1、通用权限管理系统设计篇（一）一引言 因为做过的一些系统的权限管理的功能虽然在逐步完善，但总有些不尽人意的地方，总想抽个时间来更好的思考一下权限系统的设计。权限系统一直以来是我们应用系统不可缺少的一个部分，若每个应用系统都重新对系统的权限进行设计，以满足不同系统用户的需求，将会浪费我们不少宝贵时间，所以花时间来设计一个相对通用的权限系统是很有意义的。二设计目标设计一个灵活、通用、方便的权限管理系统。在这个系统中，我们需要对系统的所有资源进行权限控制，那么系统中的资源包括哪些呢？我们可以把这些资源简单概括为静态资源（功能操作、数据列）和动态资源（数据），也分别称为对象资源和数据资源，后者是我们在系
2、统设计与实现中的叫法。系统的目标就是对应用系统的所有对象资源和数据资源进行权限控制，比如应用系统的功能菜单、各个界面的按钮、数据显示的列以及各种行级数据进行权限的操控。三相关对象及其关系大概理清了一下权限系统的相关概念，如下所示：1. 权限系统的所有权限信息。权限具有上下级关系，是一个树状的结构。下面来看一个例子系统管理用户管理查看用户新增用户修改用户删除用户对于上面的每个权限，又存在两种情况，一个是只是可访问，另一种是可授权，例如对于“查看用户”这个权限，如果用户只被授予“可访问”，那么他就不能将他所具有的这个权限分配给其他人。2. 用户应用系统的具体操作者，用户可以自己拥有权限信息，可以归
3、属于 0n 个角色，可属于 0n 个组。他的权限集是自身具有的权限、所属的各角色具有的权限、所属的各组具有的权限的合集。它与权限、角色、组之间的关系都是 n对 n 的关系。3. 角色为了对许多拥有相似权限的用户进行分类管理，定义了角色的概念，例如系统管理员、管理员、用户、访客等角色。角色具有上下级关系，可以形成树状视图，父级角色的权限是自身及它的所有子角色的权限的综合。父级角色的用户、父级角色的组同理可推。4. 组为了更好地管理用户，对用户进行分组归类，简称为用户分组。组也具有上下级关系，可以形成树状视图。在实际情况中，我们知道，组也可以具有自己的角色信息、权限信息。这让我想到我们的 QQ 用
4、户群，一个群可以有多个用户，一个用户也可以加入多个群。每个群具有自己的权限信息。例如查看群共享。QQ 群也可以具有自己的角色信息，例如普通群、高级群等。针对上面提出的四种类型的对象，让我们通过图来看看他们之间的关系。有上图中可以看出，这四者的关系很复杂，而实际的情况比这个图还要复杂，权限、角色、组都具有上下级关系，权限管理是应用系统中比较棘手的问题，要设计一个通用的权限管理系统，工作量也着实不小。当然对于有些项目，权限问题并不是那么复杂。有的只需要牵涉到权限和用户两种类型的对象，只需要给用户分配权限即可。在另一些情况中，引入了角色对象，例如基于角色的权限系统， 只需要给角色分配权限，用户都隶属
5、于角色，不需要单独为用户分配角色信息。通用权限管理设计篇（二）数据库设计理清了对象关系之后，让我们接着来进行数据库的设计。在数据库建模时，对于 N 对 N 的关系，一般需要加入一个关联表来表示关联的两者的关系。初步估计一下，本系统至少需要十张表，分别为：权限表、用户表、角色表、组表、用户权限关联表、用户角色关联表、角色权限关联表、组权限关联表、组角色关联表、用户属组关联表。当然还可能引出一些相关的表。下面让我们在PowerDesigner 中画出各表吧。各表及其关系如下：1. 用户表用户表（TUser）字段名称 字段 类型 备注记录标识 tu_id bigint pk, not null所属组
6、织 to_id bigint fk, not null登录帐号 login_name varchar(64) not null用户密码 password varchar(64) not null用户姓名 vsername varchar(64) not null手机号 mobile varchar(20) 电子邮箱 email varchar(64) 创建时间 gen_time datetime not null登录时间 login_time datetime 上次登录时间 last_login_time datetime 登录次数 count bigint not null2. 角色表角色表
7、（TRole）字段名称 字段 类型 备注角色 ID tr_id bigint pk, not null父级角色 ID parent_tr_id bigint not null角色名称 role_name varchar(64) not null创建时间 gen_time datetime not null角色描述 description varchar(200) 3. 权限表权限表（TRight）字段名称 字段 类型 备注权限 ID tr_id bigint pk, not null父权限 parent_tr_id bigint not null权限名称 right_name varchar(
8、64) not null权限描述 description varchar(200) 4. 组表组表（TGroup）字段名称 字段 类型 备注组 ID tg_id bigint pk, not null组名称 group_name varchar(64) not null父组 parent_tg_id bigint not null创建时间 gen_time datetime not null组描述 description varchar(200) 5. 角色权限表角色权限表（TRoleRightRelation）字段名称 字段 类型 备注记录标识 trr_id bigint pk, not n
