CN110401655A - 基于用户和角色的访问控制权限管理系统 - Google Patents

Abstract

本发明公开了基于用户和角色的访问控制权限管理系统，包括数据库、管理员登录模块、用户信息管理模块、系统配置管理模块、角色授权管理模块、用户分组模块、分组模块、用户登录模块、验证权限模块以及访问控制模块，所述管理员登陆模块用于提供创建用户、管理员密码的修改功能，所述用户信息管理用于提供管理员对用户信息的管理功能，所述系统配置管理模块用于提供管理员对系统初始化状态的设置功能，所述用户分组模块用于管理员对用户进行分组以形成相应的用户组，在数据库表的设计过程中节省存储空间的同时保证高效的权限查询，采用密码加验证的登录方式，以确定是本人进行操作，避免不必要的风险发生，大大提高系统的安全性。

Description

基于用户和角色的访问控制权限管理系统

技术领域

本发明涉及权限管理系统领域，具体涉及基于用户和角色的访问控制权限管理系统。

背景技术

随着计算机技术和互联网技术的发展，当今世界已经进入大数据时代，企业和政府越来越注重信息化建设和数据共享，如何保障信息和数据安全也因此格外受到重视，企业和政府通常通过网站或应用软件等形式对外或对内提供各种服务和数据资源的访问，如果没有建立有效的权限管理机制，一旦用户访问到其权限范围外的服务、数据或者资源，无疑会带来极大的安全隐患，因此，必须通过权限管理功能，限制每个用户只能访问其被授权的数据和资源；

且在公开号为CN103632082B的中国发明专利中，仅仅是通过会话集中管理模块，统一将会话由二次开发接口服务管理；数据库管理系统，对相关业务数据的信息查询、存储、管理、计算，而将其与现有的基于用户和角色的访问控制权限管理系统结合来说，虽然建立了用户、角色、权限三者的关系模型，但是随着权限管理的应用场景日趋复杂，在很多应用场景中，需要管理越来越多的用户角色和处理大量数据、资源，该系统已经无法满足各种多变的实际应用场景。

发明内容

为了解决上述的技术问题，本发明的目的在于提供基于用户和角色的访问控制权限管理系统。

本发明所要解决的技术问题为：

(1)如何利用数据库的表功能，来保证用户与管理员在登录后快速确定相应权限；

(2)如何利用管理员登录模块与验证权限模块验证来对管理员身份进行精确验证，以提高系统登录过程中的安全性；

(3)如何在针对用户的数量庞大时，避免角色分配的繁琐过程，以提高系统的运行效率。

本发明的目的可以通过以下技术方案实现：

基于用户和角色的访问控制权限管理系统，基于用户和角色的访问控制权限管理系统，其特征在于，包括数据库、管理员登录模块、用户信息管理模块、系统配置管理模块、角色授权管理模块、用户分组模块、分组模块、用户登录模块、验证权限模块以及访问控制模块，所述管理员登陆模块用于提供创建用户、管理员密码的修改功能，所述用户信息管理用于提供管理员对用户信息的管理功能，所述系统配置管理模块用于提供管理员对系统初始化状态的设置功能，所述用户分组模块用于管理员对用户进行分组以形成相应的用户组，所述角色授权管理模块用于提高管理员对用户和用户组进行分配角色功能，所述用户登录模块用于提供用户修改密码、查看用户拥有的权限功能，所述验证权限模块用于用户验证权限，所述访问控制模块用于用户验证权限成功后对相关内容进行访问控制；

所述数据库包括数据存储表、功能权限表、用户角色关联表、角色功能权限关联表和角色数据权限关联表，所述数据存储表用于保存管理员、用户、用户组、角色以及管理员同用户和用户组对应的角色身份数据项，所述功能权限表用于保存功能角色功能权限与角色数据权限，所述用户角色关联表用于保存用户和用户组同角色的对应关系，所述角色功能权限关联表用于保存角色与功能权限的对应关系，所述角色数据权限关联表用于保存角色与数据权限的对应关系，所述访问控制模块包括功能权限与数据权限，所述功能权限用于确定可执行的功能，所述数据权限用于确定允许访问的数据；

