權(quán)限通用化管理系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)

陳穎悅

（廈門理工學(xué)院 經(jīng)濟(jì)與管理實(shí)驗(yàn)中心，福建 廈門,361000）

隨著高校信息化程度不斷提高，高校各院系門戶等信息系統(tǒng)日益增多。由于B/S模式具有標(biāo)準(zhǔn)化、開放分布式等優(yōu)點(diǎn)。在服務(wù)器上集中運(yùn)行各類信息系統(tǒng)，客戶端只要裝有瀏覽器，無需向C/S模式需要安裝其他一些特定軟件就可以隨時(shí)隨地訪問這些信息系統(tǒng)。然而B/S模式在提供這種便利訪問的同時(shí)，也存在較大的安全問題，需要對各類用戶訪問信息系統(tǒng)進(jìn)行權(quán)限分配限制，如各院系門戶網(wǎng)站內(nèi)容發(fā)布、內(nèi)容審核等權(quán)限需對不同用戶進(jìn)行限制。另外由于不同的信息系統(tǒng)的資源差別較大，每一個(gè)信息系統(tǒng)都重新設(shè)計(jì)一個(gè)權(quán)限管理不僅浪費(fèi)人力物力，而且各管理人員都要重新培訓(xùn)學(xué)習(xí)，對管理人員也是非常繁瑣。因此設(shè)計(jì)一套良好的權(quán)限通用化管理系統(tǒng)對整個(gè)信息系統(tǒng)的設(shè)計(jì)、管理、維護(hù)都具有非常重要的意義。基于角色的安全訪問控制（RBAC，role-based access control）技術(shù)已經(jīng)非常成熟，.Net也提供了對用戶和角色管理的良好實(shí)現(xiàn)基礎(chǔ)。

1 需求分析

權(quán)限通用化管理系統(tǒng)是整個(gè)信息系統(tǒng)的一部分，是基礎(chǔ)支撐的子系統(tǒng)，通過通用權(quán)限管理子系統(tǒng)對具體系統(tǒng)功能、系統(tǒng)資源的使用訪問進(jìn)行授權(quán)，分配，管理。RBAC包括用戶、角色、權(quán)限3個(gè)部分。將權(quán)限與角色相關(guān)聯(lián)，用戶成為角色的成員而具有該角色的權(quán)限，簡化權(quán)限管理，如圖1所示。

圖1 簡化權(quán)限管理關(guān)聯(lián)圖

權(quán)限通用化管理系統(tǒng)應(yīng)具有以下特點(diǎn)：

（1）用戶生命周期管理。對用戶從注冊、登陸、功能使用、資源訪問、注銷、刪除等生命周期進(jìn)行跟蹤檢測。將用戶整個(gè)流程周期都控制在通用權(quán)限管理子系統(tǒng)，提高用戶角色信息安全保證整個(gè)B/S系統(tǒng)的安全性。

（2）可重用性。這是權(quán)限通用化管理系統(tǒng)設(shè)計(jì)的初衷，提供基本的用戶管理、角色管理、功能模塊管理。在這些基本功能的基礎(chǔ)上進(jìn)行擴(kuò)展，只需關(guān)注信息系統(tǒng)具體功能的實(shí)現(xiàn)，而無需關(guān)心用戶控制、權(quán)限管理等功能。

（3）高效便捷。權(quán)限通用化管理系統(tǒng)基本數(shù)據(jù)都存儲在數(shù)據(jù)庫表中，用戶、角色、權(quán)限、功能模塊之間的關(guān)系也存儲在數(shù)據(jù)庫中。各個(gè)表之間的關(guān)聯(lián)是多對多的關(guān)系。用戶有復(fù)雜的角色權(quán)限繼承關(guān)系。因此需要有較高的系統(tǒng)性能以及方便快捷的在此子系統(tǒng)的基礎(chǔ)上進(jìn)行功能模塊的開發(fā)。

2 通用化權(quán)限系統(tǒng)功能模塊設(shè)計(jì)實(shí)現(xiàn)

2.1 總體設(shè)計(jì)

權(quán)限通用化管理系統(tǒng)通過提供用戶管理、用戶角色管理、角色權(quán)限管理、功能模塊管理等基本功能，通過功能模塊管理可對各類具體功能模塊進(jìn)行集中統(tǒng)一管理。通過角色權(quán)限對用戶進(jìn)行高度靈活分配權(quán)限，實(shí)現(xiàn)多層次、分布式管理。使整個(gè)系統(tǒng)完整而不失高度可拓展性。

