CN104050401A - 用户权限管理方法及系统 - Google Patents

Abstract

本发明针对复杂的用户权限管理问题，提出一种用户权限管理方法及系统。所述用户权限管理方法包括：一级系统管理员客户端为各二级系统创建主账号；一级系统管理员客户端将主账号分别发送给各二级系统的二级系统管理员客户端并设置各二级系统管理员客户端的权限，各二级系统管理员客户端的权限包括创建或管理各自的二级系统用户并为各自的二级系统用户分配角色；各二级系统管理员客户端在其对应的主账号下创建或管理各自的二级系统用户并为各自的二级系统用户分配角色。本发明提供的用户权限管理方法在用户很多，用户权限很复杂的情况下，实现分层次管理，使得管理权限更清晰，能够很好的解决复杂权限的管理问题。

Description

用户权限管理方法及系统

技术领域

本发明涉及计算机Web应用系统技术领域，尤其涉及一种用户权限管理方法及系统。

背景技术

如今，计算机Web应用系统绝大部分都采用身份验证和用户授权方式来保护资源被安全操作。身份验证是指检查该身份信息是否与系统信息一致，一般采用用户名+密码方式。用户授权是指检查已通过验证的用户是否允许操作特定资源，通常查看该用户是否拥有相关角色或相关权限，然后进行综合比对。

在系统中身份验证相对容易实现，难点都在如何进行有效的授权工作，目前最常用的是RBAC(Role-Based Access Control，基于角色的访问控制)模式。RBAC模式的一般流程为先为用户分配角色，再为角色分配权限，最后通过权限来完成相关资源操作，即用户通过角色与权限进行关联，形成“用户-角色-权限”的模式。

该方法在很大程度解决了现有系统中存在的各种权限问题，同时拥有较好的扩展性，不过由于RBAC模式自身局限性和每个系统的独特性（主要指权限复杂程度不一样和对权限的安全级别要求不同），RBAC模式并不能很好地解决所有系统的用户权限管理问题。例如，在BOSS系统(Business& Operation Support System，业务运营支撑系统)中，往往涉及下单、结算等与钱直接相关的业务数据，而且金额涉及很大，每个经销商的业务数据都希望各自保密，不向其他经销商开放，另外BOSS系统的客户也比较复杂，不仅涉及经销商，也可能涉及系统的其他用户，例如渠道、市场等。但是，在传统的RBAC模式中，1)相同角色的用户，他们所有操作都是一样的，无法进行数据级的权限控制；2）不同角色的用户，他们看到相同的静态资源，无法进行静态资源可见性控制；3）所有用户是平行关系，无法进行分组单独自主管理等。因此，对于类似BOSS系统中复杂的经销商用户权限问题，就需要根据实际情况对RBAC模式进行必要的改进，才能达到实际系统的需求。

发明内容

本发明的目的在于，针对类似BOSS系统中复杂的用户权限问题，提出一种用户权限管理方法及装置。

本发明实施例提供一种用户权限管理方法，用于对计算机应用系统进行用户权限管理，该应用系统包括一个一级系统以及与该一级系统对应的多个二级系统。该用户权限管理方法包括：一级系统管理员客户端为各二级系统创建主账号；一级系统管理员客户端将主账号分别发送给各二级系统的二级系统管理员客户端并设置各二级系统管理员客户端的权限，各二级系统管理员客户端的权限包括创建或管理各自的二级系统用户并为各自的二级系统用户分配角色；以及各二级系统管理员客户端在其对应的主账号下创建或管理各自的二级系统用户并为各自的二级系统用户分配角色。

本发明实施方式还提供一种用户权限管理系统，用于对计算机应用系统进行用户权限管理，该应用系统包括一个一级系统以及与该一级系统对应的多个二级系统。该用户权限管理系统包括：一级系统管理员客户端以及多个二级系统管理员客户端。所述一级系统管理员客户端包括主账号创建模块以及账号发送与权限设置模块。其中，所述主账号创建模块用于为各二级系统创建主账号。所述账号发送与权限设置模块用于将主账号分别发送给各二级系统的二级系统管理员客户端并设置各二级系统管理员客户端的权限，各二级系统管理员客户端的权限包括创建或管理各自的二级系统用户并为各自的二级系统用户分配角色。所述多个二级系统管理员客户端，用于在其对应的主账号下创建或管理各自的二级系统用户并为各自的二级系统用户分配角色。

