CN104573478B - 一种Web应用的用户权限管理系统 - Google Patents

Abstract

本发明提供一种Web应用的用户权限管理系统，包括：角色管理模块、权限管理模块、信息查询模块，其中：所述角色管理模块，用于对系统角色进行定义、映射和维护；所述权限管理模块，用于对系统资源操作进行权限划分，以及对系统已定义的角色进行权限分配、映射和维护；所述信息查询模块，用于实现系统用户的角色权限信息的查询。通过本发明的方案，可以使管理系统更具便捷性和易扩展性，提高系统的安全性和可用行，并且简化权限管理和用户操作的复杂度。

Description

一种Web应用的用户权限管理系统

技术领域

本发明涉及互联网应用领域，特别是涉及一种针对于企业级Web应用的菜单、功能、角色授权相关的操作的用户权限管理系统。

背景技术

随着计算机和网络技术的发展，计算机网络能更加有效的实现资源共享，但资源共享和信息安全是一对矛盾体。随着资源共享的进一步加强，随之而来的信息安全问题也日益突出，而身份认证、权限和访问控制又是网络应用安全的两个重要内容。

为了提供整个系统的安全性，企业采用的安全机制必须能够控制：有“谁”能够访问机构的信息，用户访问的信息是“什么信息”，哪个用户被授予什么样的“权限”。一旦确定了权限管理和发布的方式，访问控制系统就可以控制用户的访问，从而保护应用系统。

为了实现上述要求，必须采用一种具有统一的授权和访问控制策略与机制的权限管理和访问控制系统，为整个企业Web应用系统提供统一的权限管理和访问控制服务，简化权限管理和用户操作的复杂度，提高整个系统的安全性和可用行。

发明内容

本发明的目的在于提供一种Web应用的用户权限管理系统，使管理系统更具便捷性和易扩展性，提高系统的安全性和可用行，并且简化权限管理和用户操作的复杂度。

为解决以上的技术问题，本发明提供一种Web应用的用户权限管理系统，包括：角色管理模块、权限管理模块、信息查询模块，其中：

所述角色管理模块，用于对系统角色进行定义、映射和维护；

所述权限管理模块，用于对系统资源操作进行权限划分，以及对系统已定义的角色进行权限分配、映射和维护；

所述信息查询模块，用于实现系统用户的角色权限信息的查询。

进一步地，所述角色管理模块包括角色定义子模块、用户角色映射子模块，所述角色定义子模块，用于系统管理员根据用户身份信息属性定义角色，并将定义好的角色存入数据库的相关表中；所述用户角色映射子模块，用于根据角色定义的信息确定与角色对应的用户，实现用户与角色的对应关系。

进一步地，所述角色管理模块进一步包括角色维护子模块，用于对角色的维护。

进一步地，所述角色管理模块包括至少以下之一的表结构：角色表、角色权限关联表、权限表。

进一步地，所述权限管理模块包括角色权限映射子模块，用于系统允许角色访问的应用系统，实现角色与应用系统的映射，并把角色权限的映射信息写入授权数据库表中。

进一步地，所述权限管理模块进一步包括角色权限维护子模块，用于对角色权限的维护。

进一步地，所述权限管理模块进一步包括清空角色权限子模块，用于根据管理员选定要清空权限的角色，完成清空角色权限。

进一步地，所述权限管理模块，包括至少以下之一的表结构：权限表、权限菜单关联表、菜单表、权限页面元素关联表、页面元素表、权限文件关联表、文件表、权限操作关联表、功能操作表。

进一步地，所述信息查询模块包括查询角色权限子模块，用于查询角色的权限信息。

进一步地，所述信息查询模块进一步包括查询用户信息子模块，用于查询用户以及该用户名相关的身份信息、角色权限信息。

与现有技术相比，本发明提供的一种Web应用的用户权限管理系统，采用在做数据表建模时，将功能操作和资源统一管理，并且都直接与权限表进行关联，使得管理系统更具便捷性和易扩展性；并且具有统一的授权和访问控制策略与机制的权限管理和访问控制系统，为整个企业Web应用系统提供统一的权限管理和访问控制服务，简化权限管理和用户操作的复杂度，提高整个系统的安全性和可用行。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是RBAC权限模型图。