该基于用户和角色的访问控制权限管理系统还包括验证码发送模块与后台验证模块，所述验证码发送模块用于向管理员与高权限用户预留的邮箱或手机发送验证信息，所述后台验证模块用于将发送出去的验证信息与填写的验证信息进行匹配。

进一步的，所述数据存储表中管理员与用户的数据项均包括账号、密码、登录时间、角色与组别，所述数据存储表中用户组的数据项包括组号、组名称、组描述与角色表示，所述数据存储表中角色的数据项包括角色号、角色名称、角色描述与角色权限。

进一步的，所述功能权限表中的权限数据项包括权限标识、权限名称与权限描述。

进一步的，所述数据库还包括验证权限与访问控制模块数据项，所述验证权限与访问控制数据模块项包括模块编号、模块类型编号、模块名称、模块标识、模块可用判断、模块访问级别、模块描述以及模块菜单显示判断。

进一步的所述验证权限模块与访问控制模块对管理员进行验证权限与权限验证后访问控制的具体方法为：

S1：管理员点开应用界面的管理员项并输入账户与密码，系统先行将账户信息与密码信息进行匹配验证，即验证权限模块验证最高权限，若匹配成功后，验证码发送模块开始向管理员预留的邮箱或手机发送验证信息，经管理员输入验证信息，后台验证模块对发送出去的验证信息与填写的验证信息进行匹配；

S2：后台验证模块对发送出去的验证信息与填写的验证信息匹配为不成功时，系统重置输入的数据，管理员再次重复输入信息，匹配成功后，管理员被允许登录；

S3：管理员通过访问控制模块对用户信息管理模块、系统配置管理模块、角色授权管理模块、用户分组模块、分组模块、用户登录模块的各个数据项进行更改与操作。

进一步的，所述验证权限模块与访问控制模块对管理员进行验证权限与权限验证后访问控制的具体方法为：

SS1：用户点开应用界面的用户项并输入账户与密码，系统先行将账户信息与密码信息进行匹配验证，即验证权限模块验证用户权限，若匹配成功且用户所在角色的权限在高权限中，验证码发送模块开始向用户预留的邮箱或手机发送验证信息，经用户输入验证信息，后台验证模块对发送出去的验证信息与填写的验证信息进行匹配,若匹配成功且用户所在角色的权限不在高权限中，用户直接登录成功；

SS2：后台验证模块对发送出去的验证信息与填写的验证信息匹配为不成功时，系统重置输入的数据，用户再次重复输入信息，匹配成功后，高权限用户被允许登录；

SS3：高权限用户通过访问控制模块对用户信息管理模块进行更改与操作，普通用户通过访问控制模块对权限内的数据进行查看。

进一步的，该用户和角色的访问控制权限管理系统具体使用方法为：

SSS1：预先建立数据库，管理员通过管理员登录模块登录，经过验证权限模块验证为管理员后进入访问控制模块；

SSS2：管理员进入访问控制模块后通过用户信息管理对用户信息进行管理、通过用户分组模块对用户进行分组、通过角色授权管理模块对用户和用户组进行分配角色，同时将各个信息写入数据存储表、用户关联表、角色功能权限关联表和角色数据权限关联表；

SSS3：用户通过用户登录模块登录系统，并经过验证权限模块验证后进入访问控制模块对相应的数据进行查看与操作。

本发明的有益效果：

(1)本发明在数据库表的设计中，将管理员、用户、用户组、角色以及管理员同用户和用户组对应的角色身份数据项保存在同一张数据存储表中，通过他们的角色身份来判断是管理员、高权限用户或普通用户，以便进入不同的系统，进而减少表的设计，一方面节省存储空间，另一方面可以高效的进行查询；

