SureADP权限控制模型

 

 

    系统的安全控制模型主要包括部门、员工及其个性设置、角色、权限、业务数据五大元素，通过五大元素的相互关联实现系统严格的授权控制机制。

 

    部门模型按照树形层级结构建立。一个部门可以有多个下级部门，一个部门只能有一个父级部门。

 

    人员隶属于部门。一个部门可以有多个下属员工，一个员工只能属于一个部门。

 

    角色是对一组有相同授权设置的用户的抽象，方便对一组用户进行权限分配。一个角色可以分给多个员工，一个员工也可拥有多个角色。

 

    权限是对系统内所有可控制元素的抽象，通过树形层级结构来体现权限的粒度划分和权限之间的约束关系。一般按照功能类型->操作类型 的顺序进行控制粒度划分，例如：“信用等级管理”是一个较粗粒度的权限控制点，在其内部可以细分为“增、删、改、查”多个更细的控制点；另外也可以通过层级关系体现出“信用等级管理”这个抽象的控制点必须依赖于“增、删、改、查”这些具体的控制点。另外对于细粒度的权限控制点我们支持三个层次的控制方式,分别是界面元素控制、URL调用控制、业务方法调用控制，这三个层次是按照控制安全级别逐渐加强的，在实际的使用中“界面元素控制”是必须设置的安全级别，另外两个层次要根据系统的安全要求、系统性能之间的权衡来选择。

 

    一个角色可以分配多个权限，权限可以通过角色间接分配给员工，也可以直接分配给员工。

 

   “数据范围控制”是安全控制的另一个侧面，与“权限”相辅相成；如果说“权限”体现的是可以做什么操作，而“数据范围控制”则体现这个操作可以操作那些对象。为了简化权限控制模型，对于数据范围的设置我们只在“部门”“员工”层次进行设置，而没有侵入到“角色”，这样角色的概念可以保持的很单纯。系统包含各种业务数据(资源)，每类数据有不同的权限特征，如：需要按属地进行权限控制的客户数据，按照级别进行控制的号码资源，等等，我们将这样的数据按照其权限控制特征抽象为“业务数据”。可以对部门、员工进行业务数据授权，从而实现对某个部门、员工可以查看、处理的数据范围的控制，推而广之，部门、人员本身也是泛化的业务数据类型，按照同样原理实现系统的分级授权。