設計實現業務系統中的使用者許可權管理

iSQlServer發表於2010-05-06

B/S系統中的許可權比C/S中的更顯的重要，C/S系統因為具有特殊的客戶端，所以訪問使用者的許可權檢測可以通過客戶端實現或通過客戶端+伺服器檢測實現，而B/S中，瀏覽器是每一臺計算機都已具備的，如果不建立一個完整的許可權檢測，那麼一個“非法使用者”很可能就能通過瀏覽器輕易訪問到B/S系統中的所有功能。因此B/S業務系統都需要有一個或多個許可權系統來實現訪問許可權檢測，讓經過授權的使用者可以正常合法的使用已授權功能，而對那些未經授權的“非法使用者”將會將他們徹底的“拒之門外”。下面就讓我們一起了解一下如何設計可以滿足大部分B/S系統中對使用者功能許可權控制的許可權系統。

需求陳述

不同職責的人員，對於系統操作的許可權應該是不同的。優秀的業務系統，這是最基本的功能。
可以對“組”進行許可權分配。對於一個大企業的業務系統來說，如果要求管理員為其下員工逐一分配系統操作許可權的話，是件耗時且不夠方便的事情。所以，系統中就提出了對“組”進行操作的概念，將許可權一致的人員編入同一組，然後對該組進行許可權分配。
許可權管理系統應該是可擴充套件的。它應該可以加入到任何帶有許可權管理功能的系統中。就像是元件一樣的可以被不斷的重用，而不是每開發一套管理系統，就要針對許可權管理部分進行重新開發。
滿足業務系統中的功能許可權。傳統業務系統中，存在著兩種許可權管理，其一是功能許可權的管理，而另外一種則是資源許可權的管理，在不同系統之間，功能許可權是可以重用的，而資源許可權則不能。

關於設計

　　藉助NoahWeb的動作程式設計理念，在設計階段，系統設計人員無須考慮程式結構的設計，而是從程式流程以及資料庫結構開始入手。為了實現需求，資料庫的設計可謂及其重要，無論是“組”操作的概念，還是整套許可權管理系統的重用性，都在於資料庫的設計。

我們先來分析一下資料庫結構：

　　首先，action表（以下簡稱為“許可權表”），gorupmanager表（以下簡稱為“管理組表”），以及master表（以下簡稱為“人員表”），是三張實體表，它們依次記錄著“許可權”的資訊，“管理組”的資訊和“人員”的資訊。如下圖：

　　這三個表之間的關係是多對多的，一個許可權可能同時屬於多個管理組，一個管理組中也可能同時包含多個許可權。同樣的道理，一個人員可能同時屬於多個管理組，而一個管理組中也可能同時包含多個人員。如下圖：

　　由於這三張表之間存在著多對多的關係，那麼它們之間的互動，最好使用另外兩張表來完成。而這兩張表起著對映的作用，分別是“actiongroup”表（以下簡稱“許可權對映表”）和“mastergroup”表（以下簡稱“人員對映表”），前者對映了許可權表與管理組表之間的互動。後者對映了人員表與管理組表之間的互動。如下圖：

　　另外，還需要一張表來控制系統執行時左側選單中的許可權分欄，也就是“許可權分欄表”，如下圖：

　　根據上面的分析，我們進行資料庫結構設計，如下圖：

　　點選這裡檢視許可權管理系統資料表欄位設計

　　為了能夠進行良好的分析，我們將資料庫結構圖拆分開來，三張實體表的作用已經很清晰，現在我們來看一下兩張對映表的作用。

一許可權對映表 如下圖：

　　首先，我們來了解一下許可權對映表與管理組表以及許可權表之間的欄位關聯。

　　看圖中的紅圈，先看gorupid欄位相關聯，這種關聯方式在實際資料庫中的表現如下圖：

　　如圖中所示，管理組表中“超級管理員”的groupid為1，那麼許可權對映表中groupid為1的許可權也就是“超級管理員”所擁有的許可權。

　　使用groupid欄位關聯，是為了查到一個管理組能夠執行的許可權有哪些。但這些許可權的詳細資訊卻是action欄位關聯所查詢到的。

　　action欄位相關聯在資料庫中的表現如下圖：

　　通過這種關聯，才查詢到許可權對映表之中那些許可權的詳細資訊。綜合起來，我們就知道了一個管理組可以執行的許可權有哪些，以及這些許可權的詳細資訊是什麼。

　　或許你會問，為什麼不使用actionid欄位相關聯呢？因為：

許可權表中的id欄位在經過多次的資料庫操作之後可能會發生更改。
許可權對映表中僅僅記錄著一個管理組可以執行的許可權。
一旦許可權表中的id更改，那麼許可權對映表中的記錄也就更改了。
一個管理組可以執行的許可權勢必將出錯，這是非常不希望的。

