基于Web的系统权限管理实现方法

—１６９＿一
根据其角色提取相应的功能ｉｄ，然后判断该角色是否有此项 权限。如果按钮表示的功能ｉｄ属于角色，则显示该按钮，表 示登录用户有权操作该项功能，否则，按钮不显示。 ｕｓｅｒ＿ｍａｉｎ．ｊｓｐ源代码如图２所示。
ｌ￡ＱｎｆｉｇⅡ址Ｉ乜Ｉ吐ｑＬ‘王ｌ
ｒｏｌｅＩＤ
ｖａｒｃｈａｒ（２０）＜ｆｋ２＞ｌ
（１）数据库的设计 根据上述的权限管理的思想，在采用这种方法的实际系 统开发中使用了一个用户对应一个角色的控制策略。一共建 立了４个表，分别是： １）用户表（ｕｓｅｒ）：保存用户登录名、密码、角色、真实 姓名等信息。用来判断用户是否有权限进入系统以及根据用 户名提取角色以判断相应的权限设置。 ２）角色表（ｒｏｌｅ）：保存所有的系统角色信息，如角色名 称、角色ＩＤｏ ３）角色权限配置表（ｒｏｌｅ—ｃｏｎｆｉｇｕｒｅ）：保存不同角色对应 的功能信息，比如管理员角色具有添加用户、删除用户的权 限，普通用户可以具有查看用户信息的权限。 ４）权限表（ｆｕｎｃｔｉｏｎ）：又称功能表，用来保存系统的所有 功能信息。功能和前台表示层的按钮或链接相对应。 使用ＰｏｗｅｒＤｅｓｉｇｎｅｒ数据库建模工具产生的各表以及表 之间的关系模型如图ｌ所示。 （２）程序中的实现 以用户管理的界面文件ｕｓｅｒ ｍａｉｎ．ｊｓｐ为例，当登录用户 要进入用户管理的界面时，首先程序会调用函数 ｃｏｎｆｉｒｍＲｉｇｈｔ（ｓｔｒｉｎｇ ｕｓｅｒ ｉｄ，Ｓｔｒｉｎｇ ｆｕｎ—ｉｄ）判断用户的角色，
基金项目：国家“８６３”计划基金资助项Ｉ；１（２００２ＡＡ４１４５ １０）；国家教
育部重点攻关项目（“十五”２１ ＩＣＥＲＳ一１２）
作者簧介：暴志刚（１９７８一），男，博士生，主研方向：制造业信息化，
组件，电子商务；胡艳军，硕士；顾新建，教授、博导
收籍日期：２００４—１０—２８
Ｅ－ｍａｉｌ：ｂｚ９３７＠ｓｏｈｕ．ｃｏｍ
８ｙ俨协
＜％ｉｆ（ｕｓｅｒ．ｃｏｎｆｌｒｍＲｌｇｈｔ（ｓｅｓｓ！ｏｎ：ｇｅｔＡｔｔｆｉ＇ｂｕｔｅＣ！ａｓｅｒ＿ｉｄ”）．ｔｏｓ仃ｉｎｇ（），”ＣＸ０３０１”）） ｌ％＞ ＆ｎｂｓｐ；＜ｉｎｐｕｔ ｔｙｐｃ＝’＇ｂｕｔｔｏｎ”ｃｌａｓｓ＝”ｂｅｎｂｅｎ”ｎａｌｎｅ事”Ｓｕｂｍｉｔｌ”ｖａｌｕ仁”新增” ｏｎｃｌｉｃｋ＝”ｄｏＡｄｄ（’ｕｓｅｒ＿ａｄｄ．ｊｓｐ’）”×％｝％＞
＝一卜 喀ｎ＊目口承州舡嘲—Ⅻ矾出耐撕呐斟倒刚州１Ｄ粗∞—伪ｍ悄时ｎ廿蝻睁Ｉ港据
帕
权限判断标签，其值在过滤器中处理
