权限访问控制管理模型.docVIP

权限访问控制管理 权限管理实际上是建立在权限控制体系上的具体功能的实现，因此有必要讨论使用哪一种权限控制模型。 基本概念 一、身份与主题 身份(Principal)描述的是用户以及和用户相关的机构属性，例如角色、群组、职位等等。 主题(Subject)是身份的集合，描述的是一个用户所具有的所有身份。 下图表示用户的身份： 如果对于某种资源的操作较多，可能会出现某些操作之间有包含关系，而某些操作之间没有包含关系的情况。例如上面对于数据的几种操作中，一般来说，编辑应该包含查看，而删除应该包含编辑等等，而编辑和移动之间就不一定有包含关系。 对于操作之间的包含关系，可以通过下面的树形结构来说明： 资源 资源 操作21 操作22 操作23 操作31 操作32 操作33 四、许可与权限 许可(Permission)描述的是对系统中资源的操作，“通常一个许可包含一个目标(‘由这个权限控制的操作将对谁执行?’)和一个操作(‘如果这个权限允许的话，对这个目标将执行什么操作?’)”。 许可 = 资源 + 操作。 权限，可以认为是对许可的一种更为常用的说法，在实际的程序设计中，权限往往被附加上了身份的描述。 权限 = [身份+]资源+ 操作。 五、允许权限与拒绝权限 允许权限，明确允许身份A能够对资源B进行C操作，例如允许小王对工程管理模块进行管理操作。 拒绝权限，明确拒绝身份A能够对资源B进行C操作