如何设计网站权限系统?

第1章权限管理原理知识

1.1 什么是权限管理

只要有用户参与的系统一般都要有权限管理，权限管理实现对用户访问系统的控制，按照安全规则或者安全策略控制用户访问而且只能访问自己被授权的资源。
权限管理包括用户认证和授权两部分。

1.2 用户认证

1.2.1 概念

用户认证：用户去访问系统，系统要验证用户身份的合法性。最常用的用户身份验证的方法：
- 用户密码登录
- 指纹打卡机
- 基于证书验证方法

系统验证用户身份合法，用户方可访问系统的资源。

1.2.1 用户认证流程

用户认证流程

1.2.2 关键对象

subject：主体，理解为用户，可能是程序，都要去访问系统的资源，系统需要对subject进行身份认证。
principal: 身份信息，通常是唯一的，一个主体还有多个身份信息，但是都有一个主身份信息(parimary principal)。
credential: 凭证信息，可以是密码、证书、指纹。

总结: 主体在进行身份认证时需要提供身份信息和凭证信息。

1.3 用户授权

1.3.1 概念

用户授权，简单理解为访问控制，在用户认证通过后，系统对用户访问资源进行控制，用户具有资源的访问权限方可访问。

1.3.2 授权流程

图中橙色为授权流程

1.3.3 关键对象

授权的过程理解为： who 对 what 进行how操作。

who: 主体即subject,subject在认证通过后系统进行访问控制。
what: 资源（Resource）,subject 必须就别资源的访问权限才可访问该资源。比如：系统用户列表页面、商品修改菜单、商品id为001的商品信息。
how: 权限/许可(permission)，针对资源的权限或许可，subject具有permission访问资源，如何访问/操作需要定义permission，权限比如：用户添加、用户修改、商品删除。

1.3.4 分配权限

用户需要分配相应的权限才可访问相应的资源。权限是对于资源的操作许可。
通常给用户分配资源权限需要将权限信息持久化，比如存储在关系数据库里。
把用户信息、权限管理、用户分配的权限信息写到数据库中。

1.3.5 权限模型

主体（账号、密码）
资源（资源名称、访问地址）
权限 (权限名称、资源id)
角色（角色名称）
角色和权限关系(角色id、权限id)
主体和角色关系 (主体id、角色id）

如下图：
这里写图片描述

通常企业开发中将资源和权限表合并为一张权限表，如下：
- 资源(资源名称，访问地址）
- 权限(权限名称、资源id)

合并为
- 权限(权限名称、资源名称、资源访问地址）

这里写图片描述
上图常被称为权限管理的通用模型，不过企业开发中根据系统自身的特点还会对上图进行修改，但是用户、角色、权限、用户角色关系、角色权限关系是需要去理解的。

1.3.6 权限控制(授权核心)

1.3.6.1 基于角色的访问控制

RBAC（Role Based Access Control）,基于角色的访问控制
比如：
系统角色包括：部门经理、总经理…(角色是针对用户划分的）
系统代码实现

//如果该用户是部门经理则可以访问if中的代码
if(user.hasRole('部门经理')){
   //系统资源的内容
   //用户报表查看
}

问题：
角色是针对人划分的，人作为用户在系统中是属于活动的内容，如果说该角色可以访问的资源出现变更，需要修改你的代码。
比如：部门经理和总经理都可以查看进行报表的查看，代码改为：

if(user.hasRole('部门经理')||user.hasRole('总经理')){
   //系统资源的内容
   //用户报表查看
}

基于角色的访问控制是不利于系统维护的。

1.3.6.2 基于资源的访问控制

RBAC（Resource Based Access Control）,基于资源的访问控制
资源在系统中是不变的，比如资源有：类中的方法，页面中的按钮。
对资源的范文需要具有permission权限，代码可以写为;

if(user.hasPermission('用户报表查看')){
   //系统资源的内容
   //用户报表查看
}

上边的方法可以解决用户角色变更不用修改上边权限控制的代码。
如果需要变更权限只需要在分配权限模块去操作，给部门经理或总经理增或删除权限。
建议使用基于资源的访问控制实现权限管理。

第2章权限管理解决方案

2.1 什么是粗粒度和细粒度权限

粗粒度权限管理，对资源类型的权限管理。资源类型比如：菜单、URL连接、用户添加页面、用户信息、类方法、页面中的按钮。
粗粒度权限管理比如：超级管理员可以访问用户添加页面、用户信息等全部页面。
部门管理员可以访问用户信息页面包括页面中的所有按钮
细粒度权限管理，对资源实例的权限管理。资源实例就是资源类型的具体化，比如：用户id为001的修改连接，1110班的用户信息、行政部的员工。
细粒度权限管理就是数据级别的权限管理。
细粒度权限管理比如：部门经理只可以访问本部门的员工信息，用户只可以看到自己的菜单，大区经理只能查看本辖区的销售订单。

