权限控制系统总体设计演示文稿

成均科技通用权限控制系统

总体设计演示文稿EI/ERP的功能权限控制和数据权限控制本系统采用RBAC1(RoleBasedAccessControl)和ACL(AccessControlList)的思想综合考虑和设计----Tangkf(otom31@163.com)通用权限控制系统架构权限系统数据库面向数据库的接口数据权限控制模块功能权限控制模块面向用户的接口UI及其控制逻辑面向应用系统接口应用系统应用系统受控数据受控数据接口2023/1/152

功能权限控制结构图角色用户功能结点树可操作功能模块结点功能窗口结点功能按钮结点只可见不可见……有权限无权限2023/1/153

功能权限控制模块功能结点树管理未注册功能默认状态管理功能结点与角色关系管理功能结点与用户关系管理角色与用户关系管理用户功能权限效验权限类别管理角色管理用户管理2023/1/154

功能结点树管理树结构的功能结点的集合体可以实现增加删除和修改每个功能结点有唯一编码对用户授权时,会将用户，功能点与用户对该功能点的权限类别关联。 比如:老师A新建年级(功能结点)有权限2023/1/155

未注册功能默认状态管理功能点在系统中没有被注册 对于没有注册的功能结点,系统可以设置一种默认的权限状态,比如:

默认设置_1:[有权限(可操作),无权限(只可见/不可见)]功能点在不在用户权限表中

默认设置_2:[有权限(可操作),无权限(只可见/不可见)]

1-首先判断结点是否在用户的授权列表中,如果存在:返回实际

2-如果不在,在注册功能结点表中查找,如果存在:返回默认2

3-如果不在:返回默认12023/1/156

功能结点与用户关系管理用户与功能的关系是多对多用户与功能的关系能表达清楚用户对该功能点具有何种权限用户对功能的权限只存在一种角色对功能结点的关系与用户对功能的关系类似用户1排课规划…(功能1)新建年级…(功能N)…年级规划…(功能2)只可见不可见可操作用户N2023/1/157

功能结点与角色关系管理 注:

目前不实现角色的继承,因为角色一旦继承,在权限效验上就会增加很大的复杂度,严重影响系统性能.角色1排课规划…(功能1)新建年级…(功能N)…年级规划…(功能2)只可见不可见可操作角色N2023/1/158

功能与数据权限结合的细节用户授权功能表中如果不包含数据规则那么默认所有数据规则如果用户某个数据规则中有互相排斥的权限,那么以最大许可为标准用户与权限的关系可以对应多条数据规则用户角色已授权功能1已授权功能N数据规则1数据规则2数据规则3…许可禁止许可…数据规则1数据规则2数据规则3…许可禁止许可……2023/1/159

用户与角色的关系角色无继承关系(目前只实现RBAC1标准)用户可以属于多个角色一个角色可以包含多个用户角色A权限用户1权限角色A用户1用户N最终权限…用户1角色B角色B权限2023/1/1510

获取用户功能权限表效验用户对功能结点的权限用户功能权限效验用户授权功能结点列表用户1应用系统实际功能结点列表已注册功能结点列表用户授权功能结点列表用户1默认设置_1实际授权213默认设置_22023/1/1511

权限类别管理功能权限类型（单选）

有权限(可操作) 无权限(只可见/不可见)数据权限类型（多选）

[读-写-删除-修改-打印-全部]※这部分可考虑统一作为编码管理2023/1/1512

角色管理角色信息的管理角色信息的增加删除修改角色信息操作的外部事件角色与用户的关系管理角色与功能结点的关系管理2023/1/1513

用户管理用户的增加删除修改

获取外部用户列表接口

应用系统中已经存在用户提供获取用户列表接口

应用系统中不存在用户※考虑使用LDAP接口规范2023/1/1514

数据权限控制结构图应用系统受控数据对象资源接口权限系统受控数据树权限系统受控数据树权限系统受控数据树类别1类别2类别N角色用户读-写-删除-修改-打印-全部……2023/1/1515

