенде — это задача о том, как показать пользователю только те кнопки, ссылки и статусы, которые он действительно может использовать. В основе лежит модель прав: у пользователя есть роль (admin, manager, user), а у объекта — отношение к пользователю (владелец, участник, наблюдатель). Комбинация этих данных определяет, какие действия разрешены.

Подходы к реализации

• Централизованная функция проверки прав — единая утилита, которая принимает пользователя, объект и действие, возвращает boolean.
• Карта разрешений — объект, где ключ — роль, значение — список доступных действий.
• Компоненты-обёртки — например, <Can action="edit">, которые рендерят детей только при наличии прав.

Пример на JavaScript

const permissions = {
  admin: ['view', 'edit', 'delete', 'approve'],
  manager: ['view', 'edit', 'approve'],
  user: ['view']
};

function can(user, object, action) {
  if (user.id === object.ownerId) return true; // владелец может всё
  const roleActions = permissions[user.role] || [];
  return roleActions.includes(action);
}

// Использование в UI
{can(user, task, 'edit') && Редактировать}
{can(user, task, 'approve') && Согласовать}

Учёт отношения к объекту

Роль — не единственный фактор. Например, пользователь может быть владельцем задачи, её исполнителем или просто наблюдателем. Отношение к объекту часто важнее роли: владелец может удалить задачу, даже если его роль — обычный пользователь. Поэтому функцию проверки стоит строить так, чтобы она сначала учитывала отношение, а затем роль.

Безопасность

Фронтенд не является защитой. Любой пользователь может изменить JavaScript в браузере и вызвать скрытое действие. Поэтому все проверки прав должны дублироваться на сервере. Фронтенд лишь улучшает UX, скрывая недоступные действия и предотвращая ошибки.

Итог: применяйте централизованную функцию проверки прав и условный рендеринг, чтобы интерфейс был понятным и безопасным, но всегда дублируйте проверки на бэкенде.