2.2 如何实现粗粒度和细粒度权限管理

如何实现粗粒度权限管理?
粗粒度权限管理比较容易将权限管理的代码抽取出来在系统架构级别统一处理。比如：通过springmvc拦截器实现授权。
如何实现细粒度权限管理?
建议细粒度权限管理在业务层去控制。
比如：部门经理只查询本部门员工信息，在service接口提供一个部门id的查询，controller中根据当前用户的信息得到该用户属于哪个部门，调用service时将部门id传入service,实现用户只查询本部门的员工。

2.3 基于url拦截方式实现

基于url拦截的方式实现在实际开发中比较常用的一种方式。
对于web系统，通过filter过滤器实现url拦截，也可以springmvc的拦截器实现基于 url的拦截

2.4 使用权限管理框架实现

对于粗粒度权限管理，建立使用优秀权限管理框架来实现，节省开发时间，提高开发效率，shiro就是一个优秀权限管理框架。

第3章.基于url的权限管理

3.1 基于url权限管理流程

这里写图片描述

3.2 搭建环境

3.2.1 数据库

需要创建：用户表、角色表、权限表、用户角色表、角色权限表

CREATE TABLE `sys_user` (
  `id` varchar(36) NOT NULL COMMENT '主键',
  `usercode` varchar(32) NOT NULL COMMENT '账号',
  `username` varchar(64) NOT NULL COMMENT '姓名',
  `password` varchar(32) NOT NULL COMMENT '密码',
  `salt` varchar(64) DEFAULT NULL COMMENT '盐',
  `locked` char(1) DEFAULT NULL COMMENT '账号是否锁定，1：锁定，0未锁定',
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

CREATE TABLE `sys_role` (
  `id` varchar(36) NOT NULL,
  `name` varchar(128) NOT NULL,
  `available` char(1) DEFAULT NULL COMMENT '是否可用,1：可用，0不可用',
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

CREATE TABLE `sys_user_role` (
  `id` varchar(36) NOT NULL,
  `sys_user_id` varchar(32) NOT NULL,
  `sys_role_id` varchar(32) NOT NULL,
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

CREATE TABLE `sys_permission` (
  `id` bigint(20) NOT NULL COMMENT '主键',
  `name` varchar(128) NOT NULL COMMENT '资源名称',
  `type` varchar(32) NOT NULL COMMENT '资源类型：menu,button,',
  `url` varchar(128) DEFAULT NULL COMMENT '访问url地址',
  `percode` varchar(128) DEFAULT NULL COMMENT '权限代码字符串',
  `parentid` bigint(20) DEFAULT NULL COMMENT '父结点id',
  `parentids` varchar(128) DEFAULT NULL COMMENT '父结点id列表串',
  `sortstring` varchar(128) DEFAULT NULL COMMENT '排序号',
  `available` char(1) DEFAULT NULL COMMENT '是否可用,1：可用，0不可用',
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

CREATE TABLE `sys_role_permission` (
  `id` varchar(36) NOT NULL,
  `sys_role_id` varchar(32) NOT NULL COMMENT '角色id',
  `sys_permission_id` varchar(32) NOT NULL COMMENT '权限id',
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

insert  into `sys_permission`(`id`,`name`,`type`,`url`,`percode`,`parentid`,`parentids`,`sortstring`,`available`) values (1,'权限','','',NULL,0,'0/','0','1'),(11,'商品管理','menu','/item/queryItem.action',NULL,1,'0/1/','1.','1'),(12,'商品新增','permission','/item/add.action','item:create',11,'0/1/11/','','1'),(13,'商品修改','permission','/item/editItem.action','item:update',11,'0/1/11/','','1'),(14,'商品删除','permission','','item:delete',11,'0/1/11/','','1'),(15,'商品查询','permission','/item/queryItem.action','item:query',11,'0/1/15/',NULL,'1'),(21,'用户管理','menu','/user/query.action','user:query',1,'0/1/','2.','1'),(22,'用户新增','permission','','user:create',21,'0/1/21/','','1'),(23,'用户修改','permission','','user:update',21,'0/1/21/','','1'),(24,'用户删除','permission','','user:delete',21,'0/1/21/','','1');

