CN115906187B - 一种功能权限与接口权限结合的用户权限控制方法及系统 - Google Patents

Abstract

本发明提供了一种功能权限与接口权限结合的用户权限控制方法及系统，涉及用户权限控制技术领域，包括：为页面资源设置菜单权限，为敏感操作设置按钮权限，纳入资源权限表，配置各资源权限的接口url，且菜单权限允许访问，按钮权限禁止访问；用户登录时，获取用户对应角色的资源权限存入缓存；获取允许访问的资源权限，在前端页面展示对应的菜单；前端页面请求后端接口时，若请求的路径与允许访问的资源权限对应的接口url匹配，则执行该请求。本发明设置资源权限表，既存储可访问的菜单权限，又存储敏感操作的按钮权限，还保存了对应的后端接口url信息，实现简化配置替代需要大量配置工作才能完成的功能。

Description

一种功能权限与接口权限结合的用户权限控制方法及系统

技术领域

本发明属于用户权限控制技术领域，尤其是涉及一种功能权限与接口权限结合的用户权限控制方法及系统。

背景技术

在用户权限控制技术领域，功能权限包括页面权限和操作权限，在web开发中，通常有这样的需求，不同的用户看到不同的菜单，即不同的用户拥有不同的页面权限，比如，普通用户能看到业务菜单，系统用户只能看到系统设置菜单；另外还通常包括不同的用户具有不同的操作权限的需求，例如，系统用户具有删除，禁用等敏感操作权限，而普通用户只有删除，禁用等敏感操作权限之外的其他权限，如查看和编辑等功能。

对于以上需求，假如只是控制功能权限，使不同角色查看不同的功能，而不对接口权限加以限制，则会因为页面渲染不走后端，不法用户可以通过篡改页面而直接操作接口，绕过权限的控制，获取任何后端数据，进而造成安全问题。

因此，既要控制功能权限又要控制接口权限。功能权限包括页面权限和操作权限，即菜单权限和按钮权限。通常，一个菜单权限对应多个按钮权限，每个按钮权限对应一个接口权限，功能权限和接口权限关系如图1所示。若要实现不同用户看到的菜单权限不同，不同用户可以操作的按钮权限也不同，一种实现方式是，用户的角色既要保存菜单权限数据，又要保存相关按钮权限数据，角色和权限的关联方式如图2所示。另一种实现方式是，根据不同的角色创建不同的菜单按钮，这些菜单按钮名称相同，但是菜单关联的操作按钮却不同，如图3所示。

对于上述两种方式，一个菜单对应的业务模块通常会有几个或几十个操作，要保存的按钮数据就包括几条甚至几十条。这样算来，一个业务系统有几个或更多的模块，对应的按钮数据就有几百条甚至更多，添加这些按钮数据工作量很大，对于不同角色配置操作权限的工作量也很大，并且在实际进行接口访问权限校验时要传输和比较数据量较大，效率较低。

因此，亟需提出一种简单有效的资源权限管理方法，解决需要大量配置工作才能完成的功能。

发明内容

针对上述问题，本发明提出了一种功能权限与接口权限结合的用户权限控制方法及系统，设置资源表，存储可访问的页面资源、敏感操作资源，并保存资源对应的后端接口url信息，通过页面资源，敏感操作资源的组合，实现简化配置替代需要大量配置工作才能完成的功能。

为实现上述目的，本发明公开了一种功能权限与接口权限结合的用户权限控制方法，包括：

为页面资源设置菜单权限，为敏感操作设置按钮权限，将所有菜单权限、所有按钮权限均纳入资源权限表，配置各资源权限的信息，包括接口url，其中，所述菜单权限允许访问，所述按钮权限禁止访问；

