组织机构与权限管理用户开发手册

中国软件与技术效劳股份组织机构与权限治理用户开发手册中国软件与技术效劳股份应用产品研发中心组织机构与权限治理用户开发手册目 录TOC\o“1-3“\h\z\u\l“_TOC_250023“引言 1\l“_TOC_250022“背景 1\l“_TOC_250021“目标 1\l“_TOC_250020“定义 1\l“_TOC_250019“系统总体设计 2\l“_TOC_250018“设计思想 2\l“_TOC_250017“权限定义 2\l“_TOC_250016“权限类型划分 3\l“_TOC_250015“数据权限的数学涵义 3\l“_TOC_250014“数据元素的范围标识 4\l“_TOC_250013“数据访问授权 5\l“_TOC_250012“数据权限的多维性 5\l“_TOC_250011“规律模型 5\l“_TOC_250010“系统总体架构 8\l“_TOC_250009“系统物理模型： 8\l“_TOC_250008“对象设计模型： 8\l“_TOC_250007“系统效劳组件设计： 9\l“_TOC_250006“安全验证 9\l“_TOC_250005“API接口和使用说明 9\l“_TOC_250004“安全治理基类SwordSecurityManager 9\l“_TOC_250003“用户权限票据缓存治理器WebSecurityManager 11\l“_TOC_250002“数据权限效劳类DataRightService 11\l“_TOC_250001“系统公共效劳类SOPBaseServiceBLH 12\l“_TOC_250000“操作权限使用说明 12中国软件与技术效劳股份 -I-组织机构与权限治理用户开发手册引言背景本模块是sword业务根底平台的组件之一，为平台供给根底的组织机构和权限治理功能。目标本系统主要目标如下：供给敏捷的组织机构与权限治理物理模型，针对不同的业务系统需求可再扩展。供给系统核心组件，跨数据库、敏捷、稳定、算法高效、复用率高，可极大的缩短业务系统二次开发周期。供给稳定的组织机构与权限治理对外效劳接口，用以满足业务系统的需求。供给基于以上三点的业务系统实现，在多数场景中可直接使用。定义权限以权限授权治理为根底，使用户仅对指定数据集合中的特定数据具有访问力量。这个定义包含了几个关键要素：用户：用户是系统的操作者，是授权的目标主体。数据集合：被访问的目标数据集合是权限治理的根底。事实上，整个权限掌握的目的就是保证非信任用户群体对系统数据的合理访问。授权：授权是供给上述访问关系的掌握规律。功能权限功能权限掌握用户对系统功能的访问。一般来讲，功能权限的粒度是一个个具体的业务功能数据权限数据权限本质上是用户对特定类型数据集合中数据访问的范围掌握权限资源数据资源是授权关系中数据集合内元素的标识属性，在权限治理运算中，权限资源是作为运算变量存在的。中国软件与技术效劳股份 -1-组织机构与权限治理用户开发手册从大类上划分，权限资源可以分为功能权限资源和数据权限资源两大类。权限维度权限资源的分类属性，一般用在数据权限资源定义内，用于标识不同数据范围类型的定义。维度关联在最简洁状况下，各个权限维度之间没有关联，是纯粹交的关系。在这种状况下，各维度的权限运算可以独立进展。维度关联是指权限维度之间的关联关系。特定的权限维度之间存在关联，不是纯粹交关系。在这种状况下，各维度的权限运算不能独立进展，需要综合考虑。业务规章业务规章是一种“假的”权限定义需求，看起来像权限掌握范围，但事实上仅是业务规律的组成局部。区分是否业务规章的方法是：把访问掌握要求去掉后〔不考虑权限访问需求〕，业务过程是否完整。假设业务过程变得不完整了，则说明这不是一项权限需求。根本属性在本模型中，业务实体参与业务运算的属性。本下级〔及下级机关的全部下级机关，以此类推。比方，北京市外汇局在机构树上的本下级表示全部属于北京市外汇局的机构。系统总体设计设计思想权限定义在本文档中，对权限的定义为：以权限授权治理为根底，使用户仅对指定数据集合中的特定数据具有访问力量。这个定义包含了几个关键要素：用户：用户是系统的操作者，是授权的目标主体。数据集合中国软件与技术效劳股份 -2-组织机构与权限治理用户开发手册目的就是保证非信任用户群体对系统数据的合理访问。授权：授权是供给上述访问关系的掌握规律。权限类型划分依据应用系统的权限掌握要求，系统权限治理依据类型划分为两大类：功能权限和数据权限。一个个具体的业务功能。数据权限：数据权限本质上是用户对特定类型数据集合中数据访问的范围掌握。功能权限在实现上的特别性，划分后能够更加便利地实现掌握权限掌握规律。在下述章节中，将描述的重点放在数据权限上。数据权限的数学涵义数据权限本质上是数据集合的选择运算〔功能权限也是如此。以下图将以数据检索为例，简要描述数据权限的实现过程。原始数据集合中存放是全部待检索的数据集，其中每一个元素均包含有一个权限控制属性〔如元素上的三角形标识。例如集合中的该属性共有两个值，分别用和 表示。第一个用户对标识为其次个用户对标识为

