用户·角色·权限·表的设计
一．引言
因为做过的一些系统的权限管理的功能虽然在逐步完善，但总有些不尽人意的地方，总想抽个时间来更好的思考一下权限系统的设计。
权限系统一直以来是我们应用系统不可缺少的一个部分，若每个应用系统都重新对系统的权限进行设计，以满足不同系统用户的需求，将会浪费我们不少宝贵时间，所以花时间来设计一个相对通用的权限系统是很有意义的。
二．设计目标
设计一个灵活、通用、方便的权限管理系统。
在这个系统中，我们需要对系统的所有资源进行权限控制，那么系统中的资源包括哪些呢我们可以把这些资源简单概括为静态资源（功能操作、数据列）和动态资源（数据），也分别称为对象资源和数据资源，后者是我们在系统设计与实现中的叫法。
系统的目标就是对应用系统的所有对象资源和数据资源进行权限控制，比如应用系统的功能菜单、各个界面的按钮、数据显示的列以及各种行级数据进行权限的操控。
三．相关对象及其关系
大概理清了一下权限系统的相关概念，如下所示：
1. 权限
系统的所有权限信息。权限具有上下级关系，是一个树状的结构。下面来看一个例子
系统管理
用户管理
查看用户
新增用户
修改用户
删除用户
对于上面的每个权限，又存在两种情况，一个是只是可访问，另一种是可授权，例如对于“查看用户”这个权限，如果用户只被授予“可访问”，那么他就不能将他所具有的这个权限分配给其他人。
2. 用户
应用系统的具体操作者，用户可以自己拥有权限信息，可以归属于0～n个角色，可属于0～n个组。他的权限集是自身具有的权限、所属的各角色具有的权限、所属的各组具有的权限的合集。它与权限、角色、组之间的关系都是n对n的关系。
3. 角色
为了对许多拥有相似权限的用户进行分类管理，定义了角色的概念，例如系统管理员、管理员、用户、访客等角色。角色具有上下级关系，可以形成树状视图，父级角色的权限是自身及它的所有子角色的权限的综合。父级角色的用户、父级角色的组同理可推。
4. 组
为了更好地管理用户，对用户进行分组归类，简称为用户分组。组也具有上下级关系，可以形成树状视图。在实际情况中，我们知道，组也可以具有自己的角色信息、权限信息。这让我想到我们的QQ用户群，一个群可以有多个用户，一个用户也可以加入多个群。每个群具有自己的权限信息。例如查看群共享。QQ群也可以具有自己的角色信息，例如普通群、高级群等。
针对上面提出的四种类型的对象，让我们通过图来看看他们之间的关系。
有上图中可以看出，这四者的关系很复杂，而实际的情况比这个图还要复杂，权限、角色、组都具有上下级关系，权限管理是应用系统中比较棘手的问题，要设计一个通用的权限管理系统，工作量也着实不小。
当然对于有些项目，权限问题并不是那么复杂。有的只需要牵涉到权限和用户两种类型的对象，只需要给用户分配权限即可。
在另一些情况中，引入了角色对象，例如基于角色的权限系统，只需要给角色分配权限，用户都隶属于角色，不需要单独为用户分配角色信息。
通用权限管理设计篇（二）——数据库设计
国庆前整的通用权限设计的数据库初步设计部分，现在贴上来。
理清了对象关系之后，让我们接着来进行数据库的设计。在数据库建模时，对于N对N的
关系，一般需要加入一个关联表来表示关联的两者的关系。初步估计一下，本系统至少需要十张表，分别为：权限表、用户表、角色表、组表、用户权限关联表、用
户角色关联表、角色权限关联表、组权限关联表、组角色关联表、用户属组关联表。当然还可能引出一些相关的表。下面让我们在PowerDesigner中画出各表吧。
各表及其关系如下：
1. 用户表
2. 角色表
3. 权限表
4. 组表
5. 角色权限表
6. 组权限表
7. 组角色表
8. 用户权限表
9. 用户角色表
10. 用户组表
11. 组织表
12. 操作日志表
通用权限管理系统设计篇（三）——概要设计说明书
在前两篇文章中，不少朋友对我的设计提出了异议，认为过于复杂，当然在实际的各种系统的权限管理模块中，并不像这里设计得那么复杂，我以前所做的系统中，
由只有用户和权限的，有只有用户、权限和角色的，还有一个系统用到了用户、权限、角色、组概念，这个系统是我在思考以前所做系统的权限管理部分中找到的一
些共性而想到的一个设计方案，当然还会有不少设计不到位的地方，在设计开发过程中会慢慢改进，这个系统权当学习只用，各位朋友的好的建议我都会考虑到设计
中，感谢各位朋友的支持。
今天抽时间整了一份概念设计出来，还有一些地方尚未考虑清楚，贴出版，希望各位朋友提出宝贵建议。
大家也可以点击此处《通用权限管理概要设计说明书》自行下载，这是版本，有些地方可能还会进行部分修改，有兴趣的朋友请关注我的blog。
1. 引言
编写目的
本文档对通用权限管理系统的总体设计、接口设计、界面总体设计、数据结构设计、系统出错处理设计以及系统安全数据进行了说明。
背景
a、软件系统的名称：通用权限管理系统；
b、任务提出者、开发者：谢星星；
c、在J2EE的web系统中需要使用权限管理的系统。
术语
本系统：通用权限管理系统；
SSH：英文全称是Secure Shell。
预期读者与阅读建议
参考资料
《通用权限管理系统需求规格说明书》
《通用权限管理系统数据库设计说明书》
2. 总体设计
设计目标
权限系统一直以来是我们应用系统不可缺少的一个部分，若每个应用系统都重新对系统的权限进行设计，以满足不同系统用户的需求，将会浪费我们不少宝贵时间，所以花时间来设计一个相对通用的权限系统是很有意义的。
本系统的设计目标是对应用系统的所有资源进行权限控制，比如应用系统的功能菜单、各个界面的按钮控件等进行权限的操控。
运行环境
操作系统：Windows系统操作系统和Linux系列操作系统。
网络结构
通用权限管理系统可采用Java Swing实现，可以在桌面应用和Web应用系统中进行调用。如果需要要适应所有开发语言，可以将其API发布到WEB Service上。暂时用Java Swing实现。
总体设计思路和处理流程
在说明总体设计思路前，我们先说明本系统的相关概念：
1. 权限资源
系统的所有权限信息。权限具有上下级关系，是一个树状的结构。下面来看一个例子
系统管理
用户管理
查看用户
新增用户
修改用户
删除用户
对于上面的每个权限，又存在两种情况，一个是只是可访问，另一种是可授权，例如对于“查看用户”这个权限，如果用户只被授予“可访问”，那么他就不能将他所具有的这个权限分配给其他人。
2. 用户
应用系统的具体操作者，用户可以自己拥有权限信息，可以归属于0～n个角色，可属于0～n个组。他的权限集是自身具有的权限、所属的各角色具有的权限、所属的各组具有的权限的合集。它与权限、角色、组之间的关系都是n对n的关系。
3. 角色
为了对许多拥有相似权限的用户进行分类管理，定义了角色的概念，例如系统管理员、管理员、用户、访客等角色。角色具有上下级关系，可以形成树状视图，父级角色的权限是自身及它的所有子角色的权限的综合。父级角色的用户、父级角色的组同理可推。