權(quán)限通用化管理系統(tǒng)采用B/S模式進(jìn)行開發(fā)，ASP.NET是基于通用語言的動態(tài)網(wǎng)頁開發(fā)工具，也是將面向?qū)ο蟮木W(wǎng)絡(luò)編程工具，具有強(qiáng)大性和適應(yīng)性，完全基于組件與模塊,具有良好的可定制性與可擴(kuò)展性和兼容性。ASP.NET使用ADO.NET接口訪問數(shù)據(jù)庫，有天然優(yōu)勢。對于數(shù)據(jù)庫具體操作代碼，系統(tǒng)將使用存儲過程來完成，這樣既可以加快程序運(yùn)行速度、增加可操作性、可維護(hù)性。與權(quán)限通用化管理系統(tǒng)有著極大的契合度，因此選用ASP.NET和SQLServer作為開發(fā)語言和數(shù)據(jù)庫存儲。

2.2 數(shù)據(jù)庫設(shè)計(jì)

在權(quán)限通用化管理系統(tǒng)中數(shù)據(jù)庫存儲著各類模塊、角色、用戶、權(quán)限分配等信息。是權(quán)限通用化管理系統(tǒng)實(shí)現(xiàn)動態(tài)分配角色權(quán)限的基礎(chǔ)。一個(gè)較為完整的權(quán)限通用化管理系統(tǒng)中數(shù)據(jù)庫表至少需要包括功能模塊表、用戶信息表、角色信息表、權(quán)限分配表等等數(shù)據(jù)表。模塊表用于保存實(shí)現(xiàn)具體業(yè)務(wù)功能模塊信息以及各模塊之間的關(guān)系，應(yīng)包括模塊編號、模塊名稱、模塊路徑、父級模塊編號等等信息如表1所示。用戶信息表保存用戶的相關(guān)信息至少應(yīng)包含用戶賬號、用戶密碼、用戶所屬部門角色編號等基本信息，可根據(jù)具體功能進(jìn)行拓展字段，如表2所示。角色信息表用于存儲系統(tǒng)的角色信息至少應(yīng)包括角色編號、角色名稱等基本信息，如表3所示。權(quán)限分配表則是用于存儲用戶-角色-功能模塊之間的訪問控制的關(guān)系，如表4所示。

表1 模塊表

表2 用戶信息表

表3 角色信息表

表4 角色模塊權(quán)限表

通用化權(quán)限系統(tǒng)數(shù)據(jù)庫數(shù)據(jù)模型如圖2所示。

圖2 通用化權(quán)限系統(tǒng)數(shù)據(jù)庫數(shù)據(jù)模型

3 功能模塊設(shè)計(jì)

權(quán)限通用化管理系統(tǒng)通過提供用戶管理、用戶角色管理、角色權(quán)限管理、功能模塊管理等幾大模塊。

用戶管理。用戶管理是對用戶的整個(gè)生命周期集中統(tǒng)一的管理。包括新用戶注冊添加，用戶密碼修改，用戶資料修改，用戶登錄驗(yàn)證，用戶刪除，用戶批量管理，查詢?yōu)g覽用戶信息等基本功能。

用戶角色管理。通過創(chuàng)建一系列用戶角色并將用戶指派到指定的角色就可以對用戶按角色分組管理能方便統(tǒng)一的對該角色里面的用戶進(jìn)行批量設(shè)置。用戶角色管理包括創(chuàng)建用戶角色，刪除現(xiàn)有用戶角色，修改用戶角色信息，瀏覽查詢用戶角色信息，分配用戶角色等功能。

角色權(quán)限管理。將用戶指派到各類角色，通過對用戶角色進(jìn)行授權(quán)實(shí)現(xiàn)對屬于該用戶角色的用戶批量授權(quán)，用戶加入或者退出相應(yīng)的角色就具有或失去相應(yīng)角色的權(quán)限，避免需對每個(gè)用戶分別設(shè)置權(quán)限的繁瑣操作。角色權(quán)限管理應(yīng)具有分配新權(quán)限，修改現(xiàn)有權(quán)限、刪除現(xiàn)有權(quán)限、權(quán)限查詢?yōu)g覽等功能。

功能模塊管理。對各類實(shí)現(xiàn)具體功能的模塊進(jìn)行管理。包括添加、修改、刪除、啟用等功能。

整個(gè)通用權(quán)限管理的流程如下：首先把各類具體功能模塊通過功能權(quán)限管理集成至系統(tǒng)中進(jìn)行統(tǒng)一管理；根據(jù)實(shí)際需求按照部門級別不同創(chuàng)建多個(gè)用戶角色，如各辦公室、各部門等等具體角色；根據(jù)部門級別權(quán)限對創(chuàng)建的角色授予相關(guān)模塊相應(yīng)的操作權(quán)限；批量添加用戶信息到系統(tǒng)中，并把用戶加入相對應(yīng)的用戶角色中，用戶即可繼承該角色所對應(yīng)的權(quán)限。

