摘要: 粗粒度：表示类（model）别级，即仅考虑对象的类别(the type of object)，不考虑对象的某个特定的实例。比如，对合同这个类别(contract)的管理中，创建、删除等操作，对所有的用户都一视同仁，并不区分具体的对象实例（销售合同，生产合同）。
细粒度：表示实例(instance)级别，即需要考虑具体对象的实例(the instance of object)，当然，细粒度是在考虑粗粒度的对象类别之后才再考虑特定实例。比如，销售合同管理中，合同所有者拥有查看、修改、删除等权限，其他用户只有合同的查看权限。
阅读全文
摘要: 在企业应用中，通常需要控制用户对业务操作的权限管理与控制。不难发现这会涉及到这三个对象：用户/角色、动作/操作、授权状态，进一步分析，我们可发现“动作/操作”通常是针对某个特定的对象，譬如 『新增』动作可对应于『采购申请单』也可对应于『销售出库单』等，这些动作对应的对象我们将其称之为“应用模块”。
至此，用户权限系统中的基本逻辑显形：谁（用户/角色）对什么（应用模块）是否具有某项操作（动作）的授权（授权状态：授予-Grant、拒绝-Deny、继承-Revoke）。
阅读全文
摘要: B/S系统中的权限比C/S中的更显的重要，C/S系统因为具有特殊的客户端，所以访问用户的权限检测可以通过客户端实现或通过客户端+服务器检测实现，而B/S中，浏览器是每一台计算机都已具备的，如果不建立一个完整的权限检测，那么一个“非法用户”很可能就能通过浏览器轻易访问到B/S系统中的所有功能。因此B/S业务系统都需要有一个或多个权限系统来实现访问权限检测，让经过授权的用户可以正常合法的使用已授权功能，而对那些未经授权的“非法用户”将会将他们彻底的“拒之门外”。下面就让我们一起了解一下如何设计可以满足大部分B/S系统中对用户功能权限控制的权限系统。
阅读全文
摘要: 统一用户及权限管理系统
存档于本人电脑>技术文档>权限控制>统一用户及权限管理系统
阅读全文
摘要:
对内容的访问控制可以抽象为全局权限；contenttype权限和行记录权限
对内容的访问控制可以抽象为全局权限；contenttype权限和行记录权限< p>昨晚睡得很好，今天加快进度，把事情做完它，装进LINUX，更新到网上去。上午效率不算太高，到博客上的时间偏多了一点。12：04分，完成了从 XML到解释的步骤，过去，在应用程序中调用时工作量最大，不过现在由于程序都是现成的，只是扩展方法而已，因此估计速度会快得多。按昨天的设想，是把 action增加一个空的doAuthorize()方法，这样不会影响已有的程序的调用，而在需要时可以添加这个方法实施代码，特殊情况下可以覆盖这个方法的代码实施特别的控制。在版面显示的涉及到内容采集的tag模块中也可以采用这个方法。
阅读全文
摘要: 我们知道，在基本的RBAC模型中有以下基本（接口）对象：Domain, Group, User, Role, Privilege, Operation, Resource以及对外的SecurityManager。Privilege通过Operate Resource而产生，Role则对应若干个Privilege。不同的Domain, Group, User拥有不同数量的Role，其中User的Role可以继承自Group，也可以继承自Domain；Group的权限可以继承自Domain。对外表现时，可以简单地通过SecurityMananger.checkPermission(User, Privilege)的返回值true/false进行判断。上面每个对象都是接口，SecurityManager可以通过IoC反向注入，从而使得这种权限模型的使用比较灵活。
阅读全文
摘要: 对开源的产品了解不多，所以也只能大概的谈谈，开源的产品中比较知名的有poweracl、acegi，poweracl从名字就可以看出其是基于ACL模型的，不怎么了解所以在此也不去评价了。
阅读全文
摘要: ACL全称Access Control List，在ACL中，包含用户(User)、资源(Resource)、资源操作(Operation)三个关键要素。通过将资源以及资源操作授权给用户而使用户获取对资源进行操作的权限
阅读全文
摘要: l RBAC0定义了能构成一个RBAC控制系统的最小的元素集合
在RBAC之中,包含用户users(USERS)、角色roles(ROLES)、目标objects(OBS)、操作operations(OPS)、许可权permissions(PRMS)五个基本数据元素，权限被赋予角色,而不是用户，当一个角色被指定给一个用户时，此用户就拥有了该角色所包含的权限。会话sessions是用户与激活的角色集合之间的映射。RBAC0与传统访问控制的差别在于增加一层间接性带来了灵活性，RBAC1、RBAC2、RBAC3都是先后在RBAC0上的扩展。
l RBAC1引入角色间的继承关系
角色间的继承关系可分为一般继承关系和受限继承关系。一般继承关系仅要求角色继承关系是一个绝对偏序关系，允许角色间的多继承。而受限继承关系则进一步要求角色继承关系是一个树结构。
l RBAC2模型中添加了责任分离关系
RBAC2的约束规定了权限被赋予角色时,或角色被赋予用户时,以及当用户
阅读全文
摘要: 根据对中小型应用系统的权限系统的需求进行阐述，并对通常用于实现权限系统的两种思想、技术策略以及技术实现方案进行描述，比较其优缺点，同时对开源类型的产品进行介绍，最后结合自己的实际经验介绍自己的实现方案以及碰到的难点。
阅读全文
摘要: 一般来说权限系统主要需要做到以下几种情况的控制：
1、身份认证。主要是控制访问系统的用户的身份，以确定用户是否有足够的身份进行操作。
2、系统菜单、按钮的控制。需要根据权限显示相应的菜单和按钮，这种主要是控制显示级别的以及用户正常访问系统操作。
3、系统操作的控制。需要根据权限来控制用户是否有权进行某操作，这个主要是控制避免用户通过不正常的方式来访问系统的操作。(如通过直接敲url等)
4、系统资源级别的控制。这个就比较复杂些，需要控制用户可以看到哪些资源，而资源通常又分成很多种操作级别的资源，如对资源进行管理时看到的就是用户拥有管理权限的资源，如只是对资源进行访问时看到的则为用户拥有访问权限的资源，更为复杂的情况是资源要求支持权限继承的情况，就是对父资源进行授权后，相应的子资源也拥有同样的权限。
阅读全文
摘要: 权限往往是一个极其复杂的问题，但也可简单表述为这样的逻辑表达式：判断“Who对What(Which)进行How的操作”的逻辑表达式是否为真。针对不同的应用，需要根据项目的实际情况和具体架构，在维护性、灵活性、完整性等N多个方案之间比较权衡，选择符合的方案。
.基于角色的访问控制方法（RBAC）。是目前公认的解决大型企业的统一资源访问控制的有效方法。其显著的两大特征是：1.减小授权管理的复杂性，降低管理开销。2.灵活地支持企业的安全策略，并对企业的变化有很大的伸缩性。
阅读全文