4. 组
为
了更好地管理用户，对用户进行分组归类，简称为用户分组。组也具有上下级关系，可以形成树状视图。在实际情况中，我们知道，组也可以具有自己的角色信息、
权限信息。这让我想到我们的QQ用户群，一个群可以有多个用户，一个用户也可以加入多个群。每个群具有自己的权限信息。例如查看群共享。QQ群也可以具有
自己的角色信息，例如普通群、高级群等。
针对如上提出的四种对象，我们可以整理得出它们之间的关系图，如下所示：
总体设计思路是将系统分为组权限管理、角色权限管理、用户权限管理、组织管理和操作日志管理五部分。
其中组权限管理包括包含用户、所属角色、组权限资源和组总权限资源四部分，某个组的权限信息可用公式表示：组权限 = 所属角色的权限合集 + 组自身的权限。
角色权限管理包括包含用户、包含组和角色权限三部分，某个角色的权限的计算公式为：角色权限 = 角色自身权限。
用户权限管理包括所属角色、所属组、用户权限、用户总权限资源和组织管理五部分。某个用户总的权限信息存在如下计算公式：用户权限 = 所属角色权限合集 + 所属组权限合集 + 用户自身权限。
组织管理即对用户所属的组织进行管理，组织以树形结构展示，组织管理具有组织的增、删、改、查功能。
操作日志管理用于管理本系统的操作日志。
注意：因为组和角色都具有上下级关系，所以下级的组或角色的权限只能在自己的直属上级的权限中选择，下级的组或者角色的总的权限都不能大于直属上级的总权限。
模块结构设计
本系统的具有的功能模块结构如下图所示：
尚未解决的问题
无。
3. 接口设计（暂略）
用户接口（暂略）
外部接口（暂略）
内部接口（暂略）
4. 界面总体设计
本节将阐述用户界面的实现，在此之前对页面元素做如下约定：
组权限管理
包含用户
当用户选择“修改”按钮时，弹出用户列表，操作人可以通过勾选或取消勾选来修改该组所包含的用户。
所属角色
当用户选择“修改”按钮时，弹出角色树形结构，操作人可以通过勾选或取消勾选来修改该组所属的角色。
组权限
总权限
通过对已具有的权限取消勾选，或为某权限添加勾选，来修改组的权限信息，点击“保存”按钮保存修改信息。
组管理
在下图中，选中组1的时候，右键点击可弹出组的操作列表，包括添加、删除和修改按钮，从而完成在该组下添加子组，删除该组以及修改该组的功能。
角色权限管理
包含用户
当用户选择“修改”按钮时，弹出用户列表，操作人可以通过勾选或取消勾选来修改该角色所包含的用户。
包含组
当用户选择“修改”按钮时，弹出用户列表，操作人可以通过勾选或取消勾选来修改该角色所包含的组。
角色权限
通过对已具有的权限取消勾选，或为某权限添加勾选，来修改角色的权限信息，点击“保存”按钮保存修改信息。
管理角色
在下图中，选中组1的时候，右键点击可弹出组的操作列表，包括添加、删除和修改按钮，从而完成在该组下添加子组，删除该组以及修改该组的功能。
用户权限管理
所属角色
当用户选择“修改”按钮时，弹出角色树形结构，操作人可以通过勾选或取消勾选来修改该用户所属的角色。
所属组
当用户选择“修改”按钮时，弹出组的树形结构，操作人可以通过勾选或取消勾选来修改该用户所属的组。
用户权限
通过对已具有的权限取消勾选，或为某权限添加勾选，来修改用户的权限信息，点击“保存”按钮保存修改信息。
总权限
通过对已具有的权限取消勾选，或为某权限添加勾选，来修改用户的权限信息，点击“保存”按钮保存修改信息。
用户管理
当选择了某用户时，点击右键，弹出菜单列表：修改、删除、取消，点击修改和删除按钮可以实现用户的删除和修改功能。
选择某个组织，例如下表中的“广州分公司”，弹出菜单列表：添加子组织、删除组织、修改组织、添加用户、取消，点击添加用户按钮可以实现用户的添加功能。
组织管理
选择某个组织，例如下表中的“广州分公司”，弹出菜单列表：添加子组织、删除组织、修改组织、添加用户、取消，点击添加子组织、删除组织、修改组织按钮可以实现组织的添加、删除和修改功能。
操作日志管理
查询操作日志
输入上图表单中的查询信息后，点击“查询”按钮，可查询出符合条件的信息。
删除操作日志
输入上图表单中的查询信息后，点击“查询”按钮，可查询出符合条件的信息。而后点击“删除”按钮，可删除符合查询条件的操作日志。
5. 数据结构设计
数据库设计的模型请参见《通用权限管理系统_数据库模型.pdm》。表的说明请参见《通用权限管理系统数据库设计说明书》。
设计原则
命名的规范
数据库中表、主键、外键、索引的命名都以统一的规则，采用大小写敏感的形式，各种对象命名长度不要超过30个字符，这样便于应用系统适应不同的数据库平台。
数据的一致性和完整性
为了保证数据库的一致性和完整性，往往通过表间关联的方式来尽可能的降低数据的冗余。表间关联是一种强制性措施，建立后，对父表（Parent Table）和子表(Child Table)的插入、更新、删除操作均要占用系统的开销。如果数据冗余低，数据的完整性容易得到保证，但增加了表间连接查询的操作，为了提高系统的响应时间，合理的数据冗余也是必要的。使用规则（Rule）和约束（Check）来防止系统操作人员误输入造成数据的错误是设计人员的另一种常用手段，但是，不必要的规则和约束也会占用系统的不必要开销，需要注意的是，约束对数据的有效性验证要比规则快。所有这些，需要在设计阶段应根据系统操作的类型、频度加以均衡考虑。
数据库环境说明
数据库：
设计库建模工具：
数据库命名规则
表名以T开头，外键以FK开头，索引以INDEX开头。
逻辑结构
pdm文件的名称为：《通用权限管理系统_数据库模型》。
物理存储
通过数据库建模工具PowerDesigner12可以将pdm导出为文本文件，将数据库脚本放入文本文件中保存。
数据备份和恢复
数据库需定期备份（每天备份一次），备份文件格式为backup_yyyyMMdd，数据库被破坏时，利用最新的备份文件进行恢复。
6. 系统出错处理设计
出错信息
补救措施
为了当某些故障发生时，对系统进行及时的补救，提供如下补救措施：
a．后备技术定期对数据库信息进行备份（每天一次），当数据库因某种原因被破坏时，以最新的数据库脚本进行恢复；。
7. 系统安全设计
数据传输安全性设计