相对于现有技术，本发明提供的用户权限管理方法可以在用户很多，用户权限很复杂的情况下，实现分层次管理，使得管理权限更清晰，同时更具可控性、易用性与可扩展性，能够很好的解决类似BOSS系统中针对经销商的复杂权限的管理问题。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其他目的、特征和优点能够更明显易懂，以下特举较佳实施例，并配合附图，详细说明如下。

附图说明

图1是本发明第一实施例提供的用户权限管理方法的流程示意图。

图2是在本发明第一实施例的一种具体实施方式中，步骤S10的具体流程示意图。

图3是在本发明第一实施例的一种具体实施方式中，步骤S13的具体流程示意图。

图4是本发明第一实施例中的数据库表结构和关系。

图5是本发明第二实施例提供的用户权限管理方法的流程示意图。

图6是本发明第三实施例提供的用户权限管理方法的流程示意图。

图7是用于实现本发明第一实施例中的用户权限管理方法的用户权限管理系统的总体结构示意图。

图8是图7中一级系统管理员客户端的具体结构示意图。

图9是图7中二级系统管理员客户端的具体结构示意图。

图10是图7中数据库的具体结构示意图。

图11是用于实现本发明第二实施例中的用户权限管理方法的用户权限管理系统的总体结构示意图。

图12是图11中二级系统管理员客户端的具体结构示意图。

图13是用于实现本发明第三实施例中的用户权限管理方法的用户权限管理系统的总体结构示意图。

图14是图13中经销商管理员客户端的具体结构示意图。

具体实施方式

为更进一步阐述本发明为达成预定发明目的所采取的技术手段及功效,以下结合附图及较佳实施例，对依据本发明提出的用户权限管理方法及系统的具体实施方式、方法、步骤、特征及其功效，详细说明如下。

有关本发明的前述及其他技术内容、特点及功效，在以下配合参考图式的较佳实施例的详细说明中将可清楚呈现。通过具体实施方式的说明，当可对本发明为达成预定目的所采取的技术手段及功效得以更加深入且具体的了解，然而所附图式仅是提供参考与说明之用，并非用来对本发明加以限制。

本发明提出的用户权限管理方法及系统，主要用于对具有复杂的用户权限问题的计算机Web应用系统(例如BOSS系统)进行用户权限管理。这些应用系统至少包括一个一级系统以及多个与该一级系统相对应的二级系统。例如，在用于对BOSS系统进行用户权限管理时，一级系统可以为供货商对应的系统，与该一级系统对应的多个二级系统可以为多个经销商对应的系统。下面将以具体的实施例对本发明进行更详细的说明。

请参考图1，图1是本发明第一实施例提供的用户权限管理方法的流程图。

于本实施例中，所述用户权限管理方法，包括：

步骤S11：一级系统管理员客户端为各二级系统创建主账号。

一级系统管理员客户端中的系统管理员具有权限管理、资源管理、角色管理、用户管理等权限。通过系统管理员的用户名和密码登陆系统后，所述一级系统管理员客户端就可以对该应用系统的角色、权限以及菜单进行设置，并且为所述角色分配相关权限、为所述权限关联相应的菜单。请参照图2，于本实施例的一种具体实施方式中，在进行步骤S11之前，可以包括步骤S10，步骤S10具体可以包括：

步骤S101：一级系统管理员客户端对该应用系统的角色、权限以及菜单进行设置，并将其设置的角色存储在角色表中、将其设置的权限存储在权限表中、以及将其设置的菜单存储在菜单表中。

步骤S102：所述一级系统管理员客户端建立所述角色表中的角色与一级系统用户之间的关联关系、所述权限表中的权限与所述角色表中的角色之间的关联关系、以及所述菜单表中的菜单与所述权限表中的权限之间的关联关系。

步骤S103：所述一级系统管理员客户端将所述一级系统用户与所述角色表中的角色之间的关联关系存储在用户与角色关联表中，将所述角色表中的角色与所述权限表中的权限之间的关联关系存储在角色与权限关联表中，将所述权限表中的权限与所述菜单表中的菜单之间的关联关系存储在权限与菜单关联表中。

