人生在世如身处荆棘之中，心不动，人不妄动，不动则不伤。——《大明皇后：揽溪传》
1、引言
只要有用户参与的系统一般都要有权限管理，权限管理实现对用户访问系统的控制，按照安全规则或者安全策略控制用户可以访问而且只能访问自己被授权的资源。权限管理包括用户认证和授权两部分。
- （1）用户认证
用户认证，用户去访问系统，系统要验证用户身份的合法性。系统验证用户身份合法，用户方可访问系统的资源。用户认证流程如下：
- （2）用户授权
用户授权，简单理解为访问控制，在用户认证通过后，系统对用户访问资源进行控制，用户具有资源的访问权限方可访问。
2、权限模型
权限模型包括以下6张表：
主体（账号、密码）
资源（资源名称、访问地址）
权限（权限名称、资源id）
角色（角色名称）
角色和权限关系（角色id、权限id）
主体和角色关系（主体id、角色id）
它们之间的关系如下：
通常企业开发中将资源和权限表合并为一张权限表，如下：
资源（资源名称、访问地址）
权限（权限名称、资源id）
合并为：
权限（权限名称、资源名称、资源访问地址）
上图常被称为权限管理的通用模型。
3、权限控制
3.1 基于角色的访问控制
RBAC(role based access control)，基于角色的访问控制。
比如：
系统角色包括 ：部门经理、总经理。。（角色针对用户来划分）
系统代码中实现：
//如果该user是部门经理则可以访问if中的代码
if(user.hasRole(‘部门经理’)){
//系统资源内容
//用户报表查看
}
问题：
角色针对人划分的，人作为用户在系统中属于活动内容，如果该角色可以访问的资源出现变更，需要修改你的代码了，比如：需要变更为部门经理和总经理都可以进行用户报表查看，代码改为：
if(user.hasRole(‘部门经理’) || user.hasRole(‘总经理’) ){
//系统资源内容
//用户报表查看
}
基于角色的访问控制是不利于系统维护(可扩展性不强)。
3.2 基于资源的访问控制
RBAC(Resource based access control)，基于资源的访问控制。
资源在系统中是不变的，比如资源有：类中的方法，页面中的按钮。
对资源的访问需要具有permission权限，代码可以写为：
if(user.hasPermission (‘用户报表查看（权限标识符）’)){
//系统资源内容
//用户报表查看
}
上边的方法就可以解决用户角色变更不用修改上边权限控制的代码。
如果需要变更权限只需要在分配权限模块去操作，给部门经理或总经理增或删除权限。
建议使用基于资源的访问控制实现权限管理。
不过使用基于资源的方式，仍然是需要角色的，用户的权限分配的依据往往是角色（比如：如果我给你admin角色，那么同时也会给你curd的权限）。而进行访问控制时，则不依赖角色（比如：你想添加数据，那么我可以直接问你，你有insert权限吗？如果有，你就可以访问。而不关心你是什么角色）。
4、权限管理解决方案
4.1 粗粒度和细粒度权限
- （1）粗粒度权限管理，对资源类型的权限管理。
资源类型比如：菜单、url连接、用户添加页面、用户信息、类方法、页面中按钮。
粗粒度权限管理比如：超级管理员可以访问户添加页面、用户信息等全部页面。
部门管理员可以访问用户信息页面包括 页面中所有按钮。
- （2）细粒度权限管理，对资源实例的权限管理。
资源实例就资源类型的具体化，比如：用户id为001的修改连接，1110班的用户信息、行政部的员工。细粒度权限管理就是数据级别的权限管理。
细粒度权限管理比如：部门经理只可以访问本部门的员工信息，用户只可以看到自己的菜单，大区经理只能查看本辖区的销售订单。。
粗粒度和细粒度例子：
系统有一个用户列表查询页面，对用户列表查询分权限，如果粗颗粒管理，张三和李四都有用户列表查询的权限，张三和李四都可以访问用户列表查询。
4.2 实现粗粒度和细粒度权限管理
如何实现粗粒度权限管理？
粗粒度权限管理比较容易将权限管理的代码抽取出来在系统架构级别统一处理。比如：通过springmvc的拦截器实现授权。
如何实现细粒度权限管理？
对细粒度权限管理在数据级别是没有共性可言，针对细粒度权限管理就是系统业务逻辑的一部分，如果在业务层去处理相对比较简单，如果将细粒度权限管理统一在系统架构级别去抽取，比较困难，即使抽取的功能可能也存在扩展不强。
建议细粒度权限管理在业务层去控制。
比如：部门经理只查询本部门员工信息，在service接口提供一个部门id的参数，controller中根据当前用户的信息得到该 用户属于哪个部门，调用service时将部门id传入service，实现该用户只查询本部门的员工。
4.3 基于url拦截的方式实现
基于url拦截的方式实现在实际开发中比较常用的一种方式。
对于web系统，通过filter过虑器实现url拦截，也可以springmvc的拦截器实现基于url的拦截。具体实现逻辑如下：
使用基于url拦截的权限管理方式，实现起来比较简单，不依赖框架，使用web提供filter就可以实现。
存在问题：需要将所有的url全部配置起来，有些繁琐，不易维护，url(资源)和权限表示方式不规范。
下篇文章将介绍使用Shiro权限管理框架实现。