配置用户角色关联表、角色资源关联表，使用户与资源权限表进行关联；

用户登录时，获取用户对应角色的资源权限，形成权限列表存入缓存；

获取所述权限列表中允许访问的资源权限，在前端页面展示对应的菜单；

前端页面请求后端接口时，获取所述权限列表中禁止访问的资源权限，若请求的路径不属于禁止访问的资源权限对应的接口url，则进一步获取权限列表中允许访问的资源权限；

若请求的路径与允许访问的资源权限对应的接口url匹配，则执行该请求。

作为本发明的进一步改进，各资源权限的信息，包括：资源id、资源名称、前端页面访问路径、资源类型、接口url和访问类型；

所述资源类型为菜单，则访问类型为允许访问；

所述资源类型为按钮，则访问类型为禁止访问。

作为本发明的进一步改进，

将所述权限列表加入key为用户id的缓存。

作为本发明的进一步改进，前端页面请求后端接口时，首先根据用户id调用缓存中的所述权限列表；

若不存在缓存的权限列表，则根据用户、角色和资源权限的关联关系到数据库中加载，并存入缓存。

作为本发明的进一步改进，获取所述权限列表中禁止访问的资源权限及对应的接口url，形成禁止访问资源列表；

遍历所有禁止访问资源列表，若所述后端接口与所述禁止访问资源列表中资源权限对应的接口url匹配，则跳出遍历循环，提示鉴权失败，无接口访问权限；

若遍历完成，没有匹配的资源权限对应的接口url，则该请求的后端接口不在禁止访问资源列表中。

作为本发明的进一步改进，

获取权限列表中允许访问的资源权限及对应的接口url；

遍历允许访问的资源权限对应的接口url，判断请求的路径是否与允许访问的资源权限对应的接口url匹配；

若请求路径与任一允许访问的资源权限对应的接口url匹配，则鉴权通过，执行该请求。

作为本发明的进一步改进，

若所有允许访问的资源权限对应的接口url均未能匹配，则提示鉴权失败，无接口访问权限。

作为本发明的进一步改进，所述菜单权限对应的接口url支持通配符，多个url之间使用逗号分隔。

作为本发明的进一步改进，一个菜单权限对应多个按钮；

所述按钮权限对应的接口url是后端服务的接口地址，所述菜单权限对应的接口url是多个按钮对应的url。

本发明还提供了一种功能权限与接口权限结合的用户权限控制系统，包括：配置模块，登录控制模块和请求控制模块；

所述配置模块，用于：

为页面资源设置菜单权限，为敏感操作设置按钮权限，将所有菜单权限、所有按钮权限均纳入资源权限表，配置各资源权限的信息，包括接口url，其中，所述菜单权限允许访问，所述按钮权限禁止访问；

配置用户角色关联表、角色资源关联表，使用户与资源权限表进行关联；

所述登录控制模块，用于：

用户登录时，获取用户对应角色的资源权限，形成权限列表存入缓存；

获取所述权限列表中允许访问的资源权限，在前端页面展示对应的菜单；

所述请求控制模块，用于：

前端页面请求后端接口时，获取所述权限列表中禁止访问的资源权限，若请求的路径不属于禁止访问的资源权限对应的接口url，则进一步获取权限列表中允许访问的资源权限；

若请求的路径与允许访问的资源权限对应的接口url匹配，则执行该请求。

与现有技术相比，本发明的有益效果为：

本发明通过资源表的设计，既可以存储可访问的页面资源，又可以存储敏感操作资源，并且还保存了资源对应的后端接口url信息。通过页面资源，敏感操作资源的组合，实现简化配置替代需要大量配置工作才能完成的功能，并且通过缓存的应用，提升权限校验的效率。

附图说明

图1为本发明背景技术中公开的功能权限与接口权限关系图；

图2为本发明背景技术中公开的用户的角色既要保存菜单权限数据，又要保存相关按钮权限数据时，角色和权限的关联关系图；

图3为本发明背景技术中公开的根据不同的角色创建不同的菜单按钮，这些菜单按钮名称相同，但是菜单关联的操作按钮却不同时，角色和权限的关联关系图；

图4为本发明一种实施例公开的基于角色的访问控制（RBAC）模型示意图；

图5为本发明一种实施例公开的菜单权限，操作权限和接口权限的关系图；

图6为本发明一种实施例公开的字典管理模块中一般角色权限关系图；

图7为本发明一种实施例公开的字典管理模块中管理员角色权限关系图；

图8为本发明一种实施例公开的功能权限和接口权限结合的用户权限控制方法流程图；

图9为本发明一种实施例公开的功能权限和接口权限结合的用户权限控制系统示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

