Drupal权限控制

      Drupal的权限控制是基于角色（role）进行管理的，即系统是把权限分配给角色而不是用户的，例如用户A要想拥有写博客权限，这时首先要创建一个角色，例如'Blog member', 然后给角色'Blog member'分配写博客的权限，之后再将角色'Blog member'分配给用户A，或者也可以说用户A拥有角色'Blog member'。总之，在Drupal中，一个用户可以拥有多个角色，同样，一个角色也可以分配给多个用户。

      默认情况下，Drupal自带了两个特殊的角色：'anonymous user' 和 'Authenticated user'。匿名用户自动拥有'anonymous user'角色的权限，而所有的登录用户都会自动拥有'Authenticated user'角色的角色，而且这两种角色是不可取消的。

      Drupal自带的权限控制粒度不够细，例如对于'page'类型，管理员只可以把'page'类型的查看、编辑、创建、删除等功能分配给一个或多个角色。但如果想精确到'page'类型所创建的每个页面呢？例如page1只可以查看，而page2只可以查看、编辑，而page3只允许管理员查看，这时Drupal自带的权限控制就无能为力了，但是不用担心，Drupal是高度可扩展的，你可以通过安装第三方的模块来实现这个功能，当然极端情况下你可以自己写一个模块来实现这个功能。'Nodeaccess '就是一个强大的权限控制模块，具体的讲，它可以控制每一个页面的权限而不是每个类型，也可以控制每个用户的权限而不是每个角色，具体用法请参见它的文档。Content Permissions 可以控制通过CCK添加的字段的权限。

      补充一下Drupal的特殊用户，在Drupal中每个用户都有一个userid，匿名用户的userid是0，而超级用户是1，也即是安装Drupal后第一个创建的用户，超级用户（userid为1）的权限是不受Drupal的权限系统控制的，就是该用户可以访问任何资源并且没有办法控制或减少它的权限，因此建议平时管理Drupal系统时不要用超级用户而要另创建一个管理员帐号来管理系统，这样避免一定的风险。