权限系统真的很难实现吗？--开源软件诞生11

【赤龙ERP】权限系统的那些事--第11篇

用日志记录“开源软件”的诞生

博主的开源空间：进入地址，点亮星标

码云地址  GitHub地址

【您的鼓励，我的动力，一个老程序员的心声】

前言

几乎每家公司的ERP管理系统里都存在权限系统的身影，而且实现方式多种多样，配置流程千奇百怪。甚至在一家公司里见到过几百页的权限系统需求文档。权限系统实现起来很困难吗？我不置可否，下面就来一起抽丝剥茧。

 

权限系统应该解决什么事

权限系统乍听起来好像很深奥，其实可以很简单：它是一个管理谁有权看哪些内容、做哪些事的系统。好吧，貌似我一句话说完了，其实本节可以结束了。如果觉得我解释得太少的同学，我再多说两句。

（1）任何应用系统中的功能，绝对不是任何人都可以无限制使用的，我们一定是想做一些控制，来实现拆分、隔离、安全、高效等多方面的管控。权限系统应运而生。

（2）要控制的对象是人。所以权限系统必选先管人，我们通常叫做账户，一个人一个账户。而人又不是独立存在的，人存在于组织里，所以我们也要管组织。

（3）人要做的是事。我们关心的是，一个人可以看哪些，做哪些，甚至是看到哪些数据。紧接着就是我们如何将事分类，并最终赋给人身上。

需要注意的是：权限系统只需关心上面的内容，至于如何将权限集成应用，以及更加业务化的问题，完全不必要进行考虑。

权限系统的实现方式有哪些

说到实现方式，我见过复杂的，也见过极简的，下面从模块的角度列举一下。

一、极简版：用户与权限。

这种方式开发起来简单，但配置起来极其复杂，也会出现很多意想不到的问题和风险。

二、通用版：用户、角色、权限。

这种方式应该是我们最常见到的，中间加了角色一层，解决了配置复杂度的问题。【赤龙ERP】就是这个版本进行优化而来。

三、高级版：用户、职责、权限、菜单、工具栏、可执行

这种方式是我遇到的比较科学的设计方式，几乎可以说是涵盖了所有常见的需要权限管理的内容，优点当然是灵活，但也极大增加了开发成本和管理成本。

四、其他：用户、用户组、角色、权限、菜单

这种方式可以理解成通用版的一个进化版本，更多的考虑的是配置的灵活度，也不像高级版那么复杂，笔者之前企业中用的这种方式，总结一下，这种设计思路是好的，但在实践中貌似多虑了。

我如何实现权限控制

下面就在具体讲述一下，我在【赤龙ERP】中的权限系统是如何实现的。

（1）用户管理：在这里我只管理账户和密码，不管理其他任何用户的信息和职员的信息。不把登陆账号和其他用户数据做强耦合，这样可以更加灵活的管理用户。

（2）角色管理：角色是一组权限的集合，但绝不是无场景的组合。角色一定是从业务角度出发的一类职责所涉及到的权限的汇总。

（3）权限管理：首先是对权限的分类，即上面提到的对"事"的分类。常见的三类是：菜单权限、操作权限和数据权限。其次也是最重要的叫做约定。开发上有一个思路叫约定大于配置。我们现在要做的就是如何通过约定权限命名的方式，来实现无特殊配置和编程的权限控制。也就是说，我们并不通过配置和编码的方式来实现：谁能看到哪些菜单，谁能操作哪些功能、谁能看到哪些数据，而是约定一系列规则，通过规则来判断拥有哪些权限的人可以做哪些事情，那么在符合规则的前提下，我们只需要命名我们需要的权限即可。

特殊说明：这也就是为什么在我的权限系统设计时并不需要高级版的那些菜单管理、工具栏管理、可执行管理等功能

（4）关联关系：用户与角色、角色与权限。首先关联一定是多对多。最终的目的是找到用户有哪些角色，用户有哪些权限；因为最终请求的拦截一般都是通过角色和权限完成的。但设计时一定要避免过多的关联重复，以及考虑到权限范围大小的设置问题。

后记

由此看见，权限系统本身并不复杂，复杂的是如何用最简单的功能实现更多的管控。也就是上面我所说的约定规则的制定。在此不展开篇章讲解。如果大家感兴趣，可以进入【赤龙ERP】找到答案。

 

带你了解不一样的【赤龙ERP】：https://www.redragon-erp.com（赤龙官网查看更多功能）