4个数据元素；2个数据元素；6个数据元素。中国软件与技术效劳股份 -3-组织机构与权限治理用户开发手册上述过程可以看到，假设将原始数据集看做一个二元关系数据集合的话，上述的权限掌握操作本质上就是对数据集合的选择运算。这也是数据权限掌握的根底，在下述章节中，将全部的权限掌握将基于这种选择运算关系实现。数据元素的范围标识依照上述数学关系，要实现数据的访问范围掌握，首先要做的就是对数据做范围标识。范围标识过程如以下图所示：范围标识属性的选择可以参考如下方式：选取业务数据中具有业务语义的数据属性。这种方式最直接，也格外便于理解，是一种优先考虑的方式。中国软件与技术效劳股份 -4-组织机构与权限治理用户开发手册添加的、纯技术性质的数据属性。当原始的数据属性集合中没有可以用于标识数据范围的属性时，需要添加额外的属性来标识数据的范围归属。数据访问授权数据访问授权本质上就是建立用户和数据范围标识之间的映射关系。如以下图所示。的数据的访问力量，用户丙获得了对全部数据的访问力量。数据权限的多维性从数据权限的数学涵义可以看出，基于不同的元素属性做访问范围标识，可以实现多个维度的数据权限掌握。这一点在应用中将具有很明显的业务特性：不同类型的业务数据可以给与不同的数据访问掌握含义。如：可以依据不同的合同额度划分合同的审批权限级别；可以依据原材料类别区分选购申请的审批者；可以依据数据的地域归属做数据的查询结果限定；……同理，也可以依据业务要求，将上述多个维度做综合考虑，以不同维度的交集或并集来完成更高级别的数据访问权限掌握。规律模型规律模型重点描述了权限模型中的要素和要素之间的关系。参考权限类型的划分，本章节中将功能权限和数据权限两个模型分别描述。本规律模型将基于RBAC模型实现，在具体的设计过程中，将参考权限的要素之间中国软件与技术效劳股份 -5-组织机构与权限治理用户开发手册的关系，将用户、角色和权限与对应的权限要素建立特定的联系。功能资源在功能权限中，首先要考虑的是功能资源。一般来讲，功能资源就是系统中用例功能的列表。依据前述的数学模型，要实现功能权限的授权治理，首先要考虑的是功能权限授权资源的离散化。很幸运，功能权限资源通常表现为一个个独立的URI链接描述，因此自然地具有离散化特性。更进一步考虑，可以将功能资源的“粒度”进一步细化，把一个按钮、页面中的连接等定义为一个资源项。固然，伴随着权限掌握粒度的细化，对系统的运行资源开销和运行效率将会消灭负面化的影响。授权关系如以下图所示：授权用户A授权用户B功能权限集合这种模型最简洁，但效果不好。由于授权项太多，太分散，格外不便于治理。因此，RBAC模型的要素，引入了角色的概念。角色是一类特定功能权限的集合 。先建立角色和功能资源之间的映射关系，然后再建立用户同角色之间的映射。其中一个角色可以关联多个功能资源，一个用户也可以关联多个角色。引入角色后，在肯定程度上提高了系统授权治理的敏捷性，同时可以降低授权映射中国软件与技术效劳股份 -6-组织机构与权限治理用户开发手册数量。如以下图所示：授权用户A角色用户B功能权限集合功能授权实体及关系功能授权模型中共包含三个实体和三个关系。三个实体是：用户、角色和功能资源三个关系是：用户-功能资源映射、角色-功能资源映射和用户-角色映射。用户 用户-功能资源