在步骤S10中所提到的角色表、权限表、菜单表、用户表、角色与权限关联表、权限与菜单关联表以及用户与角色关联表都存储在数据库中。

其中，用户表例如可以包括用户标识符(用户ID)、用户名称(用户名)、用户登录密码、对该用户的描述等，这里的用户指的是该应用系统(包括一级系统和二级系统)中的所有用户，并不局限于一级系统用户。用户表是该应用系统的个体用户集，随用户的添加与删除动态变化。用户标识符(UserID)用于标识用户，每个用户的用户标识符都是不一样的。用户名称(Username)，就是在登陆(登入、登录、进入等)的用户名。一般来说，凡是允许用户注册的网站，都会在其主页显著位置上设置“注册”标签，让用户申请。网络的用户名，最常见的有即时通信（如QQ）、E-mail、博客、论坛等。同一个用户的用户标识符和用户名称可以相同也可以不同，不同用户的用户名称也可以是相同的，因为用户名称一般来讲并不能用来标识用户。例如，每个QQ用户的QQ号码都是不一样的，可以用来标识用户，因此QQ号码就可以作为QQ用户的用户标识符，但是不同QQ用户的昵称是可以相同的，因此，QQ昵称可以作为用户名称但不可以作为用户标识符。

角色表例如可以包括角色标识符、角色名称、对该角色的描述等，角色表是系统的角色集。与用户标识符相同，角色标识符也是用来标识角色的。

权限表包括所有要加以控制的权限，如录入、修改、删除、执行等，例如可以包括权限标识符、权限名称、该权限的描述等信息。

菜单表用于记录菜单条目内容，例如可以包括：菜单标识符、菜单名称、该菜单描述、URL地址等信息。

用户与角色关联表记录了用户与角色之间的关联关系，一个用户可以隶属于多个角色，一个角色也可拥有多个用户。用户与角色关联表例如可以包括角色标识符、用户标识符等信息。

角色与权限关联表记录了角色与权限之间的关联关系，一个角色可以拥有多个权限，一个权限也可以被多个角色所拥有。角色与权限关联表例如可以包括角色标识符、权限标识符等信息。

权限与菜单关联表记录了权限与菜单之间的关联关系，一个权限可以对应多个菜单，一个菜单也可以对应多个菜单，当然，权限和菜单也可以是一对一的关系。权限与菜单关联表例如可以包括权限标识符、菜单标识符等信息。

于步骤S11中，一级系统管理员可以通过一级系统管理员客户端为指定的各二级系统创建主账号。

步骤S12：一级系统管理员客户端将主账号分别发送给各二级系统的二级系统管理员客户端并设置各二级系统管理员客户端的权限，各二级系统管理员客户端的权限包括创建或管理各自的二级系统用户并为各自的二级系统用户分配角色。

于此步骤中，一级系统管理员客户端可以将主账号分别发送给各二级系统的二级系统管理员客户端，例如各经销商对应的经销商管理员客户端。一级系统管理员客户端还可以设置各二级系统管理员客户端的权限，各二级系统管理员客户端的权限包括创建或管理各自的二级系统用户并为各自的二级系统用户分配角色。对于经销商管理员客户端来说，各经销商管理员客户端的权限包括创建或管理各自的经销商用户并为各自的经销商用户分配角色。

步骤S13：各二级系统管理员客户端在其对应的主账号下创建或管理各自的二级系统用户并为各自的二级系统用户分配角色。

二级系统管理员客户端可以根据实际需要来管理二级系统用户，包括增加、删除、禁用、调整二级系统用户角色等操作。二级系统管理员客户端在各自的主账号下进行这些操作，并且，角色、权限、菜单以及他们之间的关联关系由一级系统管理员客户端完成设置。二级系统管理员可以通过二级系统管理员客户端的交互界面(UI界面)来实现具体的操作。

进一步的，请参照图3，步骤S13还可以包括：

S131：所述二级系统管理员客户端在其对应的主账号下创建所述二级系统用户，将所述二级系统用户存储在所述用户表中；以及

S132：所述二级系统管理员客户端建立所述二级系统用户与所述角色表中的角色之间的关联关系并将其存储在所述用户与角色关联表中。

二级系统用户与一级系统用户一样存储于用户表中，对应的用户表中也包括二级系统用户的用户标识符，二级系统用户的用户名称、二级系统用户的登录密码、对该二级系统用户的描述等用户信息。

优选的，于本实施例中，所述用户表由所述二级系统的主账号以及二级系统用户的用户标识符唯一标识。也就是说，在用户表中，每个主账号下的二级系统用户都是与其主账号相关联的。优选的，于本实施例中，所述用户与角色关联表由所述二级系统的主账号、二级系统用户的用户标识符以及角色标识符唯一标识。

本实施例中的数据库表结构和关系可以参考图4，图中tbl_user为用户表，由主帐号-FNameAccount和二级系统用户Id-FUserId来唯一标识，tbl_role为角色表，tbl_permission为权限表，tbl_menu为菜单表，tbl_user_role为用户与角色关联表，它们优选是多对多关系，由FNameAccount，FUserId和FRoleId三者来唯一标识，tbl_role_permission为角色与权限关联表，它们优选是多对多关系，tbl_permission_menu为权限和菜单关联表，它们关系是灵活的，可以多对多，也可以一对一。

