CN112182622A - 一种基于资源控制的权限管理系统设计方法 - Google Patents

Abstract

本发明公开了一种基于资源控制的权限管理系统设计方法，本发明提出“一切皆资源”的概念，并建立一种基于资源树的权限控制方案；资源是进行权限配置的基础，通过对所有要控制的对象建立对应的资源模型，并依据其对应页面（具体类型资源）层级关系，逐一建立资源；同时，拓展了资源的概念，对所有预控制的对象都认为是资源，可实现精准的权限控制；对于用户，不直接操作资源进行权限赋值；用户取得权限的途径有：通过岗位，人员属于某个岗位，自然继承该岗位所拥有的角色，间接拥有权限；为用户分配某一个角色，然后拥有该角色所拥有的权限；直接为用户分配权限，一般是一些需要特殊操作的权限；角色依然是组织架构和权限管理联系的桥梁。

Description

一种基于资源控制的权限管理系统设计方法

技术领域

本发明涉及权限管理领域，特别涉及一种基于资源控制的权限管理系统设计方法。

背景技术

权限中心是一个比较成熟且广泛应用的设计，每个公司都有自己的权限设计方案，目前主流的权限管理系统是基于角色的访问控制(RBAC)。

RBAC通过角色与权限的绑定最终实现权限管理，该实现存在着以下问题：

一、配置重复工作大，RBAC控制通过角色进行权限的管理，通过逐个绑定角色和权限的对应关系进行控制。如果多个角色只对某一个或小部分权限的控制上有差别，仍然需要逐一绑定。

二、不直观，对于最基本的页面上的控件等的控制，在有相似的比如“查询”、“修改”等按钮，管理员在配置时必须逐一检查权限的详细配置才能明确进行角色和权限的绑定。

发明内容

本发明要解决的技术问题是克服现有技术的缺陷，提供一种基于资源控制的权限管理系统设计方法。

为了解决上述技术问题，本发明提供了如下的技术方案：

本发明一种基于资源控制的权限管理系统设计方法，该设计方法通过增加资源层，建立资源树，在控制的最底层模拟页面的层级结构，然后通过权限实现不同角色的控制，具体包括以下步骤：

一、提取资源：

资源包括具体的，例如：页面、菜单、按钮；还包括抽象的，比如：接口、可筛选的数据范围，甚至可扩展至系统、业务线；按照角色—权限—资源三层页面的层级关系，依次建立具有层级关系的资源树；所述资源的实现以将资源详情用易解析、易扩展的json格式来保存；

对于具体类型的资源类型，资源详情可保存对应的资源所属页面的url地址、icon以及唯一性标识id信息，可参考如下配置：

{"key":"sub00-08-05-01","icon":"","name":"报表权限申请","path":"/pmo-config-form","description":"报表权限申请"}；

对于抽象资源，可按照业务需求保存为业务端可识别的编码，比如典型的数据权限可参考如下配置：

{"permissionCode":"tmOrgRole_001"}；

二、基于资源树的权限分配具体实现如下：

S1.为保存层级关系，每级的资源需保存其父节点的唯一标识，同时，为支持各种类型的资源，可在资源创建时为资源划分类型，如常用的数据权限；

S2.基于资源控制的权限管理系统的整体实施过程如下：组织架构部分，可采用领域驱动设计，从不同视角根据公司业务创建公司、部门、岗位、人员信息，必要时可以扩展大区信息；

S3.权限管理模块，可根据要控制的对象分为控制权限和数据权限；对控制权限，根据所要控制的元素做最小划分，自顶而下依次创建页面、菜单、按钮、接口控制类资源，在数据存放时需要保存资源的父子节点关系，并且接口权限资源根据页面的调用可挂载至对应的页面资源下，实现接口权限的精准控制；

S4.对数据权限，比如针对不同的用户、角色，即使都拥有A接口的访问权限，但可以通过指定查询范围实现数据的精准控制，数据权限不区分页面，根据业务需要建立前后端约定好的、可识别的资源，资源详情可采用易于解析的json格式存储，以便后期资源定义的扩展，同时也是对“一切皆资源”的有效支撑；

S5.资源建立完成后，可以在资源管理页面清晰看到所创建的资源树及要进行控制的数据权限资源，接下来根据权限管理的业务需求，对资源进行组合从而创建适当粒度的权限，更进一步创建角色。

