用户权限设计
1、单击桌面左下角“开始”，在右侧找到“控制面板”。
2、打开“控制面板”，点击“用户账户和家庭安全”。
3、点击“用户账户”选项。
4、 单击打开“用户账户”，之后找到“更改账户类型”选项。
5、单击打开“更改账户类型”，这时可以选择“管理员”，将标准用户权限升级级为管理员权限。
6、选中之后单击右下角的“更改账户类型“确定即可。
7、这时候账户“Officezu“经变成修改好的“管理员”。
User：用户表，存放用户信息
Role：角色表，存放角色信息
UserInRole：用户角色映射表，存放用户和角色的对就关系，多对多，一个用户可以对应多个
角色，而不同的角色有一同的权限。
Permissions：权限表，不同的角色对应不同的权限。权限信息使用一个字段flag来表示，
好处是可以使用位运算来计算权限，缺点是用位标识的权限受理论值限制，如int理论上可以
标识31种不同的权限, 当然可以整加一个字段来弥补，ApplicationID标识不同的模块
Application：模块信息。
[Flags]
public enum Flag:long
{
View=1,
Edit=2,
Delete=4
}
特性[Flag]告诉编译器,当编译器看到Flag枚举时，它会充许你用|(or)操作符组合枚举值，
就像二的整数幂一样，
例如 Flag Administer=Flag.View|Flag.Edit|Flag.Delete;表示三种权限的组合。
基础知识：
位运算
枚举Flag
当编译器看到Flag枚举时，它会充许你用|(or)操作符组合枚举值，
就像二的整数幂一样，
例如 Flag Administer=Flag.View|Flag.Edit|Flag.Delete;
常用操作，检查是否存在
Flag administer=Flag.View|Flag.Edit|Flag.Delete;
public bool Check(Flag administer,Flag mask)
{
bool bReturn = false;
if ((administer & mask) == mask)
bReturn = true;
return bReturn;
}
调用 Check(administer,Flag.Edit)将返回true.
public Flag SetBit(Flag administer,Flag mask)
{
return administer |= mask;
}
administer |= mask;操作相当于 administer = administer |mask;
从枚举中减去一种状态
administer &=mask;
如 :
Flag administer=Flag.View|Flag.Edit|Flag.Delete;
如需要禁止删除权限.
administer &=Flag.Delete;
另外，标记为flag的枚举类型，可以不设置值
public enum Flag:long
{
View,
Edit,
Delete
}
如需要设置，按以下规律， View=1,Edit=2,Delete=4,Reply=8按2次方累加，为什么会这样？因为他使用二进制操作，
当你使用 View=1,Edit=2,Delete=3,Reply=4这样的值， Flag.Delete 包含的值是Flag.Delete还是View=1|Edit=2就无从检测了.
每个用户，可以属于不同的角色不同的角色分配不同的权限，计算所有解权的所有可能的权限组合，只要有充许的权限，那么该用户既获取该权限。
在CS系统中，Permissions表合用了二个字段来标识权限.
AllowMask,DenyMask 规责是Deny优先,也就是说当权限标记为Deny那么不论是否Allow一律禁止该用户进行此项操作。
另外，像论坛类的权限设计，仅仅一个ApplicationID字段是不够用的，因为每个版块都需要设置不同的权限，来控制权限的粒度，可在增加一张Permission表，ApplicationID修改为版块ID
这样，就可以针对不同的版块设置不同的权限
好了，接下的问题是怎么和.net自带的权限系统挂钩了。。
在asp.net系统中 ，HttpContext.Current.User实现了一个接口IPrincipal,IPrincipal包含了另一个接口Identity
我们在设计User类的时候继承此接口
public class User:IPrincipal
{
string username;
public string Username
{
get{return username;}
set{username=value;}
}
}
实现IPrincipal接口方法
public IIdentity Identity
{
get {
if (!string.IsNullOrEmpty(username))
_Identity = new GenericIdentity(username,"Forums");
return (IIdentity)_Identity;
}
}
public bool IsInRole(string role)
{
.....