于本实施例中，步骤S13主要是实现二级系统的自主管理，与步骤S11至步骤S12中的一级系统的总体管理结合起来，一方面二级系统对二级系统用户具有自主管理权，另一方面二级系统的所有角色和权限由一级系统来设置，具有可控性；二级系统可以实现对内部用户的自我管理，具有易用性；一级系统可以快速进行增加、减少二级系统主账号、设置角色、权限、菜单等操作，具有可扩展性。

相对于现有技术，本实施例提供的用户权限管理方法可以在用户很多，用户权限很复杂的情况下，实现分层次管理，使得管理权限更清晰，同时更具可控性、易用性与可扩展性，能够很好的解决类似BOSS系统中的复杂权限的管理问题。

请参考图5，是本发明第二实施例提供的用户权限管理方法的流程图。

于本实施例用，所述用户权限管理方法，包括：

步骤S21：一级系统管理员客户端为各二级系统创建主账号。

步骤S22：一级系统管理员客户端将主账号分别发送给各二级系统的二级系统管理员客户端并设置各二级系统管理员客户端的权限，各二级系统管理员客户端的权限包括创建或管理各自的二级系统用户并为各自的二级系统用户分配角色。

步骤S23：各二级系统管理员客户端在其对应的主账号下创建或管理各自的二级系统用户并为各自的二级系统用户分配角色。

步骤S21至步骤S23可以参考第一实施例中的相关步骤，这里不再赘述。

于本实施例中，所述用户权限管理方法进一步包括：

步骤S24：所述二级系统管理员客户端接收二级系统用户终端所返回的主账号以及身份验证信息。

二级系统用户在二级系统用户终端由交互界面输入主账号以及身份验证信息。身份信息包括二级系统用户的用户标识符(用户ID)和密码，必要时，也可以加入验证码进行验证。二级系统用户终端将输入的主账号以及身份验证信息传送给二级系统管理员客户端。

步骤S25：所述二级系统管理员客户端对所接收的所述主账号以及所述身份验证信息进行验证。

步骤S26：当所述主账号、所述身份验证信息与预存于所述用户表中的相应的主账号与二级系统用户的用户信息相匹配时，将与当前二级系统用户匹配的菜单返回至所述二级系统用户终端。

二级系统管理员客户端接收到二级系统用户终端传来的主账号以及二级系统用户输入的身份验证信息开始对其进行验证。

具体的，当所述主账号、所述身份验证信息与预存于所述用户表中的相应的主账号与二级系统用户的用户信息相匹配时，在所述用户与角色关联表中查找与所述二级系统用户关联的角色，在所述角色与权限关联表中查找与对应角色关联的权限，在所述权限与菜单关联表中查找与对应权限关联的菜单，将查找到的菜单返回至所述二级系统用户终端，二级系统用户终端将菜单显示在用户交互界面中。

在二级系统用户通过“主账号+用户ID+密码”进行登录后，不同角色的二级系统用户会看到不同的菜单(即静态资源入口)，相同角色的二级系统用户会看到相同的菜单，也就是通过二级系统用户的角色来决定菜单的可见性。

进一步的，于本实施例中，用户权限管理方法还可以包括：

步骤S27：所述二级系统管理员客户端对所述二级系统用户的操作权限进行验证，如果所述二级系统用户对所显示的菜单具有操作权限，通过所述二级系统用户的用户标识符以及所述二级系统用户所对应的主账号获取业务数据并将所述业务数据返回至所述二级系统用户终端。

也就是说，在二级系统用户通过可见的菜单来访问相关功能前，优选的，还要对二级系统用户是否具有操作权限再进行一次验证，查看该二级系统用户是否真正拥有该操作权限，优选的，每个主账号下的二级系统用户通过各自的主账号以及自己的用户ID来获取各自的数据。也就是说，不同角色的二级系统用户只能看到自己权限范围内的数据。

通过两次验证使得用户权限更加具有安全性，第一次：通过二级系统用户的角色来决定数据的可见性，即正确的角色可以看到正确的菜单。第二次：在第一次的基础上，再根据二级系统用户的信息(主账号+二级系统用户的用户ID)，在数据级别再进行验证。

相对于现有技术，本发明实施例提供的用户权限管理方法可以在用户很多，用户权限很复杂的情况下，实现分层次管理，使得管理权限更清晰，同时更具可控性、易用性、可扩展性、安全性，能够很好的解决类似BOSS系统中的复杂权限的管理问题。

