CN111898149A - 一种多组织机构的用户管理系统和方法 - Google Patents

Abstract

本发明提供了一种多组织机构的用户管理系统和方法，该方法提出基于树形组织结构的组织管理、基于个人用户与集体用户两种用户类别和一个用户账号多种登录凭证的用户管理、基于中心管理系统和业务应用系统两种系统类别的系统管理、以及基于RBAC模型与用户代理机制的权限管理。本发明实现了多组织机构、组织机构及其内部组织架构的组织管理，实现了组织机构及其内部组织架构的成员用户、一般互联网公众用户的用户管理，以中心管理系统将一系列由不同组织机构建设、运营、维护、管理的分散的业务应用系统通过互联网整合在一起，实现了中心管理系统和所有业务应用系统的系统管理和权限管理。

Description

一种多组织机构的用户管理系统和方法

技术领域

本发明属于计算机系统管理技术领域，具体是涉及到一种多组织机构的用户管理系统和方法。

背景技术

随着政府和企事业单位建设的网络应用系统不断涌现并面向组织内部和社会公众提供服务，需要一种对不同组织机构的不同用户进行管理的方法。现有的用户管理技术，都存在着无法实现多个组织机构、多个基于网络的应用系统的用户管理和权限管理控制，尤其是无法实现在每个应用系统具有不同的建设运营机构并向内部和外部组织机构开放服务时的统一、灵活、高效、安全的用户管理，也没有提供用户代理机制。

因此，需要寻求一种适用于多组织机构的用户管理方法来实现多个组织机构、各组织机构的内部组织架构、各组织机构及其内部组织架构中的成员的管理，以及实现组织机构验证关联一个或多个应用系统，同时还能够实现用户一次注册后验证加入到某个或多个组织机构成为其成员，从而使这些用户能够获得访问一个或多个应用系统的权限。这不仅能极大地简化应用系统建设运营单位的用户管理，也能极大地方便使用这些应用系统的用户。

发明内容

有鉴于此，本发明提供了一种多组织机构的用户管理系统及方法，以解决现有的用户管理系统都存在着无法实现多个组织机构、多个基于网络的应用系统的用户管理，尤其是无法实现在每个应用系统具有不同的建设运营机构并向内部和外部组织机构开放服务时的统一、灵活、高效、安全的用户管理，也没有提供用户代理机制的问题，

一种多组织机构的用户管理系统，包括：中心管理系统和至少一个业务应用系统，

所述中心管理系统包括组织管理模块、用户管理模块、系统管理模块和权限管理模块，

所述组织管理模块用于提供组织管理接口，以通过所述组织管理接口创建和管理所述多组织机构的树形结构表示中的群组，所述群组为所述树形结构中的一个节点，以及所述组织管理模块将所述多组织机构划分为一个管理所述中心管理系统和所述业务应用系统的管理机构和至少一个使用所述中心管理系统和所述业务应用系统的客户机构，

所述用户管理模块将所述用户划分为个人用户和集体用户，所述用户管理模块提供用户管理接口，以供所述个人用户在所述中心管理系统中进行注册以及根据注册获得的用户账户登录所述中心管理系统，所述用户管理模块还用于给所述用户中的成员用户或集体用户提供其它所述成员用户作为代理用户，所述群组中拥有管理权限的所述成员用户通过用户管理接口为所述群组的其他所述成员用户或所述集体用户设置或移除所述代理用户，并为所述集体用户提供至少有一个所述代理用户，所述代理用户在登录到所述中心管理系统后，通过所述用户管理接口在所述代理用户的所述用户账户和所述代理用户的所述被代理用户的所述用户账户之间进行切换，

所述权限管理模块，用于基于RBAC的权限访问控制模型，对权限、角色和用户组进行管理，其中，所述权限是所述中心管理系统和所述业务应用系统向所述用户开放的API权限，所述权限管理模块给所述角色分配一个或多个所述权限，给所述用户组分配一个或多个角色，将所述成员用户加入到所述用户组，已加入的所述成员用户获得所述用户组中所有所述角色的所有所述权限，

所述系统管理模块用于构建和管理所述中心管理系统和所述业务应用系统，并提供系统管理接口，以通过所述系统管理接口创建和删除所述业务应用系统和所述业务应用系统对应的所述管理机构，以及对所述业务应用系统进行包括配置、运营、监控的管理，

其中，所述客户机构通过所述组织管理模块被创建和被加入到所述树形结构的所述多组织机构中，并自动关联到所述中心管理系统，以及通过所述组织管理模块关联或解除已关联的所述业务应用系统。

优选地，所述多组织机构及其内部组织架构包括根单位、单位、部门、小组和上级单位，所述根单位是所述组织管理模块中唯一的虚拟的组织机构，所述单位是具有独立法人资格的组织机构，所述部门是所述单位的一个或多个稳定的内部组织架构；所述小组是所述单位或所述部门的一个或多个临时的内部组织架构，所述上级单位是一个或多个所述单位的上级组织机构，若所述单位没有实际对应的所述上级单位，则规定所述根单位作为所述单位的上级单位。

优选地，所述个人用户包括未在所述中心管理系统注册的访客用户、已在所述中心管理系统注册但不属于任何所述单位的普通用户以及已在所述中心管理系统注册且属于一个或多个所述单位的成员用户，所述集体用户是所述群组在被创建时自动生成的非自然人用户，所述集体用户仅在所述群组被删除时才自动被删除。