1 设计思路 为了设计一套具有较强可扩展性的用户认证管理，需要建立用户、角色和权限等数据库表，并且建立之间的关系，具体实现如下。 1.1 用户 用户仅仅是纯粹的用户，用来记录用户相关信息，如用户名、密码等，权限是被分离出去了的。用户（User）要拥有对某种资源的权限，必须通过角色（Role）去关联。 用户通常具有以下属性： 编号，在系统中唯一。 ü名称，在系统中唯一。 ü用户口令。 ü注释，描述用户或角色的信息。 1.2 角色 角色是使用权限的基本单位，拥有一定数量的权限，通过角色赋予用户权限，通常具有以下属性： ü编号，在系统中唯一。 ü名称，在系统中唯一。 ü注释，描述角色信息 1.3 权限 权限指用户根据角色获得对程序某些功能的操作，例如对文件的读、写、 修改和删除功能，通常具有以下属性： ü编号，在系统中唯一。 ü名称，在系统中唯一。 ü注释，描述权限信息 1.4 用户与角色的关系 一个用户（User）可以隶属于多个角色（Role），一个角色组也可拥有多个用户，用户角色就是用来描述他们之间隶属关系的对象。用户（User）通过角色（Role）关联所拥有对某种资源的权限，例如 l 用户（User）： UserID UserName UserPwd 1 张三 xxxxxx 2 李四 xxxxxx …… l 角色（Role）： RoleID RoleName RoleNote 01 系统管理员监控系统维护管理员 02 监控人员在线监控人员 03 调度人员调度工作人员 04 一般工作人员工作人员…… 从该关系表可以看出，用户所拥有的特定资源可以通过用户角色来关联。 1.5 权限与角色的关系 一个角色（Role）可以拥有多个权限（Permission），同样一个权限可分配给多个角色。例如： l 角色（Role）： RoleID RoleName RoleNote 01 系统管理员监控系统维护管理员 02 监控人员在线监控人员
一种通用权限管理方案的设计方案 分析了权限管理的概念和一些与权限管理容易混淆的概念。提出了一种目前可以应用到绝大多数与权限有关的系统设计中的通用权限管理方案。该方案以角色对用户进行分组，通过用户数据库、角色数据库、权限数据库、用户－权限数据库以及角色-权限数据库来实现权限的分层管理。该设计方案能够由管理员方便的对权限进行设置。通过对角色的权限设置可以达到快速设置权限。通过对用户的权限设置可以达到权限的精确控制。文章最后以某项目为基础对该权限设计方案进行了实现。通过测试，该方案能够很好的对用户权限进行控制，从而提高整个系统的安全性。 标签：权限系统角色数据库 1 权限管理的概念 权限管理是软件系统中最常见的功能之一。所谓权限管理，一般指根据系统设置的安全规则或者安全策略，用户可以访问而且只能访问自己被授权的资源，不多不少。权限管理几乎出现在任何系统里面，只要有用户和密码的系统。尤其是在B/S机构的系统中，由于没有专门的客户端软件系统，所以权限管理就显的尤为重要。如果一个B/S系统的权限管理设计的不好，那么一个“非法用户”就可以轻而易举的获取整个系统的所有本能，包括超级管理员的功能。那么这样的系统还有谁敢使用。 很多人，常将“用户身份认证”、“密码加密”、“系统管理”等概念与权限管理概念混淆。用户身份认证，根本就不属于权限管理范畴。用户身份认证，是要解决这样的问题：用户告诉系统“我是谁”，系统就问用户凭什么证明你就是“谁”呢？对于采用用户名、密码验证的系统，那么就是出示密码。当用户名和密码匹配，则证明当前用户是谁；对于采用指纹等系统，则出示指纹；对于硬件Key 等刷卡系统，则需要刷卡。密码加密，是隶属用户身份认证领域，不属于权限管理范畴。 2 权限管理的设计 2.1 权限管理的对象在一般的系统设计中，权限管理的参于对象包括用户对象、角色（或分组）对象、功能模块对象。角色是为了完成各种工作而创造，用户则依据它的责任和资格来被指派相应的角色。功能模块则对不同的系统来说各不相同，一般在系统设计中最终将其以图形界元素的形式表现出来（比如软件界面上的各个功能按钮）。 2.2 权限管理举例下面我们举例说明2.1中提到的用户、角色、功能三个对象在权限管理中具体应用。表1中列出了某文档管理项目中权限管理的一部分设计表。从中我们可以清晰的区别出这三个对象以及它们的各自作用。
实现业务系统中的用户权限管理 B/S系统中的权限比C/S中的更显的重要，C/S系统因为具有特殊的客户端，所以访问用户的权限检测可以通过客户端实现或通过客户端+服务器检测实现，而B/S中，浏览器是每一台计算机都已具备的，如果不建立一个完整的权限检测，那么一个“非法用户”很可能就能通过浏览器轻易访问到B/S系统中的所有功能。因此B/S业务系统都需要有一个或多个权限系统来实现访问权限检测，让经过授权的用户可以正常合法的使用已授权功能，而对那些未经授权的“非法用户”将会将他们彻底的“拒之门外”。下面就让我们一起了解一下如何设计可以满足大部分B/S系统中对用户功能权限控制的权限系统。 需求陈述 ?不同职责的人员，对于系统操作的权限应该是不同的。优秀的业务系统，这是最基本的功能。 ?可以对“组”进行权限分配。对于一个大企业的业务系统来说，如果要求管理员为其下员工逐一分配系统操作权限的话，是件耗时且不够方便的事情。所以，系统中就提出了对“组”进行操作的概念，将权限一致的人员编入同一组，然后对该组进行权限分配。 ?权限管理系统应该是可扩展的。它应该可以加入到任何带有权限管理功能的系统中。 就像是组件一样的可以被不断的重用，而不是每开发一套管理系统，就要针对权限管理部分进行重新开发。 ?满足业务系统中的功能权限。传统业务系统中，存在着两种权限管理，其一是功能权限的管理，而另外一种则是资源权限的管理，在不同系统之间，功能权限是可以重用的，而资源权限则不能。 关于设计 借助NoahWeb的动作编程理念，在设计阶段，系统设计人员无须考虑程序结构的设计，而是从程序流程以及数据库结构开始入手。为了实现需求，数据库的设计可谓及其重要，无论是“组”操作的概念，还是整套权限管理系统的重用性，都在于数据库的设计。 我们先来分析一下数据库结构： 首先，action表（以下简称为“权限表”），gorupmanager表（以下简称为“管理组表”），以及master表（以下简称为“人员表”），是三张实体表，它们依次记录着“权限”的信息，“管理组”的信息和“人员”的信息。如下图：
扩展RBAC用户角色权限设计方案 RBAC （Role-Based Access Control ，基于角色的访问控制），就是用户通过角色与权限进行关联。简单地说，一个用户拥有若干角色，每一个角色拥有若干权限。这样，就构造成“用户-角色-权限”的授权模型。在这种模型中，用户与角色之间，角色与权限之间，一般者是多对多的关系。（如下图）
角色是什么？可以理解为一定数量的权限的集合，权限的载体。例如：一个论坛系统，“超级管理员”、“版主”都是角色。版主可 管理版内的帖子、可管理版内的用户等，这些是权限。要给某个用户授予这些权限，不需要直接将权限授予用户，可将“版主”这个 角色赋予该用户。 当用户的数量非常大时，要给系统每个用户逐一授权（授角色），是件非常烦琐的事情。这时，就需要给用户分组，每个用户组内有 多个用用户表 用户ID 範加刖
