[英]How to design a hierarchical role based access control system
基本的交易是,我们为我们的项目定制了“kickstart”。 为此我们正在考虑重做用户控件。 我知道有很多关于一般rbac的问题,但我在层次结构rbac上找不到任何问题?
我们的要求是:
所以,有了这些要求,这就是我在考虑这样做的方式。
id | int | unique id
id | int | unique id
--------------|---------------------------------------------
title | varchar | human readable name
id | int | unique id
--------------|---------------------------------------------
module | varchar | module name
--------------|---------------------------------------------
title | varchar | human readable name
--------------|---------------------------------------------
key | varchar | key name used in functions
role_id | int | id from roles table
--------------|---------------------------------------------
user_id | int | id from users table
id | int | unique id
--------------|---------------------------------------------
permission_id | int | id from permissions table
--------------|---------------------------------------------
role_id | int | id from roles table
--------------|---------------------------------------------
grant | tinyint | 0 = deny, 1 = grant
id | int | unique id
--------------|---------------------------------------------
permission_id | int | id from permissions table
--------------|---------------------------------------------
user_id | int | id from users table
--------------|---------------------------------------------
grant | tinyint | 0 = deny, 1 = grant
嗯,实际上这是它的一半,我确信这一部分,我要坚持的部分是层级角色。
那么,我该如何设计呢? 我的想法是,为了节省数据库查询,我将在登录时构建权限矩阵并将其保存到会话中,因此查询不必太简单,因为它们仅针对每次登录运行一次。
我看到的问题是,我将需要知道角色的层次结构,以便在解析继承之前解析继承的角色权限。
用户权限是简单的部分,每用户权限基本上是最终解析的组。
有一种方法可以通过对表Roles
使用递归关系来实现角色继承,方法是对另一条记录进行角色引用:
此关系将在Roles
记录中添加1 : n
继承。 您可以使用此存储函数获取整个层次结构树:
CREATE FUNCTION `getHierarchy`(`aRole` BIGINT UNSIGNED)
RETURNS VARCHAR(1024)
NOT DETERMINISTIC
READS SQL DATA
BEGIN
DECLARE `aResult` VARCHAR(1024) DEFAULT NULL;
DECLARE `aParent` BIGINT UNSIGNED;
SET `aParent` = (SELECT `parent` FROM `Roles` WHERE `id` = `aRole`);
WHILE NOT `aParent` IS NULL DO
SET `aResult` = CONCAT_WS(',', `aResult`, `aParent`);
SET `aParent` = (SELECT `parent` FROM `Roles` WHERE `id` = `aParent`);
END WHILE;
RETURN IFNULL(`aResult`, '');
END
然后,您可以使用以下内容获取所有已授予的权限:
SELECT
`permission_id`
FROM
`Permission_Role`
WHERE
FIND_IN_SET(`role_id`, `getHierarchy`({$role}))
AND
grant;
如果还不够,那么你可以做另一个继承表:
但是,在这种情况下,需要另一种层次结构获取算法。
要解决覆盖问题,您必须获得角色权限和用户权限。 然后,将user
权限写入session
roles
权限。
另外,我建议删除Permission_Role
和Permission_User
中的grant
列。 无需为每个权限映射每个权限。 足以使用EXISTS
查询:如果有记录,则授予权限,否则 - 不是。 如果需要检索所有权限和状态,可以使用LEFT JOIN
。
声明:本站的技术帖子网页,遵循CC BY-SA 4.0协议,如果您需要转载,请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.