　　考慮到上面的情況，所以應該使用action欄位相關聯，因為：

在許可權表中，id可能發生變化，而action欄位卻是在任何情況下也不可能發生變化的。
許可權對映表中記錄的action欄位也就不會變。
一個管理組可以執行的許可權就不會出錯了。

二人員對映表 如下圖：

　　我們來了解一下人員對映表與管理組表以及人員表之間的欄位關聯，如下圖：

　　看圖中的紅圈部分，先看groupid欄位關聯，這種關聯方式在資料庫中的表現如下圖：

　　如圖，“超級管理員”組的groupid為1，我們再看人員對映表，admin屬於超級管理員組，而administrator屬於超級管理員組，同時也屬於管理員組。

　　使用這種關聯方式，是為了查到一個管理組中的人員有誰。和上面一樣，人員的詳細資訊是靠id欄位（人員對映表中是masterid欄位）關聯查詢到的。

　　id欄位（人員對映表中是masterid欄位）關聯表現在資料庫中的形式如下圖：

　　一個人員可能同時屬於多個“管理組”，如圖中，administrator就同時屬於兩個“管理組”。所以，在人員對映表中關於administrator的記錄就會是兩條。

　　這種關聯方式才查詢到管理組中人員的詳細資訊有哪些。綜合起來，才可以知道一個管理組中的人員有誰，以及這個人員的詳細資訊。

　　再結合上面談到的許可權表和許可權對映表，就實現了需求中的“組”操作，如下圖：

　　其實，管理組表中僅僅記錄著組的基本資訊，如名稱，組id等等。至於一個組中人員的詳細資訊，以及該組能夠執行的許可權的詳細資訊，都記錄在人員表和許可權表中。兩張對映表才真正記錄著一個組有哪些人員，能夠執行哪些許可權。通過兩張對映表的銜接，三張實體表之間的互動才得以實現，從而完成了需求中提到的“組”操作。

　　我們再來看一下許可權分欄表與許可權表之間的互動。這兩張表之間的欄位關聯如下圖：

　　兩張表使用了actioncolumnid欄位相關聯，這種關聯方式在資料庫中的表現如下圖：

　　如圖所示，通過這種關聯方式，我們可以非常清晰的看到許可權表中的許可權屬於哪個分欄。

　　現在，資料庫結構已經很清晰了，分配許可權的功能以及“組”操作都已經實現。下面我們再來分析一下需求中提到的關於許可權管理系統的重用性問題。

　　為什麼使用這種資料庫設計方式搭建起來的系統可以重用呢？

三張實體表中記錄著系統中的三個決定性元素。“許可權”，“組”和“人”。而這三種元素可以任意新增，彼此之間不受影響。無論是那種型別的業務系統，這三個決定性元素是不會變的，也就意味著結構上不會變，而變的僅僅是資料。
兩張對映表中記錄著三個元素之間的關係。但這些關係完全是人為建立的，需要變化的時候，只是對資料庫中的記錄進行操作，無需改動結構。
許可權分欄表中記錄著系統使用時顯示的分欄。無論是要新增分欄，修改分欄還是減少分欄，也只不過是操作記錄而已。

　　綜上所述，這樣設計資料庫，系統是完全可以重用的，並且經受得住“變更”考驗的。

總結：

　　此套系統的重點在於，三張實體表牢牢地抓住了系統的核心成分，而兩張對映表完美地對映出三張實體表之間的互動。其難點在於，理解對映表的工作，它記錄著關係，並且實現了“組”操作的概念。而系統總體的設計是本著可以在不同的MIS系統中“重用”來滿足不同系統的功能許可權設定。

附錄：

許可權管理系統資料表的欄位設計

　　下面我們來看看許可權管理系統的資料庫表設計，共分為六張表，如下圖：