优选地，所述个人用户通过所述用户管理接口提交一个凭证和密码进行所述注册，注册成功后成为注册用户并获得所述用户账户，所述凭证是所述个人用户拥有的、与所有其他用户不同的身份惟一性标识，所述个人用户拥有一个或多个所述凭证，所述凭证具有不同的凭证类别，所述注册用户通过所述用户管理模块提交所述凭证和所述用户账户的密码登录到所述中心管理系统，所述用户管理模块具有添加一个或多个所述凭证类别的一个或多个所述凭证、修改所述登录密码、删除或更改已添加的所述凭证、实名认证中的至少一个功能。

优选地，所述权限包括管理权限和业务权限，所述管理权限是所述中心管理系统的所述权限，所述业务权限是所述业务应用系统的所述权限，

所述管理权限包括系统管理权限、群组管理权限、用户管理权限，

所述系统管理权限包括关于所述中心管理系统和所述业务应用系统以及它们的所述管理机构、所述角色、所述权限控制管理的所述权限，所述群组管理权限包括关于所述群组及所述群组中的所述成员用户、所述用户组、所述用户组的所述角色控制管理的所述权限，所述用户管理权限包括关于所述群组的所述成员用户的所述用户账号、所述凭证以及其他信息控制管理的所述权限。

优选地，所述中心管理系统提供用户鉴权，以解析所述用户对所述中心管理系统和所述业务应用系统的每一次请求，并将所述解析的结果与所述权限进行匹配，如果解析后没有匹配的所述权限或者有匹配的权限但所述用户没有获得所述权限，则拒绝所述用户的请求，否则记录每一次请求对应的所述权限、所述代理用户和所述代理用户的被代理用户。

优选地，所述中心管理系统还用于提供用户管理组件，所述用户管理组件拦截所述用户的每一次请求，并执行所述用户鉴权并进行重定向或转发处理，

当所述用户发起登录请求时，所述用户管理组件拦截所述登录请求并将所述登录请求转发到所述中心管理系统进行登录验证，

所述用户管理组件在所述业务应用系统被部署时被引入到所述业务应用系统中，

所述用户管理组件通过插件计算或AOP技术被引入到所述业务应用系统中。

一种多组织机构的用户管理方法，包括：

步骤1：创建数据库表，

步骤2：从中心管理系统的配置文件中读取所述中心管理系统的管理机构及所述管理机构的管理员用户、权限、角色、所述角色的所述权限、用户组、所述用户组的所述权限、所述用户组的所述角色的配置信息，并验证所述配置信息的完整性和有效性，若未通过验证，则退出初始化处理过程，本次初始化失败，否则转步骤3，

步骤3：创建一个上级单位为空的单位作为根单位，

步骤4：从所述中心管理系统的配置文件中加载所述中心管理系统的管理机构信息，创建单位，设置所述单位的上级单位为所述根单位，

步骤5：创建所述单位的群组并执行群组初始化，将该所述单位设置为所述中心管理系统的所述管理机构，

步骤6：从所述中心管理系统的配置文件中加载所述中心管理系统的所述管理员用户信息，自动注册所述管理员用户使其成为注册用户，并自动登录到所述中心管理系统使其成为已登录用户，

步骤7：从所述中心管理系统的配置文件中加载所述中心管理系统的所有所述权限的配置信息并创建所有所述权限，

步骤8：从所述中心管理系统的配置文件中加载所述角色中的系统管理员角色和群组管理员角色的权限配置信息，创建所述系统管理员角色和所述群组管理员角色，并分别为所述系统管理员角色和所述群组管理员角色分配相应的所述权限，

步骤9：将所述系统管理员角色添加为所述管理机构的角色，为所述管理机构创建系统管理用户组，为所述系统管理用户组添加所述系统管理员角色，

步骤10：将所述群组管理员角色添加为所述管理机构的角色，为所述管理机构创建群组管理用户组，为所述群组管理用户组添加所述群组管理员角色，

步骤11：将所述已登录用户添加为所述管理机构的成员用户，

步骤12：将所述已登录用户添加到所述系统管理用户组和所述群组管理用户组。

优选地，所述群组初始化步骤包括：

步骤51：检查是否存在当前已登录用户，若不存在或已登录用户所在的所有用户组都未被分配中心管理系统的所述系统管理员角色，则当前用户无权执行群组初始化，退出当前初始化处理，否则，转步骤52，

步骤52：获取初始化参数中的上级群组标识、待创建的本群组的信息，

步骤53：若所述上级群组标识为空，则设置为所述根单位对应的群组标识，否则检查所述上级群组是否已存在，若不存在，则所述参数存在错误，群组初始化失败，退出所述群组初始化，否则，转步骤54，

步骤54：检查所述上级群组和所述本群组的群组类别是否符合树形结构多组织机构的上下级群组的类别约束关系，若不符合，则所述参数错误，群组初始化失败，退出所述群组初始化，否则，转步骤55，

步骤55：创建所述本群组，设置所述本群组的上级群组为所述上级群组，

步骤56：为所述本群组创建集体用户，并将所述当前已登录用户设置为所述集体用户的代理用户，

步骤57：为所述本群组分配所述中心管理系统的所述群组管理员角色，

步骤59：为所述本群组创建群组管理用户组并分配所述群组管理员角色，

步骤510：将所述当前已登录用户添加为所述本群组的成员用户，

步骤511：将所述当前已登录用户添加到所述群组管理用户组。

优选地，所述用户管理系统还包括用户鉴权步骤和业务应用系统配置与管理步骤，

所述用户鉴权步骤包括：

步骤13：用户提交请求到中心管理系统或业务应用系统，

步骤14：若所述请求被提交到业务应用系统，则其被所述业务应用系统中引入的所述中心管理系统的所述用户管理组件所拦截，拦截后转步骤15，

步骤15：所述用户管理组件检查所拦截的所述请求是否携带了会话标记，若已携带且依据所述会话标记从所述中心管理系统的当前所有会话信息中提取到对应的会话信息，则转步骤17，否则，转步骤16，