户。除了可给用户授权外，还可以给用户组授权。这样一来，用户拥有的所有权限，就是用户个人拥有的权限与该用户所在用户组拥有的权限之和。（下图为用户组、用户与角色三者的关联关系）
用户亀 用,口?血 IF 用尸廻名称 则G01 敦用户绢茗称imiEEH 用尸角色关联表 SPTB mBER <￡kl> 角色IE ?0EIt <￡k2> 用户组TD2 MJWBER <￡kt> 用 FID2 HUMBER
OA系统权限管理设计方案 l 不同职责的人员，对于系统操作的权限应该是不同的。优秀的业务系统，这是最基本的功能。 l 可以对“组”进行权限分配。对于一个大企业的业务系统来说，如果要求管理员为其下员工逐一分配系统操作权限的话，是件耗时且不够方便的事情。所以，系统中就提出了对“组”进行操作的概念，将权限一致的人员编入同一组，然后对该组进行权限分配。 l 权限管理系统应该是可扩展的。它应该可以加入到任何带有权限管理功能的系统中。就像是组件一样的可以被不断的重用，而不是每开发一套管理系统，就要针对权限管理部分进行重新开发。 l 满足业务系统中的功能权限。传统业务系统中，存在着两种权限管理，其一是功能权限的管理，而另外一种则是资源权限的管理，在不同系统之间，功能权限是可以重用的，而资源权限则不能。 针对OA系统的特点，权限说明： 权限 在系统中，权限通过模块+动作来产生，模块就是整个系统中的一个子模块，可能对应一个菜单，动作也就是整个模块中（在B/S系统中也就是一个页面的所有操作，比如“浏览、添加、修改、删除”等）。将模块与之组合可以产生此模块下的所有权限。 权限组 为了更方便的权限的管理，另将一个模块下的所有权限组合一起，组成一个“权限组”，也就是一个模块管理权限，包括所有基本权限操作。比如一个权限组（用户管理），包括用户的浏览、添加、删除、修改、审核等操作权限，一个权限组也是一个权限。
角色 权限的集合，角色与角色之间属于平级关系，可以将基本权限或权限组添加到一个角色中，用于方便权限的分配。 用户组 将某一类型的人、具有相同特征人组合一起的集合体。通过对组授予权限（角色），快速使一类人具有相同的权限，来简化对用户授予权限的繁琐性、耗时性。用户组的划分，可以按职位、项目或其它来实现。用户可以属于某一个组或多个组。 通过给某个人赋予权限，有4种方式(参考飞思办公系统) A. 通过职位 a) 在职位中，职位成员的权限继承当前所在职位的权限，对于下级职位拥有的权限不可继承。 b) 实例中：如前台这个职位，对于考勤查询有权限，则可以通过对前台这个职位设置考勤查询的浏览权，使他们有使用这个对象的权限，然后再设置个，考勤查询权（当然也可以不设置，默认能进此模块的就能查询），则所有前台人员都拥有考勤查询的权利。 B. 通过项目 a) 在项目中，项目成员的权限来自于所在项目的权限，他们同样不能继承下级项目的权限，而对于项目组长，他对项目有全权，对下级项目也一样。 b) 实例中：在项目中，项目成员可以对项目中上传文档，查看本项目的文档,可以通过对项目设置一个对于本项目的浏览权来实现进口，这样每个成员能访问这个项目了，再加上项目文档的上传权和查看文档权即可。
实现业务系统中的用户权限管理--设计篇 B/S系统中的权限比C/S中的更显的重要，C/S系统因为具有特殊的客户端，所以访问用户的权限检测可以通过客户端实现或通过客户端+服务器检测实现，而B/S中，浏览器是每一台计算机都已具备的，如果不建立一个完整的权限检测，那么一个“非法用户”很可能就能通过浏览器轻易访问到B/S系统中的所有功能。因此B/S业务系统都需要有一个或多个权限系统来实现访问权限检测，让经过授权的用户可以正常合法的使用已授权功能，而对那些未经授权的“非法用户”将会将他们彻底的“拒之门外”。下面就让我们一起了解一下如何设计可以满足大部分B/S系统中对用户功能权限控制的权限系统。 需求陈述 ?不同职责的人员，对于系统操作的权限应该是不同的。优秀的业务系统，这是最基本的功能。 ?可以对“组”进行权限分配。对于一个大企业的业务系统来说，如果要求管理员为其下员工逐一分配系统操作权限的话，是件耗时且不够方便 的事情。所以，系统中就提出了对“组”进行操作的概念，将权限一致 的人员编入同一组，然后对该组进行权限分配。 ?权限管理系统应该是可扩展的。它应该可以加入到任何带有权限管理功能的系统中。就像是组件一样的可以被不断的重用，而不是每开发一套 管理系统，就要针对权限管理部分进行重新开发。 ?满足业务系统中的功能权限。传统业务系统中，存在着两种权限管理，其一是功能权限的管理，而另外一种则是资源权限的管理，在不同系统 之间，功能权限是可以重用的，而资源权限则不能。 关于设计 借助NoahWeb的动作编程理念，在设计阶段，系统设计人员无须考虑程序结构的设计，而是从程序流程以及数据库结构开始入手。为了实现需求，数据库的设计可谓及其重要，无论是“组”操作的概念，还是整套权限管理系统的重用性，都在于数据库的设计。 我们先来分析一下数据库结构： 首先，action表（以下简称为“权限表”），gorupmanager表（以下简称为“管理组表”），以及master表（以下简称为“人员表”），是三张实体表，它们依次记录着“权限”的信息，“管理组”的信息和“人员”的信息。如下图：
对EMS权限管理模块设计 1.权限设计概述 1.1引言 随着Web 服务的复杂度增加以及用户数量和种类的增多，安全问题在理论及工程上都 是一个必须考虑的问题，而权限管理是安全问题中一个很重要的方面。因此本文针对权限做 了一个分析。 权限可简单表述为这样的逻辑表达式：判断“Who对What(Which)进行How的操作”的 逻辑表达式是否为真。 1.2意义 ?用户管理及权限管理一直是应用系统中不可缺少的一个部分 ?系统用户很多，系统功能也很多 ?不同用户对系统功能的需求不同 ?出于安全等考虑，关键的、重要的系统功能需限制部分用户的使用 ?出于方便性考虑，系统功能需要根据不同的用户而定制 1.3目标 直观，因为系统最终会由最终用户来维护，权限分配的直观和容易理解，显得比较重要， 除了功能的必须，更主要的就是因为它足够直观。 简单，包括概念数量上的简单和意义上的简单还有功能上的简单。想用一个权限系统解 决所有的权限问题是不现实的。设计中将变化的“定制”特点比较强的部分判断为业务逻辑， 而将相同的“通用”特点比较强的部分判断为权限逻辑就是基于这样的思路。 扩展，采用可继承的方式解决了权限在扩展上的困难。引进Group概念在支持权限以组 方式定义的同时有效避免了权限的重复定义。 2.基于角色的权限管理设计（Role-Based Access Control,RBAC）2.1权限管理用例图
