文档章节

多公司权限模型

光石头
 光石头
发布于 2012/12/17 22:55
字数 1797
阅读 1144
收藏 27
f2c

此文转自我的个人博客:http://www.weicms.net/2012/12/17/quanxian.html

 

今天和一个网友争论了权限的问题,我感觉有必要分享下我的研究心得.

权限 无非是 角色 人员 资源 的配比关系

权限的操作无非是 增删改查,导入,导出 的操作,以及针对数据集的操作

业务结构无非是 公司,部门,用户

在rest时代,权限无非是 对一个URL是否有权限操作! 权限的本质就是URL的访问控制!

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

46

47

48

49

50

51

52

53

54

55

56

57

58

59

60

61

-- ----------------------------

-- Table structure for `users`

-- 都是常用的字段

-- ----------------------------

DROPTABLEIF EXISTS `users`;

CREATETABLE`users` (

  `id`varchar(40)NOTNULL,

  `name`varchar(50)DEFAULTNULL,

  `userCode`varchar(50)NOTNULL,

  `password`varchar(50)NOTNULL,

  `email`varchar(100)DEFAULTNULL,

  PRIMARYKEY(`id`)

) ENGINE=InnoDBDEFAULTCHARSET=utf8;

 

---角色表

---角色是继承关系

---level,roleCode为表示层级关系,部门表类似.主要用于快速查询,抛弃递归函数.

DROPTABLEIF EXISTS `role`;

CREATETABLE`role` (

  `id`varchar(50)NOTNULLDEFAULT'',

  `pid`varchar(50)NOTNULLDEFAULT'',--父角色ID

  `roleName`varchar(200)NOTNULL,

  `level`intNOTNULLDEFAULT0,--角色处的层级,根角色为1,它的子角色为2 孙角色为3

  `roleCode`varchar(200)NOTNULL,--根角色001 他的子角色为001001,001002...孙角色为001001001,001002001....依次类推.

  PRIMARYKEY(`id`)

) ENGINE=InnoDBDEFAULTCHARSET=utf8;

 

-- ----------------------------

-- Table structure for `model`

-- ----------------------------

DROPTABLEIF EXISTS `model`;

CREATETABLE`model` (

  `id`varchar(50)NOTNULL,

  `modelName`varchar(200)NOTNULL,

  PRIMARYKEY(`id`)

) ENGINE=InnoDBDEFAULTCHARSET=utf8;

 

----

-- ----------------------------

-- Table structure for `re_user_role`用户角色中间表

-- ----------------------------

DROPTABLEIF EXISTS `re_user_role`;

CREATETABLE`re_user_role` (

  `id`varchar(50)NOTNULL,

  `userId`varchar(50)NOTNULL,

  `roleId`varchar(50)NOTNULL,

  PRIMARYKEY(`id`)

) ENGINE=InnoDBDEFAULTCHARSET=utf8;

 

--角色资源中间表

DROPTABLEIF EXISTS `re_role_model`;

CREATETABLE`re_role_model` (

  `id`varchar(50)NOTNULL,

  `roleId`varchar(50)NOTNULL,

 -- `startDate` datetime,

 -- `endDate` datetime,--表示权限的生存周期,用于领导临时分配权限,这里简化暂不讨论

 -- allunit int,--主要用于判断是否级联下级部门,这里不讨论

  `pageurl`varchar(1000)NOTNULL,

  `bool`int(11)NOTNULLDEFAULT'1',--表示真假,0为假,1为真

  PRIMARYKEY(`id`)

) ENGINE=InnoDBDEFAULTCHARSET=utf8;

基本表结构如此,其他例如 unit 什么的这里就不写了

说下场景,借用网友的一张图片啊
154119_GsbS_724215
这里要重点说下 re_user_model 中间表的pageurl 和bool字段

pageurl是一个正则表达式,用于匹配用户访问的URL .    bool表示真假,前提是pagurl必须匹配.

pageurl 和model表也没有直接关系了,只是一个正则表达式而已.