功能资源角色用户-角色 角色-功能资源中国软件与技术效劳股份 -7-组织机构与权限治理用户开发手册系统总体架构系统物理模型：对象设计模型：值对象在用户登陆成功后需要将用户根本信息缓存起来，便利在业务系统中直接猎取使用，具体属性随业务系统需求而定。留意：肯定要实现IUser接口。中国软件与技术效劳股份 -8-组织机构与权限治理用户开发手册领域对象继承SOPBaseBO或AbsDaoBusinessObject类都可，推举SOPBaseBO。系统效劳组件设计：安全验证设计模型类图时序图API接口和使用说明安全治理基类SwordSecurityManager负责验证登陆用户与用户票据的生成accredit public ITicket accredit(IUser logonUser) throws中国软件与技术效劳股份 -9-组织机构与权限治理用户开发手册PersistenceCheckedException,SQLException,SecurityCheckException说明 用户权限验证输入 logonUser---登录用户信息输出 票据特别 SQLException---数据库特别PersistenceCheckedException---框架特别SecurityCheckException---权限特别login public abstract IUser login(IUser logonUser) throwsPersistenceCheckedException,SQLException,SecurityCheckException说明 用户登录输入 logonUser---登录用户信息输出 用户对象特别 SQLException---数据库特别PersistenceCheckedException---框架特别SecurityCheckException---权限特别getFuncRight publicabstractList<Object>getFuncRight(IUserlogonUser);说明 猎取登录用户的功能权限输入 logonUser---登录用户信息输出 功能资源列表特别 ---getDataRight publicabstractList<Object>getDataRight(IUserlogonUser);说明 猎取登录用户的数据权限输入 logonUser---登录用户信息输出 数据资源列表特别 ---getOperateRight publicabstractList<Object>getOptionRight(IUserlogonUser);说明 猎取登录用户的操作权限输入 logonUser---登录用户信息输出 操作资源列表中国软件与技术效劳股份 -10-组织机构与权限治理用户开发手册特别 ---用户权限票据缓存治理器WebSecurityManagerregisterTicket publicstaticvoidregisterTicket(ITicketticket)说明 注册用户权限票据输入 ticket---用户权限票据输出 ---特别 ---getTicket publicstaticITicketgetTicket说明 猎取用户权限票据输入 ---输出 权限票据特别 ---removeTicket publicstaticvoidremoveTicket说明 去除用户权限票据输入 ---输出 ---特别 ---DataRightServicegetDataRight publicstaticStringgetDataRight(IReqDatareq,StringdataRightSign)说明 猎取当前登录用户的数据权限sql输入 req：IReqData恳求数据dataRightSign：数据类别，数据权限的标识输出 用户的数据权限sqlgetDataRight

特别publicstaticStringgetDataRight(IReqDatareq,StringdataRightSign,Stringscene)说明 猎取当前登录用户的数据权限sql输入 req：IReqData恳求数据dataRightSign：数据类别，数据权限的标识中国软件与技术效劳股份 -11-组织机构与权限治理用户开发手册scene0输出 用户的数据权限sql特别系统公共效劳类SOPBaseServiceBLHcreateCheckedTree public IResData createCheckedTree(IReqDataRuntimeException

reqEvt) throws说明 构建选择树输入 恳求参数输出特别createCheckedTable public IResData createCheckedTable(IReqData reqEvt) throwsRuntimeException说明 构建基于Table组件的选择树输入 恳求参数输出特别createTree

public IResDataRuntimeException

createTree(IReqData reqEvt) throws说明 构建树输入 恳求参数输出特别操作权限使用说明SwordSecurityOperate掌握组件<divsword=“SwordSecurityOperate“name=“sso“id=“sso“></div>在需要进展