2.2用例图描述 超级管理员：系统中默认的角色，它是系统中拥有最高权限的角色，它不仅能够管理其他的管理员和用户，而且还可以对系统中每个模块的任一功能进行操作、维护。 普通管理员：它是由超级管理员创建的，并授予权限，它能够管理系统部分的功能，它可以查看所有普通管理员、普通用户的信息，它只能对由它自己创建的用户进行编辑、删除操作，和管理拥有权限的模块。 普通用户：它是系统中最低权限的角色，它只能对自己拥有的权限进行操作，一般情况下，它的权限是对信息的浏览和对自己信息的录入，修改。 登陆系统：根据用户拥有的权限不同，用户所能操作的功能多少就不同，所以在登陆系统的时候就要对用户的权限进行判断。
多系统权限设计 1.多系统基于角色的权限设计 这种方案是最常见也是比较简单的方案，不过通常有这种设计已经够了，这种方案对于每一个操作不做控制，只是在程序中根据角色对是否具有操作的权限进行控制；这里我们就不做详述.此处采用角色关联模块的方式。 2.多系统基于操作的权限设计 这种模式下每一个操作都在数据库中有记录，用户是否拥有该操作的权限也在数据库中有记录，结构如下：
但是如果直接使用上面的设计，会导致数据库中的_SysUserFuncOperate这张表数据量非常大，所以我们需要进一步设计提高效率，请看方案3 3.多系统基于角色和操作的权限设计
如上图所示，我们通过采用角色分配操作的方式，这样子就可以减少操作权限表（_SysRole FuncOperate）中的记录，并且使设计更灵活一点。 但是这种方案在用户需求的考验之下也可能显得不够灵活够用，例如当用户要求临时给某位普通员工某操作权限时，我们就需要新增加一种新的用户角色，但是这种用户角色是不必要的，因为它只是一种临时的角色，如果添加一种角色还需要在收回此普通员工权限时删除此角色，我们需要设计一种更合适的结构来满足用户对权限设置的要求。 4.2,3组合的权限设计，其结构如下： 我们可以看到在上图中添加了_SysUserFunc和_SysUserFuncOperate表，使用此表来添加特殊用户的权限。这样在应用程序中我们就需要通过_SysUserFuncOperate和_SysRoleFuncOperat e两张表中的记录判断权限。 当然，有可能用户还会给出这样的需求：对于某一种Operate所操作的对象某一些记录会有权限，而对于其他的记录没有权限，比如说一个内容管理系统，对于某一些频道某个用户有
admin超级管理员的意思 简单的说：Admin是Administrator的简写形式，其中文意思就是“系统管理员”。 Admin与账套主管的区别 ADMIN是系统初始化时默认的用户，可以增加、修改、删除操作员及员工档案等基础数据维护，建立账套管用户为各用户授权、还有对同步打印模块的设置和维护，但不可以查询报表等操作账套主管的权限最大，拥有ADMIN的所有权限（除同步打印模块维护指定ADMIN外）、日常业务、基础数据维护、报表查询等 admin 是系统初始化时默认的用户 可以登陆软件的系统管理中增加、修改、删除操作员及员工档案等基础数据维护建立新的账套，指定操作员为某账套的账套主管 为新账套操作员用户授权 备份、恢复已存在所有的账套数据，清除异常任务 admin不参与具体的账务日常业务操作，只在系统管理中使用 账套主管 针对某个账套的权限最大，拥有账套操作的所有权限、日常业务、基础数据维护、 报表查询等 登陆系统管理可以对操作员授权 做年度账套新建、结转年初数 2010-04-13 08:34
用友软件系统管理员admin和账套主管的权限区别 系统管理员admin和账套主管的权限区别2009年07月18日星期六14:54 用友软件系统管理员admin和账套主管的权限区别 从前面的介绍中，可以看到在系统管理中，有些操作需要系统管理员admin来注册，而有些操作需要账套主管来登陆。现在就把这两个操作员的权限区别列示如下： 功能操作员建立账套备份、恢复账套角色操作用户操作权限操作修改账套清除异常任务和单据锁定年度账管理结转上年数据系统管理员admin 系统管理概述 用友ERP-U8软件产品是由多个产品组成，各个产品之间相互联系、数据共享，完全实现财务业务一体化的管理。对于企业资金流、物流、信息流的统一管理提供了有效的方法和工具。系统管理包括新建账套、新建年度账、账套修改和删除、账套备份，根据企业经营管理中的不同岗位职能建立不同角色，新建操作员和权限的分配等功能。系统管理的使用者为企业的信息管理人员：系统管理员Admin、安全管理员admin、管理员用户和账套主管。 系统管理模块主要能够实现如下功能： ?对账套的统一管理，包括建立、修改、引入和输出(恢复备份和备份)。 ?对操作员及其功能权限实行统一管理，设立统一的安全机制，包括用户、角色和权限设置。 ?允许设置自动备份计划，系统根据这些设置定期进行自动备份处理，实现账套的自动备份。 ?对年度账的管理，包括建立、引入、输出年度账，结转上年数据，清空年度数据。 ?对系统任务的管理，包括查看当前运行任务、清除指定任务、清退站点等。
OA系统权限管理设计方案7 OA系统权限管理设计方案 数据库2010-02-2310:09:25阅读13评论0字号：大中小 OA系统权限管理设计方案 l不同职责的人员，对于系统操作的权限应该是不同的。优秀的业务系统，这是最基本的功能。 l可以对“组”进行权限分配。对于一个大企业的业务系统来说，如果要求管理员为其下员工逐一分配系统操作权限的话，是件耗时且不够方便的事情。所以，系统中就提出了对“组”进行操作的概念，将权限一致的人员编入同一组，然后对该组进行权限分配。 l权限管理系统应该是可扩展的。它应该可以加入到任何带有权限管理功能的系统中。就像是组件一样的可以被不断的重用，而不是每开发一套管理系统，就要针对权限管理部分进行重新开发。 l满足业务系统中的功能权限。传统业务系统中，存在着两种权限管理，其一是功能权限的管理，而另外一种则是资源权限的管理，在不同系统之间，功能权限是可以重用的，而资源权限则不能。 针对OA系统的特点，权限说明： 权限
在系统中，权限通过模块+动作来产生，模块就是整个系统中的一个子模块，可能对应一个菜单，动作也就是整个模块中（在B/S系统中也就是一个页面的所有操作，比如“浏览、添加、修改、删除”等）。将模块与之组合可以产生此模块下的所有权限。 权限组 为了更方便的权限的管理，另将一个模块下的所有权限组合一起，组成一个“权限组”，也就是一个模块管理权限，包括所有基本权限操作。比如一个权限组（用户管理），包括用户的浏览、添加、删除、修改、审核等操作权限，一个权限组也是一个权限。 角色 权限的集合，角色与角色之间属于平级关系，可以将基本权限或权限组添加到一个角色中，用于方便权限的分配。 用户组 将某一类型的人、具有相同特征人组合一起的集合体。通过对组授予权限（角色），快速使一类人具有相同的权限，来简化对用户授予权限的繁琐性、耗时性。用户组的划分，可以按职位、项目或其它来实现。用户可以属于某一个组或多个组。 通过给某个人赋予权限，有4种方式(参考飞思办公系统) A.通过职位 a)在职位中，职位成员的权限继承当前所在职位的权限，对