如果pagurl匹配时, bool=0表示不可访问,bool=1表示可以访问此url.例如 角色superuser 能够访问除了/admin/开头之外的所有url.就可以在数据库插入两条数据

1

2

INSERTINTO`re_role_model`VALUES('b1156249-9a8c-4f71-99ca-f56864401c41','superuser','(.*)','1');

INSERTINTO`re_role_model`VALUES('fa1f2c33-b5b8-4134-ae50-53334de61fc3','superuser','.*/admin/.*','0');

根据 bool字段正序查询

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

String model_sql="SELECT re.* FROM re_role_model as re,re_user_role as rerole 

where

re.roleId=rerole.roleId and rerole.userId=:userId order by re.bool asc";

 

//对比url是否匹配

booleanflag=false;

for(Re_Role_Model m:models){

String pageurl=m.getPageurl();

Integer bool=m.getBool();

Pattern pattern = Pattern.compile(pageurl);

Matcher matcher = pattern.matcher(requestURL);//请求的url是否具有权限

booleanf=matcher.matches();

if(f&&(bool==0)){//如果没有权限,跳出.

flag=false;

break;

}

 

if(f&&(bool==1)){

flag=true;

break;

}

}

returnflag;

这是整个控制的核心 访问的url是根据正则匹配的!!  通过rest 将数据权限转变成对URL的访问控制

系统依赖rest实现权限的控制

约定url如下 : /{model}/{operation}/{公司ID}/ 为标准开头

操作约定为 save/delete/update/get/import/export

我认为 公司拥有单独的组织结构,可以认为是根,所以单独列出.当然也可以根据业务需要去掉{公司ID}

例如 /user/update/abc/unit789/123  (/user/update/{公司ID}/{部门ID}/{userID})意义为 修改 abc公司下部门为unit789 id为123的员工信息

所有的角色都是从根角色派生而来(可以根据业务实际需要决定是否角色继承),根角色为 admin(超级管理员) 其他的角色都是依次派生 就和主管分配权限是一致的. 例如 superuser 派生自admin

1

2

insert into role values('admin','','超级管理员','1','001')

insert into role values('superuser','admin','超级用户','2','001001')

主管操作是一样的,这个其实用户前台操作比较复杂,后台理顺关系还是比较简单的.每个用户都可以从自己的权限范围内分给其他用户(其实也是角色,只是后台默认生成了)

关于re_role_model 中的 allunit 主要是用来判断是否包含子部门

例如 admin给 superuser分配了.*/user/get/gs123/unitabc/.*  (/user/get/{公司ID}/{部门ID}) 用来判断 superuser是否能够查询 unitabc下的所有子部门 如果unitabc下的部门较少 可以用多条记录代替 例如

..*/user/get/gs123/unitabc1/.*   .*/user/get/gs123/unitabc2/.*  如果子部门较多 可以启用 allunit 字段,根据实际情况自行判断吧

 

pageurl正则表达式,反转获得实际权限数据 可 以扩展实现数据库正则函数,在sql中直接对比.

示例

select u.* from unit as u ,re_role_model as re where regfun('/update/'+u.id+'/',re.pageurl,re.bool) and re.roleid='admin'

关于大家关心的sql注入我这里说下

1.会有过滤器过滤非法的url字符

2.如果你伪造了url 可以通过我的权限过滤器,但是却无法找到controller,404.例如 我的controller 接收路径为 /usr/update/abc  你给我发送了 /user/update/abc/d/c   controller无法相应此请求.

3.regfun这个函数的参数不是从前台获取的,而是根据业务逻辑后台拼装的!

----------------------------------------------------权限系统的思想基本介绍完毕了.--------------------------------

来个实例

添加管理员  admin_add  有全局添加权限  .*/save/.*  bool 为1.

当然也可以具体到某个公司,某个部门,某个人.也就是数据集权限

因为 有 bool 字段做判断. 可以很容易做出交叉权限,例如上例的superuser 除了/admin/其他的都有权限访问.

save/delete/update/get/import/export 其实代表了操作 可以根据需要添加角色的权限.角色是继承的,所以用户可以再自己的权限范围内 自由分配给其他用户.

当然有些也是可以系统定义的 例如

.*/user/delete/admin.* bool 为0 roleid为 *   任何角色都没有权限删除超级管理员的权限. 这些都是系统后台定义的.