数据权限控制模块数据规则类别引用系统数据资源获取自定义数据规则管理数据规则与用户关系数据规则与角色关系效验单个数据访问点权限获取用户授权数据表

2023/1/1516

数据规则类别实现对数据规则树进行分类简化授权分类难度结点类别可管理(增加/删除/修改)2023/1/1517

数据规则模型数据规则表是递归关系(树)其中的类型ID对应分类表中的分类自定义规则用于自定义的数据过滤条件

这些自定义规则最后都由应用系统来解释.数据规则编码是一个重要效验条件2023/1/1518

应用系统数据资源获取应用系统数据内部数据资源树接口UI展现通过统一的接口将外部的数据表等需要受控制的数据对象动态抽取到权限系统中并展现出来,服务于授权管理应用系统实现的接口权限系统提供注入方法应用系统提供的API授权2023/1/1519

自定义数据规则管理数据规则树用户录入的数据规则信息用户录入的数据规则信息保存到数据库这些数据规则信息可自定义数据效验规则规则规范可自定义(遵循谁提出谁解释的原则)UI展现授权2023/1/1520

数据规则与用户关系所在班级所在年级1,2,3,5班读-写-删除-修改-打印-全部1-0-0-0-0-00-0-0-0-0-11-0-1-1-1-0用户1…分类1分类2…用户与数据规则是多对多关系用户对这些数据规则可以拥有不同的权限如果不勾选任何权限,那么用户与该数据规则将不产生关联规则权限不具有继承关系,父亲规则授权不代表子规则授权,子规则授权也不代表父规则授权用户22023/1/1521

数据规则与角色关系所在年级所在班级1,2,5,6班读-写-删除-修改-打印-全部1-0-0-0-0-00-0-0-0-0-11-0-1-1-1-0角色1…分类1分类2…角色2角色与数据规则的关系类似于用户与规则的关系角色之间不存在继承关系 如果要实现继承，那么将首要考虑性能问题.2023/1/1522

效验单个数据访问点权限对应类型授权规则列表用户ID访问方式

[读/写/删除…]数据ID规则类型待效验权限效验器效验单个数据访问权限时: 通过用户ID,访问方式,以及数据规则ID可以得到是否被许可访问.实际无规则默认2023/1/1523

获取用户授权数据规则表用户ID访问方式

[读/写/删除…]规则类型数据类型已知条件 通过用户ID,访问方式以及规则分类,数据类型 可以获取到该规则下的所有满足访问方式条件的数据规则表对应类型授权规则列表权限效验器实际无规则默认2023/1/1524

数据权限效验细节考虑权限是用二进制来描述的有多少种权限就对应多少个二进制位在数据库中采用5位int

表示多种权限就是对整型数相加,效验时按位与操作用户所在班级[0001]读[0010]写[0100]删除[0111]读,写,删除用户11,2,3班规则解释器2023/1/1525

面向各个系统的接口功能面向应用系统应用的接口面向应用系统数据资源的接口面向用户及UI界面的接口面向数据层的接口2023/1/1526

面向应用系统应用的接口认证用户权限接口认证角色权限接口为用户授权的接口为角色授权的接口为角色设置用户的接口为用户分配角色的接口取消用户授权的接口取消角色授权的接口角色管理的接口(增加删除修改)2023/1/1527

面向应用系统数据资源的接口提供应用系统数据资源管理接口(增加删除修改)提供数据资源刷新的接口数据资源类别管理接口(增加删除修改)数据资源对象模型数据规则管理接口(增加删除修改)2023/1/1528

面向用户及UI界面的接口用户管理接口(增加删除修改)角色管理接口(增加删除修改)功能管理接口(展现功能结点)数据规则接口(增加删除修改)用户授权接口(数据授权和功能授权)角色授权接口(数据授权和功能授权)用户角