权限表设计 2009-09-21 16:14 最简单的权限验证，应该是登录态的验证，如果登录，则可以怎样，没有登录，则不能怎样： if ($isLogin === true) { //do something } else { //do nothing } 一般使用会话或者Cookie来保存登录态，具体实现不在此文讨论范围。一般权限都和人挂勾，首先识别你是谁，然后看你有能力做什么，然后再确认你的能力在这个地方是否可以使，一个权限验证算是基本上完成。我们围绕这几点来看权限如何去设计。 首先要能识别操作者是何许人，我们需要一张保存操作者信息的表，也就是通常所说的用户表。简单的用户表如下： CREATE TABLE user ( userId int(10) unsigned NOT NULL, username varchar(255) NOT NULL, PRIMARY KEY (userId) ) 一般使用一个用户ID来标识一个唯一的用户，可以使用数字，或者直接使用用户名作为主键(如果用户名不重复)。这里我们使用userId来唯一标识一个用户。 有了用户以后，接下来需要确认这个用户所具有的能力，也就是权限，那么首先我们需要列一下我们的系统总共需要几个权限，比如增、删、改、查等。增加一张权限表： CREATE TABLE permission ( permissionId int(10) unsigned NOT NULL , permissionName varchar(255) NOT NULL , PRIMARY KEY (permissionId) ) 同样的我们以permissionId作为主键来唯一标识一个权限，当然也可以使用permissionName来标识(如果你能确定唯一的话)。我们新增几条记录在这张表里： +--------------+----------------+ | permissionId | permissionName | +--------------+----------------+ | 1 | add | | 2 | del | | 3 | modify | | 4 | select | +--------------+----------------+
基于web信息管理系统的权限设计分析和总结 /archive/2009/06/15/1503308.html 在blog中看到有人写到web权限管理的一些文章，这里把我曾经做过的一些权限管理作一下总结，欢迎拍砖。 这里讨论的权限只涉及到信息管理系统里面的权限管理，超出此范围的权限管理暂不涉及。 1、权限的应用对象 上面我们已经定义了权限的范围，就是信息系统管理里面的表单操作，那么权限的应用对象就是表单，更进一步说，就是表达表单内容的web管理页面。 2、权限的分类 一个页面的权限范围分为以下几种，也可以叫做基本权限单位。 ●操作权限：操作权限是一种页面级别的权限，也可以叫做页面权限。包 括以下几种 ?新增 ?修改 ?删除 ?查询 在此基础上还可以进行更加详细的一些分类，比如查看他人记录的权限，修改他人记录的权限等。这部分也可以使用下面的记录权限来实现。 ●按钮权限：针对页面上按钮的权限管理，包括 ?是否可见 ?是否可用
有时候，我们可以把按钮权限看作为字段权限。 ●字段权限：字段在页面的不同状态（新增，修改，查询）下面的各种状 态管理。包括 ?是否可见 ?是否可修改 ●记录权限：记录权限是指用户对某些记录的查看和修改权限。比如客户 关系管理系统中，不同界别的系统用户可以看到不同的记录，例如上司可以看他所有下级员工的客户列表等。 3、权限的实现模型 上面的权限分类大概对涉及到页面元素的权限进行了一个比较全面的概括。另外一个问题就是权限管理的实现模型。在大部分的系统中都是用的基于角色控制模型的权限管理。在这样的系统中，创建一系列的角色，然后把基本权限单位分配给这些角色，再把角色分配给用户，这样用户登录系统后，就根据当前用户所拥有的角色可以定位出权限。 在针对信息管理系统中，权限模型有自己的特色，除了角色的概念以外，还有表单权限的概面。第一节里面所讨论的各种权限基本单位不但可以应用到角色上，也可以应用到表单上。 对于应用到表单上的基本权限单位，我们叫做表单的固有权限属性（静态权限）。对于应用到角色上的基本权限单位，我们叫做角色权限属性（动态权限）。用下图来表示： 根据上面的模型，一个用户登录到系统中后，得到某一个表单的权限就和这个表单的固有权限属性和这样用户所拥有的角色有关。 4、权限的计算方式 用户登录后对一个表单进行操作，静态权限只有一个，即表单本身的权限属性，动态权限可以有多个，即用户可以同时属于多个角色，这些角色在这个表单上都
用户、角色、权限数据库设计2010-02-08 15:20:32 分类：Linux 权限管理 权限管理，主要是人员和权限之间的关系，但是如果让人员直接和权限打交道，那么权限的赋值、权限的撤销以及权限的变动会非常的麻烦，这样引入了，角色，给角色赋权限，然后给用户分配角色。 这个设计主要涉及6张表， 用户表,（用于存储用户的所有信息） 权限表，（用于存储所有的权限） 角色表，（用于存储所有的角色） 用户和角色的关联表，（用户和角色的关联） 角色和权限的关联表，（角色和权限的关联） 菜单表，（里面关联了权限，主要是现实用的） 用户表 代码 CREATE TABLE[dbo].[Users]( [UserID][int]IDENTITY(1,1) NOT NULL, [UserName][nvarchar](50) primary key,--帐号 [Password][nvarchar](50) , [UserDspName][nvarchar](50) , [Sex][char](1), [Birthday][datetime], [Phone][nvarchar](20) , [Email][nvarchar](100), [EmployeeID][nvarchar](20) , [Activity][bit],--是否可用 [UserType][char](2) , [Style][nvarchar](50) ) 权限表： CREATE TABLE[dbo].[Permission]( [PermissionID]int identity,
