闲话权限系统的设计

21CTO

资讯 0 1362 2018-03-08 12:02:32

一、权限的本质

权限管理，首先要理清权限的本质：权限就是对受保护资源的有限许可访问。

理解了权限的本质，就好谈权限的管理了。

权限就是对受保护资源的有限许可访问--这句话包含两层含义：

1. 受保护的资源
2. 有限的许可访问

但，本质上谈的都是对资源的访问，所以探讨权限问题，首先要定义资源。

二、资源的概念

资源是一个抽象的概念，按照百科的词条解释，“资源”是指一国或一定地区内拥有的物力、财力、人力等各种物质要素的总称。分为自然资源和社会资源两大类。前者如阳光、空气、水、土地、森林、草原、动物、矿藏等；后者包括人力资源、信息资源以及经过劳动创造的各种物质财富等。

在计算机软件中，资源指的是软件使用过程中使用的各种对象，功能，文件，网络等各种要素的总称。比如一个按钮所操作功能也算是一种资源；这样，菜单，按钮，页面等等，都可以算是资源。甚至，数据库的某个字段，也是资源。如果按照RESTFull API的思路去理解资源可能更好理解。

2.1 资源的识别

资源多了，管理起来也有点麻烦，比如一个软件有很多按钮，要搞清楚这些按钮是比较困难的。把资源硬编码一个代号，对资源进行命名，对一类资源进行组织归类，这样复杂的系统就好管理了。

2.2 有限的资源

资源有很多，但并不是所有资源都是我们在当前领域需要关心的，我们要从所有资源中，整理出那些是受保护的有限资源。

两个定语：受保护，有限。

公开的且无限的资源，不需要保护了（当然不是完全不需要），比如阳光，比如以前的空气。但是，随着工业化的发展，空气也越来越需要保护了。

水资源，虽说是公开的，但是它是有限的，所以需要严格保护。野生动物，森林，都是需要保护的，它们的数量都是有限的。

由于人类活动范围的持续增大，几乎地球上所有的资源都不够了，总有一天，阳光也会成为稀缺的资源。所以，资源总是给人一种有限的感觉。

正因为资源是有限的特点，我们不能随意并且大量的使用，所以需要对这些资源进行保护，要访问（使用）资源，需要授权。

所以，权限就是对受保护资源的有限许可访问。

三、权限的概念

3.1 权限的分类

权限并不是一个独立的东西，它不是主体，是客体，所以它必须依附于一个主体。所以，我们常常根据权限所依附的主体来给权限分类：

按照授权方式区分的权限类型：部门权限，人员权限，角色权限。
按照软件层级区分：功能权限，业务权限，数据权限。

功能权限是指可访问的页面、菜单、按钮等，这些功能一般都在软件的“视图层”；

业务权限是指可以处理的一类业务，通常包含很多功能，比如一个功能，A业务可以修改，但是B业务只能查询；

数据权限是指哪些数据可以被什么对象访问。通常在数据库级别进行控制，比如：同样一个表，员工只能查询，经理可以修改。

3.2 权限的控制模型

权限，实质上分为权限的受体和权限的配体，权限的受体在资源对象上，而权限的配体是权限访问者持有的访问秘钥，可以用细胞分子来理解受体和配体。只有当受体和配体有效结合以后，才代表权限执行成功，被访问的资源的状态发生了改变。可以用锁来举例理解，要开锁必须有钥匙，钥匙是权限的“配体”，而锁是权限的受体。锁接受了钥匙成功进行了配对，打开了锁，于是人打开了门，进入了房间，那么房间这个资源的状态就改变了。

另外，权限还要区分拥有者和执行者，访问受保护资源的访问者，只要持有代表行使权限的访问秘钥，那么访问者就可以访问这个资源，也就说这个访问者有了访问这个资源的权限。

这里有三个关键词：访问者，资源，秘钥

访问者就是是权限的执行者，它可以是权限的拥有者，也可以是权限拥有者授权的代理人，就像公司的董事长和总经理的关系，董事长授权总经理经营管理公司，总经理代表董事长行使公司资产使用的权利。但是不管谁来行使访问权限，都要持有访问资源的秘钥，比如银行账户的密码。其实这个过程，做过微服务权限控制，都能明白。

权限系统，跟国家的权力架构一样，也分为制定权限资源（立法），执行权限访问（司法），授予权限（行政）。组成权限系统的3个部分是相互分立，相互制约的。把权限系统的原理搞清楚了，那么设计权限系统的程序，就很简单了，能够做到完备且灵活。

3.3 权限的授权

权限系统里面最常出现的就是角色，这叫做角色授权，当系统权限多了，势必要对权限进行一个分组（分类），这就是角色。所以，角色，仅仅是一个权限集合而已，因此授权的时候按角色授权要方便些。但实际上，也可以按部门授权，或者按个人授权，或者，3者交叉授权。所以，最终一个系统的权限管理，复杂就复杂在这个地方，而如果权限授权不清晰，也容易出现推诿，扯皮的事情。所以，管理者授权，是很考验管理智慧的地方。

总结

权限系统分为三大部分：

1. 系统使用的资源（菜单，按钮，页面，数据等等有限的可操作可访问的对象）；
2. 权限的识别，对资源系统中找出那些是需要进行受保护访问的而不是公开可操作的资源，对这样的资源进行分组和命名；
3. 权限的授权（按角色授权，按部门授权，按个人授权等）。