Ｉｌｌ ５蠢代码
ＩＩ ６使用过■暑的具体实现结桷
＜ｗｅｂ－ａｐｐ＞ ＜ｆｉｎｅ》
＜ｆｉｌｔｅｒ－ｎａｍｅ＞ＳｉｇｎＯｎＦｉｌｔｅｒ＜／ｆｉｌｔｅｒ－ｎａｍｅ＞
＜ｄｉｓｐｔａｙ－ｎａｍｅ＞ＳｉｇｗＯｎＦｉＲｏｒ＜／ｄｉｓｐｔａｙ－ｎａｍｅ＞ ＜ｄｅｓｃｎｐｔｉｏｎ＞ｎ０ ｄ，ｏｓｃｄｐｔｉｏｎ＜／ｄｅｓｃｆｌｐｔｉｏｎ＞
，…一＼…Ｌ’ｉ， Ｕ一 、 ｒ
ＦＵＮＣＣＴｉＩＯＮ
一
一
一
＼ＲＥＦＥＲＥＮＣＥ ＲｏＬＥ
￥—一…一…一’ ｆｕｎｃｔｉｏｎ
ＦｕｎｃｔｉｏｎｌＤ
Ｖａｒｃｈａｒｔ２０）玉Ｐ蛀
＿
一．
ｆｕｎｃｔｉｏｎＮａｍｅ Ｖａｒｃｈａｒ（５０）
ｒｏｌｅｌＤ
Ｙａ￡￡ｈ４ｄ２Ｑ１＜－ｑＬｋ２
ｆｕｎｃｔｉｏｎＴｙｐｅ Ｖａｒｃｈａｒ（５０）
＜／ｔｄ＞
■２ ｕｓｅｒ—ｍａｉｎｄｓｐ■代码
（３）实现的效果图
角色１具有所有的权限而角色２仅具有修改的权限，界
面效果如图３所示。
ＦＫ．ＵＳＥＲ—ＲＯＬＥＲＥＦＥＲＥＮＣＥ
”修改”．ｔｔｏｕ：：ｃｌａｓｓ＝ｂｅｎｂｅｎ ”））｛．ｇｅｔＡ
圈３界膏效果
２．２使用过谴嚣的方法 （１）数据库的设计
在采用这种方法的实际系统开发时使用了一个用户对应 多个角色的权限控制策略。相应的数据库设计与前述方法略 有不同，一共用到５个表，其中第一个表与前述方法相比没
Ｉ《ｍ疆昏《岫懈Ｆ姐＿蜘＝饥日卜噶峨Ｆ蛳倒铽叫埘辂晚时日隆《叫期哟雷旧
《目均掣匍Ｒ洲梆士娴囊蕾榭－茧寰袁强叠■瑚嘣■—蔫曩每
ｔｄ■目口一ｌ州峰＝抽叫＇ｄ哪由吲２＇穗｜Ｉｌ掣饥札且ｄ町甙铂ｗ协岫岫叫蛔帕～藿沪
删ｋ目Ｏ陶哺１目Ｉ嘲’ｄ叭斑耐２＇国№茸ｍ如町峨ｈ田田懦ｍ括ｐ。州利｝啦确
ｔｄｆｂ目Ⅱ—曲啊篁抽耐蜘由吲２＇国ｍ蚪ｈ却舯１岍∞侥ｍ鄂鲫司叩啊∞～员工
本文提出了两种权限管理的实现方法，并以Ｊａｖａ技术为 例进行说明。一种是直接在表示层的ｊｓｐ文件中嵌入Ｊａｖａ代 码，调用判断函数进行权限的判断，如果登录用户有该权限 则显示权限操作的按钮，否则，按钮不显示。另一种是采用
万方数据
Ｊａｖａ的过滤器技术，这种技术是指在一个ｗｅｂ．ｘｍｌ配置文件 中进行相应的截取过滤器设置，过滤器可以截取客户请求和 系统响应，然后进行相应的预处理和后处理。这里所说的预 处理和后处理功能，通常是指一些基本的系统服务，如权限 的控制、登录和系统调试。下面分男Ⅱ说明这两种实现方法。 ２．１直按爿断法
