几乎在所有的系统中对于权限控制都有直接的需求，而这类需求往往有其相似性，综合常见的对于权限系统的需求构成了本文档，文档主要从功能复用以及模型复用的角度来对权限系统进行总结，以便在各种系统中可对照此篇文档来进行权限系统的实现，考虑到文档的关注点在复用度，在文档中不会过多的去描述功能点到模型产生的过程，而是采用直接通过产生的模型来说明基于此模型如何实现功能点的需求。

二.  功能复用

功能复用相当于此权限模型适合的上下文场景，此权限模型在功能点方面的考虑主要有以下三个方面：

n         基于角色的用户安全管理

系统权限以角色为基础，即以角色来进行权限的分配以及授予，角色分配给用户以使用户可获取相应的权限，角色通过授予权限来获得该角色所对应拥有的权限。

角色的权限可继承，即子角色自动继承父角色的权限。

权限的包含与排斥，包含举例来说就是权限A可包含权限B，体现出来即为拥有权限A即自动拥有了权限B，而排斥举例来说就是角色不可同时拥有权限A和权限B。

n         系统资源(功能模块)操作的控制

系统资源操作的控制在系统上主要分为两个方面：

l         正常途径系统资源操作的控制

体现在实际的需求上通常是菜单、按钮、链接根据用户所在角色的权限的可见性。

l         非法途径系统资源操作的控制

体现在实际的需求上是防止通过非法的URL或命令等方式对系统受保护的系统资源进行操作。

n         数据资源操作的控制

数据资源操作的控制在系统中实际的体现通常是用户只能访问相应数据资源操作权限范围内的数据，如在一个站点中有栏目A、B、C，用户M只拥有对A的访问权限以及对B的管理权限，那么在用户M访问系统时站点中应该只列出栏目A和栏目B，同时在栏目B上拥有相应的管理按钮或链接。

数据资源也需要支持权限继承的模式，即当数据资源本身构成了需要继承的父子关系时，子自动拥有父的所有权限，举例来说就是站点和栏目，栏目自动拥有站点的所有权限。

数据资源的权限也是需要有包含和排斥的支持。

数据资源操作权限的授予通常需要的授予给多种对象，如用户、角色以及组织机构等。

三.  模型复用

对于以上的功能点，提出了相应的解决方案构成如下模型：

n         基于角色的用户安全管理

基于RBAC构成实现功能点的模型，如下：

图表 1 基于RBAC的系统资源权限模型

              基于此模型对当前需求的实现方法为：

l         权限的授予

在权限授予时需要实现的为维护用户与角色的关联模型以及角色与权限的关联模型。

同时需要的是资源以及操作的维护，资源上配置的主要为功能模块的一些相关信息，如名称、描述等，操作上配置的主要为功能模块所需要受控的操作，如对功能模块的访问、保存动作等，此处的关键在于配置操作所对应的命令，在B/S体系中通常是URL，在C/S体系中有可能是Command或其他的入口关键字。

l         角色权限的继承

角色权限的继承通过角色的子关联来实现，遵循的原则为子角色自动拥有父角色的所有权限，在进行授权动作时所需要做的是维护角色父子关系关联模型。

l         权限的包含与排斥

权限的包含通过权限的子关联来实现，遵循的原则为父自动拥有子的概念，在进行授权动作时所需做的是维护权限的父子关系关联模型。

权限的排斥在此模型中没有考虑。

n         系统资源(功能模块)操作的控制

系统资源操作的控制基于图表1的模型而得以实现。

l         正常途径系统资源操作的控制

此时通常的做法是在菜单、按钮、链接这些显示之前做对应的资源操作权限的判断。

判断的方法为获取用户所在的角色，判断用户角色是否有进行资源操作的权限(同时需判断权限的包含的问题)，如无则递规获取用户角色的父角色是否有进行资源操作的权限。

l         非法途径系统资源操作的控制

对于非法途径对系统资源操作的访问，通常的实现方法为在具体的对象执行前做截断处理，通常采用Proxy或Interceptor模式。

n         数据资源操作的控制

数据资源操作的控制则难以基于上面的权限模型进行实现，需要对其进行扩展，产生的实现需求的模型为：

图表 2 数据资源权限模型

              基于此模型对于数据资源操作的控制的实现主要在两个方面：

l         数据资源操作权限的授予

在进行数据资源操作权限的授予时维护权限授予模型，同时需要根据数据资源操作权限的授予同步校验权限模型(此时需要考虑权限的继承、包含的问题)。

l         数据资源操作权限的校验

校验时通过校验权限模型即可完成。

四.  问题

在文中提及的权限模型确实可以实现功能需求，但其在开发过程中以及应用过程中通常有这样的问题：

n         系统资源操作控制时权限校验的低效

通常的解决方案是cache机制。

n         数据资源操作权限授予的低效

n         权限系统对于原有系统的侵入性

通常的解决方案有Proxy、Interceptor、AOP。

ps: 这篇相对于我之前的漫谈权限系统系列的文章来说相当于只是个抽取和归纳，详细的还是得看那个系列的几篇文章。

对开源的产品了解不多，所以也只能大概的谈谈，开源的产品中比较知名的有poweracl、acegi，poweracl从名字就可以看出其是基于ACL模型的，不怎么了解所以在此也不去评价了。

