CN108830565A - 基于角色的菜单授权方法 - Google Patents

Abstract

本发明公开了一种基于角色的菜单授权方法，包括：选择一个或多个角色作为被授权对象，每个角色是独立的个体，而非组/类，同一时段一个角色只能关联唯一的用户，而一个用户关联一个或多个角色；当被授权对象为一个时，显示权限候选菜单，所述权限候选菜单中被授权对象此前已选中且保存的菜单自动选中，从所述权限候选菜单中选择相应的菜单；当被授权对象为两个或以上时，显示空白的权限候选菜单，从所述权限候选菜单中选择相应的菜单；保存被授权对象的权限。本发明中同一时段一个角色只能关联唯一的用户，一个用户关联一个或多个角色，用户通过关联的角色获得菜单权限，对新入职员工或调岗员工的菜单授权更简单方便，提高表单授权的效率。

Description

基于角色的菜单授权方法

技术领域

本发明涉及ERP等管理软件系统的表单授权方法，特别是涉及一种基于角色的菜单授权方法。

背景技术

基于角色的访问控制（RBAC）是近年来研究最多、思想最成熟的一种数据库权限管理机制，它被认为是替代传统的强制访问控制（MAC）和自主访问控制（DAC）的理想候选。基于角色的访问控制（RBAC）的基本思想是根据企业组织视图中不同的职能岗位划分不同的角色，将数据库资源的访问权限封装在角色中，用户通过被赋予不同的角色来间接访问数据库资源。

在大型应用系统中往往都建有大量的表和视图，这使得对数据库资源的管理和授权变得十分复杂。由用户直接管理数据库资源的存取和权限的收授是十分困难的，它需要用户对数据库结构的了解非常透彻，并且熟悉SQL语言的使用，而且一旦应用系统结构或安全需求有所变动，都要进行大量复杂而繁琐的授权变动，非常容易出现一些意想不到的授权失误而引起的安全漏洞。因此，为大型应用系统设计一种简单、高效的权限管理方法已成为系统和系统用户的普遍需求。

基于角色的权限控制机制能够对系统的访问权限进行简单、高效的管理，极大地降低了系统权限管理的负担和代价，而且使得系统权限管理更加符合应用系统的业务管理规范。

然而，传统基于角色的用户权限管理方法均采用“角色对用户一对多”的关联机制，其“角色”为组/类性质，即一个角色可以同时对应/关联多个用户，角色类似于岗位/职位/工种等概念，这种关联机制下对用户权限的授权基本分为以下三种形式：1、如图1所示，直接对用户授权，缺点是工作量大、操作频繁且麻烦；2、如图2所示，对角色（类/组/岗位/工种性质）进行授权（一个角色可以关联多个用户），用户通过角色获得权限；3、如图3所示，以上两种方式结合。

以上的表述中，2、3均需要对类/组性质的角色进行授权，而通过类/组/岗位/工种性质的角色进行授权的方式有以下缺点：1、用户权限变化时的操作难：在实际的系统使用过程中，经常因为在运营过程中需要对用户的权限进行调整，比如：在处理员工权限变化的时候，角色关联的某个员工的权限发生变化，我们不能因该个别员工权限的变化而改变整个角色的权限，因为该角色还关联了其他权限未变的员工。因此为了应对该种情况，要么创建新角色来满足该权限发生变化的员工，要么对该员工根据权限需求直接授权（脱离角色）。以上两种处理方式，在角色权限较多的情况下对角色授权不仅所需时间长，而且容易犯错，使用方操作起来繁琐又麻烦，也容易出错导致对系统使用方的损失。

2、要长期记住角色包含的具体权限难：若角色的权限功能点比较多，时间一长，很难记住角色的具体权限，更难记住权限相近的角色之间的权限差别，若要关联新的用户，无法准确判断应当如何选择关联。

