一个简易实用的web权限管理模块的应用与实现

    本文介绍一个简易实用的web权限管理模块的应用与实现。

    先介绍数据模型和应用界面，后继对实现细节做选择性阐述。

    数据表关系如下：

  

 

      该图标明了登陆用户、角色、部门（机构）、用户组、角色和模块功能之间的关系。为方便起见，所有表都只保留必要字段。

      在本系统设计中，如下概念有着相对特殊的含义。

      一、用户(user)： 系统的使用者。

      二、部门(org)：体现了用户的行政关系，

      三、组(group) ：是某相同职能的用户的集合，可以和用户一样与角色产生关联。设置组的目的是为了方便用户的角色分配，减少用户与角色的直接对应关系。用户的角色可以是其组角色和其直接分配的角色之合集。限于作者的时间和精力，组功能在该系统中没有具体的实现。
      四、角色(role)：角色对应着某些功能(function)的集合，被分配一个角色意味着有权执行这些功能。角色表中的字段"functions"记录相关的功能id,id之间用逗号隔开。

      五、功能(function)：系统的一个或者多个执行准入。

      那么如何表现“功能”以最终实现控制用户的每一个细微动作呢？假如不特定于某种架构，可以这么设计该表字段：

CREATE TABLE  `m2_function` (
  `FUNCTION_ID` int(10) unsigned NOT NULL AUTO_INCREMENT,
  `NAME` varchar(50) NOT NULL,
  `FUNC_TREE_ID` int(10) unsigned NOT NULL,
  `RESOURCE` varchar(100) NOT NULL,
  `SUFFIX` varchar(50) NOT NULL,
  `DESCRIPTION` varchar(100) NOT NULL,
  `PARAMS` varchar(45) NOT NULL,
  PRIMARY KEY (`FUNCTION_ID`)
)  DEFAULT CHARSET=utf8;

    假定有三个web访问路径
  http://127.0.0.1:8080/app/sys/user.jsp?action=index&userid=1203 
  http://127.0.0.1:8080/app/sys/user.yuetong?action=add
  http://127.0.0.1:8080/app/sys/user.yuetong?action=update&userid=1203
     这三个访问点被人为的划分为两个功能准入（当然亦可以是一个或者三个），见下图     

   

     由此可知，“功能”是衡量用户准入的最小刻度。在用户访问某个地址的时候，我们可以通过解析URL对比他拥有的“功能”权限来实现权限管理。

     借助于某些架构或者设计思路，可以避免用户直接访问JSP页面，甚至全系统的访问地址都使用同一后缀，这种情况下可以省去SUFFIX字段。　本系统就是这种情况（JSP页面置于WEB-INF下，采用struts2架构）。

     六、功能模块树（function tree）：功能的目录组织，起分类的作用。在为角色设定功能的时候，用户界面可以利用带选择框的js树。而这颗js树是后台的功能树表以及功能表的联合表现形式。功能模块树可以方便的与菜单树建立映射关系，限于作者的时间和精力，该系统并未实现菜单树。
    下面从实际应用入手做直观的介绍：
     用超级管理员帐号YT000登陆（该帐号拥有全部的权限，帐号信息应该预先写入数据库或者以配置文件方式放到类路径下）：
     首先是机构管理部分，这里可以编辑某个公司或者单位的组织结构：

    

   然后进入用户管理部分，会有一个用户列表：

   可以编辑用户的属性，设置其所属机构：

 

 

   还可以为用户设定多个角色：

   接着，再看看角色的列表：

   可以为角色设定功能。该角色设定树的生成，在后继文章中会有介绍。

 

   最后，在系统资源部分，可以进行功能模块树的编辑（和机构树的编辑一样）

 

   点击编辑详细功能，可以为选中的结点设置具体功能：

 

 

      配置妥当以后，当我们以一个普通用户登录，执行某个操作的时候，如果没有权限，系统会做出提示。关于用户的权限验证，后继会有介绍。

 

     相关阐述请关注后继文章。

 

 

 

 

 

评论

107 楼 yiluxiangbei 2009-01-21  

不错，down来研究一下

106 楼 digital 2009-01-20  

很好，再加入运用的权限控制就更好了，直接打运用地址不能访问.