下面结合附图对本发明做进一步的详细描述：

如图8所示，本发明公开的一种功能权限与接口权限结合的用户权限控制方法，包括：

S1、为页面资源设置菜单权限，为敏感操作设置按钮权限，将所有菜单权限、所有按钮权限均纳入资源权限表，配置各资源权限的信息，包括接口url，其中，菜单权限允许访问，按钮权限禁止访问；

其中，

为了实现不同用户看到的菜单不同，不同用户有不同的操作权限的功能，而又想减少操作按钮的配置数量，提升权限校验的效率，我们考虑到，通常一个业务模块中的敏感操作数量很少，因此，按钮数据只保存这些敏感操作对应的按钮数据，而在菜单对应的后端接口的url支持通配符，用来替代一个菜单对应的业务模块中多个操作按钮对应的后端接口的url，这样就能大大简化配置工作量，且可以优化权限校验的效率。

进一步的，

配置各资源权限的信息环节，资源权限的信息内容包括：资源id、资源名称、前端页面访问路径、资源类型、接口url和访问类型，资源权限的存储结构如表1所示：

字段	类型	备注
			id	varchar	主键，uuid，资源id
name	varchar	资源名称
			path	varchar	前端页面的访问路径（资源绝对路径）
type	byte	资源类型 0：菜单 1：按钮
			service_url	varchar	接口url，对应接口权限，支持通配符，多个url之间使用逗号分隔
access_type	byte	访问类型 0：允许访问 1：禁止访问菜单的访问类型是0，按钮的访问类型是1

具体的，

资源权限的存储结构中包括主键id，资源名称，前端访问路径path，资源类型、接口url和访问类型等字段。资源类型中，0表示菜单，1表示按钮；访问类型中，0表示允许访问，1表示禁止访问，也即，资源类型为菜单，则访问类型为允许访问；资源类型为按钮，则访问类型为禁止访问；接口url对应接口权限，表示前端页面对应的后端接口的url，支持通配符，多个url之间逗号分隔。一般按钮配置的是接口url是后端服务的接口地址，而菜单配置的是这个菜单对应的多个操作按钮对应的url，因此菜单配置中的接口url一般使用通配符。菜单对应的访问类型为0（允许访问），按钮对应的访问类型为1（禁止访问）。

资源权限的存储结构中的主键id，资源名称，前端访问路径path，资源类型保存的是功能权限信息（菜单或按钮），同时接口url和访问类型字段则保存了对应的接口权限信息。进而形成的菜单权限，操作权限和接口权限的关系图如图 5所示。

S2、配置用户角色关联表、角色资源关联表，使用户与资源权限表进行关联；

其中，

RBAC（全称：Role-Based Access Control）指基于角色的访问控制，RBAC模型示意图如图4所示。在RBAC中，资源与角色相关联，用户通过成为适当角色的成员而得到这些角色的资源权限，这就极大地简化了权限的管理。简单来说就是用户关联角色，角色关联资源权限。

S3、用户登录时，获取用户对应角色的资源权限，形成权限列表存入缓存；

其中，

将权限列表加入key为用户id的缓存。

进一步的，

权限列表既包括允许访问的页面资源列表，又包括禁止访问的操作资源列表；既包括页面权限，操作权限，还包括页面权限和操作权限对应的接口权限。

S4、获取权限列表中允许访问的资源权限，在前端页面展示对应的菜单；

其中，

允许访问的资源权限即为菜单权限。

S5、进入菜单页面，在前端菜单页面请求后端接口时，获取权限列表中禁止访问的资源权限，若请求的路径不属于禁止访问的资源权限对应的接口url，则进一步获取权限列表中允许访问的资源权限；