3、因为用户权限变化，则会造成角色创建越来越多（若不创建新角色，则会大幅增加直接对用户的授权），更难分清各角色权限的具体差别。

4、调岗时，若要将被调岗用户的很多个权限分配给另外几个用户承担，则处理时必须将被调岗用户的这些权限区分开来，分别再创建角色来关联另外几个用户，这样的操作不仅复杂耗时，而且还很容易发生错误。

传统的对员工进行菜单授权是直接为每个员工进行菜单授权，在员工调岗时，需要再次对员工进行菜单授权，当菜单很多时，工作量大、效率低。

发明内容

本发明的目的在于克服现有技术的不足，提供一种基于角色的菜单授权方法，同一时段一个角色只能关联唯一的用户，而一个用户关联一个或多个角色，用户通过关联的角色获得菜单权限，对新入职员工或调岗员工的菜单授权更简单方便，提高表单授权的效率和可靠性。

本发明的目的是通过以下技术方案来实现的：基于角色的菜单授权方法，包括：选择被授权对象：选择一个或多个角色作为被授权对象，每个角色是独立的个体，而非组/类，同一时段一个角色只能关联唯一的用户，而一个用户关联一个或多个角色；对被授权对象进行菜单授权：当被授权对象为一个时，显示权限候选菜单，所述权限候选菜单中被授权对象此前已选中且保存的菜单自动选中，从所述权限候选菜单中选择相应的菜单；当被授权对象为两个或以上时，显示空白的权限候选菜单，从所述权限候选菜单中选择相应的菜单；保存被授权对象的权限。

优选的，当被授权对象为一个时，选择被授权对象后，显示该被授权对象最近一次菜单被授权的授权操作者及授权时间。

优选的，选择被授权对象后，实时显示被授权对象的已选中菜单的数量。

优选的，选择被授权对象后，实时显示被授权对象已选中菜单的内容。

优选的，所述权限候选菜单以树形图或列表的形式进行显示。

优选的，从所述权限候选菜单中选择相应的权限时，若一个菜单被选中时，则该菜单的所有直接上级菜单也被选中。

优选的，所述菜单授权方法还包括创建角色和菜单的步骤。

优选的，所述角色归属于部门，根据角色的工作内容对角色进行授权，且该角色的名称在该部门下唯一，该角色的编号在系统中唯一；所述用户跨部门调岗时，取消用户与原部门内的角色的关联，将用户与新部门内的角色进行关联。

优选的，创建非顶级菜单时，为新创建的菜单选择上级菜单。

基于角色的菜单授权方法，包括：选择被授权对象：选择一个或多个角色作为被授权对象，每个角色是独立的个体，而非组/类，同一时段一个角色只能关联唯一的用户，而一个用户关联一个或多个角色；对被授权对象进行菜单授权：显示权限候选菜单，选择一个现有角色或已创建模板作为授权模板，在权限候选菜单中将该现有角色或已创建模板此前已选中且保存的菜单自动选中，从所述权限候选菜单中选择相应的菜单；保存被授权对象的权限。