105 楼 yza0088 2009-01-19  

权限的设计没有最全,只有最适合
以前在一家公司搞过权限服务,由于工作流系统要用,把权限的传递、继承、阻止等都加了进去
结果自己把自己搞晕了。

比较喜欢楼主的设计,让范式去死吧。

104 楼 fishbottle 2009-01-19  

设计真不错 ，有两个地方想和楼主讨论一下
1.用户既然可以通过User_Role表，又可以通过User_Group,Group_Role表获得用户相应的权限，那么如何正确维护这个权限呢？如果只是简单地将权限做个合集，未免有些逻辑混乱。
比如原先
G1中有R1,R2角色。

U1通过User_Role表中设定了R1角色。
即使在删除掉G1中的R1功能之后，U1通过合集的方法获得的权限中还是包括R1的。这样感觉有些逻辑混乱。

2.程序界面中的功能Functions好象挺多的，所以通过拼字符串的方式进行保存，字符串会很长。并且管理权限和功能之间的关系，也不太容易。

103 楼 bianxb_robin 2009-01-19  

一直搞不太清楚组和角色的概念，lz清楚的话给解释一下。lz做的很棒。。。

102 楼 FML 2009-01-17  

例子很好值的学习一下

101 楼 老牛十八岁 2009-01-17  

正要做此类的小系统，研究研究。

100 楼 jinwenhong 2009-01-17  

讲的挺好，请再讲全面点好吧。

99 楼 JaneLan 2009-01-15  

嗯。还行。

98 楼 JaneLan 2009-01-15  

嗯。还行。

97 楼 cfan_haifeng 2009-01-15  

可惜不能直接看到效果

96 楼 jiangwei2008 2009-01-15  

楼主，谢谢了。

95 楼 xu778899 2009-01-15  

感觉不错  期待继续

94 楼 jayjayjays 2009-01-15  

不错不错.

93 楼 leo_dream 2009-01-09  

很好,很强大.学习ing

92 楼 Augustan 2009-01-09  

tiyi 写道

太多回复我看不过来……
先说说我的做法。基于struts2(原先是基于webwork2)

几个po:
1.权限 ，Purview : 包含名称，是否菜单项
2.映射Action，MappedAction：包含namespace ,actionName （原来还包含method）
3.PurviewToMappedAction： 权限和Action的对应关系。
4.ActorPurview：登陆人（角色） 和 权限的关系

特点：
1）菜单权限同时实现，即判断该权限是否菜单项，登录时加载。
2）一个权限可能对应多个操作uri（action），例如有些系统喜欢粗粒度的权限，叫做用户管理，包含用户新增、查看、删除、修改。
3）一个uri（action）可以对应多个权限，例如 previewContent（预览内容）这么一个action，可能在多种情况下被调用，例如在修改时，新增时等。
4）ActorPurview不绑死 用户表。可以存角色ID等，可扩充。有些系统喜欢用用户组，亦可。
5）也是和楼主一样利用xwork的拦截器进行判断。

基本类似。

91 楼 tiyi 2009-01-09  

太多回复我看不过来……
先说说我的做法。基于struts2(原先是基于webwork2)

几个po:
1.权限 ，Purview : 包含名称，是否菜单项
2.映射Action，MappedAction：包含namespace ,actionName （原来还包含method）
3.PurviewToMappedAction： 权限和Action的对应关系。
4.ActorPurview：登陆人（角色） 和 权限的关系

特点：
1）菜单权限同时实现，即判断该权限是否菜单项，登录时加载。
2）一个权限可能对应多个操作uri（action），例如有些系统喜欢粗粒度的权限，叫做用户管理，包含用户新增、查看、删除、修改。
3）一个uri（action）可以对应多个权限，例如 previewContent（预览内容）这么一个action，可能在多种情况下被调用，例如在修改时，新增时等。
4）ActorPurview不绑死 用户表。可以存角色ID等，可扩充。有些系统喜欢用用户组，亦可。
5）也是和楼主一样利用xwork的拦截器进行判断。

90 楼 shiren1118 2009-01-07  

Augustan 写道

hanjs 写道

这个只是功能权限上，如果全面的话，最好也支持user与function直接关联。

因为有的时候，一个人与其他人都是同一个role，突然要给这个人多增加个菜单，要怎么办？如果新增一个角色，对于一个人还可以，如果是多个人呢而且是新增不同的菜单？这样管理起来很麻烦。

好的功能管理还应该提供复制、对换的功能

user与function直接关联并不难实现，增加一个FUNCTIONS字段即可。
这是个相对简易的权限管理模块，在文中已经说过，并没有实现菜单的管理。我觉得菜单结构与功能模块的结构应该是分开管理的，但是他们可以有映射关系。

做数据库驱动的菜单建议你看一下这篇文章

http://shiren1118.iteye.com/blog/311777

很完备一个实现

89 楼 Augustan 2009-01-07  

weakfi 写道

请问LZ实现权限控制的地方具体是在Filter还是在每个资源文件下进行逻辑判断？

为每个需要管控的action配置的拦截器（我用的是struts2+spring+hibernate架构）

88 楼 weakfi 2009-01-07  

请问LZ实现权限控制的地方具体是在Filter还是在每个资源文件下进行逻辑判断？