步骤16：为所述用户生成一个唯一性会话标记，并为所述用户创建新的会话信息，将所述用户设置为访客用户，将所述会话信息保存到所述中心管理系统的所述当前所有会话信息中，

步骤17：查询所述中心管理系统的数据库表，检查所述请求是否属于访客用户所能获得的权限或所述用户是否为已登录用户，若是则转步骤20，否则，转步骤18，

步骤18：将所述请求保存到所述用户的所述会话信息中，重定向所述用户进入用户登录界面，所述用户在所述用户登录界面输入凭证和密码，提交登录请求到所述中心管理系统，所述中心管理系统接收到所述登录请求后，查询所述中心管理系统的数据库表，检查所述凭证是否存在且是否已被激活，若不存在或未被激活，则登录失败，向用户界面返回登录失败的提示信息；否则，依据所述凭证获取用户账号并提取账户密码，检查所述密码和所述账户密码是否一致，若不一致，则登录失败，向用户界面返回登录失败的提示信息，否则转步骤19，

步骤19：所述用户登录成功后，为所述用户更新会话信息，将所述用户的当前所属单位群组设置为其缺省的所属单位群组或所述用户上一次登录时的所属单位群组，从所述用户的所述会话信息中提取保存的所述请求作为当前的所述请求，若所述请求是登录请求，则向用户界面返回登录成功的提示信息；否则，转步骤20，

步骤20：查询所述数据库表，检查所述用户在所述所属单位群组是否拥有所述请求的权限，若是，则鉴权成功，执行所述请求，然后向用户界面返回所述请求的执行结果；否则鉴权失败，向用户界面返回无权执行所述请求的提示信息，

所述业务应用系统配置与管理步骤包括：

步骤21：若指定了所述数据库表中已有的指定单位为所述业务应用系统的管理机构，则将所述指定单位设置为所述业务应用系统的管理机构，否则，从所述业务应用系统的配置文件中提取所述业务应用系统的管理机构的单位信息，调用所述群组初始化步骤，创建所述单位，设置所述单位的上级单位，并将所述单位设置为所述业务应用系统的管理机构，

步骤22：从所述业务应用系统的配置文件中加载或使用用户界面录入所述业务应用系统的所有的权限信息，

步骤23：从所述业务应用系统的配置文件中加载或使用用户界面录入所述业务应用系统的所有的角色信息，

步骤24：从所述业务应用系统的配置文件中加载或使用用户界面录入为所述角色分配的各个所述权限，

步骤25：使用用户界面维护和管理所述业务应用系统的所述权限、所述角色，维护和管理所述业务应用系统的所述管理机构和所述业务应用系统的客户机构的成员用户和用户组，维护和管理为所述角色分配的所述权限，维护和管理为所述用户组分配的所述角色，维护和管理所述用户组的成员用户。

由上可见，本发明申请公开一种多组织机构的用户管理系统和方法，该方法提出基于树形组织结构的组织管理、基于个人用户与集体用户两种用户类别和一个用户账号多种登录凭证的用户管理、基于中心管理系统和业务应用系统两种系统类别的系统管理、以及基于RBAC模型与用户代理机制的权限管理。本发明实现了多组织机构、组织机构及其内部组织架构的组织管理，实现了组织机构及其内部组织架构的成员用户、一般互联网公众用户的用户管理，以中心管理系统将一系列由不同组织机构建设、运营、维护、管理的分散的业务应用系统通过互联网整合在一起，实现了中心管理系统和所有业务应用系统的系统管理和权限管理。中心管理系统通过用户管理组件提供单点登录、代理机制和用户鉴权，在中心管理系统的集中管理控制下，这些用户能够被分配和被移除访问这些业务应用系统的权限，这些业务应用系统不需要处理组织管理、用户管理、权限管理等，简化了业务应用系统的设计和实现，降低了业务应用系统的建设成本和运维成本，简化了组织机构及其用户对这些应用系统进行管理或使用的复杂度，并能集中获取用户访问这些系统的行为信息并进行分析。

附图说明

图1为依据本发明实施例提供的一种多组织机构的用户管理系统的结构示意图；

图2为依据本发明所述中心管理机构的结构示意图；

图3为依据本发明提供的树形结构示意图；

图4为依据本发明普通用户的属性示意图；

图5为依据本发明成员用户的属性示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所产生的所有其他实施例，都属于本发明保护的范围。此外需要说明的是，在具体实施方式这一项内容中“所述…”是仅指本发明的中的技术属于或特征。

图1为依据本发明实施例提供的一种多组织机构的用户管理系统的结构示意图，图2为所述中心管理机构的结构示意图。如图1和图2所示，本发明提供的一种多组织机构的用户管理系统主要包括中心管理系统和至少一个业务应用系统，而所述中心管理系统又包括组织管理模块、用户管理模块、系统管理模块和权限管理模块。