(2)本发明在对于管理员与高权限用户的登录过程中采用密码加验证的登录方式，以确定是本人进行操作，避免不必要的风险发生，大大提高系统的安全性；

(3)本发明在针对用户的数量庞大时，为了避免给系统的每个用户逐一授权为相应的角色，进而对用户进行分组，使得每个用户组内有多个用户，除了可给用户授权相应的角色外，还可以给用户组授权相应的角色，即用户拥有的所有权限为用户个人拥有的权限与该用户所在用户组拥有的权限之和，大大降低了角色分配的繁琐过程，提高系统的运行效率。

附图说明

下面结合附图对本发明作进一步的说明。

图1是本发明的系统框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

请参阅图1所示，本实施例提供了基于用户和角色的访问控制权限管理系统，基于用户和角色的访问控制权限管理系统，其特征在于，包括数据库、管理员登录模块、用户信息管理模块、系统配置管理模块、角色授权管理模块、用户分组模块、分组模块、用户登录模块、验证权限模块以及访问控制模块，管理员登陆模块用于提供创建用户、管理员密码的修改功能，用户信息管理用于提供管理员对用户信息的管理功能，系统配置管理模块用于提供管理员对系统初始化状态的设置功能，用户分组模块用于管理员对用户进行分组以形成相应的用户组，角色授权管理模块用于提高管理员对用户和用户组进行分配角色功能，用户登录模块用于提供用户修改密码、查看用户拥有的权限功能，验证权限模块用于用户验证权限，访问控制模块用于用户验证权限成功后对相关内容进行访问控制；

数据库包括数据存储表、功能权限表、用户角色关联表、角色功能权限关联表和角色数据权限关联表，数据存储表用于保存管理员、用户、用户组、角色以及管理员同用户和用户组对应的角色身份数据项，功能权限表用于保存功能角色功能权限与角色数据权限，用户角色关联表用于保存用户和用户组同角色的对应关系，角色功能权限关联表用于保存角色与功能权限的对应关系，角色数据权限关联表用于保存角色与数据权限的对应关系，访问控制模块包括功能权限与数据权限，功能权限用于确定可执行的功能，数据权限用于确定允许访问的数据；

该基于用户和角色的访问控制权限管理系统还包括验证码发送模块与后台验证模块，验证码发送模块用于向管理员与高权限用户预留的邮箱或手机发送验证信息，后台验证模块用于将发送出去的验证信息与填写的验证信息进行匹配。

数据存储表中管理员与用户的数据项均包括账号、密码、登录时间、角色与组别，数据存储表中用户组的数据项包括组号、组名称、组描述与角色表示，数据存储表中角色的数据项包括角色号、角色名称、角色描述与角色权限。

功能权限表中的权限数据项包括权限标识、权限名称与权限描述。

数据库还包括验证权限与访问控制模块数据项，验证权限与访问控制数据模块项包括模块编号、模块类型编号、模块名称、模块标识、模块可用判断、模块访问级别、模块描述以及模块菜单显示判断。

验证权限模块与访问控制模块对管理员进行验证权限与权限验证后访问控制的具体方法为：

S1：管理员点开应用界面的管理员项并输入账户与密码，系统先行将账户信息与密码信息进行匹配验证，即验证权限模块验证最高权限，若匹配成功后，验证码发送模块开始向管理员预留的邮箱或手机发送验证信息，经管理员输入验证信息，后台验证模块对发送出去的验证信息与填写的验证信息进行匹配；

S2：后台验证模块对发送出去的验证信息与填写的验证信息匹配为不成功时，系统重置输入的数据，管理员再次重复输入信息，匹配成功后，管理员被允许登录；

S3：管理员通过访问控制模块对用户信息管理模块、系统配置管理模块、角色授权管理模块、用户分组模块、分组模块、用户登录模块的各个数据项进行更改与操作。

验证权限模块与访问控制模块对管理员进行验证权限与权限验证后访问控制的具体方法为：

SS1：用户点开应用界面的用户项并输入账户与密码，系统先行将账户信息与密码信息进行匹配验证，即验证权限模块验证用户权限，若匹配成功且用户所在角色的权限在高权限中，验证码发送模块开始向用户预留的邮箱或手机发送验证信息，经用户输入验证信息，后台验证模块对发送出去的验证信息与填写的验证信息进行匹配,若匹配成功且用户所在角色的权限不在高权限中，用户直接登录成功；