与现有技术相比，本发明的有益效果如下：

本发明提出“一切皆资源”的概念，并建立一种基于资源树的权限控制方案；资源是进行权限配置的基础，通过对所有要控制的对象建立对应的资源模型，并依据其对应页面(具体类型资源)层级关系，逐一建立资源；同时，拓展了资源的概念，对所有预控制的对象都认为是资源，可实现精准的权限控制；对于用户，不直接操作资源进行权限赋值；用户取得权限的途径有：通过岗位，人员属于某个岗位，自然继承该岗位所拥有的角色，间接拥有权限；为用户分配某一个角色，然后拥有该角色所拥有的权限；直接为用户分配权限，一般是一些需要特殊操作的权限；角色依然是组织架构和权限管理联系的桥梁。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：

图1是本发明构建的资源树的示意图；

图2是本发明整个系统的简易结构图；

图3是本发明的实施例示意图之一；

图4是本发明的实施例示意图之二。

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

实施例1

如图1-4所示，本发明提供一种基于资源控制的权限管理系统设计方法，该设计方法通过增加资源层，建立资源树，在控制的最底层模拟页面的层级结构，然后通过权限实现不同角色的控制，具体包括以下步骤：

一、提取资源：

资源是实现权限控制的最小原子单位，所有计划在系统中进行控制的事物都可认为资源，因此资源的概念包括具体的，例如：页面、菜单、按钮等，还包括抽象的，比如：接口、可筛选的数据范围，甚至可扩展至系统、业务线等(形成“一切皆资源”概念)；按照角色—权限—资源三层页面的层级关系，依次建立具有层级关系的资源树；资源在本质上仍然是权限，权限是资源的集合；在该体系模型中，相当于角色—权限—资源三层模式控制，但角色不直接操作资源，而是通过权限进行配置；所述资源的实现以将资源详情用易解析、易扩展的json格式来保存；

对于具体类型的资源类型，资源详情可保存对应的资源所属页面的url地址、icon以及唯一性标识id信息，可参考如下配置：

{"key":"sub00-08-05-01","icon":"","name":"报表权限申请","path":"/pmo-config-form","description":"报表权限申请"}；

对于抽象资源，可按照业务需求保存为业务端可识别的编码，比如典型的数据权限可参考如下配置：

{"permissionCode":"tmOrgRole_001"}；

二、基于资源树的权限分配具体实现如下：

S1.为保存层级关系，每级的资源需保存其父节点的唯一标识，同时，为支持各种类型的资源，可在资源创建时为资源划分类型，如常用的数据权限；

S2.基于资源控制的权限管理系统的整体实施过程如下：组织架构部分，可采用领域驱动设计，从不同视角根据公司业务创建公司、部门、岗位、人员信息，必要时可以扩展大区信息；

S3.权限管理模块，可根据要控制的对象分为控制权限和数据权限；对控制权限，根据所要控制的元素做最小划分，自顶而下依次创建页面、菜单、按钮、接口控制类资源，在数据存放时需要保存资源的父子节点关系，并且接口权限资源根据页面的调用可挂载至对应的页面资源下，实现接口权限的精准控制；(控制元素通常是根据所要控制的业务决定控制的粒度，以图3为例，对于权限中心这个菜单，根据业务有查看详情、编辑、禁用、删除、添加资源等操作，这些操作即可作为控制的颗粒，对于大部分人有查看详情的权限，而仅对于管理员等角色有增删改的权限；控制元素与组织架构没有直接的关系，控制元素可认为是权限的最底层表现形式，对于组织架构，仅通过角色与人员进行关联，组织架构对于控制元素(即资源)没有感知)。

S4.对数据权限，比如针对不同的用户、角色，即使都拥有A接口的访问权限，但可以通过指定查询范围实现数据的精准控制，数据权限不区分页面，根据业务需要建立前后端约定好的、可识别的资源，资源详情可采用易于解析的json格式存储，以便后期资源定义的扩展，同时也是对“一切皆资源”的有效支撑；(指定查询范围以查询员工为例，公司一般会下设多个部门，同一个公司下的部门有唯一的标识码，假定以D开头的6位编码D00001，对应部门权限可用deptCode标识。当某资源的配置为deptCode＝D00001时，对于绑定了该资源的权限，可认为其具有该编码对应的部门的数据查询权限；对应的，可将控制的范围扩展至所有需要进行控制的范围，如：公司、业务线等；图4附了一个实际使用中的权限管理系统的资源树的部分配置，其中展示了部分资源(涵盖了菜单、接口和数据权限对应的资源)的配置信息。其中数据权限对应的资源使用了魔法值”own”,”all”来标识，这里的配置可根据业务需要和个人使用习惯进行配置)。