最小权限.例如 普通用户 abc只有访问自己信息的权限

pageurl为:  */user/update/abc.*  (当然,这里可以使用二次解析的通配符,暂不讨论)

如果用户abc向非法修改 用户f的信息 那么访问的url是  */user/update/f.*     数据库没有匹配的url,没有权限访问

 

© 著作权归作者所有

光石头

光石头

粉丝 318
博文 95
码字总数 20497
作品 2
郑州
程序员
私信 提问
加载中

评论(25)

y
ylmotol7

引用来自“屁屁果”的评论

引用来自“哈库纳”的评论

引用来自“屁屁果”的评论

引用来自“哈库纳”的评论

引用来自“屁屁果”的评论

引用来自“屁屁果”的评论

引用来自“王瑞平”的评论

理解浅了,遇到数据权限就崩溃了
比如销售人员分配销售电话,每个人只能操作自己分配到的数据
当一个销售离职了,数据收回再分配或者直接转交****
复杂的问题预先没有计划到时很多系统做到结束时发现失败的跟本原因
再考虑你的系统里有几百个各级管理员情况下怎么办
只考虑这一步也太简单

url可以非常复杂,然后加密成短url,例如新浪微博

每个数据都是一条url,然后销售人员拥有这些url的权限

数据权限中 查看权限如何实现。 就是说不让列表中出现不想看到的数据。

资源是定义到业务表上,还是另起一个资源管理表。 感觉数据权限这块还是没有办法全面控制,建议数据权限彻底分离出去。

数据权限的确很难和业务剥离......例如不想让让用户查看某条特殊的数据,资源匹配表里加入一条url,列表的情况 需要使用正则表达式 排除这样的数据,实现也是比较复杂......

我觉得数据权限最好的方式还是干脆放弃不做,交由业务系统实现时进行考虑。这样设计就简单了很多。

嗯,这篇文章只是写出了我的实现思想和理论,并没有用到生成环境,实际的生产环境数据权限是有业务自行实现的
嗯,自由
哈库纳
哈库纳

引用来自“屁屁果”的评论

引用来自“哈库纳”的评论

引用来自“屁屁果”的评论

引用来自“哈库纳”的评论

引用来自“屁屁果”的评论

引用来自“屁屁果”的评论

引用来自“王瑞平”的评论

理解浅了,遇到数据权限就崩溃了
比如销售人员分配销售电话,每个人只能操作自己分配到的数据
当一个销售离职了,数据收回再分配或者直接转交****
复杂的问题预先没有计划到时很多系统做到结束时发现失败的跟本原因
再考虑你的系统里有几百个各级管理员情况下怎么办
只考虑这一步也太简单

url可以非常复杂,然后加密成短url,例如新浪微博

每个数据都是一条url,然后销售人员拥有这些url的权限

数据权限中 查看权限如何实现。 就是说不让列表中出现不想看到的数据。

资源是定义到业务表上,还是另起一个资源管理表。 感觉数据权限这块还是没有办法全面控制,建议数据权限彻底分离出去。

数据权限的确很难和业务剥离......例如不想让让用户查看某条特殊的数据,资源匹配表里加入一条url,列表的情况 需要使用正则表达式 排除这样的数据,实现也是比较复杂......

我觉得数据权限最好的方式还是干脆放弃不做,交由业务系统实现时进行考虑。这样设计就简单了很多。

嗯,这篇文章只是写出了我的实现思想和理论,并没有用到生成环境,实际的生产环境数据权限是有业务自行实现的

我看了一下文章,感觉上其实就是 RBAC 3个级别中 级别比较高级别的一个实现,挺不错的。
光石头
光石头

引用来自“哈库纳”的评论

引用来自“屁屁果”的评论

引用来自“哈库纳”的评论

引用来自“屁屁果”的评论

引用来自“屁屁果”的评论

引用来自“王瑞平”的评论

理解浅了,遇到数据权限就崩溃了
比如销售人员分配销售电话,每个人只能操作自己分配到的数据
当一个销售离职了,数据收回再分配或者直接转交****
复杂的问题预先没有计划到时很多系统做到结束时发现失败的跟本原因
再考虑你的系统里有几百个各级管理员情况下怎么办
只考虑这一步也太简单

url可以非常复杂,然后加密成短url,例如新浪微博

每个数据都是一条url,然后销售人员拥有这些url的权限

数据权限中 查看权限如何实现。 就是说不让列表中出现不想看到的数据。

资源是定义到业务表上,还是另起一个资源管理表。 感觉数据权限这块还是没有办法全面控制,建议数据权限彻底分离出去。

数据权限的确很难和业务剥离......例如不想让让用户查看某条特殊的数据,资源匹配表里加入一条url,列表的情况 需要使用正则表达式 排除这样的数据,实现也是比较复杂......