9、ull角色 Role_id bigint fk, not null权限 right_id bigint fk, not null权限类型 right_type int not null（0:可访问，1:可授权）6. 组权限表组权限表（TGroupRightRelation）字段名称 字段 类型 备注记录标识 tgr_id bigint pk, not null组 tg_id bigint fk, not null权限 tr_id bigint fk, not null权限类型 right_type int not null（0:可访问，1:可授权）7. 组角色表组角色表（TGroupRoleR
10、elation）字段名称 字段 类型 备注记录标识 tgr_id bigint pk, not null组 tg_id bigint fk, not null角色 tr_id bigint pk, not null8. 用户权限表用户权限表（TUserRightRelation）字段名称 字段 类型 备注记录标识 tur_id bigint pk, not null用户 tu_id bigint fk, not null权限 tr_id通用权限管理系统设计篇（三）概要设计说明书 在前两篇文章中，不少朋友对我的设计提出了异议，认为过于复杂，当然在实际的各种系统的权限管理模块中，并不像这里设计得那
11、么复杂，我以前所做的系统中，由只有用户和权限的，有只有用户、权限和角色的，还有一个系统用到了用户、权限、角色、组概念，这个系统是我在思考以前所做系统的权限管理部分中找到的一些共性而想到的一个设计方案，当然还会有不少设计不到位的地方，在设计开发过程中会慢慢改进，这个系统权当学习只用，各位朋友的好的建议我都会考虑到设计中，感谢各位朋友的支持。今天抽时间整了一份概念设计出来，还有一些地方尚未考虑清楚，贴出 1.0 版，希望各位朋友提出宝贵建议。大家也可以点击此处 通用权限管理概要设计说明书自行下载，这是 1.0 版本，有些地方可能还会进行部分修改，有兴趣的朋友请关注我的 blog。1. 引言1.1
12、编写目的本文档对通用权限管理系统的总体设计、接口设计、界面总体设计、数据结构设计、系统出错处理设计以及系统安全数据进行了说明。1.2 背景a、 软件系统的名称：通用权限管理系统；b、 任务提出者、开发者：谢星星；c、 在 J2EE 的 web 系统中需要使用权限管理的系统。1.3 术语本系统：通用权限管理系统；SSH：英文全称是 Secure Shell。1.4 预期读者与阅读建议预期读者 阅读重点开发人员 总体设计、接口设计、数据结构设计、界面总体设计、系统出错处理设计设计人员 总体设计、接口设计、数据结构设计、系统安全设计1.5 参考资料通用权限管理系统需求规格说明书通用权限管理系统数据库
13、设计说明书2. 总体设计2.1 设计目标权限系统一直以来是我们应用系统不可缺少的一个部分，若每个应用系统都重新对系统的权限进行设计，以满足不同系统用户的需求，将会浪费我们不少宝贵时间，所以花时间来设计一个相对通用的权限系统是很有意义的。本系统的设计目标是对应用系统的所有资源进行权限控制，比如应用系统的功能菜单、各个界面的按钮控件等进行权限的操控。2.2 运行环境操作系统：Windows 系统操作系统和 Linux 系列操作系统。2.3 网络结构通用权限管理系统可采用 Java Swing 实现，可以在桌面应用和 Web 应用系统中进行调用。如果需要要适应所有开发语言，可以将其 API 发布到
14、WEB Service 上。暂时用 Java Swing 实现。2.4 总体设计思路和处理流程在说明总体设计思路前，我们先说明本系统的相关概念：1. 权限资源系统的所有权限信息。权限具有上下级关系，是一个树状的结构。下面来看一个例子系统管理用户管理查看用户新增用户修改用户删除用户对于上面的每个权限，又存在两种情况，一个是只是可访问，另一种是可授权，例如对于“查看用户”这个权限，如果用户只被授予“可访问”，那么他就不能将他所具有的这个权限分配给其他人。2. 用户应用系统的具体操作者，用户可以自己拥有权限信息，可以归属于 0n 个角色，可属于 0n 个组。他的权限集是自身具有的权限、所属的各角色具
15、有的权限、所属的各组具有的权限的合集。它与权限、角色、组之间的关系都是 n对 n 的关系。3. 角色为了对许多拥有相似权限的用户进行分类管理，定义了角色的概念，例如系统管理员、管理员、用户、访客等角色。角色具有上下级关系，可以形成树状视图，父级角色的权限是自身及它的所有子角色的权限的综合。父级角色的用户、父级角色的组同理可推。4. 组为了更好地管理用户，对用户进行分组归类，简称为用户分组。组也具有上下级关系，可以形成树状视图。在实际情况中，我们知道，组也可以具有自己的角色信息、权限信息。这让我想到我们的 QQ 用户群，一个群可以有多个用户，一个用户也可以加入多个群。每个群具有自己的权限信息。例
16、如查看群共享。QQ 群也可以具有自己的角色信息，例如普通群、高级群等。针对如上提出的四种对象，我们可以整理得出它们之间的关系图，如下所示：总体设计思路是将系统分为组权限管理、角色权限管理、用户权限管理、组织管理和操作日志管理五部分。其中组权限管理包括包含用户、所属角色、组权限资源和组总权限资源四部分，某个组的权限信息可用公式表示：组权限 = 所属角色的权限合集 + 组自身的权限。角色权限管理包括包含用户、包含组和角色权限三部分，某个角色的权限的计算公式为：角色权限 = 角色自身权限。用户权限管理包括所属角色、所属组、用户权限、用户总权限资源和组织管理五部分。某个用户总的权限信息存在如下计算公式：用户权限 = 所属角色权限合集 + 所属组权限合集 + 用户自身权限。组织管理即对用户所属的组织进行管理，组织以树形结构展示，组织管理具有组织的增、删、改、查功能。操作日志管理用于管理本系统的操作日志。注意：因为组和角色都具有上下级关系，所以下级的组或角色的权限只能在自己的直属上级的权限中选择，下级的组或者角色的总的权限都不能大于直属上级的总权限。
