CN102750473A - 权限控制方法及装置 - Google Patents

Abstract

本发明公开了一种权限控制方法及装置，该方法包括：获取当前用户的权限；根据获取到的权限以及与所有权限一一对应的操作的属性值控制当前用户是否可以执行该操作。本发明中，通过当前用户的权限以及该用户所要执行的与所有权限一一对应的操作的某个属性值，控制用户是否可以执行该操作（即当前用户要执行的操作所对应的权限是否是在该用户的权限范围内），相对于相关技术中数据按位存储，根据按位运算来确定用户权限的方案，上述方法易于实现。

Description

权限控制方法及装置

技术领域

本发明涉及通信领域，具体而言，涉及一种权限控制方法及装置。

背景技术

在设计通信业务软件时，考虑到数据的安全性与完整性，必须为通信业务软件设计权限管理方案，以便对不同的用户分配不同的权限，使得不同的用户各自在独立的权限下使用通信业务软件，以确保数据的完整和安全。

相关技术中，权限控制方案将“模块+子功能”定义为一个可授权的功能对象，这种将模块和子功能糅合在一起的定义方式，导致逻辑上不够清晰。另外，相关技术中模块和子功能分别用一个四字节的整数的高16位和低16为表示，这样模块标识和子功能标识总数受限制，并且这种按位的数据处理方式的实现比较复杂；其次，采用（功能对象ID，角色，用户ID，权限控制字）作为一条行记录值插入文件或数据中的方法来形成角色功能映射表，这种方法保存的权限数据存在信息冗余，不符合关系数据库设计规范。因此，相关技术中的权限控制方案实现起来较复杂。

发明内容

本发明提供了一种权限控制方法及装置，以至少解决相关技术中，权限控制方案实现较复杂的问题。

根据本发明的一个方面，提供了一种权限控制方法，包括：获取当前用户的权限；根据获取到的权限以及与所有权限一一对应的操作的属性值控制当前用户是否可以执行该操作。

优选地，在获取当前用户的权限之前，上述方法还包括：将所有权限的标识值赋给与所有权限对应的操作的属性值。

优选地，根据获取到的权限以及与所有权限一一对应的操作的属性值控制当前用户是否可以执行该操作包括：判断与所有权限一一对应的操作的属性值是否在获取到的权限的标识值的集合中；如果判断结果为是，则允许当前用户执行上述操作；如果判断结果为否，则拒绝当前用户执行上述操作。

优选地，在获取当前用户的权限之前，上述方法还包括：将所有用户、所有权限、用户与权限之间的对应关系保存到数据库中；获取当前用户的权限包括：在用户与权限之间的对应关系中获取与当前用户对应的权限。

优选地，在获取当前用户的权限之前，上述方法还包括：将所有用户、所有角色、所有权限、用户与角色之间的对应关系、角色与权限之间的对应关系保存到数据库中，其中，角色是一个或多个权限的集合；获取当前用户的权限包括：在用户与角色之间的对应关系中获取与当前用户对应的角色；在角色与权限之间的对应关系中获取与当前用户的角色对应的权限。

优选地，上述权限控制方法通过程序开发工具Delphi实现。

优选地，操作的属性值是Delphi中Action对象的整型类型的Tag属性值。

根据本发明的另一方面，提供了一种权限控制装置，包括：获取模块，用于获取当前用户的权限；控制模块，用于根据获取到的权限以及与所有权限一一对应的操作的属性值控制当前用户是否可以执行该操作。

优选地，上述装置还包括：赋值模块，用于将所有权限的标识值赋给与所有权限对应的操作的属性值。

优选地，控制模块包括：判断单元，用于判断与所有权限一一对应的操作的属性值是否在获取到的权限的标识值的集合中；第一处理单元，用于在判断结果为是的情况下，允许当前用户执行上述操作；第二处理单元，用于在判断结果为否的情况下，拒绝当前用户执行上述操作。

优选地，上述装置还包括：第一保存模块，用于将所有用户、所有权限、用户与权限之间的对应关系保存到数据库中；获取模块包括：第一获取单元，用于在用户与权限之间的对应关系中获取与当前用户对应的权限。