请参考图6，是本发明第三实施例提供的用户权限管理方法的流程图。于本实施例中，将以本发明第二实施例提出的用户权限管理方法，具体用于对BOSS系统进行用户权限管理为例，对本发明进行说明。

于本实施例中，所述用户权限管理方法，包括：

步骤S31：系统管理员客户端为各经销商创建主账号。

本实施例中的系统管理员客户端相当于第一或第二实施例中的一级系统管理员客户端。具体的，可以为供货商对应的系统管理员客户端。

经销商是指在某一区域和领域拥有销售或服务的单位或个人。经销商具有独立的经营机构，通过拥有商品的所有权（买断制造商的产品/服务），获得经营利润，经营活动过程不受或很少受供货商限制。例如，对于某种企业专属即时通信平台(如企业QQ)来讲，其经销商可能就是在区域A或者区域B等某区域拥有销售或服务的单位或个人。

步骤S32：系统管理员客户端将主账号分别发送给经销商的经销商管理员客户端并设置各经销商管理员客户端的权限，各经销商管理员客户端的权限包括创建或管理各自的经销商用户并为各自的经销商用户分配角色。

步骤S33：各经销商管理员客户端在其对应的主账号下创建或管理各自的经销商用户并为各自的经销商用户分配角色。

步骤S34：所述经销商管理员客户端接收经销商用户终端所返回的主账号以及身份验证信息。

步骤S35：所述经销商管理员客户端对所接收的所述主账号以及所述身份验证信息进行验证。

步骤S36：当所述主账号、所述身份验证信息与预存于所述用户表中的相应的主账号与经销商用户的用户信息相匹配时，将与当前经销商用户匹配的菜单返回至所述经销商用户终端。

在经销商用户通过主账号+用户ID+密码进行登录后，不同角色的经销商用户会看到不同的菜单(即静态资源入口)，相同角色的经销商用户会看到相同的菜单，也就是通过经销商用户的角色来决定菜单的可见性。例如，区域A经销商的订单客服与区域B经销商的订单客服在完成步骤S36后都能够看到相同的订单查询菜单，但是，不论哪个经销商的咨询客服都无法看到订单查询菜单。

步骤S37：所述经销商管理员客户端对所述经销商用户的操作权限进行验证，如果所述经销商用户对所显示的菜单具有操作权限，通过所述经销商用户的用户标识符以及所述经销商用户所对应的主账号获取业务数据并将所述业务数据返回至所述经销商用户终端。

不同角色的经销商用户只能看到自己权限范围内的数据，在上面的例子中，区域A的订单客服与区域B的订单客服通过交互界面输入主账号+用户ID后看到的数据是不一样的。

相对于现有技术，本发明提供的用户权限管理方法可以在用户很多，用户权限很复杂的情况下，实现分层次管理，使得管理权限更清晰，同时更具可控性、易用性、可扩展性、安全性，能够很好的解决类似BOSS系统中的复杂权限的管理问题。

请参考图7，是用于实现本发明第一实施例中的用户权限管理方法的用户权限管理系统的总体结构示意图。

用户权限管理系统40包括一级系统管理员客户端41、多个二级系统管理员客户端42。用户权限管理系统40还可以包括数据库43。

请同时参照图8，所述一级系统管理员客户端41包括主账号创建模块411以及账号发送与权限设置模块412。

其中，所述主账号创建模块411用于为各二级系统创建主账号。所述账号发送与权限设置模块412用于将主账号分别发送给各二级系统的二级系统管理员客户端并设置各二级系统管理员客户端的权限，各二级系统管理员客户端的权限包括创建或管理各自的二级系统用户并为各自的二级系统用户分配角色。

所述多个二级系统管理员客户端42用于在其对应的主账号下创建或管理各自的二级系统用户并为各自的二级系统用户分配角色。

请同时参照图10，所述数据库43中包括角色表431、权限表432、菜单表433、用户表434、角色与权限关联表435、权限与菜单关联表436以及用户与角色关联表437。