SS2：后台验证模块对发送出去的验证信息与填写的验证信息匹配为不成功时，系统重置输入的数据，用户再次重复输入信息，匹配成功后，高权限用户被允许登录；

SS3：高权限用户通过访问控制模块对用户信息管理模块进行更改与操作，普通用户通过访问控制模块对权限内的数据进行查看。

该用户和角色的访问控制权限管理系统具体使用方法为：

SSS1：预先建立数据库，管理员通过管理员登录模块登录，经过验证权限模块验证为管理员后进入访问控制模块；

SSS2：管理员进入访问控制模块后通过用户信息管理对用户信息进行管理、通过用户分组模块对用户进行分组、通过角色授权管理模块对用户和用户组进行分配角色，同时将各个信息写入数据存储表、用户关联表、角色功能权限关联表和角色数据权限关联表；

SSS3：用户通过用户登录模块登录系统，并经过验证权限模块验证后进入访问控制模块对相应的数据进行查看与操作。

本实施例的具体工作过程如下：

(1)本发明在数据库表的设计中，将管理员、用户、用户组、角色以及管理员同用户和用户组对应的角色身份数据项保存在同一张数据存储表中，通过他们的角色身份来判断是管理员、高权限用户或普通用户，以便进入不同的系统，进而减少表的设计，一方面节省存储空间，另一方面可以高效的进行查询；

(2)本发明在对于管理员与高权限用户的登录过程中采用密码加验证的登录方式，以确定是本人进行操作，避免不必要的风险发生，大大提高系统的安全性；

(3)本发明在针对用户的数量庞大时，为了避免给系统的每个用户逐一授权为相应的角色，进而对用户进行分组，使得每个用户组内有多个用户，除了可给用户授权相应的角色外，还可以给用户组授权相应的角色，即用户拥有的所有权限为用户个人拥有的权限与该用户所在用户组拥有的权限之和，大大降低了角色分配的繁琐过程，提高系统的运行效率。

以上内容仅仅是对本发明结构所作的举例和说明，所属本技术领域的技术人员对所描述的具体实施例做各种各样的修改或补充或采用类似的方式替代，只要不偏离发明的结构或者超越本权利要求书所定义的范围，均应属于本发明的保护范围。

Claims (7)

1.基于用户和角色的访问控制权限管理系统，其特征在于，包括数据库、管理员登录模块、用户信息管理模块、系统配置管理模块、角色授权管理模块、用户分组模块、分组模块、用户登录模块、验证权限模块以及访问控制模块，所述管理员登陆模块用于提供创建用户、管理员密码的修改功能，所述用户信息管理用于提供管理员对用户信息的管理功能，所述系统配置管理模块用于提供管理员对系统初始化状态的设置功能，所述用户分组模块用于管理员对用户进行分组以形成相应的用户组，所述角色授权管理模块用于提高管理员对用户和用户组进行分配角色功能，所述用户登录模块用于提供用户修改密码、查看用户拥有的权限功能，所述验证权限模块用于用户验证权限，所述访问控制模块用于用户验证权限成功后对相关内容进行访问控制；

所述数据库包括数据存储表、功能权限表、用户角色关联表、角色功能权限关联表和角色数据权限关联表，所述数据存储表用于保存管理员、用户、用户组、角色以及管理员同用户和用户组对应的角色身份数据项，所述功能权限表用于保存功能角色功能权限与角色数据权限，所述用户角色关联表用于保存用户和用户组同角色的对应关系，所述角色功能权限关联表用于保存角色与功能权限的对应关系，所述角色数据权限关联表用于保存角色与数据权限的对应关系，所述访问控制模块包括功能权限与数据权限，所述功能权限用于确定可执行的功能，所述数据权限用于确定允许访问的数据；