优选地，上述装置还包括：第二保存模块，用于将所有用户、所有角色、所有权限、用户与角色之间的对应关系、角色与权限之间的对应关系保存到数据库中，其中，角色是一个或多个权限的集合；获取模块包括：第二获取单元，用于在用户与角色之间的对应关系中获取与当前用户对应的角色；第三获取单元，用于在角色与权限之间的对应关系中获取与当前用户的角色对应的权限。

本发明实施例中，通过当前用户的权限以及该用户所要执行的与所有权限一一对应的操作的某个属性值，控制用户是否可以执行该操作（即当前用户所要执行的操作所对应的权限是否在该用户的权限范围内），相对于现有技术中数据按位存储，根据按位运算来确定用户权限的方案，上述方法易于实现。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的权限控制方法的流程图；

图2是根据本发明优选实施例的权限分配示意图；

图3是根据本发明优选实施例的Action对象的相关事件的触发顺序图；

图4是根据本发明实施例的权限控制装置的结构框图；

图5是根据本发明优选实施例的权限控制装置的结构框图一；

图6是根据本发明优选实施例的权限控制装置的结构框图二；

图7是根据本发明优选实施例的权限控制装置的结构框图三。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

相关技术中，通信业务软件中的权限控制方案实现较复杂。为此，本发明实施例提供了一种权限控制方法，使得通信业务软件中的权限控制易于实现，图1是根据本发明实施例的权限控制方法的流程图，如图1所示，包括如下的步骤S102至步骤S104。

步骤S102，获取当前用户的权限。

步骤S104，根据获取到的权限以及与所有权限一一对应的操作的属性值控制当前用户是否可以执行该操作。

上述实施例中，根据当前用户的权限以及该用户所要执行的操作的属性值，控制用户是否可以执行该操作（即当前用户所要执行的操作是否是该用户的权限对应的操作），相对于相关技术中数据按位存储，根据按位运算来确定用户权限的方案，上述方法易于实现。优选地，上述权限控制方法通过程序开发工具Delphi实现，操作的属性值是Delphi中Action对象的整型类型的Tag属性值，这样编程较简单，从而可以较容易地实现用户的权限控制，使得具有不同权限的用户仅能使用特定的系统功能。

在最初权限分配时，需要将所有权限的标识值赋给与所有权限对应的操作的属性值，以便后续根据某个操作的属性值判断当前用户是否可以执行该操作。具体地，在获取当前用户的权限之前，上述方法还包括：将所有权限的标识值赋给与所有权限对应的操作的属性值。

优选地，根据获取到的权限以及与所有权限一一对应的操作的属性值控制当前用户是否可以执行该操作包括：判断与所有权限一一对应的操作的属性值是否在获取到的权限的标识值的集合中；如果判断结果为是，则允许当前用户执行上述操作；如果判断结果为否，则拒绝当前用户执行上述操作。通过简单的判断步骤即可确定用户是否可以执行某个操作，简单易实现。

在本发明实施例的一个优选实施方式中，将权限数据和用户数据抽象成表格的形式进行存储，符合关系数据库设计规范。具体如下，在获取当前用户的权限之前，上述方法还包括：将所有用户、所有权限、用户与权限之间的对应关系保存到数据库中；获取当前用户的权限包括：在用户与权限之间的对应关系中获取与当前用户对应的权限。

针对相关技术中利用四个字节存储权限数据和用户数据，权限数量受限的问题，在另外一个优选实施方式中，增加了角色的概念，即一组权限的集合，将权限分组，且按照表格方式存储，使得逻辑清晰，对系统的权限数量也没有限制，具有良好的可扩展性。具体操作如下：

在获取当前用户的权限之前，上述方法还包括：将所有用户、所有角色、所有权限、用户与角色之间的对应关系、角色与权限之间的对应关系保存到数据库中，其中，角色是一个或多个权限的集合；获取当前用户的权限包括：在用户与角色之间的对应关系中获取与当前用户对应的角色；在角色与权限之间的对应关系中获取与当前用户的角色对应的权限。