所述组织管理模块用于提供组织管理接口，以通过所述组织管理接口创建和管理所述多组织机构的树形结构表示中的群组，所述群组为所述树形结构中的一个节点，以及所述组织管理模块将所述多组织机构划分为一个管理所述中心管理系统和所述业务应用系统的管理机构和至少一个使用所述中心管理系统和所述业务应用系统的客户机构。

所述用户管理模块将所述用户划分为个人用户和集体用户，所述用户管理模块提供用户管理接口，以供所述个人用户在所述中心管理系统中进行注册以及根据注册获得的用户账户登录所述中心管理系统，所述用户管理模块还用于给所述用户中的成员用户或集体用户提供其它所述成员用户作为代理用户，所述群组中拥有管理权限的所述成员用户通过用户管理接口为所述群组的其他所述成员用户或所述集体用户设置或移除所述代理用户，并为所述集体用户提供至少有一个所述代理用户，所述代理用户在登录到所述中心管理系统后，通过所述用户管理接口在所述代理用户的所述用户账户和所述代理用户的所述被代理用户的所述用户账户之间进行切换。

所述权限管理模块，用于基于RBAC的权限访问控制模型，对权限、角色和用户组进行管理，其中，所述权限是所述中心管理系统和所述业务应用系统向所述用户开放的API权限，所述权限管理模块给所述角色分配一个或多个所述权限，给所述用户组被分配一个或多个角色，所述成员用户加入所述用户组时，已加入的所述成员用户获得所述用户组中所有所述角色的所有所述权限。所述权限包括管理权限和业务权限，所述管理权限是所述中心管理系统的所述权限，所述业务权限是所述业务应用系统的所述权限。所述管理权限包括系统管理权限、群组管理权限、用户管理权限，所述系统管理权限包括关于所述中心管理系统和所述业务应用系统以及它们的所述管理机构、所述角色、所述权限控制管理的所述权限，所述群组管理权限是包括关于所述群组及所述群组中的所述成员用户、所述用户组、所述用户组的所述角色控制管理的所述权限，所述用户管理权限是包括关于所述群组的所述成员用户的所述用户账号、所述凭证以及用户其他信息控制管理的所述权限。

所述系统管理模块用于构建和管理所述中心管理系统和所述业务应用系统，并提供系统管理接口，以通过所述系统管理接口创建和删除所述业务应用系统和所述业务应用系统对应的所述管理机构，以及对所述业务应用系统进行包括配置、运营、监控的管理。

其中，所述客户机构通过所述组织管理模块被创建和被加入到所述树形结构的所述多组织机构中，并自动关联到所述中心管理系统，以及通过所述组织管理模块关联或解除已关联的所述业务应用系统。

在本发明实施例中，如图3所示，其为依据本发明提供的树形结构示意图，所述多组织机构及其内部组织架构包括根单位、单位(图3中单位2、单位3)、部门(图3中部门11、部门21、部门211)、小组(图3中小组23、小组212)和上级单位(单位1)，所述根单位是所述组织管理模块中唯一的虚拟的组织机构，所述单位是具有独立法人资格的组织机构，所述部门是所述单位的一个或多个稳定的内部组织架构；所述小组是所述单位或所述部门的一个或多个临时的内部组织架构，所述上级单位是一个或多个所述单位的上级组织机构，若所述单位没有实际对应的所述上级单位，则规定所述根单位作为所述单位的上级单位。图4和图5分别为依据本发明的普通用户和成员用户的属性示意图，本发明中的所述个人用户包括未在所述中心管理系统注册的访客用户、已在所述中心管理系统注册但不属于任何所述单位的普通用户以及已在所述中心管理系统注册且属于一个或多个所述单位的成员用户，所述集体用户是所述群组在被创建时自动生成的非自然人用户，所述集体用户仅在所述群组被删除时才自动被删除。所述个人用户通过所述用户管理接口提交一个凭证和密码进行所述注册，注册成功后成为注册用户并获得所述用户账户，所述凭证是所述个人用户拥有的、与所有其他用户不同的身份惟一性标识，所述个人用户拥有一个或多个所述凭证，所述凭证具有不同的凭证类别，所述注册用户通过所述用户管理模块提交所述凭证和所述用户账户的密码登录到所述中心管理系统，所述用户管理模块具有添加一个或多个所述凭证类别的一个或多个所述凭证、修改所述登录密码、删除或更改已添加的所述凭证、实名认证中的至少一个功能。所述凭证类别包括但不限于电子邮箱、移动电话号码、固定电话号码、微信号、QQ号、身份证号码、居住证号码、护照号码等。

所述中心管理系统提供用户鉴权，以解析所述用户对所述中心管理系统和所述业务应用系统的每一次请求，并将所述解析的结果与所述权限进行匹配，如果解析后没有匹配的所述权限或者有匹配的权限但所述用户没有获得所述权限，则拒绝所述用户的请求，否则记录每一次请求对应的所述权限、所述代理用户和所述代理用户的被代理用户。所述中心管理系统还用于提供用户管理组件，所述用户管理组件拦截所述用户的每一次请求，并执行所述用户鉴权并进行重定向或转发处理，当所述用户发起登录请求时，所述用户管理组件拦截所述登录请求并将所述登录请求转发到所述中心管理系统进行登录验证。如图1所示，所述用户管理组件用于所述业务应用系统的部署，例如，所述业务应用系统在部署时采用但不限于AOP机制引入所述用户管理组件。

