权限管理(2)-优快云博客

本文链接：https://blog.youkuaiyun.com/qq_40386113/article/details/125071510

权限

权限是用户可以访问的资源，包括页面权限、操作权限、数据权限

页面权限：即用户登录系统可以看到的页面，由菜单控制，菜单包括一级菜单和二级菜单，只要用户有一级和二级菜单的权限，那么用户就可以访问页面；

操作权限：即页面的功能按钮，包括查看、新增、修改、删除、审核等。有的系统要求“可见即可操作“，意思是如果页面上能够看到操作按钮，那么用户就可以操作，要实现此需求，这里就需要前端来配合，前端开发把用户的权限信息缓存，在页面判断用户是否包含此权限，如果有，就显示该按钮，如果没有，就隐藏该按钮。某种程度上提升了用户体验，但是在实际场景可自行选择是否需要这样做；

数据权限：数据权限就是用户在同一页面看到的数据是不同的。

一、RBAC0权限模型

这是权限最基础也是最核心的模型，用户和角色是多对多关系，角色和权限也是多对多关系。

如果用户基数较小，也可以直接把用户和权限关联。但是如果用户基数较大，直接将用户和权限关联，操作起来就会比较麻烦，需要一个人一个人去授权。在这种用户基数较大的情况下，引入了角色概念，一个角色可以与多个用户关联，管理员只需要把角色赋予用户，那么用户就拥有了该角色下的所有权限。

二、RBAC1模型

此模型引入了角色继承概念，即角色具有上下级的关系，角色间的继承关系可分为一般继承关系和受限继承关系。

一般继承关系仅要求角色继承关系是一个绝对偏序关系，允许角色间的多继承。而受限继承关系则进一步要求角色继承关系是一个树结构，实现角色间的单继承。这种设计可以给角色分组和分层，一定程度简化了权限管理工作。

三、RBAC2模型

基于核心模型的基础上，进行了角色的约束控制，RBAC2模型中添加了责任分离关系，其规定了权限被赋予角色时，或角色被赋予用户时，以及当用户在某一时刻激活一个角色时所应遵循的强制性规则。责任分离包括静态责任分离和动态责任分离。

主要包括以下约束：1、互斥角色：同一用户只能分配到一组互斥角色集合中至多一个角色，支持责任分离的原则。互斥角色是指各自权限互相制约的两个角色。比如财务部有会计和审核员两个角色，他们是互斥角色，那么用户不能同时拥有这两个角色，体现了职责分离原则；2、基数约束：一个角色被分配的用户数量受限；一个用户可拥有的角色数目受限；同样一个角色对应的访问权限数目也受限，以控制高级权限在系统中的分配；3、先决条件角色：即用户想获得某上级角色，必须先获得下一级的角色。