S5.资源建立完成后，可以在资源管理页面清晰看到所创建的资源树及要进行控制的数据权限资源，接下来根据权限管理的业务需求，对资源进行组合从而创建适当粒度的权限，更进一步创建角色(这里角色的创建以及后续角色与权限绑定、人员与角色绑定，和RBAC的操作基本相同。在具体使用中，根据需要，可以使用权限和人员的直接绑定(对人员赋予特殊权限)，也可以仅做角色和权限的绑定)。

与现有技术相比，本发明的有益效果如下：

本发明提出“一切皆资源”的概念，并建立一种基于资源树的权限控制方案；资源是进行权限配置的基础，通过对所有要控制的对象建立对应的资源模型，并依据其对应页面(具体类型资源)层级关系，逐一建立资源；同时，拓展了资源的概念，对所有预控制的对象都认为是资源，可实现精准的权限控制；对于用户，不直接操作资源进行权限赋值；用户取得权限的途径有：通过岗位，人员属于某个岗位，自然继承该岗位所拥有的角色，间接拥有权限；为用户分配某一个角色，然后拥有该角色所拥有的权限；直接为用户分配权限，一般是一些需要特殊操作的权限；角色依然是组织架构和权限管理联系的桥梁。

最后应说明的是：以上所述仅为本发明的优选实施例而已，并不用于限制本发明，尽管参照前述实施例对本发明进行了详细的说明，对于本领域的技术人员来说，其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (1)

1.一种基于资源控制的权限管理系统设计方法，其特征在于，该设计方法通过增加资源层，建立资源树，在控制的最底层模拟页面的层级结构，然后通过权限实现不同角色的控制，具体包括以下步骤：

一、提取资源：

资源包括具体的，例如：页面、菜单、按钮；还包括抽象的，比如：接口、可筛选的数据范围，甚至可扩展至系统、业务线；按照角色—权限—资源三层页面的层级关系，依次建立具有层级关系的资源树；所述资源的实现以将资源详情用易解析、易扩展的json格式来保存；

对于具体类型的资源类型，资源详情可保存对应的资源所属页面的url地址、icon以及唯一性标识id信息，可参考如下配置：

{"key": "sub00-08-05-01", "icon": "", "name": "报表权限申请", "path": "/pmo-config-form", "description": "报表权限申请"}；

对于抽象资源，可按照业务需求保存为业务端可识别的编码，比如典型的数据权限可参考如下配置：

{"permissionCode": "tmOrgRole_001"}；

二、 基于资源树的权限分配具体实现如下：

S1.为保存层级关系，每级的资源需保存其父节点的唯一标识，同时，为支持各种类型的资源，可在资源创建时为资源划分类型，如常用的数据权限；

S2.基于资源控制的权限管理系统的整体实施过程如下：组织架构部分，可采用领域驱动设计，从不同视角根据公司业务创建公司、部门、岗位、人员信息，必要时可以扩展大区信息；

S3.权限管理模块，可根据要控制的对象分为控制权限和数据权限；对控制权限，根据所要控制的元素做最小划分，自顶而下依次创建页面、菜单、按钮、接口控制类资源，在数据存放时需要保存资源的父子节点关系，并且接口权限资源根据页面的调用可挂载至对应的页面资源下，实现接口权限的精准控制；

S4.对数据权限，比如针对不同的用户、角色，即使都拥有A接口的访问权限，但可以通过指定查询范围实现数据的精准控制，数据权限不区分页面，根据业务需要建立前后端约定好的、可识别的资源，资源详情可采用易于解析的json格式存储，以便后期资源定义的扩展，同时也是对“一切皆资源”的有效支撑；

S5.资源建立完成后，可以在资源管理页面清晰看到所创建的资源树及要进行控制的数据权限资源，接下来根据权限管理的业务需求，对资源进行组合从而创建适当粒度的权限，更进一步创建角色。

Images