本发明还提供了一种多组织机构的用户管理方法，主要包括步骤1至12。

步骤1：创建数据库表。

步骤2：从中心管理系统的配置文件中读取所述中心管理系统的管理机构及所述管理机构的管理员用户、权限、角色、所述角色的所述权限、用户组、所述用户组的所述权限、所述用户组的所述角色的配置信息，并验证所述配置信息的完整性和有效性，若未通过验证，则退出初始化处理过程，本次初始化失败，否则转步骤3。

步骤3：创建一个上级单位为空的单位作为根单位。例如创建一个标识符为全“0”，名称为“根”且上级单位为空的单位作为根单位。

步骤4：从所述中心管理系统的配置文件中加载所述中心管理系统的管理机构信息，创建单位，设置所述单位的上级单位为所述根单位。

步骤5：创建所述单位的群组并执行群组初始化，将该所述单位设置为所述中心管理系统的所述管理机构。

步骤6：从所述中心管理系统的配置文件中加载所述中心管理系统的所述管理员用户信息，自动注册所述管理员用户使其成为注册用户，并自动登录到所述中心管理系统使其成为已登录用户。

步骤7：从所述中心管理系统的配置文件中加载所述中心管理系统的所有所述权限的配置信息并创建所有所述权限。

步骤8：从所述中心管理系统的配置文件中加载所述角色中的系统管理员角色和群组管理员角色的权限配置信息，创建所述系统管理员角色和所述群组管理员角色，并分别为所述系统管理员角色和所述群组管理员角色分配相应的所述权限。

步骤9：将所述系统管理员角色添加为所述管理机构的角色，为所述管理机构创建系统管理用户组，为所述系统管理用户组添加所述系统管理员角色。

步骤10：将所述群组管理员角色添加为所述管理机构的角色，为所述管理机构创建群组管理用户组，为所述群组管理用户组添加所述群组管理员角色。

步骤11：将所述已登录用户添加为所述管理机构的成员用户。

步骤12：将所述已登录用户添加到所述系统管理用户组和所述群组管理用户组。

具体的，在本发明实施例中，所述群组初始化步骤包括步骤51至511。

步骤51：检查是否存在当前已登录用户，若不存在或已登录用户所在的所有用户组都未被分配中心管理系统的所述系统管理员角色，则当前用户无权执行群组初始化，退出当前初始化处理，否则，转步骤52。

步骤52：获取初始化参数中的上级群组标识、待创建的本群组的信息。

步骤53：若所述上级群组标识为空，则设置为所述根单位对应的群组标识，否则检查所述上级群组是否已存在，若不存在，则所述参数存在错误，群组初始化失败，退出所述群组初始化，否则，转步骤54。

步骤54：检查所述上级群组和所述本群组的群组类别是否符合树形结构多组织机构的上下级群组的类别约束关系，若不符合，则所述参数错误，群组初始化失败，退出所述群组初始化，否则，转步骤55。

步骤55：创建所述本群组，设置所述本群组的上级群组为所述上级群组。

步骤56：为所述本群组创建集体用户，并将所述当前已登录用户设置为所述集体用户的代理用户。

步骤57：为所述本群组分配所述中心管理系统的所述群组管理员角色。

步骤59：为所述本群组创建群组管理用户组并分配所述群组管理员角色。

步骤510：将所述当前已登录用户添加为所述本群组的成员用户。

步骤511：将所述当前已登录用户添加到所述群组管理用户组。

进一步的，本发明提供的所述用户管理方法还包括用户鉴权步骤和业务应用系统配置与管理步骤。

其中，所述用户鉴权步骤包括步骤13至步骤20。

步骤13：用户提交请求到中心管理系统或业务应用系统。

步骤14：若所述请求被提交到业务应用系统，则其被所述业务应用系统中引入的所述中心管理系统的所述用户管理组件所拦截，拦截后转步骤15。

步骤15：所述用户管理组件检查所拦截的所述请求是否携带了会话标记，若已携带且依据所述会话标记从所述中心管理系统的当前所有会话信息中提取到对应的会话信息，则转步骤17，否则，转步骤16。

步骤16：为所述用户生成一个唯一性会话标记，并为所述用户创建新的会话信息，将所述用户设置为访客用户，将所述会话信息保存到所述中心管理系统的所述当前所有会话信息中。

步骤17：查询所述中心管理系统的数据库表，检查所述请求是否属于访客用户所能获得的权限或所述用户是否为已登录用户，若是则转步骤20，否则，转步骤18。

步骤18：将所述请求保存到所述用户的所述会话信息中，重定向所述用户进入用户登录界面，所述用户在所述用户登录界面输入凭证和密码，提交登录请求到所述中心管理系统，所述中心管理系统接收到所述登录请求后，查询所述中心管理系统的数据库表，检查所述凭证是否存在且是否已被激活，若不存在或未被激活，则登录失败，向用户界面返回登录失败的提示信息；否则，依据所述凭证获取用户账号并提取账户密码，检查所述密码和所述账户密码是否一致，若不一致，则登录失败，向用户界面返回登录失败的提示信息，否则转步骤19。

步骤19：所述用户登录成功后，为所述用户更新会话信息，将所述用户的当前所属单位群组设置为其缺省的所属单位群组或所述用户上一次登录时的所属单位群组，从所述用户的所述会话信息中提取保存的所述请求作为当前的所述请求，若所述请求是登录请求，则向用户界面返回登录成功的提示信息；否则，转步骤20。

步骤20：查询所述数据库表，检查所述用户在所述所属单位群组是否拥有所述请求的权限，若是，则鉴权成功，执行所述请求，然后向用户界面返回所述请求的执行结果；否则鉴权失败，向用户界面返回无权执行所述请求的提示信息。