上述实施例中的权限与系统的功能点一一对应，用户拥有某个权限表明用户可以使用系统的某个功能。对于特定的系统，该系统的功能是确定的，于是通过将系统的功能细分为多个可控的功能点，可以确定系统的所有权限。通常用数据库记录系统的用户、角色以及权限信息，例如，可以按照表1所示的形式存储权限数据以及用户数据。

表1数据结构表

下面以Delphi（一种程序开发语言和开发工具）为例对上述方法的实现进行简要说明。

（1）权限的分配

由于系统的权限是可确定的，因而可将系统的所有权限信息保存到表1所示的权限表（tbPrivilege）中，并且对于每一个权限都有唯一的权限ID（权限编号）与之对应。又因为用户、角色、权限以及用户<->角色、角色<->权限的对应关系在数据库中的保存格式固定，系统的权限分配方式即可确定，即：要使得某用户具有某些权限，只要建立一条用户与权限之间的间接对应关系即可，反之删除一条对应关系即可取消用户的某些权限，这样就完成了用户权限的分配。权限分配完成后，通过用户ID（用户编号，字段UID），可以得到所有与用户对应的角色ID（角色编号，字段RID）集合，而通过角色ID（字段RID）即可得到用户所具有的所有的权限ID（权限编号，字段PID）集合，得到用户所有权限ID集合（PID Set）后，用户具有的所有权限便确定下来，权限分配完成。

（2）权限的控制

得到用户的所有权限ID集合（PID_Set）后，对该用户权限的控制问题可转化为：对于系统权限表（tbPrivilege）中的某一个权限，如果该权限ID在用户所有权限ID集合（PID_Set）中，则用户可以使用该权限对应的系统功能，否则不能使用。

在Delphi中，ActionList组件是一个对象集合，它包含着一组Action对象。根据上述实施例，系统的功能可细分为多个功能点，而每个功能点的实现代码都可以写在Action的OnExecute事件处理过程中，这样，就是实现了系统的功能点与Action的一一对应关系，即权限与Action的对应关系。又因为通过按钮（Button）的action属性，可以将Action对象与按钮（Button）关联起来，这样点击按钮（Button）就会执行与之关联的Action对象的OnExecute事件的处理过程。

Delphi中每个Action对象都有一个integer（整型）类型的Tag属性，可以将与Action对象对应的权限的编号（即PID）值赋给Action的Tag属性值，然后在Action的OnExecute事件处理过程中，通过判断其Tag属性值是否在用户的所有权限ID集合(PID_Set)中来判断当前用户是否有相关的权限。

在使用Delphi开发的窗体程序中点击一个按钮并不是立刻触发与之关联的Action对象的OnExecute事件，而是先触发包含该Action对象的ActionList的OnExecute事件，然后触发应用程序对象Application的OnActionExectue事件，最后再触发这个Action本身的OnExecute事件。

Application的OnActionExecute事件是TActionEvent类型变量。TActionEvent的声明如下：type TActionEvent=procedure(Action:TBasicAction;var Handled:Boolean)of object。上述声明中有两个参数，其中Action是表示触发该OnActionExecute事件的Action对象；Handled指定是否需要继续触发上一层OnExecute事件。根据上文所述的OnExecute事件触发顺序，如果在Application的OnActionExecute事件处理过程中将Handled参数设置为True，则表示当前的Action事件已经被处理了，因此不会再触发该Action本身的OnExecute事件（即该OnExecute事件处理过程将不会被执行）。ActionList的OnExecute事件处理过程也是TActionEvent类型。

由上述可知，与现有技术相比较，本发明实施例将系统的每个功能点作为一个权限，同时提供角色（即，一组权限的集合）的概念，将权限分组，这样不仅逻辑清晰，同时对系统的权限项数量没有限制，具有良好的可扩展性。另外，通过将系统的权限数据和用户数据抽象成用户表，角色表，权限表，角色权限对应表，用户角色对应表的方法使得权限数据的存储设计符合关系数据库设计规范。且本发明实施例提供的基于Delphi的权限控制方案，易于实现，编程简单。