其中，

前端页面请求后端接口时，首先根据用户id调用缓存中的权限列表；

若不存在缓存的权限列表，则根据用户、角色和资源权限的关联关系到数据库中加载，并存入缓存。

进一步的，

获取权限列表中禁止访问的资源权限及对应的接口url，形成禁止访问资源列表；

遍历所有禁止访问资源列表，若后端接口与禁止访问资源列表中资源权限对应的接口url匹配，则跳出遍历循环，提示鉴权失败，无接口访问权限；

若遍历完成，没有匹配的资源权限对应的接口url，则该请求的后端接口不在禁止访问资源列表中。

S6、若请求的路径与允许访问的资源权限对应的接口url匹配，则执行该请求。

其中，

获取权限列表中允许访问的资源权限及对应的接口url；

遍历允许访问的资源权限对应的接口url，判断请求的路径是否与允许访问的资源权限对应的接口url匹配；

若请求路径与任一允许访问的资源权限对应的接口url匹配，则鉴权通过，执行该请求。

进一步的，

若所有允许访问的资源权限对应的接口url均未能匹配，则提示鉴权失败，无接口访问权限。

如图9所示，本发明还提供了一种功能权限与接口权限结合的用户权限控制系统，包括：配置模块，登录控制模块和请求控制模块；

配置模块，用于：

为页面资源设置菜单权限，为敏感操作设置按钮权限，将所有菜单权限、所有按钮权限均纳入资源权限表，配置各资源权限的信息，包括接口url，其中，菜单权限允许访问，按钮权限禁止访问；

配置用户角色关联表、角色资源关联表，使用户与资源权限表进行关联；

登录控制模块，用于：

用户登录时，获取用户对应角色的资源权限，形成权限列表存入缓存；

获取权限列表中允许访问的资源权限，在前端页面展示对应的菜单；

请求控制模块，用于：

前端页面请求后端接口时，获取权限列表中禁止访问的资源权限，若请求的路径不属于禁止访问的资源权限对应的接口url，则进一步获取权限列表中允许访问的资源权限；

若请求的路径与允许访问的资源权限对应的接口url匹配，则执行该请求。

实施例：

如图5、6、7所示，以字典管理模块为例：

字典管理模块对应的前端页面的访问路径path为/dictionary/manager，对应的后端服务的接口url为/api/dictionary/*；

添加字典按钮对应的后端服务的url为/api/dictionary/add，删除字典按钮对应的后端服务的url为/api/dictionary/delete。

对于字典管理模块，添加字典和删除字典按钮只有管理员角色才有权限，一般人员角色则无此权限，因此，将添加字典和删除字典按钮作为敏感操作，分别设置按钮权限；

那么在设置角色和资源关联关系时，

一般人员角色则既需要配置字典管理菜单，又需要配置添加字典和删除字典按钮，如图 6所示；

管理员角色只需配置字典管理的菜单即可，如图 7所示。

这样，管理员可以访问前端访问路径path为/dictionary/manager的字典管理模块，可以访问的后端接口只需与/api/dictionary/*相匹配；

而一般人员角色也可以访问前端访问路径path为/dictionary/manager的字典管理模块，但是不能访问url为/api/dictionary/delete和/api/dictionary/add的后端接口，并且可访问的后端接口也必须与/api/dictionary/*相匹配。

本发明的优点：

本发明通过资源表的设计，既可以存储可访问的页面资源，又可以存储敏感操作资源，并且还保存了资源对应的后端接口url信息。通过页面资源，敏感操作资源的组合，实现简化配置替代需要大量配置工作才能完成的功能，并且通过缓存的应用，提升权限校验的效率，是一种简单有效的资源权限的控制方法。

本发明

以上仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种功能权限与接口权限结合的用户权限控制方法，其特征在于，包括：