对于每一个业务应用系统，可以通过配置文件加载所述业务应用系统的管理机构、权限、角色等信息并由中心管理系统自动完成初始配置，也可以由中心管理系统的系统管理员通过后台管理系统完成所述业务应用系统的管理机构、权限、角色等配置。通过所述后台管理系统，还可以管理和维护等所述业务应用系统的管理机构、权限、角色等。具体地，在本发明实施例中，所述业务应用系统配置与管理步骤包括步骤21至步骤25。

步骤21：若指定了所述数据库表中已有的指定单位为所述业务应用系统的管理机构，则将所述指定单位设置为所述业务应用系统的管理机构，否则，从所述业务应用系统的配置文件中提取所述业务应用系统的管理机构的单位信息，调用所述群组初始化步骤，创建所述单位，设置所述单位的上级单位，并将所述单位设置为所述业务应用系统的管理机构。

步骤22：从所述业务应用系统的配置文件中加载或使用用户界面录入所述业务应用系统的所有的权限信息。

步骤23：从所述业务应用系统的配置文件中加载或使用用户界面录入所述业务应用系统的所有的角色信息。

步骤24：从所述业务应用系统的配置文件中加载或使用用户界面录入为所述角色分配的各个所述权限。

步骤25：使用用户界面维护和管理所述业务应用系统的所述权限、所述角色，维护和管理所述业务应用系统的所述管理机构和所述业务应用系统的客户机构的成员用户和用户组，维护和管理为所述角色分配的所述权限，维护和管理为所述用户组分配的所述角色，维护和管理所述用户组的成员用户。

步骤21：若指定了所述数据库表中已有的某个单位为所述业务应用系统的管理机构，则将所述某个单位作为所述业务应用系统的管理机构，否则，将所述业务应用系统的管理机构的单位信息参数调用“群组初始化步骤”，创建所述单位、设置所述单位的上级单位，将所述单位作为所述业务应用系统的管理机构。

步骤22：加载或录入所述业务应用系统的所有权限。

步骤23：加载或录入所述业务应用系统的所有角色。

步骤24：加载或录入为所述角色分配的各个权限。

步骤25：维护和管理所述业务应用系统的所述权限、所述角色，维护和管理所述业务应用系统的所述管理机构的成员用户和用户组，维护和管理为所述角色分配的所述权限，维护和管理为所述用户组分配的所述角色，维护和管理所述用户组的成员用户。

本发明申请公开一种多组织机构的用户管理系统和方法，该方法提出基于树形组织结构的组织管理、基于个人用户与集体用户两种用户类别和一个用户账号多种登录凭证的用户管理、基于中心管理系统和业务应用系统两种系统类别的系统管理、以及基于RBAC模型与用户代理机制的权限管理。本发明实现了多组织机构、组织机构及其内部组织架构的组织管理，实现了组织机构及其内部组织架构的成员用户、一般互联网公众用户的用户管理，以中心管理系统将一系列由不同组织机构建设、运营、维护、管理的分散的业务应用系统通过互联网整合在一起，实现了中心管理系统和所有业务应用系统的系统管理和权限管理。中心管理系统通过用户管理组件提供单点登录、代理机制和用户鉴权，在中心管理系统的集中管理控制下，这些用户能够被分配和被移除访问这些业务应用系统的权限，这些业务应用系统不需要处理组织管理、用户管理、权限管理等，简化了业务应用系统的设计和实现，降低了业务应用系统的建设成本和运维成本，简化了组织机构及其用户对这些应用系统进行管理或使用的复杂度，并能集中获取用户访问这些系统的行为信息并进行分析。

依照本发明的实施例如上文所述，这些实施例并没有详尽叙述所有的细节，也不限制该发明仅为所述的具体实施例。根据以上描述，可作很多的修改和变化。本说明书选取并具体描述这些实施例，是为了更好地解释本发明的原理和实际应用，从而使所属技术领域技术人员能很好地利用本发明以及在本发明基础上的修改使用。本发明仅受权利要求书及其全部范围和等效物的限制。

Claims (10)

1.一种多组织机构的用户管理系统，其特征在于，包括：中心管理系统和至少一个业务应用系统，

所述中心管理系统包括组织管理模块、用户管理模块、系统管理模块和权限管理模块，

所述组织管理模块用于提供组织管理接口，以通过所述组织管理接口创建和管理所述多组织机构的树形结构表示中的群组，所述群组为所述树形结构中的一个节点，以及所述组织管理模块将所述多组织机构划分为一个管理所述中心管理系统和所述业务应用系统的管理机构和至少一个使用所述中心管理系统和所述业务应用系统的客户机构，

所述用户管理模块将所述用户划分为个人用户和集体用户，所述用户管理模块提供用户管理接口，以供所述个人用户在所述中心管理系统中进行注册以及根据注册获得的用户账户登录所述中心管理系统，所述用户管理模块还用于给所述用户中的成员用户或集体用户提供其它所述成员用户作为代理用户，所述群组中拥有管理权限的所述成员用户通过用户管理接口为所述群组的其他所述成员用户或所述集体用户设置或移除所述代理用户，并为所述集体用户提供至少有一个所述代理用户，所述代理用户在登录到所述中心管理系统后，通过所述用户管理接口在所述代理用户的所述用户账户和所述代理用户的所述被代理用户的所述用户账户之间进行切换，