请再参照图8，进一步的，所述一级系统管理员客户端41还可以包括：第一表单设置模块413、第一关联关系建立模块414、第二表单设置模块415。

其中，第一表单设置模块413对该应用系统的角色、权限以及菜单进行设置，并将其设置的角色存储在所述角色表431中、将其设置的权限存储在所述权限表432中、以及将其设置的菜单存储在所述菜单表433中。第一关联关系建立模块414用于建立所述角色表431中的角色与一级系统用户之间的关联关系、所述权限表432中的权限与所述角色表431中的角色之间的关联关系、以及所述菜单表433中的菜单与所述权限表432中的权限之间的关联关系。第二表单设置模块415用于将所述一级系统用户与所述角色表431中的角色之间的关联关系存储在所述用户与角色关联表437中，将所述角色表431中的角色与所述权限表432中的权限之间的关联关系存储在所述角色与权限关联表435中，将所述权限表432中的权限与所述菜单表433中的菜单之间的关联关系存储在所述权限与菜单关联表436中。

请参照图9，进一步的，所述二级系统管理员客户端42可以包括用户创建模块421、第二关联关系建立模块422。

其中，用户创建模块421用于在其对应的主账号下创建所述二级系统用户，并将其存储在所述角色表431中的角色分配给所述二级系统用户。第二关联关系建立模块422用于建立所述二级系统用户与所述角色表431中的角色之间的关联关系并将其存储在所述用户与角色关联表437中。

进一步的，所述用户表434由所述二级系统的主账号以及二级系统用户的用户标识符唯一标识，所述用户与角色关联表437由所述二级系统的主账号、二级系统用户的用户标识符以及角色标识符唯一标识。

相对于现有技术，本发明提供的用户权限管理方法可以在用户很多，用户权限很复杂的情况下，实现分层次管理，使得管理权限更清晰，同时更具可控性、易用性与可扩展性，能够很好的解决类似BOSS系统中针对经销商的复杂权限的管理问题。

请参照图11，是用于实现本发明第二实施例中的用户权限管理方法的用户权限管理系统的结构示意图。

用户权限管理系统50包括一级系统管理员客户端51、多个二级系统管理员客户端52。用户权限管理系统50还可以包括数据库53。与用户权限管理系统40不同的是，用户权限管理系统50进一步包括多个二级系统用户终端54。

请同时参照图12，于用户管理系统50中，二级系统管理员客户端52除包括用户创建模块521、第二关联关系建立模块522外，还进一步包括：接收模块523、身份验证模块524以及菜单返回模块525。

其中，接收模块523用于接收二级系统用户终端54所返回的主账号以及身份验证信息。身份验证模块524用于对所接收的所述主账号以及所述身份验证信息进行验证。菜单返回模块525用于当所述主账号、所述身份验证信息与预存于所述用户表中的相应的主账号与二级系统用户的用户信息相匹配时，将与当前二级系统用户匹配的菜单返回至所述二级系统用户终端54。

进一步的，所述菜单返回模块525进一步包括查找单元5251、返回单元5252。

其中，查找单元5251用于当所述主账号、所述身份验证信息与预存于所述用户表中的相应的主账号与二级系统用户的用户信息相匹配时，在所述用户与角色关联表中查找与所述二级系统用户关联的角色，在所述角色与权限关联表中查找与对应角色关联的权限，在所述权限与菜单关联表中查找与对应权限关联的菜单。返回单元5252用于将查找到的菜单返回至所述二级系统用户终端54。

进一步的，二级系统管理员客户端52还可以包括权限验证模块526以及业务数据返回模块527。

其中，权限验证模块526用于对所述二级系统用户的操作权限进行验证。如果所述二级系统用户对所显示的菜单具有操作权限，业务数据返回模块527通过所述二级系统用户的用户标识符以及所述二级系统用户所对应的主账号获取业务数据并将所述业务数据返回至所述二级系统用户终端。

相对于现有技术，本实施例提供的用户权限管理方法可以在用户很多，用户权限很复杂的情况下，实现分层次管理，使得管理权限更清晰，同时更具可控性、易用性、可扩展性、安全性，能够很好的解决类似BOSS系统中针对经销商的复杂权限的管理问题。

请参照图13，是用于实现本发明第三实施例中的用户权限管理方法的用户权限管理系统的总体示意图。

用户权限管理系统60包括系统管理员客户端61、多个经销商管理员客户端62。用户权限管理系统60还可以包括数据库63以及多个经销商用户终端64。

请同时参照图14，于用户权限管理系统60中，经销商管理员客户端62除包括用户创建模块621、第二关联关系建立模块622外，还进一步包括：接收模块623、身份验证模块624以及菜单返回模块625。

其中，接收模块623用于接收经销商用户终端64所返回的主账号以及身份验证信息。身份验证模块624用于对所接收的所述主账号以及所述身份验证信息进行验证。菜单返回模块625用于当所述主账号、所述身份验证信息与预存于所述用户表中的相应的主账号与经销商用户的用户信息相匹配时，将与经销商用户匹配的菜单返回至所述经销商用户终端64。

