通用数据权限管理系统设计

矫情吗；* 2021-09-12 08:56 539阅读 0赞

### [通用数据权限管理系统设计][Link 1] ###

通用数据权限管理系统设计（一）

前言：

本文提供一种集成功能权限和数据权限的解决方法，以满足多层次组织中权限管理方面的集中控制。本方法是RBAC（基于角色的访问控制方法）的进一步扩展和延伸，即在功能权限的基础上增加数据权限的管理，实现数据权限和功能权限的集中处理。

解释：

功能权限：能做什么的问题，如增加销售订单；

数据权限：能在哪里干什么的问题，如察看北京分公司海淀销售部张三的销售订单；

术语：

资源：系统中的资源，主要是各种业务对象，如销售单、付款单等；

操作类型：对资源可能的访问方法，如增加、删除、修改等；

功能：对资源的操作，是资源与操作类型的二元组，如增加销售单、修改销售单等；

数据类型：业务系统中常用的数据权限类型，如公司、部门、项目、个人等；

数据对象：具体的业务对象，如甲公司、乙部门等等，包括所有涉及到数据权限的对象值；

权限：角色可使用的功能，分角色的功能权限和角色的数据权限；

角色：特定权限的集合；

用户：参与系统活动的主体，如人，系统等。

通用数据权限管理系统设计（二）

方法说明：

在实际应用中，数据权限的控制点一般相对固定，如针对公司、部门、个人、客户、供应商等，也就是说数据权限一般针对指定数据类型下的一些数据对象。

本方法中，数据权限的依赖于功能权限，是对功能权限的进一步描述，说明角色在指定的功能点上的数据控制权限。

本方法中采用“没有明确规定即视为有效”的原则，如果没有定义功能的数据权限，则说明该角色具有该功能的全部的权限。如果定义了功能的某种类型的数据权限，则该用户只具有该类型下指定数据的数据权限。

这段话比较绕口，下面举个例子实际例子。

某公司有北京销售部、上海销售部和广州销售部三个销售部，现在需要定义几种角色：

销售总监      -- 能察看所有销售部的销售订单；

北京销售经理 -- 只能察看北京销售部的所有销售订单；

上海销售经理 -- 只能察看上海销售部的所有销售订单；

广州销售经理 -- 只能察看广州销售部的所有销售订单；

上述角色的定义如下：

-------------------------------------------------------------------

角色名称             功能             数据类型     数据对象

-------------------------------------------------------------------

销售总监           察看销售订单

北京销售经理       察看销售订单         部门         北京

上海销售经理       察看销售订单         部门         上海

广州销售经理       察看销售订单         部门         广州

-------------------------------------------------------------------

上述定义中，销售总监只定义了功能权限，而没有定义数据权限，所以销售总监能够察看所有的销售订单；而其他几位销售经理分别定义了这一功能的数据权限，所以只能察看指定部门的销售订单。

在实际应用中，往往会出现部门分组，组长能够察看本组所有人员处理的销售订单的情况，以及某些情况下，某些人只能察看本人的销售订单的情况，这些特殊情况在上述的说明中无法解决，需要在设计和实现中进行处理。

北京销售代表 -- 只能察看北京销售部的本人的所有销售订单；

北京销售代表         察看销售订单           部门            北京

个人

通用数据权限管理系统设计（三）--数据库设计

我们先来看看传统的基于角色的权限管理系统，如下图所示，最简单的基于角色的权限管理由系统功能、系统角色、系统用户、角色功能和用户角色五部分组成。

![role_based.gif][]

图一：基于角色的数据库结构

为实现数据权限控制，在设计上对基于角色的权限管理进行扩充，如下图所示：

![dat_based.gif][]

图二：通用数据权限管理系统数据库设计

对比两张图，我们可以看到，他们之间的主要变化为：

1、 增加系统资源信息和操作类型信息，系统资源为树形结构、如销售模块、销售订单等；操作类型记录可能的操作，如增加、删除、修改、查看、查询等，系统功能是资源与操作类型的组合，对资源的操作就是系统功能。

2、 增加数据对象类型和数据对象两张表，数据对象类型记录系统中需要控制的对象类型，如部门、库房、员工、客户、供应商等；数据对象记录各对象类型的对象实例，如北京销售部、上海销售部、张三、李四等等。（独立保存的好处后面会说到）