所述权限管理模块，用于基于RBAC的权限访问控制模型，对权限、角色和用户组进行管理，其中，所述权限是所述中心管理系统和所述业务应用系统向所述用户开放的API权限，所述权限管理模块给所述角色分配一个或多个所述权限，给所述用户组分配一个或多个角色，将所述成员用户加入到所述用户组，已加入的所述成员用户获得所述用户组中所有所述角色的所有所述权限，

所述系统管理模块用于构建和管理所述中心管理系统和所述业务应用系统，并提供系统管理接口，以通过所述系统管理接口创建和删除所述业务应用系统和所述业务应用系统对应的所述管理机构，以及对所述业务应用系统进行包括配置、运营、监控的管理，

其中，所述客户机构通过所述组织管理模块被创建和被加入到所述树形结构的所述多组织机构中，并自动关联到所述中心管理系统，以及通过所述组织管理模块关联或解除已关联的所述业务应用系统。

2.根据权利要求1所述用户管理系统，其特征在于，所述多组织机构及其内部组织架构包括根单位、单位、部门、小组和上级单位，所述根单位是所述组织管理模块中唯一的虚拟的组织机构，所述单位是具有独立法人资格的组织机构，所述部门是所述单位的一个或多个稳定的内部组织架构，

所述小组是所述单位或所述部门的一个或多个临时的内部组织架构，所述上级单位是一个或多个所述单位的上级组织机构，若所述单位没有实际对应的所述上级单位，则规定所述根单位作为所述单位的上级单位。

3.根据权利要求2所述用户管理系统，其特征在于，所述个人用户包括未在所述中心管理系统注册的访客用户、已在所述中心管理系统注册但不属于任何所述单位的普通用户以及已在所述中心管理系统注册且属于一个或多个所述单位的成员用户，所述集体用户是所述群组在被创建时自动生成的非自然人用户，所述集体用户仅在所述群组被删除时才自动被删除。

4.根据权利要求3所述用户管理系统，其特征在于，所述个人用户通过所述用户管理接口提交一个凭证和密码进行所述注册，注册成功后成为注册用户并获得所述用户账户，所述凭证是所述个人用户拥有的、与所有其他用户不同的身份惟一性标识，所述个人用户拥有一个或多个所述凭证，所述凭证具有不同的凭证类别，所述注册用户通过所述用户管理模块提交所述凭证和所述用户账户的密码登录到所述中心管理系统，所述用户管理模块具有添加一个或多个所述凭证类别的一个或多个所述凭证、修改所述登录密码、删除或更改已添加的所述凭证、实名认证中的至少一个功能。

5.根据权利要求4所述用户管理系统，其特征在于，所述权限包括管理权限和业务权限，所述管理权限是所述中心管理系统的所述权限，所述业务权限是所述业务应用系统的所述权限，

所述管理权限包括系统管理权限、群组管理权限、用户管理权限，

所述系统管理权限包括关于所述中心管理系统和所述业务应用系统以及它们的所述管理机构、所述角色、所述权限控制管理的所述权限，所述群组管理权限包括关于所述群组及所述群组中的所述成员用户、所述用户组、所述用户组的所述角色控制管理的所述权限，所述用户管理权限包括关于所述群组的所述成员用户的所述用户账号、所述凭证以及其他信息控制管理的所述权限。

6.根据权利要求5所述用户管理系统，其特征在于，所述中心管理系统提供用户鉴权，以解析所述用户对所述中心管理系统和所述业务应用系统的每一次请求，并将所述解析的结果与所述权限进行匹配，如果解析后没有匹配的所述权限或者有匹配的权限但所述用户没有获得所述权限，则拒绝所述用户的请求，否则记录每一次请求对应的所述权限、所述代理用户和所述代理用户的被代理用户。

7.根据权利要求6所述用户管理系统，其特征在于，所述中心管理系统还用于提供用户管理组件，所述用户管理组件拦截所述用户的每一次请求，并执行所述用户鉴权并进行重定向或转发处理，

当所述用户发起登录请求时，所述用户管理组件拦截所述登录请求并将所述登录请求转发到所述中心管理系统进行登录验证，

所述用户管理组件在所述业务应用系统被部署时被引入到所述业务应用系统中，

所述用户管理组件通过插件计算或AOP技术被引入到所述业务应用系统中。

8.一种多组织机构的用户管理方法，其特征在于，包括：

步骤1：创建数据库表，

步骤2：从中心管理系统的配置文件中读取所述中心管理系统的管理机构及所述管理机构的管理员用户、权限、角色、所述角色的所述权限、用户组、所述用户组的所述权限、所述用户组的所述角色的配置信息，并验证所述配置信息的完整性和有效性，若未通过验证，则退出初始化处理过程，本次初始化失败，否则转步骤3，

步骤3：创建一个上级单位为空的单位作为根单位，

步骤4：从所述中心管理系统的配置文件中加载所述中心管理系统的管理机构信息，创建单位，设置所述单位的上级单位为所述根单位，

步骤5：创建所述单位的群组并执行群组初始化，将该所述单位设置为所述中心管理系统的所述管理机构，

步骤6：从所述中心管理系统的配置文件中加载所述中心管理系统的所述管理员用户信息，自动注册所述管理员用户使其成为注册用户，并自动登录到所述中心管理系统使其成为已登录用户，

步骤7：从所述中心管理系统的配置文件中加载所述中心管理系统的所有所述权限的配置信息并创建所有所述权限，

步骤8：从所述中心管理系统的配置文件中加载所述角色中的系统管理员角色和群组管理员角色的权限配置信息，创建所述系统管理员角色和所述群组管理员角色，并分别为所述系统管理员角色和所述群组管理员角色分配相应的所述权限，