图2是RBAC引入用户组的权限模型图。

图3是RBAC权限分类模型图。

图4是RBAC权限模型扩展图。

图5是本发明提供的一种Web应用的用户权限管理系统。

具体实施方式

为了使本发明所要解决的技术问题、技术方案及有益效果更加清楚、明白，以下结合附图和实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

如图1所示，是基于角色的访问控制(Role-Based Access Control，RBAC)的权限模型图。RBAC是用户通过角色与权限进行关联，也即，一个用户拥有若干角色，每一个角色拥有若干权限。这样，就构造成“用户-角色-权限”的授权模型。在这种模型中，用户与角色之间，角色与权限之间，一般是多对多的关系。

如图2所示，是RBAC引入用户组的权限模型图。角色是一定数量的权限的集合，权限的载体。例如：一个论坛系统，“超级管理员”、“版主”都是角色。版主可管理版内的帖子、可管理版内的用户等，这些是权限。在Web应用系统中，角色为一定数量的权限的集合，权限的载体。要给某个用户授予某些权限，可以不需要直接将权限授予用户，可将某个角色赋予该用户。当用户的数量非常大时，要给系统每个用户逐一授权(授角色)，是件非常烦琐的事情。此时，可以给用户分组，每个用户组内有多个用户。除了可给用户授权外，还可以给用户组授权。如此一来，用户拥有的所有权限，就是用户个人拥有的权限与该用户所在用户组拥有的权限之和。

如图3所示，是RBAC权限分类模型图。在Web应用系统中，权限的表现有多种，例如：对功能模块的操作，对上传文件的删改，菜单的访问，甚至页面上某个按钮、某个图片的可见性控制，都属于权限的范畴。有些权限设计，会把功能操作作为一类，把文件、菜单、页面元素等作为另一类，这样构成“用户-角色-权限-资源”的授权模型。在做数据表建模时，将功能操作和资源统一管理，也就是都直接与权限表进行关联，这样更具便捷性和易扩展性。

如图4所示，是RBAC权限模型扩展图。权限表与权限菜单关联表、权限菜单关联表与菜单表都是一对一的关系(文件、页面权限点、功能操作等同理)，也就是每添加一个菜单，同时往权限表、权限菜单关联表、菜单表各插入一条记录。这样，可以不需要权限菜单关联表，让权限表与菜单表直接关联，此时，须在权限表中新增一列用来保存菜单的ID，权限表通过“权限类型”和这个菜单ID来区分是哪种类型下的哪条记录。至此，RBAC权限模型的扩展模型便完整呈出来。

如图5所示，本发明提供的一种Web应用的用户权限管理系统，包括：角色管理模块、权限管理模块、信息查询模块。其中：

该角色管理模块，用于对系统角色进行定义、映射和维护。系统管理员根据需要，为系统用户赋予一定的功能角色，不同的角色在系统中履行不同的义务，也将承担不同的责任，是责任和权利的统一体。角色是一个主动的、相对独立的抽象单元，可以是一个具体的人，也可以是一个具体的团体，一个角色可以被赋予多个人和团体。在信息系统中，角色才是活动发起者和执行者，角色是一个或一群用户在组织内可以执行的操作的集合，任何用户在部门内都具有一定角色，其执行的操作必须与其所扮演的角色相匹配。角色管理模块涉及的表结构有：角色表、角色权限关联表、权限表。该菜单包含了，角色的CRUD操作，以及角色关联权限表的操作。角色表与权限表的关系是n:m。

该角色管理模块包括角色定义子模块、用户角色映射子模块、角色维护子模块。

角色定义子模块：用于系统管理员根据用户身份信息属性来定义角色，例如，根据用户的职务、部门、人员类别来定义角色，并将定义好的角色名称存入数据库的相关表中。在组织部门内部，角色一般是一个或一群用户在组织内可以执行的操作的集合，任何用户在部门内都具有一定角色，其执行的操作必须与其所扮演的角色相匹配。

企业根据需要将用户分组之外，还可以将权限授权给用户组，该角色组下的用户都将拥有该用户组的角色权限。如此一来，一个用户所拥有的权限除了直接授权给用户角色之外，还有用户组的角色信息，以此来加强用户权限范围的授权，满足不同的用户需求。

用户角色映射子模块：用于根据角色定义的信息确定与角色对应的用户，实现该用户与角色的对应关系，即完成用户与角色的映射。用户角色映射子模块涉及到的表结构有：用户表、用户角色关联表、角色表。