为页面资源设置菜单权限，为敏感操作设置按钮权限，将所有菜单权限、所有按钮权限均纳入资源权限表，配置各资源权限的信息，所述资源权限的信息包括接口url、资源id、资源名称、前端页面访问路径、资源类型和访问类型，其中，所述资源类型为菜单，则访问类型为允许访问，所述资源类型为按钮，则访问类型为禁止访问；

配置用户角色关联表、角色资源关联表，使用户与资源权限表进行关联；

用户登录时，获取用户对应角色的资源权限，形成权限列表存入缓存；

获取所述权限列表中允许访问的资源权限，在前端页面展示对应的菜单；

前端页面请求后端接口时，获取所述权限列表中禁止访问的资源权限，若请求的路径不属于禁止访问的资源权限对应的接口url，则进一步获取权限列表中允许访问的资源权限；

若请求的路径与允许访问的资源权限对应的接口url匹配，则执行该请求。

2.根据权利要求1所述的功能权限与接口权限结合的用户权限控制方法，其特征在于：

将所述权限列表加入key为用户id的缓存。

3.根据权利要求2所述的功能权限与接口权限结合的用户权限控制方法，其特征在于：前端页面请求后端接口时，首先根据用户id调用缓存中的所述权限列表；

若不存在缓存的权限列表，则根据用户、角色和资源权限的关联关系到数据库中加载，并存入缓存。

4.根据权利要求1所述的功能权限与接口权限结合的用户权限控制方法，其特征在于：获取所述权限列表中禁止访问的资源权限及对应的接口url，形成禁止访问资源列表；

遍历所有禁止访问资源列表，若所述后端接口与所述禁止访问资源列表中资源权限对应的接口url匹配，则跳出遍历循环，提示鉴权失败，无接口访问权限；

若遍历完成，没有匹配的资源权限对应的接口url，则该请求的后端接口不在禁止访问资源列表中。

5.根据权利要求1所述的功能权限与接口权限结合的用户权限控制方法，其特征在于：

获取权限列表中允许访问的资源权限及对应的接口url；

遍历允许访问的资源权限对应的接口url，判断请求的路径是否与允许访问的资源权限对应的接口url匹配；

若请求路径与任一允许访问的资源权限对应的接口url匹配，则鉴权通过，执行该请求。

6.根据权利要求5所述的功能权限与接口权限结合的用户权限控制方法，其特征在于：

若所有允许访问的资源权限对应的接口url均未能匹配，则提示鉴权失败，无接口访问权限。

7.根据权利要求1所述的功能权限与接口权限结合的用户权限控制方法，其特征在于：所述菜单权限对应的接口url支持通配符，多个url之间使用逗号分隔。

8.根据权利要求1所述的功能权限与接口权限结合的用户权限控制方法，其特征在于：一个菜单权限对应多个按钮；

所述按钮权限对应的接口url是后端服务的接口地址，所述菜单权限对应的接口url是多个按钮对应的url。

9.一种功能权限与接口权限结合的用户权限控制系统，实现如权利要求1~8任一项所述的功能权限与接口权限结合的用户权限控制方法，其特征在于：包括：配置模块，登录控制模块和请求控制模块；

所述配置模块，用于：

为页面资源设置菜单权限，为敏感操作设置按钮权限，将所有菜单权限、所有按钮权限均纳入资源权限表，配置各资源权限的信息，包括接口url，其中，所述菜单权限允许访问，所述按钮权限禁止访问；

配置用户角色关联表、角色资源关联表，使用户与资源权限表进行关联；

所述登录控制模块，用于：

用户登录时，获取用户对应角色的资源权限，形成权限列表存入缓存；

获取所述权限列表中允许访问的资源权限，在前端页面展示对应的菜单；

所述请求控制模块，用于：

前端页面请求后端接口时，获取所述权限列表中禁止访问的资源权限，若请求的路径不属于禁止访问的资源权限对应的接口url，则进一步获取权限列表中允许访问的资源权限；

若请求的路径与允许访问的资源权限对应的接口url匹配，则执行该请求。

Images