Acegi作为JAVA界知名的权限系统，从其文档看来是能满足上述的权限系统的所有需求，其reference文档也对权限系统进行了系统的归纳，非常的不错，建议去看看。

在Acegi中授权模型以及资源权限的校验仍然是基于RBAC模型，在数据权限方面也就是在reference文档中它称为Domain Object Instance的部分，是基于ACL模型的实现，曾经翻阅它此部分的代码，根据代码表现它并不支持Domain Object Instance的权限的继承，并且对于获取的Domain Object Instance也是没法采用分页的方式获取。

看了Acegi的代码觉得其授权应该是比较高效的，但在校验权限上效率恐怕也会比较的低，因为权限的继承是在校验权限通过递规来实现的，虽然引入了缓存机制但仍然无法从根本上解决此问题，而且此缓存的维护也不是一件容易的事。

但Acegi的优点也不可忽略，作为权限系统有一个很容易产生的问题就是对原有系统产生非常大的侵入，并最终导致原有系统与此权限系统形成了非常强的耦合，Acegi在这点上则做的比较好，通过使用Filter、Interceptor以及AOP Weaver技术来尽量保证对原有系统最少的改动。

二.  个人观点

权限系统作为各种系统中都需要的一个子系统，具有很广的需求面，无论做什么系统，首要重要的仍然是需求，尽管权限系统在各个系统中都有需求，但仍然是不尽相同，所以首先要明确所面对的系统到底是一个什么样的系统，对于权限有什么样的需求，根据需求可以根据相应的实现方案来做出自己的设计。

权限系统主要由授权和校验权限两大部分组成，授权效率和校验权限的效率通常会产生冲突，个人觉得首先要保证校验权限的效率，毕竟系统需要校验权限的地方会非常的多，但授权动作相对来讲触发的会比较的少。

从技术需求上来讲，权限系统对外部系统而言最好做到黑盒的效果，为了减少对外部系统的侵入，在根据业务需求分析的基础上形成权限系统的输入和输出需求，从通常的功能需求角度来大致的阐述：

1.         身份认证

在B/S结构的系统中通常通过增加Filter来达到实现身份认证的功能，这样不会造成对原有系统的改动。

2.         授权模型

授权模型则需外部系统根据此模型建立相应的授权UI以及交互，当然，权限系统本身也可提供默认的实现方式。

3.         资源权限校验

在资源权限的校验上可通过Proxy或Before Interceptor的方式来做到对资源操作的权限控制。

4.         数据权限校验

在很多时候需要区分好数据权限和业务逻辑，不要将业务逻辑形式的数据控制也借用数据权限来实现，数据权限的引入很容易对现有的系统模块造成影响，在此块的设计上要特别注意避免造成对原有系统模块过多的侵入。

5.         权限校验的体现

在权限校验的体现上基本主要是表现在菜单、按钮以及数据的显示上，菜单、按钮通常通过标签的方式来控制，数据的显示控制则需结合数据权限校验部分来实现。

到现在为止也做了几个权限系统了，目前仍然没做出让自己满意的权限系统，此文作为抛砖引玉的文章，也希望大家能够给出自己所做的解决方案。

三.  涉及的知识体系

根据上面的描述以及结合自己的经验，形成搭建权限系统所需的知识体系：

图表 6 权限系统知识体系

本文根据对中小型应用系统的权限系统的需求进行阐述，并对通常用于实现权限系统的两种思想、技术策略以及技术实现方案进行描述，比较其优缺点，同时对开源类型的产品进行介绍，最后结合自己的实际经验介绍自己的实现方案以及碰到的难点。

本文并不是什么理论化的文章，完全是实战型的总结和实战的讨论，至于理论请大家去参考更为专业的文章。

二.  目的

此文的编写作为自己对于权限系统进行系统化的整理，毕竟权限系统是几乎所有系统中都需要的，但一直以来由于在权限系统上并没有什么通用的方案，所以几乎是N多的人都实现了自己的一套，在此我也是抛砖引玉。

三.  需求

3.1.       描述

这里对于需求的描述都是基于自己工作以来实际项目需求的经验而综合的，如有遗漏之处欢迎大家补充，不过也希望大家明白范围，是指中小型系统，至于大型的企业系统从来就没做过，我也无从提出需求。

从一个实际的场景来描述一般中小型系统中涉及的权限需求吧，在通常的B/S系统中，首页列出不需登录可访问的信息，登录后则根据用户拥有的权限显示相应的菜单，在具体菜单对应的模块里根据用户的权限显示相应权限的按钮，同时显示当前用户可访问的相应的资源。