}
怎样和asp.net挂钩呢，这里可以在登陆时做检查
if(HttpContext.Current!=null){
User u= Users.GetUser(name);
HttpContext.Current.User =u;
在使用时
User u = HttpContext.Current.User as User;
当然检查用户角色可以直接用
if(HttpContext.Current.User.Identity.IsAuthenticated&&HttpContext.Current.User.IsInRole(角色名))
另外可以直接把到当用户权限策略挂接到当前线程 ,使用以下方法
AppDomain.CurrentDomain.SetPrincipalPolicy(User);
好了，接下来，怎么check权限？
我倾向于使用Attribute
[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method | AttributeTargets.Property | AttributeTargets.Delegate, Inherited = true, AllowMultiple = true)]
public class CheckPermissionAttribute : Attribute
{
int appID;
public int ApplicationID
{
get { return appID; }
set { appID = value; }
}
Permission _allMask;
public Permission AllMask
{
get { return _allMask; }
set { _allMask = value; }
}
public CheckPermissionAttribute(ApplicationID app, Permission allMask)
{
appID = app;
_allMask = allMask;
}
public CheckPermissionAttribute(Permission allMask)
{
_allMask = allMask;
}
}
AttributeUsage 第一个参数表示该属性可以应用于类，方法，属性，代理上
Inherited 检查继承的权限。
AllowMultiple 充许多次应用。
按下来，设计一个基类,继承自Page：
public class PageBase : Page
{
Flag _allMask;
///
/// 检查类型权限
///
public void CheckClass()
{
Type type = this.GetType();
CheckPermissionAttribute att = (CheckPermissionAttribute)CheckPermissionAttribute.GetCustomAttribute(type, typeof(CheckPermissionAttribute));
if (att != null)
{
Check(att.AllMask);
}
}
///
/// 检查函数调用权限
///
/// 方法名
public void CheckMethod(string methodName)
{
Type type = this.GetType();
string name = "*";
if (!string.IsNullOrEmpty(methodName))
name = methodName;
MemberInfo[] mis = type.FindMembers(MemberTypes.Method ,BindingFlags.Instance | BindingFlags.NonPublic | BindingFlags.Public | BindingFlags.IgnoreCase,Type.FilterNameIgnoreCase,name);
foreach (MethodInfo m in mis)
{
CheckPermissionAttribute att = (CheckPermissionAttribute)CheckPermissionAttribute.GetCustomAttribute(m, typeof(CheckPermissionAttribute));
if (att != null)
{
Check(att.AllMask);
}
}
return;
}
public void Check(Flag permissions)
{
if (!CheckPermission(permissions))
{
string url = string.Format("MsgPage.aspx?msg={0}", HttpUtility.UrlEncode("您没有权限访问该资源"));
Response.Redirect(url);
}
}
public void Check(ApplicationID appID, Flag permissions)
{
PermissionManager pm= Spaces.PermissionManager.Instance(appType);
if (!CheckPermission(pm,permissions))
{
string url = string.Format("MsgPage.aspx?msg={0}", HttpUtility.UrlEncode("您没有权限访问该资源"));
Response.Redirect(url);
}
}
protected override void OnInit(EventArgs e)
{
CheckClass();
base.OnInit(e);
}
}
如何使用：
[CheckPermission(2, Flag.View)]
public partial class MyPage : PageBase
{
}
若没有查看权限，会自运导向错误页面。
在类上应用挺方便。
方法上应用我于一个方法比较麻烦，我还没有找到在页面class里怎么获取当前调用的类名.
可以调用 CheckMethod(方法名称);如
[CheckPermission(2, Flag.Delete)]
public partial class MyPage : PageBase
{
public void test()
{
CheckMethod("test");
.......
}
}
基于角色的访问控制模型就是把“用户—角色—操作—资源”关联到一起，实现非自主型访问控制策略。使用基于角色的访问控制模型可以减轻安全管理工作，因为某种任务是稳定的，而负责该项任务的人员是经常变化的，这种方式只需把新的用户分配给已有的角色即可，无需为用户重新指定资源和操作，因而简化了授权管理工作。
为了保障本系统操作使用的信息安全，系统登录认证体系由三个要素组成:用户、角色、权限，三者相辅相成，共同组成系统的安全运行屏障。
1.用户信息
用户信息表统一管理，在用户信息表中存储用户名称、登录名、口令、各子系统权限、用户角色信息等。
用户信息表的添加、删除以及子系统权限修改由总系统授权的管理员执行，本系统中，用户信息表的操作在业务处理与信息服务子系统的系统管理菜单下的用户信息管理页面。用户口令可以自行改变，用户权限的变更需要提请管理员同意，并由管理员修改。
子系统启动时读取用户信息表验证用户权限，在系统运行时依据权限分配相应的功能。依据用户在子系统中的权限级别控制用户可操作的功能，实现最终用户对ORACLE数据库中数据的读取和添加操作权限控制(表8－2)。
表8－2 用户信息结构表
2.角色信息
角色可以根据需要任意多地添加，多个角色权限组合生成多个权限控制，对应到一个确定的用户，赋予用户对功能模块的控制权限。用户角色表包括角色名称、用户唯一值编码等信息。示例见表8－3。
表8－3 用户角色表(示例)
在数据库中为各个功能模块建立了功能名称表，每个功能模块均有记录，有功能编码和功能名称及其他附属信息。功能名称示例见表8－4。
表8－4 功能名称表(示例)
每个用户必须属于至少一个角色，每个角色具备多个功能的控制权限，功能权限通过角色传递给用户，从而实现用户对功能的操作权限控制。
3.权限信息
权限表明了用户可执行的操作。系统权限控制采用最大优先，用户可以拥有多个角色，每个角色对每一页面都可拥有权限，但在权限结果判断时只以最大权限为主，即管理员级权限大于并包含访问者权限。功能权限示例如表8－5所示。
表8－5 功能权限表(示例)
系统规划的子系统权限等级见表8－6。
表8－6 子系统权限等级规划表(部分)
续表
4.用户认证授权
通过以上四个表将用户、角色与权限组合起来，可以形成无穷多的用户权限组合，直接控制用户权限到每个细分功能。
用户、角色、权限、功能控制流程如图8－1所示:
图8－1 用户权限控制流程图
功能权限表仅在部署角色权限时使用，标示功能具备的可部署权限。
在角色中必须保证有一个管理角色拥有用户管理功能的管理权限，防止不能分配角色与权限，同样在用户中必须保证至少有一个用户是管理角色。
用户管理系统 - 用户权限设计从入门到精通
答：权限的精细化体现在对页面/菜单操作和数据访问的严格限制上，超级管理员的角色需谨慎使用，确保互斥角色在添加或修改前得到管理员的明确确认。在实践层面，包括超级管理员权限的管理、角色互斥的处理和用户权限系统的详细设计都是关键步骤。设计时，我们遵循“简单至上，避免冗余”的原则，确保在业务扩展时能...