下面结合优选的实施例对权限控制方法进行详细描述。

（1）权限的定义

首先在数据库中新建如上述表1所示的5个表，用来保存权限相关的数据。然后在权限表（tbPrivilege）中插入系统权限的初始化数据，该系统中所有需要控制使用权限的功能点都可以抽象成权限数据添加到权限表中。

（2）权限的分配

在角色表（tbRole）中插入数据，定义一个角色（功能模块）信息。在角色权限对应表(tbRole_Privilege)中，插入权限ID（权限编号）和角色ID（角色编号）之间的对应关系数据，这样一个角色（功能模块）就与其相关的功能点（即权限）对应起来。

在用户表（tbUser）中插入数据，定义该系统的用户信息。在用户角色对应表（tbUser_Role）中插入用户ID（用户编号）和角色ID之间的对应关系数据。定义角色，将权限分组，逻辑清晰，且对系统的权限数量没有限制，具有良好的可扩展性。

至此，可以得到如图2所示的用户与系统权限之间的对应关系。这样只要根据用户的ID就可以得到该用户所拥有的所有的权限ID组成的集合PID_Set。

（3）权限的控制

在触发每个Action对象的OnExecute事件前都会先触发Application对象的OnActionExecute事件，并且将Action对象本身作为参数传递给Application对象的OnActionExecute事件处理过程的Action参数（该参数的Tag属性保存了与该Action对象对应的系统权限ID）。因而我们不需要在每一个与系统功能点对应的Action对象的OnExecute事件处理过程中添加权限控制代码，而只要在应用程序对象Application的OnActionExecute事件中加入权限控制代码即可。

这就是说只需在Application的OnActionExecute事件处理过程中判断其参数Action的Tag属性值是否在当前用户的所有权限ID列表（PID_Set）中，即可进行权限控制，即：如果Tag属性值在PID_Set列表中，则不做任何控制，保持参数Handeled值为默认的False，这样在触发Application的OnActionExecute事件后会继续触发相关的Action对象的OnExecute事件，表示该用户有权限执行这个操作；如果Tag属性值不在PID_Set列表中，则给出权限不足的提示，并将参数Handeled值设为True，表示将不再触发相关的Action对象的OnExecute事件，这就表示该用户没有执行与该Action对象的功能的权限。

在实际开发中仅使用下面的几行代码即可实现系统的权限控制。其中，TmainFrm是系统主窗体对象，MainAppEventsActionExecute过程是应用程序对象Application的OnActionExecute事件处理过程。

如图3所示，权限控制的流程包括如下步骤：

步骤S302，点击按钮Button1（该按钮的action属性指定为Action1）。

步骤S304，触发ActionList1（包含对象Action1）的OnExecute事件。

步骤S306，设置ActionList1的Handled的变量值，若设置为ture，则结束流程；若设置为false，则执行步骤S308。需要说明的是，一般该变量值默认设置为false。

步骤S308，继续触发Application的OnActionExecute事件。

步骤S310，设置Application的Handled的变量值，若设置为ture，则结束流程；若设置为false，则执行步骤S312。需要说明的是，一般该变量值默认为false。

步骤S312，触发Action1的OnExecute事件，执行系统相关功能代码。

需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本发明实施例还提供了一种权限控制装置，该权限控制装置可以用于实现上述权限控制方法。图4是根据本发明实施例的权限控制装置的结构框图，如图4所示，包括获取模块42和控制模块44。下面对其结构进行详细描述。

获取模块42，用于获取当前用户的权限；控制模块44，连接至获取模块42，用于根据获取模块42获取的权限以及与所有权限一一对应的操作的属性值控制当前用户是否可以执行该操作。

如图5所示，上述装置还包括：赋值模块46，用于将所有权限的标识值赋给与所有权限对应的操作的属性值。控制模块44包括：判断单元442，用于判断与所有权限一一对应的操作的属性值是否在获取模块42获取的权限的标识值的集合中；第一处理单元444，连接至判断单元442，用于在判断单元442的判断结果为是的情况下，允许当前用户执行上述操作；第二处理单元446，连接至判断单元442，用于在判断单元442的判断结果为否的情况下，拒绝当前用户执行上述操作。