/*Data for the table `sys_role` */

insert  into `sys_role`(`id`,`name`,`available`) values ('ebc8a441-c6f9-11e4-b137-0adc305c3f28','商品管理员','1'),('ebc9d647-c6f9-11e4-b137-0adc305c3f28','用户管理员','1');

/*Data for the table `sys_role_permission` */

insert  into `sys_role_permission`(`id`,`sys_role_id`,`sys_permission_id`) values ('ebc8a441-c6f9-11e4-b137-0adc305c3f21','ebc8a441-c6f9-11e4-b137-0adc305c','12'),('ebc8a441-c6f9-11e4-b137-0adc305c3f22','ebc8a441-c6f9-11e4-b137-0adc305c','11'),('ebc8a441-c6f9-11e4-b137-0adc305c3f24','ebc9d647-c6f9-11e4-b137-0adc305c','21'),('ebc8a441-c6f9-11e4-b137-0adc305c3f25','ebc8a441-c6f9-11e4-b137-0adc305c','15'),('ebc9d647-c6f9-11e4-b137-0adc305c3f23','ebc9d647-c6f9-11e4-b137-0adc305c','22'),('ebc9d647-c6f9-11e4-b137-0adc305c3f26','ebc8a441-c6f9-11e4-b137-0adc305c','13');

/*Data for the table `sys_user` */

insert  into `sys_user`(`id`,`usercode`,`username`,`password`,`salt`,`locked`) values ('lisi','lisi','李四','bf07fd8bbc73b6f70b8319f2ebb87483','uiwueylm','0'),('zhangsan','zhangsan','张三','cb571f7bd7a6f73ab004a70322b963d5','eteokues','0');

/*Data for the table `sys_user_role` */

insert  into `sys_user_role`(`id`,`sys_user_id`,`sys_role_id`) values ('ebc8a441-c6f9-11e4-b137-0adc305c3f28','zhangsan','ebc8a441-c6f9-11e4-b137-0adc305c'),('ebc9d647-c6f9-11e4-b137-0adc305c3f28','lisi','ebc9d647-c6f9-11e4-b137-0adc305c');

3.2.2 技术架构

springmvc + mybatis + jquery easyui

3.2.3 系统登录

系统登录相当于用户认证，用户登录成功，要在session中记录用户的身份信息。
操作流程：
1.用户进入登录页面
2.输入用户名和密码进行登录
3.进行用户名和密码校验
4.如果校验通过，在session中记录用户信息

3.2.3.1 用户的身份信息

/**
 * 用户身份信息，存入session 由于tomcat将session会序列化在本地硬盘上，所以使用Serializable接口
 * 
 */
public class ActiveUser implements java.io.Serializable {
    private String userid;//用户id（主键）
    private String usercode;// 用户账号
    private String username;// 用户名称

    private List<SysPermission> menus;// 菜单
    private List<SysPermission> permissions;// 权限

    // set get方法省略
}

3.2.3.1 mapper

使用逆向工程生成的mapper,根据用户账户查询用户(sys_user)信息。

3.2.3.2 service

接口功能：根据用户的身份和密码进行认证，如果认证通过，返回用户身份信息
认证过程：
- 根据用户身份（账号）查询数据库，如果查询不到用户不存在
- 对输入的密码和数据库密码进行比对，如果一致，认证通过

@Override
    public ActiveUser authenticat(String userCode, String password)
            throws Exception {
        /**
                认证过程：
                 根据用户身份（账号）查询数据库，如果查询不到用户不存在
                 对输入的密码 和数据库密码 进行比对，如果一致，认证通过
         */
        //根据用户账号查询数据库
        SysUser sysUser = this.findSysUserByUserCode(userCode);

        if(sysUser == null){
            //抛出异常
            throw new CustomException("用户账号不存在");
        }

        //数据库密码 (md5密码 )
        String password_db = sysUser.getPassword();

        //对输入的密码 和数据库密码 进行比对，如果一致，认证通过
        //对页面输入的密码 进行md5加密 
        String password_input_md5 = new MD5().getMD5ofStr(password);
        if(!password_input_md5.equalsIgnoreCase(password_db)){
            //抛出异常
            throw new CustomException("用户名或密码 错误");
        }
        //得到用户id
        String userid = sysUser.getId();
        //根据用户id查询菜单 
        List<SysPermission> menus =this.findMenuListByUserId(userid);

        //根据用户id查询权限url
        List<SysPermission> permissions = this.findPermissionListByUserId(userid);