非功能性的需求：

l         简便的授权方式。避免每增加一个用户就要不断的去授予N多的权限，避免相同权限的用户还要去相同的授予，提供出分组的功能。

l         权限的继承。在上面提出分组的功能后考虑到组应支持嵌套功能，即子组自动继承父组的权限，这样授权时就更加简便了。

l         高性能。不能因为校验权限而严重影响到系统的性能。

l         安全性。除正常途径方式访问系统的保护外，也需要避免通过非正常的途径访问系统中受保护的资源。

除了这些用户通常直接提出的需求外，在实际的项目中通常还会有这些需求：

l         权限的排斥和包含。用户在实际的使用后通常会提出这个需求，权限的排斥主要是指当用户拥有权限A时则不能同时再拥有权限B，这个在实现了权限继承的系统中尤为突出；权限的包含主要指当用户拥有权限A时自动拥有了权限B，实际的例子是当用户拥有管理权限时自动同时拥有访问权限。

l         系统资源权限的继承。在对带有分级性质的资源进行授权时子资源自动继承父资源的权限，这个在文档管理类型的系统中比较常见，即目录中的文档自动拥有目录的权限。

l         系统资源权限的多种授予对象。通常系统的权限是授予到角色中，而对于系统资源的权限授予上用户在使用后通常会提出需要授予到多种对象，除角色之外还需可授予给组织机构或者具体的用户。

3.2.       分析

对需求中列出的场景进行分析：

l         上下文

未登录用户、登录用户、管理用户不同的界面等情况。

l         问题

如何识别是否为登录用户、管理用户或未登录用户。

l         解决方案

提供身份认证功能，通过此功能标识用户身份。

l         上下文

根据用户拥有的权限显示相应的菜单，在具体菜单对应的模块里根据用户的权限显示相应权限的按钮。

l         问题

由于菜单或者按钮都是通过触发链接或命令的方式来实现其功能，那么在权限系统中需要做到的即可通过判断用户是否具有执行此链接或命令的权限来实现对于菜单和按钮的显示的控制。

这样带来的问题就是如何判断用户是否拥有执行某链接或命令的权限以及如何根据此结果去隐藏菜单和按钮的显示。

l         解决方案

提供校验用户是否拥有执行某链接和命令的权限的功能。

提供控制菜单、按钮显示的功能。

l         上下文

显示当前用户可访问的相应的资源，有两种情况，一种是全部显示，一种是分页显示。

l         问题

如何判断用户可访问哪些资源，资源如何进行分页处理。

l         解决方案

提供获取用户权限范围内的资源的功能，并提供全部获取和分页获取两种方式。

l         上下文

简便的授权方式。

l         问题

为提升用户授权的简便性，将权限授予给角色或组，用户只需要属于这个角色或组即可拥有相应的权限。

如何建立满足需求的授权模型。

l         解决方案

根据需求建立相应的授权模型。

根据对需求的分析，可以得出权限系统需要做到如下的功能：

l         用户身份认证。

l         校验用户是否拥有执行某链接和命令的权限的功能。

l         控制菜单、按钮显示的功能。

l         获取用户权限范围内的资源的功能，并提供全部获取和分页获取两种方式。

l         建立相应的授权模型。

在非功能性需求方面权限系统需要考虑如下几个方面：

l         权限的继承。

l         权限的排斥和包含。

l         高性能。

l         安全性。

l         系统数据的权限的继承。

l         系统数据的多种授权对象的支持。

根据这些对权限系统的功能需求和非功能性需求，我们可以合并和归纳成如下的一个表格作为对权限系统的需求：

功能点	描述
身份认证	提供用户身份认证的功能，以标识用户是否登录、是否为管理员等身份。
资源权限校验	判断操作主体是否具有对某资源进行某操作的权限。
数据权限校验	获取用户权限范围内的数据的功能，并提供全部获取和分页获取两种方式。 系统数据的权限的继承。 系统数据的多种授权对象的支持。
授权模型	系统权限的授予模型决定了权限系统使用的易用与否。 权限的继承。 权限的排斥和包含。
权限校验的体现	控制菜单、按钮的显示。
高性能	高效的授权与高效的权限校验。
安全性	防止非法途径对于系统受保护资源的访问或操作。

一.  概述

二.  目的

三.  需求

3.1.       描述

3.2.       分析 

四.  实现方案

4.1.       技术策略

4.2.       基于RBAC的实现

4.2.1.       RBAC介绍

4.2.2.       实现方案 

4.2.3.       优缺点分析 

4.3.       基于ACL的实现

4.3.1.       ACL介绍

4.3.2.       实现方案

4.3.3.       优缺点分析

五.  开源产品

六.  个人观点

ps：不过最近的工作非常的忙，这篇文档的进度可能会写的比较的慢，^_^