本发明的有益效果是：（1）用户通过角色获得权限，员工入职时关联角色后即可获得关联角色被授权的的菜单，不用对新入职员工单独进行菜单授权；员工调岗时只需取消被调岗员工现在关联的角色，再为员工关联被调岗后的新角色，员工通过新角色即可获得现在工作需要的菜单，无需对员工再单独进行新岗位工作的菜单授权；若要调整员工的菜单时，只需调整员工关联的角色的菜单即可；（2）在对一个被授权对象进行授权时，在选择被授权对象时显示该被授权对象已选中且保存的菜单，便于操作者在此基础上进行修改进行菜单授权；能够对两个或以上的被授权对象进行授权，提高了权限完全相同或权限大部分相同的批量角色的表单授权效率；（3）当被授权对象为一个时，选择被授权对象后，显示该被授权对象最近一次被授权的授权操作者及授权时间，便于在角色的权限出现错误时进行追责，以及判断该角是否需要进行授权；（4）选中被授权对象后，实时显示被授权对象的已选中菜单的数量和内容，便于操作者了解被授权对象的已选权限的基本情况；（5）采用树形图显示权限候选菜单，便于操作者简单明了的知道权限候选菜单中所有菜单的层级关系或归属，有利于了解各菜单的功能特征；（6）传统的权限管理机制将角色定义为组、工种、类等性质，角色对用户是一对多的关系，在实际的系统使用过程中，经常因为在运营过程中需要对用户的权限进行调整，比如：在处理员工权限变化的时候，角色关联的某个员工的权限发生变化，我们不能因该个别员工权限的变化而改变整个角色的权限，因为该角色还关联了其他权限未变的员工。因此为了应对该种情况，要么创建新角色来满足该权限发生变化的员工，要么对该员工根据权限需求直接授权（脱离角色）。以上两种处理方式，在角色权限较多的情况下对角色授权不仅所需时间长，而且容易犯错，使用方操作起来繁琐又麻烦，也容易出错导致对系统使用方的损失。

但在本申请的方法下，因为角色是一个独立的个体，则可以选择改变角色权限即可达到目的。本申请的方法，虽然看起来在系统初始化时会增加工作量，但可以通过复制等方法，使其创建角色或授权的效率高于传统以组为性质的角色，因为不用考虑性质为组的角色在满足关联用户时的共通性，本申请方案会让权限设置清晰，明了；尤其是在系统使用一段时间后（用户/角色权限动态变化），该申请方案能为系统使用方大幅度提高系统使用中的权限管理效率，使动态授权更简单，更方便，更清晰、明了，提高权限设置的效率和可靠性。

（7）传统以组为性质的角色授权方法容易出错，本申请方法大幅降低了授权出错的几率，因为本申请方法只需考虑作为独立个体的角色，而不用考虑传统方法下关联该组性质角色的多个用户有哪些共通性。即使授权出错也只影响关联到该角色的那一个用户，而传统以组性质的角色则会影响关联到该角色的所有用户。即使出现权限授权错误，本申请的修正方法简单、时间短，而传统以组性质的角色在修正错误时需要考虑关联到该角色的所有用户的权限共通性，在功能点多的情况下不仅修改麻烦、复杂，非常容易出错，且很多情况下只能新创建角色才能解决。

（8）在传统以组为性质的角色授权方法下，若角色的权限功能点比较多，时间一长，很难记住角色的具体权限，更难记住权限相近的角色之间的权限差别，若要关联新的用户，无法准确判断应当如何选择关联。本申请方法的角色本身就具有岗位号/工位号的性质，选择一目了然。

（9）调岗时，若要将被调岗用户的很多个权限分配给另外几个用户承担，则处理时必须将被调岗用户的这些权限区分开来，分别再创建角色来关联另外几个用户，这样的操作不仅复杂耗时，而且还很容易发生错误。

本申请方法则为：被调岗用户关联了几个角色，在调岗时，首先取消用户与原部门内的角色的关联（被取消的这几个角色可以被重新关联给其他用户），然后将用户与新部门内的角色进行关联即可。操作简单，不会出错。

（10）角色归属于部门，则该角色的部门不能被更换，角色为什么不能更换部门：理由1：因为本申请的角色性质等同于一个工位号/岗位号，不同的工位号/岗位号的工作内容/权限是不一样的，如销售部门下的销售员1角色和技术部门的开发人员1角色是完全不同的两个工位号/岗位号，其权限是不同的；理由2：若将销售员1角色的所属部门（销售部）更换为技术部，其销售人员1这个角色的权限不变，则在技术部存在拥有销售部权限的一个角色，这样会导致管理混乱及安全漏洞。