        //认证通过，返回用户身份信息
        ActiveUser activeUser = new ActiveUser();
        activeUser.setUserid(sysUser.getId());
        activeUser.setUsercode(userCode);
        activeUser.setUsername(sysUser.getUsername());//用户名称

        //放入权限范围的菜单和url
        activeUser.setMenus(menus);
        activeUser.setPermissions(permissions);

        return activeUser;
    }

3.2.3.2 controller(记录session）

    public String login(HttpSession session, String randomcode,String usercode,String password)throws Exception{

        //校验验证码，防止恶性攻击
        //从session获取正确验证码
        String validateCode = (String) session.getAttribute("validateCode");

        //输入的验证和session中的验证进行对比 
        if(!randomcode.equals(validateCode)){
            //抛出异常
            throw new CustomException("验证码输入错误");
        }

        //调用service校验用户账号和密码的正确性
        ActiveUser activeUser = sysService.authenticat(usercode, password);

        //如果service校验通过，将用户身份记录到session
        session.setAttribute("activeUser", activeUser);
        //重定向到商品查询页面
        return "redirect:/first.action";
    }

3.2.4 用户认证拦截器

3.2.4.1 编写认证拦截器

//用于用户认证校验、用户权限校验
    @Override
    public boolean preHandle(HttpServletRequest request,
            HttpServletResponse response, Object handler) throws Exception {

        //得到请求的url
        String url = request.getRequestURI();

        //判断是否是公开 地址
        //实际开发中需要公开 地址配置在配置文件中
        //从配置中取逆名访问url

        List<String> open_urls = ResourcesUtil.gekeyList("anonymousURL");
        //遍历公开 地址，如果是公开 地址则放行
        for(String open_url:open_urls){
            if(url.indexOf(open_url)>=0){
                //如果是公开 地址则放行
                return true;
            }
        }


        //判断用户身份在session中是否存在
        HttpSession session = request.getSession();
        ActiveUser activeUser = (ActiveUser) session.getAttribute("activeUser");
        //如果用户身份在session中存在放行
        if(activeUser!=null){
            return true;
        }
        //执行到这里拦截，跳转到登陆页面，用户进行身份认证
        request.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(request, response);

        //如果返回false表示拦截不继续执行handler，如果返回true表示放行
        return false;
    }

3.2.4.2 配置拦截器

    <!--拦截器 -->
    <mvc:interceptors>

        <mvc:interceptor>
            <!-- 用户认证拦截 -->
            <mvc:mapping path="/**" />
            <bean class="cn.ty.ssm.controller.interceptor.LoginInterceptor"></bean>
        </mvc:interceptor>
    </mvc:interceptors>

3.2.5 授权

3.2.5.1 commonURL.properties

在此配置文件配置公共访问地址，共用访问地址只要通过用户认证，不需要对公共访问地址分配权限即可访问。

3.2.5.2 获取用户权限范围的菜单

思路：在用户认证时，认证通过，根据用户id从数据库获取用户权限范围的菜单，将菜单的集合存储在session 中。

public class ActiveUser implements java.io.Serializable {
    private String userid;//用户id（主键）
    private String usercode;// 用户账号
    private String username;// 用户名称

    private List<SysPermission> menus;// 菜单
    private List<SysPermission> permissions;// 权限

    // set get方法省略
}

mapper接口：根据用户id查询用户权限的菜单

 <!-- 根据用户id查询菜单 -->
  <select id="findMenuListByUserId"  parameterType="string" resultType="cn.ty.ssm.po.SysPermission">
        SELECT 
      * 
    FROM
      sys_permission 
    WHERE TYPE = 'menu' 
      AND id IN 
      (SELECT 
        sys_permission_id 
      FROM
        sys_role_permission 
      WHERE sys_role_id IN 
        (SELECT 
          sys_role_id 
        FROM
          sys_user_role 
        WHERE sys_user_id = #{id}))
  </select>

service接口：根据用户id查询用户权限的菜单

public List<SysPermission> findMenuListByUserId(String userid)
            throws Exception {

        return sysPermissionMapperCustom.findMenuListByUserId(userid);
    }

3.2.5.3 获取用户权限范围的url

思路：
在用户认证时，认证通过，根据用户id从数据库获取权限分为的url，将url的集合存储在session 中。
mapper接口：根据用户id查询用户权限的url