Ｒｅａｌｉｚａｔｉｏｎ Ｍｅｔｈｏｄ Ａｂｏｕｔ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ ｏｆ Ｓｙｓｔｅｍ Ｂａｓｅｄ ｏｎ Ｗｅｂ
ＢＡＯ Ｚｈｉｇａｎｇ，ＨＵ Ｖａｎｊｕｎ，ＧＵ Ｘｉｎｊｉａｎ （Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｃｏｎｔｅｍｐｏｒａｒｙ Ｍａｎｕｆａｃｔｕｒｉｎｇ Ｅｎｇｉｎｅｅｒｉｎｇ，Ｚｈｅｊｉａｎｇ Ｕｎｉｖｅｒｓｉｔｙ，Ｈａｎｇｚｈｏｕ ３１００２７）
，＿’————————————————’、，’————————————————————、
Ｉ判断权限的函数ｌ
ｌ按钮对应的功能ｉｄ
、—＿、ｒ——————／、———————一，—／
。（＜ｊｔｄｓｐｔ：ｕｓｅＢｄａｎ。佣ｉ埘卵ｓｅｒ＂ｏｐｅ＝＂俐ｓｅｉｏｎ＂ｃｌａｓ…＝＂ｃｏ＞ｒｎ．ｚｊｕｔ．ｃｒｍ．ｕｓｅｒ．ｄａｏＵｂｇｃｏｌｒ＝”栅啊呵ＦＦ” ａｌｉｇｎ”＝ｌ曲ｈ”ｅｉｇｈｔ＝２“４”＞
［Ａｂｓｔｒａｃｔ］Ｆｉｒｓｔｌｙ ｍａｋｉｎｇ ｒｅｆｅｒｅｎｃｅ ｔｏ ｒｏｌｅ ｂａｓｅｄ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ（ＲＢＡＣ）ｍｏｄｅｌ，ｔｈｉｓ ｐａｐｅｒ ｐｒｏｐｏｓｅｓ ｔｈｅ ｂａｓｉｃ ｉｄｅａ ａｂｏｕｔ ａｃｃｅｓｓ ｃｏｎｔｒ０１．Ｔｈｅｎ ｉｔ ｉｎｔｒｏｄｕｃｅｓ ｄａｔａｂａｓｅ ｄｅｓｉｇｎ ｏｆ ｔｗｏ ｒｅａｌｉｚｉｎｇ ｍｅｔｈｏｄｓ ａｂｏｕｔ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ ａｎｄ ｔｗｏ ｍｅｔｈｏｄｓ’ｒｅａｌｉｚａｔｉｏｎ ｉｎ ｐｒｏｇｒａｍ，ｉｔ ａｌｓｏ ｐｒｅｓｅｎｔｓ ｖｉｓｕａｌ ｅｆｆｅｃｔ． Ｆｉｎａｌｌｙ ｉｔ ａｎａｌｙｚｅｓ ａｎｄ ｃｏｍｐａｒｅｓ ｏｎｅ ｔｏ ａｎｏｔｈｅｒ ｉｎ ｄｅｔａｉｌ ｆｒｏｍ ｔｗｏ ａｓｐｅｃｔｓ ｏｆ ａｐｐｌｉｃａｂｉｌｉｔｙ ａｎｄ ｒｅｕｓａｂｉｌｉｔｙ．
Ｖ ａｒｃｎａｒｌ２ｕ●‘Ｄ‘）
ｌ一一
，，兰害ｒｌ 一ｚＩＪ。ｌ 一Ｓ，Ｐ、Ｑ
ｆｕｌｌｃｔｉｏｎＮ ａｍ ｃ Ｖ■ｒｃｈａｒ（５０）
ｌ ｒｏｌｅＮａｍｃ Ｖａｒｃｈｍｒ（２０）
～ｆｕｎｃｔ—ｉｏ～ｎＴ—ｙｐ。Ｖ…ａｒ—ｃｈａ—ｒ（５。０．！
ｌ Ｎ ａｍｃ
ｖｓ ｒｃｈａｒ（５０）
■１基手直接爿●ｆ汝的数量摩中衰曲关系曩重