如图6所示，上述装置还包括：第一保存模块48，用于将所有用户、所有权限、用户与权限之间的对应关系保存到数据库中；获取模块42包括：第一获取单元422，用于在用户与权限之间的对应关系中获取与当前用户对应的权限。

如图7所示，上述装置还包括：第二保存模块49，用于将所有用户、所有角色、所有权限、用户与角色之间的对应关系、角色与权限之间的对应关系保存到数据库中，其中，角色是一个或多个权限的集合；获取模块42包括：第二获取单元424，在用户与角色之间的对应关系中获取与当前用户对应的角色；第三获取单元426，连接至第二获取单元424，在角色与权限之间的对应关系中获取与第二获取单元424获取的当前用户的角色对应的权限。

需要说明的是，装置实施例中描述的权限控制装置对应于上述的方法实施例，其具体的实现过程在方法实施例中已经进行过详细说明，在此不再赘述。

综上所述，根据本发明的上述实施例，提供了一种权限控制方法及装置。本发明实施例中，通过当前用户的权限以及该用户所要执行的操作的属性值，控制用户是否可以执行该操作（即当前用户所要执行的操作是否是该用户的权限对应的操作），相对于现有技术中数据按位存储，根据按位运算来确定用户权限的方案，上述方法易于实现，且数据存储方式符合关系数据库设计规范。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种权限控制方法，其特征在于包括：

获取当前用户的权限；

根据所述获取到的权限以及与所有权限一一对应的操作的属性值控制所述当前用户是否可以执行所述操作。

2.根据权利要求1所述的方法，其特征在于，在获取所述当前用户的权限之前，还包括：

将所述所有权限的标识值赋给与所述所有权限对应的操作的属性值。

3.根据权利要求2所述的方法，其特征在于，根据所述获取到的权限以及与所有权限一一对应的操作的属性值控制所述当前用户是否可以执行所述操作包括：

判断所述与所有权限一一对应的操作的属性值是否在所述获取到的权限的标识值的集合中；

如果判断结果为是，则允许所述当前用户执行所述操作；

如果判断结果为否，则拒绝所述当前用户执行所述操作。

4.根据权利要求1所述的方法，其特征在于，

在获取所述当前用户的权限之前，还包括：

将所有用户、所有权限、用户与权限之间的对应关系保存到数据库中；

获取所述当前用户的权限包括：

在所述用户与权限之间的对应关系中获取与所述当前用户对应的权限。

5.根据权利要求1所述的方法，其特征在于，

在获取所述当前用户的权限之前，还包括：

将所有用户、所有角色、所有权限、用户与角色之间的对应关系、角色与权限之间的对应关系保存到数据库中，其中，所述角色是一个或多个权限的集合；获取所述当前用户的权限包括：

在所述用户与角色之间的对应关系中获取与所述当前用户对应的角色；

在所述角色与权限之间的对应关系中获取与所述当前用户的角色对应的权限。

6.根据权利要求1至5中任一项所述的方法，其特征在于，所述权限控制方法通过程序开发工具Delphi实现。

7.根据权利要求1至5中任一项所述的方法，其特征在于，所述操作的属性值是Delphi中Action对象的整型类型的Tag属性值。

8.一种权限控制装置，其特征在于包括：

获取模块，用于获取当前用户的权限；

控制模块，用于根据所述获取到的权限以及与所有权限一一对应的操作的属性值控制所述当前用户是否可以执行所述操作。

9.根据权利要求8所述的装置，其特征在于，所述装置还包括：

赋值模块，用于将所述所有权限的标识值赋给与所述所有权限对应的操作的属性值。

10.根据权利要求9所述的装置，其特征在于，所述控制模块包括：

判断单元，用于判断所述与所有权限一一对应的操作的属性值是否在所述获取到的权限的标识值的集合中；

第一处理单元，用于在判断结果为是的情况下，允许所述当前用户执行所述操作；

第二处理单元，用于在判断结果为否的情况下，拒绝所述当前用户执行所述操作。

Images