步骤9：将所述系统管理员角色添加为所述管理机构的角色，为所述管理机构创建系统管理用户组，为所述系统管理用户组添加所述系统管理员角色，

步骤10：将所述群组管理员角色添加为所述管理机构的角色，为所述管理机构创建群组管理用户组，为所述群组管理用户组添加所述群组管理员角色，

步骤11：将所述已登录用户添加为所述管理机构的成员用户，

步骤12：将所述已登录用户添加到所述系统管理用户组和所述群组管理用户组。

9.根据权利要求8所述用户管理系统，其特征在于，所述群组初始化步骤包括：

步骤51：检查是否存在当前已登录用户，若不存在或已登录用户所在的所有用户组都未被分配中心管理系统的所述系统管理员角色，则当前用户无权执行群组初始化，退出当前初始化处理，否则，转步骤52，

步骤52：获取初始化参数中的上级群组标识、待创建的本群组的信息，

步骤53：若所述上级群组标识为空，则设置为所述根单位对应的群组标识，否则检查所述上级群组是否已存在，若不存在，则所述参数存在错误，群组初始化失败，退出所述群组初始化，否则，转步骤54，

步骤54：检查所述上级群组和所述本群组的群组类别是否符合树形结构多组织机构的上下级群组的类别约束关系，若不符合，则所述参数错误，群组初始化失败，退出所述群组初始化，否则，转步骤55，

步骤55：创建所述本群组，设置所述本群组的上级群组为所述上级群组，

步骤56：为所述本群组创建集体用户，并将所述当前已登录用户设置为所述集体用户的代理用户，

步骤57：为所述本群组分配所述中心管理系统的所述群组管理员角色，

步骤59：为所述本群组创建群组管理用户组并分配所述群组管理员角色，

步骤510：将所述当前已登录用户添加为所述本群组的成员用户，

步骤511：将所述当前已登录用户添加到所述群组管理用户组。

10.根据权利要求8所述用户管理系统，其特征在于，还包括用户鉴权步骤和业务应用系统配置与管理步骤，

所述用户鉴权步骤包括：

步骤13：用户提交请求到中心管理系统或业务应用系统，

步骤14：若所述请求被提交到业务应用系统，则其被所述业务应用系统中引入的所述中心管理系统的所述用户管理组件所拦截，拦截后转步骤15，

步骤15：所述用户管理组件检查所拦截的所述请求是否携带了会话标记，若已携带且依据所述会话标记从所述中心管理系统的当前所有会话信息中提取到对应的会话信息，则转步骤17，否则，转步骤16，

步骤16：为所述用户生成一个唯一性会话标记，并为所述用户创建新的会话信息，将所述用户设置为访客用户，将所述会话信息保存到所述中心管理系统的所述当前所有会话信息中，

步骤17：查询所述中心管理系统的数据库表，检查所述请求是否属于访客用户所能获得的权限或所述用户是否为已登录用户，若是则转步骤20，否则，转步骤18，

步骤18：将所述请求保存到所述用户的所述会话信息中，重定向所述用户进入用户登录界面，所述用户在所述用户登录界面输入凭证和密码，提交登录请求到所述中心管理系统，所述中心管理系统接收到所述登录请求后，查询所述中心管理系统的数据库表，检查所述凭证是否存在且是否已被激活，若不存在或未被激活，则登录失败，向用户界面返回登录失败的提示信息；否则，依据所述凭证获取用户账号并提取账户密码，检查所述密码和所述账户密码是否一致，若不一致，则登录失败，向用户界面返回登录失败的提示信息，否则转步骤19，

步骤19：所述用户登录成功后，为所述用户更新会话信息，将所述用户的当前所属单位群组设置为其缺省的所属单位群组或所述用户上一次登录时的所属单位群组，从所述用户的所述会话信息中提取保存的所述请求作为当前的所述请求，若所述请求是登录请求，则向用户界面返回登录成功的提示信息；否则，转步骤20，

步骤20：查询所述数据库表，检查所述用户在所述所属单位群组是否拥有所述请求的权限，若是，则鉴权成功，执行所述请求，然后向用户界面返回所述请求的执行结果；否则鉴权失败，向用户界面返回无权执行所述请求的提示信息，

所述业务应用系统配置与管理步骤包括：

步骤21：若指定了所述数据库表中已有的指定单位为所述业务应用系统的管理机构，则将所述指定单位设置为所述业务应用系统的管理机构，否则，从所述业务应用系统的配置文件中提取所述业务应用系统的管理机构的单位信息，调用所述群组初始化步骤，创建所述单位，设置所述单位的上级单位，并将所述单位设置为所述业务应用系统的管理机构，

步骤22：从所述业务应用系统的配置文件中加载或使用用户界面录入所述业务应用系统的所有的权限信息，

步骤23：从所述业务应用系统的配置文件中加载或使用用户界面录入所述业务应用系统的所有的角色信息，

步骤24：从所述业务应用系统的配置文件中加载或使用用户界面录入为所述角色分配的各个所述权限，

步骤25：使用用户界面维护和管理所述业务应用系统的所述权限、所述角色，维护和管理所述业务应用系统的所述管理机构和所述业务应用系统的客户机构的成员用户和用户组，维护和管理为所述角色分配的所述权限，维护和管理为所述用户组分配的所述角色，维护和管理所述用户组的成员用户。

Images