对EMS权限管理模块设计
1.权限设计概述
1.1引言
随着Web 服务的复杂度增加以及用户数量和种类的增多，安全问题在理论及工程上都是一个必须考虑的问题，而权限管理是安全问题中一个很重要的方面。因此本文针对权限做了一个分析。
权限可简单表述为这样的逻辑表达式：判断“Who对What(Which)进行How的操作”的逻辑表达式是否为真。
1.2意义
❖用户管理及权限管理一直是应用系统中不可缺少的一个部分
❖系统用户很多，系统功能也很多
❖不同用户对系统功能的需求不同
❖出于安全等考虑，关键的、重要的系统功能需限制部分用户的使用
❖出于方便性考虑，系统功能需要根据不同的用户而定制获得管理员权限
1.3目标
直观，因为系统最终会由最终用户来维护，权限分配的直观和容易理解，显得比较重要，除了功能的必须，更主要的就是因为它足够直观。
简单，包括概念数量上的简单和意义上的简单还有功能上的简单。想用一个权限系统解决所有的权限问题是不现实的。设计中将变化的“定制”特点比较强的部分判断为业务逻辑，而将相同的“通用”特点比较强的部分判断为权限逻辑就是基于这样的思路。
扩展，采用可继承的方式解决了权限在扩展上的困难。引进Group概念在支持权限以组方式定义的同时有效避免了权限的重复定义。
2.基于角的权限管理设计（Role-Based Access
Control ,RBAC）
2.1权限管理用例图
2.2用例图描述
超级管理员：系统中默认的角，它是系统中拥有最高权限的角，它不仅能够管理其他的管理员和用户，而且还可以对系统中每个模块的任一功能进行操作、维护。
普通管理员：它是由超级管理员创建的，并授予权限，它能够管理系统中大部分的功能，它可以查看所有普通管理员、普通用户的信息，它只能对由它自己创建的用户进行编辑、删除操作，和管理拥有权限的模块。
普通用户：它是系统中最低权限的角，它只能对自己拥有的权限进行操作，一般情况下，它的权限是对信息的浏览和对自己信息的录入，修改。
登陆系统：根据用户拥有的权限不同，用户所能操作的功能多少就不同，所以在登陆系统的时候就要对用户的权限进行判断。
用户管理：这里对本系统的登录用户进行维护。包括，新建、删除、编辑、注销等；系统初始化的时候，用户管理中默认只有一个拥有超级管理员角的用户，因此在初始化登陆的时候，只能用这个用户登陆，其他的用户由这个用户创建并授予角。
角管理：角是赋予系统用户的职权名称。包括，新建、删除、编辑、注销等；系统初始化的时候，
角管理中默认只拥有一个超级管理员的角，其他角由拥有这个角的用户创建并授权。
其他模块：其他模块的每个功能都拥有一个唯一Id，根据用户登陆的权限，再确定这些功能是否对用户开放。
3.权限设计思路
3.1 基于角的访问控制RBAC
RBAC 的主要思想是：权限（Permissions）是和角（Roles）相联系的，而用户（Users）则被指定到相应的角作为其成员。这样就使权限的管理大大简化了。
系统的权限控制主要是采用基于角的访问控制，把权限绑定到角上，当用户要操作权限时，就把角赋给用户。而且在需要撤回权限时，只需把角上的权限撤回就行了。
3.2思路
为了设计一套具有较强可扩展性的权限管理，需要建立用户、角和权限等数据库表，并且建立之间的关系，具体实现如下
3.3 用户
用户仅仅是纯粹的用户，用来记录用户相关信息，如用户名、密码等，权限是被分离出去了的。用户（User）要拥有对某种资源的权限，必须通过角（Role）去关联。用户通常具有以下属性：
编号，在系统中唯一。
名称，在系统中唯一。
用户口令。
注释，描述用户或角的信息。
3.4 角
角是使用权限的基本单位，拥有一定数量的权限，通过角赋予用户权限，通常具有以下属性：
编号，在系统中唯一。
名称，在系统中唯一---- (监控人员 )
注释，描述角信息. ---→(在线监控人员)
3.5 权限
权限指用户根据角获得对程序某些功能的操作，例如对文件的读、写、修改和删除功能，通常具有以下属性：
编号，在系统中唯一。
名称，在系统中唯一-----→(添，删，改，查)
注释，描述权限信息 .---→允许增加监控对象
3.6 用户与角的关系
一个用户（User）对应一个角（Role），一个角可以被多个用户使用，用户角就是用来描述他们之间隶属关系的对象。用户（User）通过角（Role）关联所拥有对某种资源的权限，例如
用户（User）：
UserID UserName UserPwd
1 张三xxxxxx
2 李四xxxxxx
……
角（Role）：
RoleID(角编号) RoleName(角名称) RoleNote(角注释)
01 系统管理员监控系统维护管理员
02 监控人员在线监控人员
03 调度人员调度工作人员
04 一般工作人员工作人员
……
用户角（User_Role）：
UserRoleID UserID RoleID UserRoleNote( 用户角注释)
1 1 0
2 用户“张三”被分配到角“监控人员”
2 2 02 用户“李四”被分配到角“监控人员”
……
从该关系表可以看出，用户所拥有的特定资源可以通过用户角来关联。
3.7 权限与角的关系
一个角（Role）可以拥有多个权限（Permission），同样一个权限可分配给多个角。
例如：
角（Role）：
RoleUUID(角UUID) RoleName(角名称) RoleRemark(角注释)
01 系统管理员监控系统维护管理员
02 监控人员在线监控人员
03 调度人员调度工作人员
04 一般工作人员工作人员
……
权限（Privilege）：
PrivilegeUUID(权限UUID) PrivilegeName(权限名称) PrivilegeRemark(权限注释) 0001 增加监控允许增加监控对象
0002 修改监控允许修改监控对象
0003 删除监控允许删除监控对象
0004 察看监控信息允许察看监控对象
角权限（Role_ Privilege）：
RolePermissionID RoleUUID PrivilegeUUID Role_PrivilegeRemark(角权限注释)
1 01 0001 角“系统管理员”具有权限“增加监控”
2 01 0002 角“系统管理员”具有权限“修改监控”
3 01 0003 角“系统管理员”具有权限“删除监控”
4 01 0004 角“系统管理员”具有权限“察看监控”
5 02 0001 角“监控人员”具有权限“增加监控”
6 02 0004 角“监控人员”具有权限“察看监控”
……
由以上例子中的角权限关系可以看出，角权限可以建立角和权限之间的对应关系。
3.8 建立用户权限
用户权限系统的核心由以下三部分构成：创造权限、分配权限和使用权限。
第一步由Creator创造权限（Permission），Creator在设计和实现系统时会划分，指定系统模块具有哪些权限。
第二步由系统管理员（Administrator）创建用户和角，并且指定用户角（User－Role）和角权限（Role－Permission）的关联关系。
第三步用户（User）登陆系统，对自己拥有的权限进行管理、使用。
4.权限的具体实现模式
模式一：用户->角->权限（最通用的方法）
4.1 数据库结构
4.1.1用户表：
版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。
发表评论