＜ｆｉＲｅｒ－ｃｌａｓｓ＞ｃｏｍ．ｄｅｃｏｒａｔｉｏｎ．．ｃｏｍｐ ｍｏｎｏｓｈｏｐｓｉｇｎｏｎ．ｗｅｂ．ＳｉｇｎＯｎＦｉｌｔｅｒ＜／ｆｉｌｔｅｒ－ｃｌａｓｓ＞ ＜／ｆｉｌｔｅｒ＞
＜ｆｉｌｔｅｒ－ｍａｐｐｉｎｇ＞
＜ｆｉＲｅｒ．ｎａｍｅ＞ＳｉｇｎＯｎＦｉｌｔｅｒ＜／ｆｉｌｔｅｒ－ｎａｍｅ＞ ＜ｕｒｌ．ｐａｔｔｅｍ＞／＊＜／ｕｄ．ｐａｔｔｅｒｎ＞‘ｌ一衰示对所有的页＝＇ｌｉＭｅ■蔓过＝ｌ－·ｂ
［Ｋｅｙ ｗｏｒｄｓｉ Ａｕｔｈｏｒｉｚａｔｉｏｎ ｍａｎａｇｅｍｅｎｔ；Ｒｏｌｅ；Ｄａｔａｂａｓｅ ｄｅｓｉｇｎ；Ｆｉｌｔｅｒ
计算机技术应用的普及和企业信息化步伐的加快、以及 因特网的快速发展，使得开发基于Ｗｅｂ的管理信息系统成为 软件开发的一个方向，但随之而来的信息安全也越来越受到 人们的关注。权限管理为解决信息系统安全性问题提供了重 要保障。目前的权限管理大致上可以分为两类：系统级的安 全管理，例如操作系统级的安全管理，数据库级的安全管理 等；另一种是应用级的安全管理，该部分权限的控制主要取 决于具体的系统…。在应用级的安全管理方面，目前的研究 很受关注，比较成熟的是ＲＢＡＣ（Ｒｏｌｅ ｂａｓｅｄ Ａｃｃｅｓｓ Ｃｏｎｔｒ０１） 授权模型怛Ｊ。本文结合ＲＢＡＣ授权模型，针对基于Ｗｅｂ的信 息系统提出了两种权限管理的实现方法。
＜％ｉｆ（ｕｓｅｒ．？ｏｎｆｉｒｍＲｉｇｈｔ（ｓｅｓｓｉｏｎ．ｔ岫ｂｕｔｅ（ｕ” ｓｅｒ．．ｉ”ｄ）．ｔｏｓｕｉｎｇ ），” ＣＸ０３０２
％＞
＆ｎｂｓｐｉ＜：ｉｎｐｕｔ ｔｙｐｅ－－－．：＇ｂｕ
”
” ｎａｍｅ＝”Ｓｕｂｍｉ ｔ２” ｖａｌｕｅ＝
ｏｎｃｌｉｃｋ＝“ｄｏＭｏｃｌｉｆｙ（＂ｕｓｅｒ－／ｎｏｄｉｆｙ．ｊｓｐ）¨×％ｌ％＞
有了角色字段，中间３个表与前述方法完全相同，第５个表 是用户一角色对照表，保存用户和对应的角色信息。
使用ＰｏｗｅｒＤｅｓｉｇｎｅｒ数据库建模工具产生的各张表以及 表之间的关系模型如图４所示。
Ｒｏｌｅ—ｃｏｎｆｉｇｕｒｅ
ｌ
￡Ｑ韭红ｇ坚驻！旦Ｉｎｔ
≤Ｐｋ≥
ｒｏｌｅＩＤ
ｖａｒｃｈａｒ（２０）＜ｆｋ２＞
ｆｕｎｃｔｉｏｎｌＤ ｖａｒｃｈａｒ（２０）＜ｆｋｌ．ｆｋ３＞
Ｄｅｓｅｒｉｖｔｉｏｎ
Ｖａｒｅｈａｒ（５０）
ｒｏｌｅＮａｍｅ ｖａｒｃｈａｒ（２０） ｒｏｌｅＤｅｓｃｒｉｖｔｉｏｎ ｖａｒｃｈａｒｆ５０）
圈４基于过■■方法曲敦鼍库中表盼关熏楱基
（２）程序中的实现
当用户选择一个角色登录时，首先会经过过滤器，确认