如何创建新账户,并为其赋予权限?
答：另一种方法是使用控制面板。点击开始菜单，输入“控制面板”并打开。在控制面板中，选择“用户账户”，然后选择“添加或删除用户账户”。在这里，你可以选择创建一个新账户，并为其命名，选择账户类型，然后设置密码。3. 分配用户权限 Windows 10中有几种不同的用户账户类型，包括管理员、标准用户和儿童账...
用户权限设计
答：功能权限表仅在部署角色权限时使用，标示功能具备的可部署权限。在角色中必须保证有一个管理角色拥有用户管理功能的管理权限，防止不能分配角色与权限，同样在用户中必须保证至少有一个用户是管理角色。
权限设计(功能权限与数据权限)
答：权限设计，如同构建一座精密的系统控制塔，其核心任务是定义用户在系统中的操作权限。权限的范畴广泛，包括功能权限（如增删改查、审批操作）、数据权限（以部门划分为基础）和字段权限（针对单据字段的查看权限）。为了简化这一过程，我们引入了角色这一关键元素，它作为权限分配的桥梁，与权限和用户之间形成...
单片机怎么设计用户权限管理
答：建立用户组、存储用户组信息、密码验证等。1、建立用户组：将用户权限等级划分为多个等级，每个等级对应一个用户组。2、存储用户组信息：编写程序，将用户组信息存储在单片机的内部存储器中。3、密码验证：在单片机中设置密码验证模块，用户登录时，输入相应的用户名和密码。
B端产品之权限设计(RBAC权限模型)
答：在RBAC模型中,who、what、how构成了访问权限三元组,也就是“Who对What进行How的操作,也就是“主体”对“客体”的操作。其中who是权限的拥有者或主体(例如:User、Role),what是资源或对象(Resource、Class)。 简单的理解其理念就是将“角色”这个概念赋予用户,在系统中用户与权限之间通过角色进行关联,以这样的方法...
RBAC权限系统设计
答：RBAC（Role-Based Access Control）权限系统以用户(User)、角色(Role)和权限(Permission)为核心构建，通过角色与权限的巧妙组合，实现了权限管理的高效与扩展。它的设计巧妙地处理了多对多的关系，特别是通过角色继承机制（一般继承和受限继承），使得权限分配更为灵活和易于管理。在RBAC模型中，我们区分了...
用户管理系统 - 用户权限设计(RBAC模型)
答：RBAC 权限模型由三大部分构成,即用户管理、角色管理、权限管理。用户管理按照企业架构或业务线架构来划分,这些结构本身比较清晰,扩展性和可读性都非常好。角色管理一定要在深入理解业务逻辑后再来设计,一般使用各部门真实的角色作为基础,再根据业务逻辑进行扩展。权限管理是前两种管理的再加固,做太细容易太碎片,做太粗又...
一文看懂权限设计:基于RBAC模型
答：在文明的社会，每个人都生活在秩序当中，生活需要秩序，同样产品设计中也需要秩序，这种秩序的表达就是用户权限。做用户权限设置是为了更好的管理用户，从而达到良好的产品运转机制。B端产品通过权限设计可以相当大的资源外漏，从而降低企业风险。RBAC模型目前是大部分公司主流的权限管理，因集合自助访问控制（...
手把手教你做系统权限设计,看完不要说还不会
答：总监拥有所有权限，会计和出纳拥有部分权限。特殊情况下,一个人可能身兼多职。根据以上场景,新的权限模型就可以设计出来了,如下图:根据系统的复杂度不同,其中的多对多关系和一对一关系可能会有变化 授权即给用户授予角色,按流程可分为手动授权和审批授权。权限中心可同时配置这两种,可提高授权的灵活性...