进一步的，所述菜单返回模块625进一步包括查找单元6251、返回单元6252。

其中，查找单元6251用于当所述主账号、所述身份验证信息与预存于所述用户表中的相应的主账号与经销商用户的用户信息相匹配时，在所述用户与角色关联表中查找与所述经销商用户关联的角色，在所述角色与权限关联表中查找与对应角色关联的权限，在所述权限与菜单关联表中查找与对应权限关联的菜单。返回单元6252用于将查找到的菜单返回至所述经销商用户终端64。

进一步的，经销商管理员客户端62还可以包括权限验证模块626以及业务数据返回模块627。

其中，权限验证模块626用于对所述经销商用户的操作权限进行验证。如果所述经销商用户对所显示的菜单具有操作权限，业务数据返回模块627通过所述经销商用户的用户标识符以及所述经销商用户所对应的主账号获取业务数据并将所述业务数据返回至所述经销商用户终端。

相对于现有技术，本实施例提供的用户权限管理方法可以在用户很多，用户权限很复杂的情况下，实现分层次管理，使得管理权限更清晰，同时更具可控性、易用性、可扩展性、安全性，能够很好的解决类似BOSS系统中针对经销商的复杂权限的管理问题。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者装置中还存在另外的相同要素。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述，仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，虽然本发明已以较佳实施例揭露如上，然而并非用以限定本发明，任何熟悉本专业的技术人员，在不脱离本发明技术方案范围内,当可利用上述揭示的技术内容做出些许更动或修饰为等同变化的等效实施例,但凡是未脱离本发明技术方案内容，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均仍属于本发明技术方案的范围内。

Claims (13)

1.一种用户权限管理方法，用于对计算机应用系统进行用户权限管理，该应用系统包括一个一级系统以及与该一级系统对应的多个二级系统，其特征在于，所述用户权限管理方法包括：

一级系统管理员客户端为各二级系统创建主账号；

一级系统管理员客户端将主账号分别发送给各二级系统的二级系统管理员客户端并设置各二级系统管理员客户端的权限，各二级系统管理员客户端的权限包括创建或管理各自的二级系统用户并为各自的二级系统用户分配角色；以及

各二级系统管理员客户端在其对应的主账号下创建或管理各自的二级系统用户并为各自的二级系统用户分配角色。

2.如权利要求1所述的用户权限管理方法，其特征在于，所述一级系统管理员客户端为各二级系统创建主账号的步骤之前，包括：

所述一级系统管理员客户端对该应用系统的角色、权限以及菜单进行设置，并将其设置的角色存储在角色表中、将其设置的权限存储在权限表中、以及将其设置的菜单存储在菜单表中；

所述一级系统管理员客户端建立所述角色表中的角色与一级系统用户之间的关联关系、所述权限表中的权限与所述角色表中的角色之间的关联关系、以及所述菜单表中的菜单与所述权限表中的权限之间的关联关系；以及

所述一级系统管理员客户端将所述一级系统用户与所述角色表中的角色之间的关联关系存储在用户与角色关联表中，将所述角色表中的角色与所述权限表中的权限之间的关联关系存储在角色与权限关联表中，将所述权限表中的权限与所述菜单表中的菜单之间的关联关系存储在权限与菜单关联表中。

3.如权利要求2所述的用户权限管理方法，其特征在于，该各二级系统管理员客户端在其对应的主账号下创建或管理各自的二级系统用户并为各自的二级系统用户分配角色的步骤，包括：

所述二级系统管理员客户端在其对应的主账号下创建所述二级系统用户，将所述二级系统用户存储在所述用户表中；以及

所述二级系统管理员客户端建立所述二级系统用户与所述角色表中的角色之间的关联关系并将其存储在所述用户与角色关联表中。

4.如权利要求3所述的用户权限管理方法，其特征在于，所述用户表由所述二级系统的主账号以及二级系统用户的用户标识符唯一标识，所述用户与角色关联表由所述二级系统的主账号、二级系统用户的用户标识符以及角色标识符唯一标识。