[Description][nvarchar](50) --权限名称 ) 角色表： CREATE TABLE[dbo].[Roles]( [RoleID][int]IDENTITY, [Description][nvarchar](200)--角色名称 ) 用户和角色的关联表： 代码 CREATE TABLE[dbo].[UserRoles]( [UserID][int]NOT NULL,--用户ID [RoleID][int]not null ,--权限ID CONSTRAINT[PK_UserRoles]PRIMARY KEY CLUSTERED ( [UserID]ASC, [RoleID]ASC )WITH (IGNORE_DUP_KEY =OFF) ON[PRIMARY] ) ON[PRIMARY] 角色和权限的关联表： 代码 CREATE TABLE[dbo].[RolePermissions]( [RoleID]int NOT NULL,--角色ID [PermissionID]int NOT NULL,--权限ID CONSTRAINT[PK_RolePermissions]PRIMARY KEY CLUSTERED ( [RoleID]ASC, [PermissionID]ASC )WITH (IGNORE_DUP_KEY =OFF) ON[PRIMARY]
任何系统都离不开权限的管理,有一个好的权限管理模块,不仅使我们的系 统操作自如,管理方便,也为系统添加亮点。 ●不同职责的人员，对于系统操作的权限应该是不同的。优秀的业务系统， 这是最基本的功能。 ●可以对“组”进行权限分配。对于一个大企业的业务系统来说，如果要求 管理员为其下员工逐一分配系统操作权限的话，是件耗时且不够方便的事情。所以，系统中就提出了对“组”进行操作的概念，将权限一致的人员编入同一组，然后对该组进行权限分配。 ●权限管理系统应该是可扩展的。它应该可以加入到任何带有权限管理功能 的系统中。就像是组件一样的可以被不断的重用，而不是每开发一套管理系统，就要针对权限管理部分进行重新开发。 ●满足业务系统中的功能权限。传统业务系统中，存在着两种权限管理，其 一是功能权限的管理，而另外一种则是资源权限的管理，在不同系统之间，功能权限是可以重用的，而资源权限则不能。 针对OA系统的特点，权限说明： 权限 在系统中，权限通过模块+动作来产生，模块就是整个系统中的一个子模块，可能对应一个菜单，动作也就是整个模块中（在B/S系统中也就是一个页面的所有操作，比如“浏览、添加、修改、删除”等）。将模块与之组合可以产生此模块下的所有权限。 权限组 为了更方便的权限的管理，另将一个模块下的所有权限组合一起，组成一个“权限组”，也就是一个模块管理权限，包括所有基本权限操作。比如一个权限组（用户管理），包括用户的浏览、添加、删除、修改、审核等操作权限，一个权限组也是一个权限。 角色 权限的集合，角色与角色之间属于平级关系，可以将基本权限或权限组添加到一个角色中，用于方便权限的分配。 用户组 将某一类型的人、具有相同特征人组合一起的集合体。通过对组授予权限（角色），快速使一类人具有相同的权限，来简化对用户授予权限的繁琐性、耗时性。用户组的划分，可以按职位、项目或其它来实现。用户可以属于某一个组或多个组。 通过给某个人赋予权限，有4种方式(参考飞思办公系统) A.通过职位 a)在职位中，职位成员的权限继承当前所在职位的权限，对于下级职位 拥有的权限不可继承。 b)实例中：如前台这个职位，对于考勤查询有权限，则可以通过对前台这 个职位设置考勤查询的浏览权，使他们有使用这个对象的权限，然后再
用户权限管理设计方案 用户认证管理设计方案 1 设计思路 为了设计一套具有较强可扩展性的用户认证管理，需要建立用户、角色和权限等数据库表，并且建立之间的关系，具体实现如下。 1.1 用户 用户仅仅是纯粹的用户，用来记录用户相关信息，如用户名、密码等，权限是被分离出去了的。用户（User）要拥有对某种资源的权限，必须通过角色（Role）去关联。 用户通常具有以下属性： 编号，在系统中唯一。 名称，在系统中唯一。 用户口令。 注释，描述用户或角色的信息。 1.2 角色 角色是使用权限的基本单位，拥有一定数量的权限，通过角色赋予用户权限，通常具有以下属性： 编号，在系统中唯一。 名称，在系统中唯一。 注释，描述角色信息
1.3 权限 权限指用户根据角色获得对程序某些功能的操作，例如对文件的读、写、修改和删除功能，通常具有以下属性： 编号，在系统中唯一。 名称，在系统中唯一。 注释，描述权限信息 1.4 用户与角色的关系 一个用户（User）可以隶属于多个角色（Role），一个角色组也可拥有多个用户，用户角色就是用来描述他们之间隶属关系的对象。用户（User）通过角色（Role）关联所拥有对某种资源的权限，例如 用户（User）： UserID UserName UserPwd 1 张三xxxxxx 2 李四xxxxxx …… 角色（Role）： RoleID RoleName RoleNote 01 系统管理员监控系统维护管理员 02 监控人员在线监控人员 03 调度人员调度工作人员 04 一般工作人员工作人员
…… 用户角色（User_Role）： UserRoleID UserID RoleID UserRoleNote 1 1 01 用户“张三”被分配到角色 “系统管理员” 2 2 02 用户“李四”被分配到角 色“监控人员” 3 2 03 用户“李四”被分配到角色 “调度人员” …… 从该关系表可以看出，用户所拥有的特定资源可以通过用户角色来关联。 1.5 权限与角色的关系 一个角色（Role）可以拥有多个权限（Permission），同样一个权限可分配给多个角色。例如： 角色（Role）： RoleID RoleName RoleNote 01 系统管理员监控系统维护管理员 02 监控人员在线监控人员 03 调度人员调度工作人员 04 一般工作人员工作人员 ……
龙源期刊网 https://www.doczj.com/doc/ae1526733.html, 基于岗位抽象的角色权限控制模型设计与实现 作者：王伟全张学平 来源：《软件导刊》2012年第01期 摘要：通过对传统访问控制技术及其局限性的探讨，提出了全新的基于岗位抽象的角色 权限控制模型，画出了新模型的图示，介绍了新模型中“用户定岗”和“岗位授权”两个主要关系，阐述了新模型的优点。详细地阐述了实现新模型的关键技术，给出了新模型的总体结构图和总体类图，并对总体类图中的各个类及其关系进行了详细的说明。最后，总结了新模型的实用性及其推广应用价值。 关键词：RBAC；岗位；岗位互斥；定岗；授权 中图分类号：TP311.52 文献标识码：A 文章编号：1672-7800（2012）001-0107- 1 传统访问控制技术及其局限性 访问控制实质上是对资源使用的限制，决定主体是否被授权客体或资源执行某种操作,是 保障系统安全不可或缺的重要组成部分。目前，主要有3种不同类型的访问控制：自主访问控制（DAC）、强制访问控制（MAC）和基于角色的访问控制（RBAC）。 