我觉得数据权限最好的方式还是干脆放弃不做,交由业务系统实现时进行考虑。这样设计就简单了很多。

嗯,这篇文章只是写出了我的实现思想和理论,并没有用到生成环境,实际的生产环境数据权限是有业务自行实现的
哈库纳
哈库纳

引用来自“屁屁果”的评论

引用来自“哈库纳”的评论

引用来自“屁屁果”的评论

引用来自“屁屁果”的评论

引用来自“王瑞平”的评论

理解浅了,遇到数据权限就崩溃了
比如销售人员分配销售电话,每个人只能操作自己分配到的数据
当一个销售离职了,数据收回再分配或者直接转交****
复杂的问题预先没有计划到时很多系统做到结束时发现失败的跟本原因
再考虑你的系统里有几百个各级管理员情况下怎么办
只考虑这一步也太简单

url可以非常复杂,然后加密成短url,例如新浪微博

每个数据都是一条url,然后销售人员拥有这些url的权限

数据权限中 查看权限如何实现。 就是说不让列表中出现不想看到的数据。

资源是定义到业务表上,还是另起一个资源管理表。 感觉数据权限这块还是没有办法全面控制,建议数据权限彻底分离出去。

数据权限的确很难和业务剥离......例如不想让让用户查看某条特殊的数据,资源匹配表里加入一条url,列表的情况 需要使用正则表达式 排除这样的数据,实现也是比较复杂......

我觉得数据权限最好的方式还是干脆放弃不做,交由业务系统实现时进行考虑。这样设计就简单了很多。
光石头
光石头

引用来自“哈库纳”的评论

引用来自“屁屁果”的评论

引用来自“屁屁果”的评论

引用来自“王瑞平”的评论

理解浅了,遇到数据权限就崩溃了
比如销售人员分配销售电话,每个人只能操作自己分配到的数据
当一个销售离职了,数据收回再分配或者直接转交****
复杂的问题预先没有计划到时很多系统做到结束时发现失败的跟本原因
再考虑你的系统里有几百个各级管理员情况下怎么办
只考虑这一步也太简单

url可以非常复杂,然后加密成短url,例如新浪微博

每个数据都是一条url,然后销售人员拥有这些url的权限

数据权限中 查看权限如何实现。 就是说不让列表中出现不想看到的数据。

资源是定义到业务表上,还是另起一个资源管理表。 感觉数据权限这块还是没有办法全面控制,建议数据权限彻底分离出去。

数据权限的确很难和业务剥离......例如不想让让用户查看某条特殊的数据,资源匹配表里加入一条url,列表的情况 需要使用正则表达式 排除这样的数据,实现也是比较复杂......
哈库纳
哈库纳

引用来自“屁屁果”的评论

引用来自“屁屁果”的评论

引用来自“王瑞平”的评论

理解浅了,遇到数据权限就崩溃了
比如销售人员分配销售电话,每个人只能操作自己分配到的数据
当一个销售离职了,数据收回再分配或者直接转交****
复杂的问题预先没有计划到时很多系统做到结束时发现失败的跟本原因
再考虑你的系统里有几百个各级管理员情况下怎么办
只考虑这一步也太简单

url可以非常复杂,然后加密成短url,例如新浪微博

每个数据都是一条url,然后销售人员拥有这些url的权限

数据权限中 查看权限如何实现。 就是说不让列表中出现不想看到的数据。

资源是定义到业务表上,还是另起一个资源管理表。 感觉数据权限这块还是没有办法全面控制,建议数据权限彻底分离出去。
哈库纳
哈库纳

引用来自“屁屁果”的评论

引用来自“pengcheng_1024”的评论

看来还是我的能力太差啊!!还是没搞明白!!需要好好学习!!看来我的机会来的有点早!!

有一条一定要记住,不要使用递归函数,使用两个辅助字段 level 和 unitcode !我们上一代的权限体系就是参考了用友华为的系统,切记!!!! @宏哥 说mysql无法实现这样的权限控制,我简直无语了.......