附图说明

图1为背景技术中系统直接对用户进行授权的方式示意图；

图2为背景技术中系统对组/类性质角色进行授权的方式示意图；

图3为背景技术中系统对用户直接授权和对组/类性质角色授权相结合的方式示意图；

图4为本发明的流程图；

图5为本发明中被授权对象为一个时权限候选菜单的示意图；

图6为本发明中被授权对象为两个时权限候选菜单的示意图；

图7为本发明中采用授权模板为被授权对象设置菜单的示意图。

具体实施方式

下面结合附图进一步详细描述本发明的技术方案，但本发明的保护范围不局限于以下所述。

【实施例一】如图4所示，基于角色的菜单授权方法，包括：选择被授权对象。选择一个或多个角色作为被授权对象，每个角色是独立的个体，而非组/类，同一时段一个角色只能关联唯一的用户，而一个用户关联一个或多个角色。

选择被授权对象后，显示该被授权对象最近一次菜单被授权的授权操作者及授权时间。例如，角色甲最近一次的被授权由张三在2015年5月21日11:00完成，当再次在为角色授权时选中角色甲时，则为本次的授权操作者显示张三在2015年5月21日11:00为角色甲进行授权的信息。

当被授权对象为一个时，选择被授权对象后，显示该被授权对象最近一次菜单被授权的授权操作者及授权时间，便于在角色的权限出现错误时进行追责。例如，角色甲不应具备查看某机密信息的权限，但是在某次为角色甲进行授权后使得角色甲具有查看该机密信息的权限；在后续追责的过程中，可以通过查找最近一次对角色甲进行授权的操作者来找到责任人。

选择被授权对象后，显示该被授权对象最近一次菜单被授权的授权操作者及授权时间，便于判断该角是否需要进行授权。例如，某操作者需要对100个角色进行授权操作，但是当天该操作者只完成了70个角色的授权操作，在该操作者第二天继续角色授权的操作时，可以通过筛选授权操作者或最近一次菜单被授权的时间来查找需要授权的角色。又例如，通过查看角色的最近一次被授权的时间可以知道该角色的权限有多长时间没有更改，有利于判断是否需要再次对该角色进行授权。

选择被授权对象后，实时显示被授权对象的已选中菜单的数量，便于操作者了解被授权对象的已选菜单的基本情况。例如，权限候选菜单包括30个一级菜单，350个二级菜单和3600个三级菜单；在为角色甲进行授权时，若选择了2个一级菜单，60个二级菜单和530个三级菜单，则将角色甲已选择权限的数量显示为一级菜单：2/30；二级菜单：60/350；三级菜单：530/3600。

选择被授权对象后，实时显示被授权对象已选中菜单的内容，便于操作者了解被授权对象的已选菜单的内容。例如，为角色甲选择了4个二级菜单和9个三级菜单时，则将所选择的4个二级菜单和9个三级菜单的内容显示出来。

所述表单授权方法还包括创建角色和菜单的步骤。所述角色归属于部门，根据角色的工作内容对角色进行授权，且该角色的名称在该部门下唯一，该角色的编号在系统中唯一。所述用户通过其与角色的关联确定（获得）权限，一个员工对应一个用户，一个用户对应一个员工。

角色的定义：角色不具有组/类/类别/岗位/职位/工种等性质，而是一个非集合的性质，角色具有唯一性，角色是独立存在的独立个体；在企事业单位应用中相当于岗位号（此处的岗位号非岗位，一个岗位同时可能有多个员工，而同一时段一个岗位号只能对应一个员工）。

举例：某个公司系统中可创建如下角色：总经理、副总经理1、副总经理2、北京销售一部经理、北京销售二部经理、北京销售三部经理、上海销售工程师1、上海销售工程师2、上海销售工程师3、上海销售工程师4、上海销售工程师5……用户与角色的关联关系：若该公司员工张三任职该公司副总经理2，同时任职北京销售一部经理，则张三需要关联的角色为副总经理2和北京销售一部经理，张三拥有了这两个角色的权限。