  <!-- 根据用户id查询url -->
  <select id="findPermissionListByUserId" parameterType="string" resultType="cn.ty.ssm.po.SysPermission">
      SELECT 
      * 
    FROM
      sys_permission 
    WHERE TYPE = 'permission' 
      AND id IN 
      (SELECT 
        sys_permission_id 
      FROM
        sys_role_permission 
      WHERE sys_role_id IN 
        (SELECT 
          sys_role_id 
        FROM
          sys_user_role 
        WHERE sys_user_id = #{id}))
  </select>

service接口：根据用户id查询权限的url

@Override
public List<SysPermission> findPermissionListByUserId(String userid)
        throws Exception {

    return sysPermissionMapperCustom.findPermissionListByUserId(userid);
}

3.2.5.4 用户认证通过取出菜单和url放入session

    //得到用户id
        String userid = sysUser.getId();
        //根据用户id查询菜单 
        List<SysPermission> menus =this.findMenuListByUserId(userid);

        //根据用户id查询权限url
        List<SysPermission> permissions = this.findPermissionListByUserId(userid);

        //认证通过，返回用户身份信息
        ActiveUser activeUser = new ActiveUser();
        activeUser.setUserid(sysUser.getId());
        activeUser.setUsercode(userCode);
        activeUser.setUsername(sysUser.getUsername());//用户名称

        //放入权限范围的菜单和url
        activeUser.setMenus(menus);
        activeUser.setPermissions(permissions);

3.2.5.6 菜单动态显示


    <c:if test="${activeUser.menus!=null }">
                <ul>
                <c:forEach items="${activeUser.menus }" var="menu">
                    <li><div>
                        <a title="${menu.name }" ref="1_1" href="#"
                            rel="${baseurl }/${menu.url }" icon="icon-log"><span
                            class="icon icon-log">&nbsp;</span><span class="nav"><a href=javascript:addTab('${menu.name }','${baseurl }/${menu.url }')>${menu.name }</a></span></a>
                    </div></li>
                </c:forEach>
                </ul>
            </c:if>

3.2.5.7 授权拦截器

//在执行handler之前来执行的
    //用于用户认证校验、用户权限校验
    @Override
    public boolean preHandle(HttpServletRequest request,
            HttpServletResponse response, Object handler) throws Exception {

        //得到请求的url
        String url = request.getRequestURI();

        //判断是否是公开 地址
        //实际开发中需要公开 地址配置在配置文件中
        //从配置中取逆名访问url

        List<String> open_urls = ResourcesUtil.gekeyList("anonymousURL");
        //遍历公开 地址，如果是公开 地址则放行
        for(String open_url:open_urls){
            if(url.indexOf(open_url)>=0){
                //如果是公开 地址则放行
                return true;
            }
        }

        //从配置文件中获取公共访问地址
        List<String> common_urls = ResourcesUtil.gekeyList("commonURL");
        //遍历公用 地址，如果是公用 地址则放行
        for(String common_url:common_urls){
            if(url.indexOf(common_url)>=0){
                //如果是公开 地址则放行
                return true;
            }
        }

        //获取session
        HttpSession session = request.getSession();
        ActiveUser activeUser = (ActiveUser) session.getAttribute("activeUser");
        //从session中取权限范围的url
        List<SysPermission> permissions = activeUser.getPermissions();
        for(SysPermission sysPermission:permissions){
            //权限的url
            String permission_url = sysPermission.getUrl();
            if(url.indexOf(permission_url)>=0){
                //如果是权限的url 地址则放行
                return true;
            }
        }

        //执行到这里拦截，跳转到无权访问的提示页面
        request.getRequestDispatcher("/WEB-INF/jsp/refuse.jsp").forward(request, response);

        //如果返回false表示拦截不继续执行handler，如果返回true表示放行
        return false;
    }

3.2.5.8 配置授权拦截器

    <!--拦截器 -->
    <mvc:interceptors>

        <mvc:interceptor>
            <!-- 用户认证拦截 -->
            <mvc:mapping path="/**" />
            <bean class="cn.ty.ssm.controller.interceptor.LoginInterceptor"></bean>
        </mvc:interceptor>
        <mvc:interceptor>
            <!-- 授权拦截 -->
            <mvc:mapping path="/**" />
            <bean class="cn.ty.ssm.controller.interceptor.PermissionInterceptor"></bean>
        </mvc:interceptor>
    </mvc:interceptors>

总结

使用基于url拦截的权限管理方式，实现起来比较简单，不依赖于框架，使用Web提供filter就可以实现。
问题：
需要将所有的url全部配置起来，有些繁琐，不易维护，url(资源)和权限表示方式不规范。