本文提供一種集成功能權限和數據權限的解決方法，以滿(mǎn)足多層次組織中權限管理方面的集中控制。本方法是RBAC（基于角色的訪(fǎng)問(wèn)控制方法）的進(jìn)一步擴展和延伸，即在功能權限的基礎上增加數據權限的管理，實(shí)現數據權限和功能權限的集中處理。
解釋?zhuān)?/div>
功能權限：能做什么的問(wèn)題，如增加銷(xiāo)售訂單；
數據權限：能在哪里干什么的問(wèn)題，如察看北京分公司海淀銷(xiāo)售部張三的銷(xiāo)售訂單；
術(shù)語(yǔ)：
資源：系統中的資源，主要是各種業(yè)務(wù)對象，如銷(xiāo)售單、付款單等；
操作類(lèi)型：對資源可能的訪(fǎng)問(wèn)方法，如增加、刪除、修改等；
功能：對資源的操作，是資源與操作類(lèi)型的二元組，如增加銷(xiāo)售單、修改銷(xiāo)售單等；
數據類(lèi)型：業(yè)務(wù)系統中常用的數據權限類(lèi)型，如公司、部門(mén)、項目、個(gè)人等；
數據對象：具體的業(yè)務(wù)對象，如甲公司、乙部門(mén)等等，包括所有涉及到數據權限的對象值；
權限：角色可使用的功能，分角色的功能權限和角色的數據權限；
角色：特定權限的集合；
用戶(hù)：參與系統活動(dòng)的主體，如人，系統等。
通用數據權限管理系統設計（二）
方法說(shuō)明：
在實(shí)際應用中，數據權限的控制點(diǎn)一般相對固定，如針對公司、部門(mén)、個(gè)人、客戶(hù)、供應商等，也就是說(shuō)數據權限一般針對指定數據類(lèi)型下的一些數據對象。
本方法中，數據權限的依賴(lài)于功能權限，是對功能權限的進(jìn)一步描述，說(shuō)明角色在指定的功能點(diǎn)上的數據控制權限。
本方法中采用“沒(méi)有明確規定即視為有效”的原則，如果沒(méi)有定義功能的數據權限，則說(shuō)明該角色具有該功能的全部的權限。如果定義了功能的某種類(lèi)型的數據權限，則該用戶(hù)只具有該類(lèi)型下指定數據的數據權限。
這段話(huà)比較繞口，下面舉個(gè)例子實(shí)際例子。
某公司有北京銷(xiāo)售部、上海銷(xiāo)售部和廣州銷(xiāo)售部三個(gè)銷(xiāo)售部，現在需要定義幾種角色：
銷(xiāo)售總監 -- 能察看所有銷(xiāo)售部的銷(xiāo)售訂單；
北京銷(xiāo)售經(jīng)理 -- 只能察看北京銷(xiāo)售部的所有銷(xiāo)售訂單；
上海銷(xiāo)售經(jīng)理 -- 只能察看上海銷(xiāo)售部的所有銷(xiāo)售訂單；
廣州銷(xiāo)售經(jīng)理 -- 只能察看廣州銷(xiāo)售部的所有銷(xiāo)售訂單；
上述角色的定義如下：
-------------------------------------------------------------------
角色名稱(chēng) 功能 數據類(lèi)型 數據對象
-------------------------------------------------------------------
銷(xiāo)售總監 察看銷(xiāo)售訂單
北京銷(xiāo)售經(jīng)理 察看銷(xiāo)售訂單 部門(mén) 北京
上海銷(xiāo)售經(jīng)理 察看銷(xiāo)售訂單 部門(mén) 上海
廣州銷(xiāo)售經(jīng)理 察看銷(xiāo)售訂單 部門(mén) 廣州
-------------------------------------------------------------------
上述定義中，銷(xiāo)售總監只定義了功能權限，而沒(méi)有定義數據權限，所以銷(xiāo)售總監能夠察看所有的銷(xiāo)售訂單；而其他幾位銷(xiāo)售經(jīng)理分別定義了這一功能的數據權限，所以只能察看指定部門(mén)的銷(xiāo)售訂單。
在實(shí)際應用中，往往會(huì )出現部門(mén)分組，組長(cháng)能夠察看本組所有人員處理的銷(xiāo)售訂單的情況，以及某些情況下，某些人只能察看本人的銷(xiāo)售訂單的情況，這些特殊情況在上述的說(shuō)明中無(wú)法解決，需要在設計和實(shí)現中進(jìn)行處理。
北京銷(xiāo)售代表 -- 只能察看北京銷(xiāo)售部的本人的所有銷(xiāo)售訂單；
北京銷(xiāo)售代表 察看銷(xiāo)售訂單 部門(mén) 北京
個(gè)人
通用數據權限管理系統設計（三）--數據庫設計
我們先來(lái)看看傳統的基于角色的權限管理系統，如下圖所示，最簡(jiǎn)單的基于角色的權限管理由系統功能、系統角色、系統用戶(hù)、角色功能和用戶(hù)角色五部分組成。
圖一：基于角色的數據庫結構
為實(shí)現數據權限控制，在設計上對基于角色的權限管理進(jìn)行擴充，如下圖所示：
圖二：通用數據權限管理系統數據庫設計
對比兩張圖，我們可以看到，他們之間的主要變化為：
1、 增加系統資源信息和操作類(lèi)型信息，系統資源為樹(shù)形結構、如銷(xiāo)售模塊、銷(xiāo)售訂單等；操作類(lèi)型記錄可能的操作，如增加、刪除、修改、查看、查詢(xún)等，系統功能是資源與操作類(lèi)型的組合，對資源的操作就是系統功能。
2、 增加數據對象類(lèi)型和數據對象兩張表，數據對象類(lèi)型記錄系統中需要控制的對象類(lèi)型，如部門(mén)、庫房、員工、客戶(hù)、供應商等；數據對象記錄各對象類(lèi)型的對象實(shí)例，如北京銷(xiāo)售部、上海銷(xiāo)售部、張三、李四等等。（獨立保存的好處后面會(huì )說(shuō)到）
3、 增加系統資源與數據對象類(lèi)型的關(guān)聯(lián)表（多對多），本表為配置表，說(shuō)明某種資源可能需要的控制點(diǎn)，如銷(xiāo)售訂單與部門(mén)類(lèi)型的關(guān)聯(lián)可能涉及到分部門(mén)分配權限；銷(xiāo)售訂單與客戶(hù)的關(guān)聯(lián)可能涉及到按客戶(hù)分配權限等等。
4、 增加數據對象與角色權限的關(guān)聯(lián)，這張表是真正最終實(shí)現數據權限管理的所在地。
通過(guò)這種設計，能夠最小化地減少對原有權限系統的更改，并且可以很靈活地增加數據的控制點(diǎn)。在產(chǎn)品化軟件的設計中使用，能夠靈活滿(mǎn)足客戶(hù)的需要。
下一篇文章將討論這種結構如何滿(mǎn)足第二部分功能需求的問(wèn)題，如果時(shí)間允許，將對程序的設計做進(jìn)一步闡述。
本設計方法已應用于自行開(kāi)發(fā)的通用供應鏈管理系統中，歡迎指正。
開(kāi)源供應鏈[進(jìn)銷(xiāo)存]系統說(shuō)明目錄