5.如权利要求1所述的用户权限管理方法，其特征在于，所述方法进一步包括：

所述二级系统管理员客户端接收二级系统用户终端所返回的主账号以及身份验证信息；

所述二级系统管理员客户端对所接收的所述主账号以及所述身份验证信息进行验证；以及

当所述主账号、所述身份验证信息与预存于所述用户表中的相应的主账号与二级系统用户的用户信息相匹配时，将与当前二级系统用户匹配的菜单返回至所述二级系统用户终端。

6.如权利要求5所述的用户权限管理方法，其特征在于，所述将与当前二级系统用户匹配的菜单返回给所述二级系统用户终端的步骤后，包括：

所述二级系统管理员客户端对所述二级系统用户的操作权限进行验证，如果所述二级系统用户对所显示的菜单具有操作权限，通过所述二级系统用户的用户标识符以及所述二级系统用户所对应的主账号获取业务数据并将所述业务数据返回至所述二级系统用户终端。

7.一种用户权限管理方法，用于对计算机应用系统进行用户权限管理，其特征在于，所述用户权限管理方法包括：

系统管理员客户端为各经销商创建主账号；

系统管理员客户端将主账号分别发送给各经销商的经销商管理员客户端并设置各经销商管理员客户端的权限，各经销商管理员客户端的权限包括创建或管理各自的经销商用户并为各自的经销商用户分配角色；以及

各经销商管理员客户端在其对应的主账号下创建或管理各自的经销商用户并为各自的经销商用户分配角色。

8.如权利要求7所述的用户权限管理方法，其特征在于，所述系统管理员客户端为各经销商创建主账号的步骤之前，包括：

所述系统管理员客户端对该应用系统的角色、权限以及菜单进行设置，并将其设置的角色存储在角色表中、将其设置的权限存储在权限表中、以及将其设置的菜单存储在菜单表中；

所述系统管理员客户端建立所述角色表中的角色与系统用户之间的关联关系、所述权限表中的权限与所述角色表中的角色之间的关联关系、以及所述菜单表中的菜单与所述权限表中的权限之间的关联关系；以及

所述系统管理员客户端将所述系统用户与所述角色表中的角色之间的关联关系存储在用户与角色关联表中，将所述角色表中的角色与所述权限表中的权限之间的关联关系存储在角色与权限关联表中，将所述权限表中的权限与所述菜单表中的菜单之间的关联关系存储在权限与菜单关联表中。

9.如权利要求8所述的用户权限管理方法，其特征在于，该各经销商管理员客户端在其对应的主账号下创建或管理各自的经销商用户并为各自的经销商用户分配角色的步骤，包括：

所述经销商管理员客户端在其对应的主账号下创建所述经销商用户，将所述经销商用户存储在所述用户表中；以及

所述经销商管理员客户端建立所述经销商用户与所述角色表中的角色之间的关联关系并将其存储在所述用户与角色关联表中。

10.如权利要求9所述的用户权限管理方法，其特征在于，所述用户表由所述经销商的主账号以及经销商用户的用户标识符唯一标识，所述用户与角色关联表由所述经销商的主账号、经销商用户的用户标识符以及角色标识符唯一标识。

11.如权利要求8所述的用户权限管理方法，其特征在于，所述方法进一步包括：

所述经销商管理员客户端接收经销商用户终端所返回的主账号以及身份验证信息；

所述经销商管理员客户端对所接收的所述主账号以及所述身份验证信息进行验证；以及

当所述主账号、所述身份验证信息与预存于所述用户表中的相应的主账号与经销商用户的用户信息相匹配时，将与当前经销商用户匹配的菜单返回至所述经销商用户终端。

12.如权利要求11所述的用户权限管理方法，其特征在于，所述将与当前经销商用户匹配的菜单返回给所述经销商用户终端的步骤后，包括：

所述经销商管理员客户端对所述经销商用户的操作权限进行验证，如果所述经销商用户对所显示的菜单具有操作权限，通过所述经销商用户的用户标识符以及所述经销商用户所对应的主账号获取业务数据并将所述业务数据返回至所述经销商用户终端。

13.一种用户权限管理系统，用于对计算机应用系统进行用户权限管理，该应用系统包括一个一级系统以及与该一级系统对应的多个二级系统，其特征在于，所述用户权限管理系统包括一级系统管理员客户端以及多个二级系统管理员客户端，所述一级系统管理员客户端包括主账号创建模块以及账号发送与权限设置模块，其中，

所述主账号创建模块，用于为各二级系统创建主账号；

所述账号发送与权限设置模块，用于将主账号分别发送给各二级系统的二级系统管理员客户端并设置各二级系统管理员客户端的权限，各二级系统管理员客户端的权限包括创建或管理各自的二级系统用户并为各自的二级系统用户分配角色；以及

所述多个二级系统管理员客户端，用于在其对应的主账号下创建或管理各自的二级系统用户并为各自的二级系统用户分配角色。