RBAC 权限控制模型

1.简介

1.1 Why？为什么要进行权限控制

如果没有权限控制，系统的功能完全不设防，全部暴露在所有用户面前。用户登录以后可以使用系统中的所有功能。这是实际运行中不能接受的。所以权限控制系统的目标就是管理用户行为，保护系统功能。

1.2 What？什么是权限控制

“权限”=“权力”+“限制

1.3 How？如何进行权限控制

1.3.1 定义资源

资源就是系统中需要保护起来的功能。具体形式很多：URL 地址、handler 方法、service 方法、页面元素等等都可以定义为资源使用权限控制系统保护起来。

1.3.2 创建权限

一个功能复杂的项目会包含很多具体资源，成千上万都有可能。这么多资源逐个进行操作太麻烦了。为了简化操作，可以将相关的几个资源封装到一起，打包成一个“权限”同时分配给有需要的人。

1.3.3 创建角色

对于一个庞大系统来说，一方面需要保护的资源非常多，另一方面操作系统的人也非常多。把资源打包为权限是对操作的简化，同样把用户划分为不同角色也是对操作的简化。否则直接针对一个个用户进行管理就会很繁琐。所以角色就是用户的分组、分类。先给角色分配权限，然后再把角色分配给用户，用户以这个角色的身份操作系统就享有角色对应的权限了。