角色维护子模块：用于对角色的维护，包括增加角色、删除角色、修改角色等功能。企业组织根据需求，可以对角色进行增加、删除、修改维护。

该权限管理模块，用于对系统资源操作进行权限划分，以及对系统已定义的角色进行权限分配、映射和维护。该权限管理模块是权限管理系统的核心，直接与系统中需要被权限管理控制的资源相关联，将资源操作进行权限划分，以及对信息系统的角色权限进行分配、维护以及完成角色权限的映射。

权限管理模块，涉及到的表结构有：权限表、权限菜单关联表、菜单表、权限页面元素关联表、页面元素表、权限文件关联表、文件表、权限操作关联表、功能操作表。

系统中的功能操作管理菜单、菜单维护菜单、页面元素菜单、文件管理菜单等菜单，统一被认为是系统中的资源，该资源菜单会被不同的权限来划分，然后授予不同的角色，然后最终将角色授权给用户，以达到不同用户管理不同资源的需求；并且所有的操作将会直接记录在数据库表中。

权限管理模块包括角色权限映射子模块、角色权限维护子模块以及清空角色权限子模块。其中：

角色权限映射子模块：用于管理员根据系统需要及允许角色访问的应用系统，来实现角色与应用系统的映射，并把角色权限的映射信息写入授权数据库表中。

角色权限维护子模块：用于根据需要完成对角色权限的维护，包括增加角色权限、删除角色权限、修改角色权限等功能。

清空角色权限子模块：用于根据管理员选定要清空权限的角色，完成清空角色权限。

该信息查询模块，用于实现信息系统用户的角色权限信息的查询。该模块包括查询角色权限子模块、查询用户信息子模块。

查询角色权限子模块：用于完成查询角色权限信息。管理员通过选定一个要查询权限信息的角色，然后查询所需要的角色权限信息。

查询用户信息子模块：用于通过输入要查询的用户名，获取与该用户名相关的身份信息以及角色权限信息。这可以通过该子模块的服务器端脚本操纵授权数据库来实现的。

上述说明示出并描述了本发明的一个优选实施例，但如前所述，应当理解本发明并非局限于本文所披露的形式，不应看作是对其他实施例的排除，而可用于各种其他组合、修改和环境，并能够在本文所述发明构想范围内，通过上述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化不脱离本发明的精神和范围，则都应在本发明所附权利要求的保护范围内。

Claims (8)

1.一种Web应用的用户权限管理系统，其特征在于，所述系统包括：角色管理模块、权限管理模块、信息查询模块，其中：

所述角色管理模块，用于对系统角色进行定义、映射和维护；所述角色管理模块包括用户角色映射子模块，用于根据角色定义的信息确定与角色对应的用户，实现用户与角色的对应关系；

所述权限管理模块，用于对系统资源操作进行权限划分，以及对系统已定义的角色进行权限分配、映射和维护；所述权限管理模块包括角色权限映射子模块，用于系统允许角色访问的应用系统，实现角色与应用系统的映射，并把角色权限的映射信息写入授权数据库表中；所述权限管理模块，包括至少以下的表结构：权限表、权限菜单关联表、菜单表、权限页面元素关联表、页面元素表、权限文件关联表、文件表、权限操作关联表、功能操作表；

所述信息查询模块，用于实现系统用户的角色权限信息的查询。

2.如权利要求1所述的系统，其特征在于，所述角色管理模块包括角色定义子模块，

所述角色定义子模块，用于系统管理员根据用户身份信息属性定义角色，并将定义好的角色存入数据库的相关表中。

3.如权利要求2所述的系统，其特征在于，所述角色管理模块进一步包括角色维护子模块，用于对角色的维护。

4.如权利要求1至3任一项所述的系统，其特征在于，所述角色管理模块包括至少以下之一的表结构：角色表、角色权限关联表、权限表。

5.如权利要求1所述的系统，其特征在于，所述权限管理模块进一步包括角色权限维护子模块，用于对角色权限的维护。

6.如权利要求5所述的系统，其特征在于，所述权限管理模块进一步包括清空角色权限子模块，用于根据管理员选定要清空权限的角色，完成清空角色权限。

7.如权利要求1所述的系统，其特征在于，所述信息查询模块包括查询角色权限子模块，用于查询角色的权限信息。

8.如权利要求1所述的系统，其特征在于，所述信息查询模块进一步包括查询用户信息子模块，用于查询用户以及该用户相关的身份信息、角色权限信息。