传统角色的概念是组/类/岗位/职位/工种性质，一个角色能够对应多个用户。而本申请“角色”的概念相当于岗位号/工位号，也类同于影视剧中的角色：一个角色在同一时段（童年、少年、中年……）只能由一个演员来饰演，而一个演员可能会分饰多角。

所述用户跨部门调岗时，取消用户与原部门内的角色的关联，将用户与新部门内的角色进行关联。在创建角色之后，可以在创建用户的过程中关联角色，也可以在用户创建完成后随时进行关联。用户关联角色后可以随时解除与角色的关联关系，也可以随时建立与其他角色的关联关系。

创建非顶级菜单时，为新创建的菜单选择上级菜单；创建顶级菜单时，则不需要为其选择上级菜单。如有一级菜单、二级菜单和三级菜单，其中一级菜单为顶级菜单，若新创建一个二级菜单时，则需要为该新创建的二级菜单选择一个上级菜单；若新创建一个一级菜单时，则不需要为该新创建的一级菜单选择一个上级菜单。

所述顶级菜单没有对应的功能或显示界面，只有对应的下级菜单；非顶级菜单则具有对应的功能或显示界面。

对被授权对象进行菜单授权。当被授权对象为一个时，显示权限候选菜单，所述权限候选菜单中被授权对象此前已选中且保存的菜单自动选中，从所述权限候选菜单中选择相应的菜单，如图5所示，文员1（张三）已选中且保存的菜单为OA事务、OA事务1、OA事务12、OA事务13、OA事务2、OA事务21、OA事务22、OA事务23，上次授权是由张二在2017年5月6日15:00完成。当被授权对象为两个或以上时，显示空白的权限候选菜单，即没有选中任何菜单的权限候选菜单，从所述权限候选菜单中选择相应的菜单，如图6所示，选择了文员1（张三）和文员2（李四）两个作为被授权对象。

在对一个被授权对象进行授权时，在选择被授权对象时自动选中该被授权对象已选中且保存的菜单，便于操作者在此基础上进行修改进行表单授权。能够对两个或以上的被授权对象进行授权，提高了权限完全相同或权限大部分相同的批量角色的表单授权效率。例如，有100个角色的90%的权限相同，可以先将90%相同的权限通过批量授权的方式授予100个角色，然后再分别对100个角色进行剩余10%的权限的授权，提高了表单授权的效率。

所述权限候选菜单以树形图或列表的形式进行显示。采用树形图显示便于操作者简单明了的知道权限候选菜单中所有菜单的层级关系或归属，有利于了解各菜单的功能特征。

从所述权限候选菜单中选择相应的菜单时，若一个菜单被选中时，则该菜单的上级菜单也被选中，便于操作者了解菜单的从属关系。例如，权限候选菜单包括3个一级菜单、6个二级菜单和15个三级菜单，当选择一个三级菜单后，则该三级菜单对应的二级菜单和一级菜单也被选择。

保存被授权对象的权限，权限候选菜单中此时选中的权限则为被授权对象的最新权限，被授权对象的原有权限被覆盖更新。

当被授权对象为一个时，显示权限候选菜单，所述权限候选菜单中被授权对象此前已选中且保存的菜单自动选中，从所述权限候选菜单中选择相应的菜单（根据需要对未选中但需要选中的菜单进行选中，或对已选中但不需要选中的菜单进行取消选中），如图5所示，文员1（张三）已保存的权限为OA事务、OA事务1、OA事务12、OA事务13、OA事务2、OA事务21、OA事务22、OA事务23，上次授权是由张二在2017年5月6日15:00完成。当被授权对象为两个或以上时，显示空白的权限候选菜单，即没有勾选任何权限的权限候选菜单，从所述权限候选菜单中选择相应的菜单，如图6所示，选择了文员1（张三）和文员2（李四）两个作为被授权对象。

