基于RBAC 的SAAS系统权限设计

为什么系统需要权限控制？

生活中有没有权限限制？

灾难片电影《2012》中富人和权贵有权登上诺亚方舟，穷苦老百姓只有等着灾难的来临；

屌丝身边为什么没有那些长得漂亮、身材好的姑娘存在？

因为有钱人和漂亮姑娘都是珍贵稀有的，稀有的人在一起玩耍。而普通人往往无权拥有他们所拥有的权限。

权限管理的本质

web程序通过 url 的切换查看不同的页面（功能），所以权限管理指的其实就是URL管理，对url控制就是对权限的控制。

因此，一个人有多少个权限取决于他可以访问多少个URL。

RBAC是什么？

RBAC（Role-Based Access Control），是基于角色的访问控制，是一种先进的权限管理的模型。RBAC把用户通过角色与权限进行关联。即让一个用户拥有若干角色，每一个角色拥有若干权限。

这样就构造成了“用户-角色-权限”的授权模型。在这种模型中，用户与角色之间，角色与权限之间，一般者是多对多的关系。

权限系统中的概念

用户

应用系统的具体操作者，用户可以自己拥有权限信息，可以归属于0～n个角色，可属于0～n个组。他的权限集是自身具有的权限、所属的各角色具有的权限、所属的各组具有的权限的合集。它与权限、角色、组之间的关系都是n对n的关系。

角色

为了对许多拥有相似权限的用户进行分类管理，定义了角色的概念，例如系统管理员、管理员、用户、访客等角色。角色具有上下级关系，可以形成树状视图，父级角色的权限是自身及它的所有子角色的权限的综合。父级角色的用户、父级角色的组同理可推。

组

为了更好地管理用户，对用户进行分组归类，简称为用户分组。组也具有上下级关系，可以形成树状视图。在实际情况中，我们知道，组也可以具有自己的角色信息、权限信息。这让我想到我们的QQ用户