用戶訪問某個(gè)功能模塊時(shí)要求用戶先進(jìn)行登錄驗(yàn)證。驗(yàn)證通過后獲取用戶所在角色的權(quán)限列表，判斷用戶是否具有訪問該模塊的權(quán)限，有權(quán)限訪問則繼續(xù)調(diào)用加載該模塊，無權(quán)限訪問則進(jìn)行相應(yīng)的處理。流程如圖3所示。

圖3 通用權(quán)限管理的流程圖

部分系統(tǒng)接口如下

用戶登錄驗(yàn)證

Public Function CheckLogin(ByVal username As String,ByVal password As String)As Boolean

用戶輸入用戶名和密碼，調(diào)用數(shù)據(jù)庫查詢功能，核對輸入的用戶名和密碼驗(yàn)證用戶是否為合法用戶，返回驗(yàn)證結(jié)果。

添加用戶角色

Public Function AddRole(ByVal rolename As String,ByVal rolememo As String)As Integer

添加用戶角色之前先檢查是否已經(jīng)存在該用戶角色有則提示已存在，不存在該用戶角色則將輸入的角色名，角色備注等信息添加至數(shù)據(jù)庫角色表中，并返回添加后的角色編號id。

判斷用戶是否具有某個(gè)功能模塊的操作權(quán)限部分代碼如下：

判斷用戶是否具有某個(gè)功能模塊的操作權(quán)限時(shí)，根據(jù)用戶信息讀取用戶所屬角色信息，再通過角色信息獲取該角色所具有的權(quán)限列表，在權(quán)限列表中查找與該模塊相匹配的記錄，匹配到記錄返回驗(yàn)證通過 True，否則則返回驗(yàn)證未通過False。

圖4 權(quán)限通用化管理系統(tǒng)處理流程圖

4 算法設(shè)計(jì)

權(quán)限通用化管理系統(tǒng)中有兩類映射關(guān)系，分別是用戶-角色映射關(guān)系 角色-權(quán)限映射關(guān)系。權(quán)限通用化管理系統(tǒng)中這兩種關(guān)系較為復(fù)雜，如一個(gè)用戶映射多個(gè)角色，一個(gè)角色映射多個(gè)用戶等等，是多對多的關(guān)系。對用戶-角色-權(quán)限之間的映射關(guān)系處理是權(quán)限通用化管理系統(tǒng)的重要組成部分。根據(jù)多個(gè)角色、權(quán)限分配繼承映射不同，可以分為直接映射和繼承映射。用戶和角色之間沒有繼承其他角色的直接指派分配角色為直接映射。用戶和角色之間存在繼承其他角色的角色分配成為繼承映射。舉例如下，角色B繼承自角色A，如果用戶A與角色B存在映射關(guān)系，則用戶A-角色B之間的關(guān)系為直接映射關(guān)系；用戶A-角色A則為基礎(chǔ)映射關(guān)系。角色A與權(quán)限A映射，角色B繼承自角色A，則角色A-權(quán)限A之間為直接映射關(guān)系，角色B-權(quán)限A為繼承映射關(guān)系。一個(gè)用戶只能和一個(gè)角色存在直接映射關(guān)系，可以和多個(gè)角色存在繼承映射關(guān)系。一個(gè)角色可以與一個(gè)權(quán)限存在直接映射關(guān)系，可以和多個(gè)權(quán)限存在繼承映射關(guān)系。處理流程如圖4。

部分代碼如下：

5 結(jié)論與討論

本文介紹一種支持多個(gè)應(yīng)用系統(tǒng)集成環(huán)境下的進(jìn)行統(tǒng)一用戶授權(quán)管理所必須的授權(quán)信息通用化表示方案，在對當(dāng)前主要權(quán)限控制模型分析總結(jié)的基礎(chǔ)上，提出并實(shí)現(xiàn)了擴(kuò)展的RBAC模型，它不但能夠完成系統(tǒng)按角色進(jìn)行授權(quán)管理、權(quán)限驗(yàn)證，對系統(tǒng)資源的動態(tài)管理，擴(kuò)展了對用戶臨時(shí)權(quán)限的直接授權(quán)管理，從而有效的加強(qiáng)了Web系統(tǒng)的權(quán)限控制能力。另外，模型在實(shí)現(xiàn)時(shí)采用了獨(dú)立的通用化設(shè)計(jì)原則，使得它能夠很容易地在Web系統(tǒng)中進(jìn)行集成復(fù)用、拓展掛載。在幾個(gè)項(xiàng)目軟件中的實(shí)用情況說明該擴(kuò)展模型取得了較好的預(yù)期效果。