3、 增加系统资源与数据对象类型的关联表（多对多），本表为配置表，说明某种资源可能需要的控制点，如销售订单与部门类型的关联可能涉及到分部门分配权限；销售订单与客户的关联可能涉及到按客户分配权限等等。

4、 增加数据对象与角色权限的关联，这张表是真正最终实现数据权限管理的所在地。

通过这种设计，能够最小化地减少对原有权限系统的更改，并且可以很灵活地增加数据的控制点。在产品化软件的设计中使用，能够灵活满足客户的需要。

下一篇文章将讨论这种结构如何满足第二部分功能需求的问题，如果时间允许，将对程序的设计做进一步阐述。

本设计方法已应用于自行开发的通用供应链管理系统中，欢迎指正。

**开源供应链\[进销存\]系统说明目录**

[Link 1]: http://blog.csdn.net/fly_cloud/article/details/1041807
[role_based.gif]: /images/20210726/687a884f6924490bb73f3d3ee788505d.png
[dat_based.gif]: /images/20210726/bf7aee3938f94960ad475cf866597276.png

发表评论取消回复

表情：

评论列表（有 0 条评论，539人围观）

还没有评论，来说两句吧...

相关阅读

相关 Java开发的通用权限管理系统设计与实现（SSM+MySQL）

01 概述这是一个通用权限管理系统项目，基于 SSM（Spring + Spring-MVC +Mybatis）框架开发，其 SQL 语句持久在 Hibernate 中

心已赠人/ 2024年04月01日 10:33/ 0 赞/ 85 阅读

相关通用数据权限的设计思路

接着上个襄阳项目的需要, 目前的项目情况是，一期已经把功能权限做完了，可以对不同用户的不同权限功能做到限制，现在需要做数据的权限，不同的用户看到不同的数据。根据目前的调研情

向右看齐/ 2023年06月24日 12:23/ 0 赞/ 25 阅读

相关 RBAC权限管理系统设计

1 创建数据库 docker run \ --name security_db \ -e MYSQL_ROOT_HOST=%.%.%.% \

￡神魔★判官ぃ/ 2023年02月17日 02:35/ 0 赞/ 95 阅读

相关学习笔记（1):SSM通用权限管理系统-权限系统演示说明

立即学习:[https://edu.csdn.net/course/play/30705/449620?utm\_source=blogtoedu][https_edu.csd

刺骨的言语ヽ痛彻心扉/ 2022年12月05日 13:54/ 0 赞/ 145 阅读

相关通用权限管理设计之数据库结构设计

[通用权限管理设计之数据库结构设计][Link 1] 一，前言权限管理系统的应用者应该有三种不同性质上的使用， A,使用权限 B,分配权限 C,授权权限

╰+攻爆jí腚メ/ 2022年08月07日 17:55/ 0 赞/ 205 阅读

相关系统权限管理设计

[关于权限菜单的设计][Link 1] 转载自：http://blog.csdn.net/chexlong/article/details/37697555 [http:/

拼搏现实的明天。/ 2022年06月09日 09:37/ 0 赞/ 362 阅读

相关 asp.net通用权限系统(可插拔的权限设计)

asp.net通用权限系统(可插拔的权限设计) 版本2012-9-22日开发工具: sql2005+vs2008 数据库文件和建模文件都在里面(ProjectDB

╰半橙微兮°/ 2022年05月26日 04:21/ 0 赞/ 173 阅读

相关系统权限管理DB设计

-- Create table create table SEC_RESOURCE ( id VARCHAR2(255)

不念不忘少年蓝@/ 2022年04月12日 03:19/ 0 赞/ 301 阅读

相关通用型权限管理数据库设计「数据库结构设计」

一，前言权限管理系统的应用者应该有三种不同性质上的使用： A、使用权限 B、分配权限 C、授权权限本文只从《使用权限》和《分配权限》这两种应用层面分

我不是女神ヾ/ 2021年12月03日 06:49/ 0 赞/ 529 阅读

相关通用数据权限管理系统设计

[通用数据权限管理系统设计][Link 1] 通用数据权限管理系统设计（一）前言：本文提供一种集成功能权限和数据权限的解

矫情吗；*/ 2021年09月12日 08:56/ 0 赞/ 539 阅读