【实施例二】基于角色的菜单授权方法，包括：选择被授权对象：选择一个或多个角色作为被授权对象，每个角色是独立的个体，而非组/类，同一时段一个角色只能关联唯一的用户，而一个用户关联一个或多个角色；对被授权对象进行菜单授权：显示权限候选菜单，选择一个现有角色或已创建模板作为授权模板，在权限候选菜单中将该现有角色或已创建模板此前已选中且保存的菜单自动选中，从所述权限候选菜单中选择相应的菜单（根据需要对未选中但需要选中的菜单进行选中，或对已选中但不需要选中的菜单进行取消选中）；如图7所示，文员1（张三）为被授权对象，在权限候选菜单中将已创建模板1此前已选中且保存的菜单自动选中；保存被授权对象的权限。

基于模板的菜单授权方法，将上述作为被授权对象的角色替换为已创建模板。

以上所述仅是本发明的优选实施方式，应当理解本发明并非局限于本文所披露的形式，不应看作是对其他实施例的排除，而可用于各种其他组合、修改和环境，并能够在本文所述构想范围内，通过上述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化不脱离本发明的精神和范围，则都应在本发明所附权利要求的保护范围内。

Claims (10)

1.基于角色的菜单授权方法，其特征在于，包括：

选择被授权对象：选择一个或多个角色作为被授权对象，每个角色是独立的个体，而非组/类，同一时段一个角色只能关联唯一的用户，而一个用户关联一个或多个角色；

对被授权对象进行菜单授权：当被授权对象为一个时，显示权限候选菜单，所述权限候选菜单中被授权对象此前已选中且保存的菜单自动选中，从所述权限候选菜单中选择相应的菜单；当被授权对象为两个或以上时，显示空白的权限候选菜单，从所述权限候选菜单中选择相应的菜单；

保存被授权对象的权限。

2.根据权利要求1所述的基于角色的菜单授权方法，其特征在于，当被授权对象为一个时，选择被授权对象后，显示该被授权对象最近一次菜单被授权的授权操作者及授权时间。

3.根据权利要求1所述的基于角色的菜单授权方法，其特征在于，选择被授权对象后，实时显示被授权对象的已选中菜单的数量。

4.根据权利要求1所述的基于角色的菜单授权方法，其特征在于，选择被授权对象后，实时显示被授权对象已选中菜单的内容。

5.根据权利要求1所述的基于角色的菜单授权方法，其特征在于，所述权限候选菜单以树形图或列表的形式进行显示。

6.根据权利要求1所述的基于角色的菜单授权方法，其特征在于，从所述权限候选菜单中选择相应的权限时，若一个菜单被选中时，则该菜单的所有直接上级菜单也被选中。

7.根据权利要求1所述的基于角色的菜单授权方法，其特征在于，所述菜单授权方法还包括创建角色和菜单的步骤。

8.根据权利要求7所述的基于角色的菜单授权方法，其特征在于，所述角色归属于部门，根据角色的工作内容对角色进行授权，且该角色的名称在该部门下唯一，该角色的编号在系统中唯一；所述用户跨部门调岗时，取消用户与原部门内的角色的关联，将用户与新部门内的角色进行关联。

9.根据权利要求7所述的基于角色的菜单授权方法，其特征在于，创建非顶级菜单时，为新创建的菜单选择上级菜单。

10.基于角色的菜单授权方法，其特征在于，包括：

选择被授权对象：选择一个或多个角色作为被授权对象，每个角色是独立的个体，而非组/类，同一时段一个角色只能关联唯一的用户，而一个用户关联一个或多个角色；

对被授权对象进行菜单授权：显示权限候选菜单，选择一个现有角色或已创建模板作为授权模板，在权限候选菜单中将该现有角色或已创建模板此前已选中且保存的菜单自动选中，从所述权限候选菜单中选择相应的菜单；

保存被授权对象的权限。