该基于用户和角色的访问控制权限管理系统还包括验证码发送模块与后台验证模块，所述验证码发送模块用于向管理员与高权限用户预留的邮箱或手机发送验证信息，所述后台验证模块用于将发送出去的验证信息与填写的验证信息进行匹配。

2.根据权利要求1所述的基于用户和角色的访问控制权限管理系统，其特征在于，所述数据存储表中管理员与用户的数据项均包括账号、密码、登录时间、角色与组别，所述数据存储表中用户组的数据项包括组号、组名称、组描述与角色表示，所述数据存储表中角色的数据项包括角色号、角色名称、角色描述与角色权限。

3.根据权利要求1所述的基于用户和角色的访问控制权限管理系统，其特征在于，所述功能权限表中的权限数据项包括权限标识、权限名称与权限描述。

4.根据权利要求1所述的基于用户和角色的访问控制权限管理系统，其特征在于，所述数据库还包括验证权限与访问控制模块数据项，所述验证权限与访问控制数据模块项包括模块编号、模块类型编号、模块名称、模块标识、模块可用判断、模块访问级别、模块描述以及模块菜单显示判断。

5.根据权利要求1所述的基于用户和角色的访问控制权限管理系统，其特征在于，所述验证权限模块与访问控制模块对管理员进行验证权限与权限验证后访问控制的具体方法为：

S1：管理员点开应用界面的管理员项并输入账户与密码，系统先行将账户信息与密码信息进行匹配验证，即验证权限模块验证最高权限，若匹配成功后，验证码发送模块开始向管理员预留的邮箱或手机发送验证信息，经管理员输入验证信息，后台验证模块对发送出去的验证信息与填写的验证信息进行匹配；

S2：后台验证模块对发送出去的验证信息与填写的验证信息匹配为不成功时，系统重置输入的数据，管理员再次重复输入信息，匹配成功后，管理员被允许登录；

S3：管理员通过访问控制模块对用户信息管理模块、系统配置管理模块、角色授权管理模块、用户分组模块、分组模块、用户登录模块的各个数据项进行更改与操作。

6.根据权利要求1所述的基于用户和角色的访问控制权限管理系统，其特征在于，所述验证权限模块与访问控制模块对管理员进行验证权限与权限验证后访问控制的具体方法为：

SS1：用户点开应用界面的用户项并输入账户与密码，系统先行将账户信息与密码信息进行匹配验证，即验证权限模块验证用户权限，若匹配成功且用户所在角色的权限在高权限中，验证码发送模块开始向用户预留的邮箱或手机发送验证信息，经用户输入验证信息，后台验证模块对发送出去的验证信息与填写的验证信息进行匹配,若匹配成功且用户所在角色的权限不在高权限中，用户直接登录成功；

SS2：后台验证模块对发送出去的验证信息与填写的验证信息匹配为不成功时，系统重置输入的数据，用户再次重复输入信息，匹配成功后，高权限用户被允许登录；

SS3：高权限用户通过访问控制模块对用户信息管理模块进行更改与操作，普通用户通过访问控制模块对权限内的数据进行查看。

7.根据权利要求1所述的基于用户和角色的访问控制权限管理系统，其特征在于，该用户和角色的访问控制权限管理系统具体使用方法为：

SSS1：预先建立数据库，管理员通过管理员登录模块登录，经过验证权限模块验证为管理员后进入访问控制模块；

SSS2：管理员进入访问控制模块后通过用户信息管理对用户信息进行管理、通过用户分组模块对用户进行分组、通过角色授权管理模块对用户和用户组进行分配角色，同时将各个信息写入数据存储表、用户关联表、角色功能权限关联表和角色数据权限关联表；

SSS3：用户通过用户登录模块登录系统，并经过验证权限模块验证后进入访问控制模块对相应的数据进行查看与操作。