該權(quán)限通用化管理系統(tǒng)在設(shè)計(jì)上通過角色的分配管理可以有效地避免非法用戶登陸該信息管理系統(tǒng)，對于那些不經(jīng)常登錄或者有破壞數(shù)據(jù)安全傾向的用戶可以進(jìn)行刪除和禁用，在信息系統(tǒng)的安全管理中起到了非常重要的作用。該設(shè)計(jì)方案使得不同類別的管理人員和操作人員能充分有效而且合理地使用本績效考核系統(tǒng)不但能夠充分的發(fā)揮該系統(tǒng)的優(yōu)越性而且較大地提高了系統(tǒng)的安全、可靠性，使權(quán)限達(dá)到自定義、顆粒化、卡片附加式的程度，具有很好的實(shí)際使用價(jià)值。

［1］張健，孫吉貴，李妮婭，等.工作流中一個(gè)基于加權(quán)角色的權(quán)限代理模型［J］.吉林大學(xué)學(xué)報(bào)：工學(xué)版，2009，39（4）：1057－1063.

［2］范明虎，樊紅，伍孝金，等.ASP.net中基于 RBAC 的權(quán)限通用化管理系統(tǒng)［J］.計(jì)算機(jī)工程，2010，36（1）：143－145.

［3］楊瑩瑩.權(quán)限通用化管理系統(tǒng)研究與應(yīng)用［D］.成都：電子科技大學(xué)，2010.

［4］易高翔，楊春生，馬良俊，等.B／S模式下基于角色的權(quán)限管理系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)［J］.中國安全生產(chǎn)科學(xué)技術(shù)，2008，4（3）：110－113.

［6］戴瑩瑩.B／S結(jié)構(gòu)的OA系統(tǒng)中基于角色訪問控制模型研究與實(shí)現(xiàn)［D］.武漢：武漢理工大學(xué)，2006.

［7］吳春雷，張學(xué)輝.一種基于 RBAC 擴(kuò)展模型的 Web 系統(tǒng)權(quán)限控制方法［J］.科學(xué)技術(shù)與工程，2007，7（11）：2672－2676.

［8］強(qiáng)光平，劉才銘，趙靜，等.基于 JSP 的用戶分組權(quán)限的設(shè)計(jì)和實(shí)現(xiàn)［J］.計(jì)算機(jī)光盤軟件與應(yīng)用，2013（18）：53－54.

［9］朱愛梅.基于對象的 RBAC 權(quán)限控制模型在 Web 系統(tǒng)中的應(yīng)用［J］.數(shù)字技術(shù)與應(yīng)用，2011（11）：242－243.

［10］徐寧.基于角色的訪問控制技術(shù)在數(shù)字圖書館的應(yīng)用［J］.情報(bào)雜志，2007，26（11）：62－64.

［11］夏志雄，張曙光.RBAC 在基于 Web 管理信息系統(tǒng)中的應(yīng)用［J］.計(jì)算機(jī)應(yīng)用研究，2004，21（7）：198－199.

［12］董斌，陳進(jìn)哲，劉秀玲，等.基于Web的RBAC權(quán)限機(jī)制在電子病歷系統(tǒng)的研究［J］.計(jì)算機(jī)工程與應(yīng)用，2008，44（26）：233－235，238.

［13］崔樂樂，夏洪山.基于 RBAC 的權(quán)限認(rèn)證在高校信息管理系統(tǒng)中的應(yīng)用［J］.電腦知識與技術(shù)，2010，6（29）：8160－8161.

［14］杜利峰，許淳.基于 ASP.NET 權(quán)限動態(tài)分配的設(shè)計(jì)與實(shí)現(xiàn)［J］.現(xiàn)代電子技術(shù)，2012，35（18）：36－37.

［15］朱勇，陸亞東.基于角色的權(quán)限訪問控制在 CMS 中的研究與應(yīng)用［J］.計(jì)算技術(shù)與自動化，2008，27（1）：100－103.

［16］李南妮，張璟，李軍懷，等.一種基于樹型結(jié)構(gòu)的 B／S 系統(tǒng)權(quán)限控制方法［J］.計(jì)算機(jī)應(yīng)用研究，2005，22（10）：128－130.

［18］瞿詩高.基于Asp.Net MVC3.0設(shè)計(jì) WEB信息管理系統(tǒng)身份驗(yàn)證與顆粒權(quán)限［J］.計(jì)算機(jī)光盤軟件與應(yīng)用，2013，（5）：169－170，184.