自主访问控制（DAC）是目前计算机系统中实现最多的访问控制机制，如Windows操作系统。强制访问控制（MAC）是强加给访问主体的，即系统强制主体服从既定的访问控制策略，主要应用于军事方面。这两种访问控制方式都只适用于特定的领域，具有一定的局限性。基于角色的访问控制（RBAC）引入了角色的概念，在授权主体和客体之间增加的角色这个中间层，实现了主客体的逻辑分离，具有一定的通用性。但RBAC在实际的应用中仍然存在一 些问题，如：角色的继承机制有缺陷，会造成某些角色的权限过大；权限定义较模糊、笼统，不够清晰；无法满足“同角色不同人员不同权限”的需求。基于上述原因，本文提出一种扩展的 RBAC新模型，引入了“岗位”概念，有效地弥补了传统RBAC的不足。 2 基于岗位抽象的角色权限控制模型 2.1 模型定义 新模型是在传统RBAC模型基础上引入“岗位”概念，模拟现实中的岗位管理制。其基本思想是：机构与角色结合形成岗位，模块与操作结合形成权限，先将权限赋给岗位（授权），再将人员指派到岗位（定岗），实现对系统资源的细粒度访问控制。如图1所示：
权限设计方案
权限管理设计一 ?博客分类： ?设计 设计模式数据结构 应用程序权限设计 我们在开发系统的时候，经常会遇到系统需要权限控制，而权限的控制程度不同有不同的设计方案。 1. 基于角色的权限设计 这种方案是最常见也是比较简单的方案，不过一般有这种设计已经够了，因此微软就设计出这种方案的通用做法，这种方案对于每一个操作不做控制，只是在程序中根据角色对是否具有操作的权限进行控制；这里我们就不做详述 2. 基于操作的权限设计 这种模式下每一个操作都在数据库中有记录，用户是否拥有该操作的权限也在数据库中有记录，结构如下：
可是如果直接使用上面的设计，会导致数据库中的UserAction 这张表数据量非常大，因此我们需要进一步设计提高效率，请看方案3 3. 基于角色和操作的权限设计 如上图所示，我们在添加了Role，和RoleAction表，这样子就能够减少UserAction中的记录，而且使设计更灵活一点。 可是这种方案在用户需求的考验之下也可能显得不够灵活够用，例如当用户要求临时给某位普通员工某操作权限时，我们就需要新增加一种新的用户角色，可是这种用户角色是不必要的，因为它只是一种临时的角色，如果添加一种角色还需要在
收回此普通员工权限时删除此角色，我们需要设计一种更合适的结构来满足用户对权限设置的要求。 4. 2,3组合的权限设计，其结构如下： 我们能够看到在上图中添加了UserAction表，使用此表来添加特殊用户的权限，改表中有一个字段HasPermission能够决定用户是否有某种操作的权限，改表中记录的权限的优先级要高于UserRole中记录的用户权限。这样在应用程序中我们就需要经过UserRole和UserAction两张表中的记录判断权限。 到这儿呢并不算完，有可能用户还会给出这样的需求：对于某一种action所操作的对象某一些记录会有权限，而对于其它的记录没有权限，比如说一个内容管理系统，对于某一些频道某个用户有修改的权限，而对于另外一些频道没有修改的权限，这时候我们需要设计更复杂的权限机制。
OA系统权限管理设计方案 不同职责的人员，对于系统操作的权限应该是不同的。优秀的业务系统，这是最基本的 功能。 可以对“组”进行权限分配。对于一个大企业的业务系统来说，如果要求管理员为其下员工逐一分配系统操作权限的话，是件耗时且不够方便的事情。所以，系统中就提出了对“组” 进行操作的概念，将权限一致的人员编入同一组，然后对该组进行权限分配。 权限管理系统应该是可扩展的。它应该可以加入到任何带有权限管理功能的系统中。就像是组件一样的可以被不断的重用，而不是每开发一套管理系统，就要针对权限管理部分进 行重新开发。 满足业务系统中的功能权限。传统业务系统中，存在着两种权限管理，其一是功能权限的管理，而另外一种则是资源权限的管理，在不同系统之间，功能权限是可以重用的，而资源 权限则不能。 针对OA系统的特点，权限说明： 权限 在系统中，权限通过模块+动作来产生，模块就是整个系统中的一个子模块，可能对应一个菜单，动作也就是整个模块中（在B/S系统中也就是一个页面的所有操作，比如“浏览、添加、修改、删除”等）。将模块与之组合可以产生此模块下的所有权限。 权限组 为了更方便的权限的管理，另将一个模块下的所有权限组合一起，组成一个“权限组”，也就是一个模块管理权限，包括所有基本权限操作。比如一个权限组（用户管理），包括用户的浏览、添加、删除、修改、审核等操作权限，一个权限组也是一个权限。 角色 权限的集合，角色与角色之间属于平级关系，可以将基本权限或权限组添加到一个角色中， 用于方便权限的分配。 用户组 将某一类型的人、具有相同特征人组合一起的集合体。通过对组授予权限（角色），快速使一类人具有相同的权限，来简化对用户授予权限的繁琐性、耗时性。用户组的划分，可以按职位、项目或其它来实现。用户可以属于某一个组或多个组。
基于RBAC的权限分配： 在做权限分配时：首先需要几张表。见下图 用户表 角色表：
用户角色表： 角色权限表：
struts2 角色权限filter（过滤器）和interceptor（拦截器） 分类：mvc框架-struts22012-12-23 11:27 358人阅读评论(0) 收藏举报 Struts2项目通过使用Struts的if标签进行了session判断，使得未登录的用户不能看到页面，但是这种现仅仅在view层进行，如果未登录用户直接在地址栏输入登录用户才能访问的地址，那么相应的action还是会执行，仅仅是不让用户看到罢了。这样显然是不好的，所以研究了一下Struts2的权限验证。 权限最核心的是业务逻辑，具体用什么技术来实现就简单得多。 通常：用户与角色建立多对多关系，角色与业务模块构成多对多关系，权限管理在后者关系中。 对权限的拦截，如果系统请求量大，可以用Struts2拦截器来做，请求量小可以放在filter中。但一般单级拦截还不够，要做到更细粒度的权限控制，还需要多级拦截。
不大理解filter（过滤器）和interceptor（拦截器）的区别，遂google之。博文中有介绍： 1、拦截器是基于java的反射机制的，而过滤器是基于函数回调。 2、过滤器依赖与servlet容器，而拦截器不依赖与servlet容器。 3、拦截器只能对action请求起作用，而过滤器则可以对几乎所有的请求起作用。 4、拦截器可以访问action上下文、值栈里的对象，而过滤器不能。 5、在action的生命周期中，拦截器可以多次被调用，而过滤器只能在容器初始化时被调用一次。 为了学习决定把两种实现方式都试一下，然后再决定使用哪个。 权限验证的Filter实现： web.xml代码片段 1 2