嗯,使用 递归函数 容易引发死循环,level unitcode 这种设计推荐。
光石头
光石头

引用来自“屁屁果”的评论

引用来自“王瑞平”的评论

理解浅了,遇到数据权限就崩溃了
比如销售人员分配销售电话,每个人只能操作自己分配到的数据
当一个销售离职了,数据收回再分配或者直接转交****
复杂的问题预先没有计划到时很多系统做到结束时发现失败的跟本原因
再考虑你的系统里有几百个各级管理员情况下怎么办
只考虑这一步也太简单

url可以非常复杂,然后加密成短url,例如新浪微博

每个数据都是一条url,然后销售人员拥有这些url的权限
光石头
光石头

引用来自“王瑞平”的评论

理解浅了,遇到数据权限就崩溃了
比如销售人员分配销售电话,每个人只能操作自己分配到的数据
当一个销售离职了,数据收回再分配或者直接转交****
复杂的问题预先没有计划到时很多系统做到结束时发现失败的跟本原因
再考虑你的系统里有几百个各级管理员情况下怎么办
只考虑这一步也太简单

url可以非常复杂,然后加密成短url,例如新浪微博
王瑞平
王瑞平
理解浅了,遇到数据权限就崩溃了
比如销售人员分配销售电话,每个人只能操作自己分配到的数据
当一个销售离职了,数据收回再分配或者直接转交****
复杂的问题预先没有计划到时很多系统做到结束时发现失败的跟本原因
再考虑你的系统里有几百个各级管理员情况下怎么办
只考虑这一步也太简单
权限管理——后台系统的权限设置,吐血整理,原型图食用更直观

公司最近在做一个项目,具体我就不说了,业务做完了之后,主管说后台现在业务流程可以跑得通了,但是接下来要做权限管理,不然这个系统还是没法用,不可能每个人在后台都可以随意操作和更改数...

海涛19961201
2018/08/31
0
0
快速开发平台分享-UCML快速开发七种武器

传统的快速开发平台强调的是组件重用、构件重用,主要解决功能重用层面,一般提供了软件开发最常用的功能:表单设计、BPM(业务流程管理)、报表、组织机构及权限等功能。但只有功能重用,没...

U7云开发平台
2018/11/22
0
0
漫谈业务系统从0到1的设计

摘要:互联网公司常常将产品方向分为两类,C端和B端,C端主要是面向客户和消费者的系统,B端的范围则相对模糊,给供应商或商家使用的系统,给内部业务人员使用的系统,都统称为B端系统。C端和...

goYangKun
2017/12/14
0
0
【权限管理】角色访问控制(RBAC)模式及其思想

本文为转载学习 原文链接:http://hi.baidu.com/boyyf/item/2bc5c8320f7ce4c22e8ec2ca Role作为一个用户(User)与权限(Privilege)的代理层,解耦了权限和用户的关系,所有的授权应该给予R...

heroShane
2014/01/26
0
0
[转]从0到1教你设计业务系统

导读 本文将以一个案例,向读者逐步揭示一套业务系统从0到1的设计过程。重点讲述架构、模型等业务系统最本质的设计精要。 一、业务系统设计概述 1、什么是业务系统 互联网公司常常将产品方向...

致学无忧
2018/12/10
0
0

没有更多内容

加载失败,请刷新页面

加载更多

基础工具类

package com.atguigu.util;import java.sql.Connection;import java.sql.SQLException;import java.util.Properties;import javax.sql.DataSource;import com.alibaba.druid......

architect刘源源
今天
43
0
P30 Pro劲敌!DxO官宣新机:排行榜又要变

5月26日晚间,DxOMark官方推特预告,将在5月27日公布一款新机型的DxOMark评分,猜猜是哪款? 网友猜想的机型有:红米K20、谷歌Pixel 3a、索尼Xperia 1、诺基亚9 PureView等。 DxOMark即将公布...

linux-tao
昨天
15
0
Ubuntu18.04.2窗口过小不能自适应(二次转载)

解决Ubuntu在虚拟机窗口不能自适应 2018年09月06日 16:20:08 起不了名儿 阅读数 855 此博文转载:https://blog.csdn.net/nuddlle/article/details/77994080(原地址) 试了很多办法这个好用 ...

tahiti_aa
昨天
2
0
死磕 java同步系列之CountDownLatch源码解析

问题 (1)CountDownLatch是什么? (2)CountDownLatch具有哪些特性? (3)CountDownLatch通常运用在什么场景中? (4)CountDownLatch的初始次数是否可以调整? 简介 CountDownLatch,可以...

彤哥读源码
昨天
6
0
Nginx提供下载apk服务

有时候我们可能需要提供文件或者其他apk下载链接,通过 nginx 配置可以很简单地实现。 server {    listen 80;    server_name download.xxx.com;    root app;    locati...

Jack088
昨天
4
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部