用户管理是每个产品必备的管理后台,最基础的用户管理只要有账号增删这两个功能就够了。不过一旦用户开始增多,权限稍微复杂一些,我们就需要认真思考用户管理权限的逻辑问题。避免在未来用户突然增长时,埋下无法解决的深坑。
如果你只是想找用户管理系统的源码,可以直接看文末结论部分。
一. 基础权限管理系统 - 简单清晰但无法承载复杂需求
基础权限系统的设计,一般都是从「用户-权限」这两个纬度开始的,管理员需要为每一个用户单独定义权限。
上图为 synology 服务器权限设置后台。服务器每新增一个访问账号,管理员就需要配置一遍权限表。如果系统中用户数在几十个上下,权限变动也不太多时,这种「用户-权限」的权限管理逻辑简单清晰,很好用。但当系统中用户开始增多,到达上千、上万时,此种管理方法的局限性就暴露出来了。
二. 基于 RBAC 模型的权限设计 - 引入角色概念
当用户数量到达一定规模后,管理员要修改一批用户的权限时,在「用户-权限」的模型中,几乎不可能手动完成。这时,我们在 用户 和 权限 之间引入 角色 这个概念。将用户与权限直接对的应关系,改为用户关联角色,角色关联权限的方式来赋予用户权限,即「用户-角色-权限」。
引入角色的好处是将抽象的权限具像化,我们仅需要思考每个角色应该赋予什么样的权限,再将对应的用户指向角色,即可完成账号授权。
1.RBAC 权限模型概况
「用户-角色-权限」的权限逻辑就是目前行业内普遍使用的 RBAC (Role-Based Access Control:基于角色的权限控制)权限模型。其核心是引入角色的概念,用角色作为中间介质,使用户与权限配置更加灵活。
2.RBAC 权限模型的优势
(1)将抽象的权限具像化,分配权限时不用再思考抽象问题。
举例:新入职的初级销售小张找管理员开账号,管理员不用纠结到底要不要给小张开「查看部门销量」的权限,只需要把小张的账号指向「初级销售」的角色即可,这个角色有怎样的权限,早已被定义好。
(2)批量调整权限
举例:有时公司上新业务模块,管理员要授权某一属性的用户查看该模块数据。比如公司新上直播功能,需要运营组可以操作直播后台,此时管理员只需要修改「运营」这个角色的权限即可修改所有运营组成员的账号权限。
3.RBAC 权限模型的多个应用场景
RBAC 权限模型清晰简单的管理逻辑非常好的体现在实际应用中,接下来我们通过具体的例子来理解这种权限架构的逻辑思路。
(1)RBAC基本型:「用户-角色-权限」
RBAC 的基础性仅含「用户-角色-权限」概念。在这个模型中,用户与角色,角色与权限是多对多的关系,用户的权限就是所属的全部角色拥有的权限之和。多数产品的用户管理,使用 RBAC 基本型即可完成很好的权限控制。
举个例子:公司小王即是财务部的出纳,又负责仓储保管清点货物。那么我们首先创建两个角色,财务部出纳,仓储部库管。角色非常具象,管理员可以轻松授权角色权限。再把小王的账号赋予这两个身份,小王在系统中就获得了对应的权限。权限模型逻辑简单干净。
(2)进入「等级」概念的 RBAC 模型 -「用户 - 角色 [等级] - 权限」
引入了「等级」概念,即角色内有了上下级关系。每个等级的权限不同,高等级向下兼容低等级权限,即在同一个角色内,高等级包含所有低等级的权限。「等级」概念的引入,让权限实现更细颗粒度的分配。
举个例子:所属同一个部门的员工并不应该人人都能查看全部门数据。所以这时我们引入「等级」的概念,部门负责人可查看全部门数据,部门中各小组组长只可查看自己小组数据,而组员,只能看自己的数据。
(3)「用户 - 角色 [等级] - 权限 [限制] 」
在权限控制中,为了系统的安全,也为了工作流程中逻辑的通畅,我们不仅赋予账号权利,也要对账号做系统层面的限制。
-
角色互斥
在某些业务流程中,前后角色是核对关系,如果让同一个人同时担任前后核查的角色,系统流程就可能出现安全漏洞。比如采购员与财务审核员,采购员申报采购计划,财务审核员审核通过采购计划。如果这两个角色是同一个人,那么他既能提交申请,又能通过申请。那么就失去了审核的意义。此时,我们应该限定系统中,采购与财务审核为互斥角色,不同由同一个账号同时拥有。
-
角色基数约束
在系统中,有些特殊角色,涉及到安全或责任问题,只能由一个人担任,所以我们要限制此类角色对应的用户数量为有限数。比如权限管理员或者部门负责人,不可以由多个用户担任,只能撤掉一个,再添加另一个。这样才能保证系统安全,流程稳固。
-
多角色用户仅允许同时使用一个角色
有时不同角色在同一操作界面会有数据或操作上的冲突,此时,我们要限定用户同一时间,只能使用一个身份。这样可以避免非常多不必要的麻烦。
三、RBAC 权限管理的在实际系统中的应用
RBAC 权限模型由三大部分构成,即用户管理、角色管理、**权限管理。**用户管理按照企业架构或业务线架构来划分,这些结构本身比较清晰,扩展性和可读性都非常好。角色管理一定要在深入理解业务逻辑后再来设计,一般使用各部门真实的角色作为基础,再根据业务逻辑进行扩展。权限管理是前两种管理的再加固,做太细容易太碎片,做太粗又不够安全,这里我们需要根据经验和实际情况来设计。
1.用户管理
用户管理中的用户,是企业里每一位员工,他们本身就有自己的组织架构,我们可以直接使用企业部门架构或者业务线架构来作为线索,构建用户管理系统。
2.角色管理
在设计系统角色时,我们应该深入理解公司架构、业务架构后,再根据需求设计角色及角色内的等级。一般角色相对于用户来说是固定不变的,每个角色都有自己明确的权限和限制,这些权限在系统设计之处就确定了,之后也轻易不会再变动。
(1)自动获得基础角色
当员工入职到某部门时,该名员工的账号应该自动被加入该部门对应的基础角色中,并拥有对应的基础权限。这种操作是为了保证系统安全的前提下,减少了管理员大量手动操作。使新入职员工能快速使用系统,提高工作效率。
(2)临时角色与失效时间
公司业务有时需要外援来支持,他们并不属于公司员工,也只是在某个时段在公司做支持。此时我们需要设置临时角色,来应对这种可能跨多部门协作的临时员工。
如果公司安全级别较高,此类账号默认有固定失效时间,到达失效时间需再次审核才能重新开启。避免临时账号因为流程不完善,遗忘在系统中,引起安全隐患。
(3)虚拟角色
部门角色中的等级,可以授权同等级的员工拥有相同的权限,但某些员工因工作原因,需要调用角色等级之外的权限,相同等级不同员工需要使用的权限还不相同。这种超出角色等级又合理的权限授予,我们可以设置虚拟角色。这一虚拟角色可集成这一工作所需的所有权限,然后将它赋予具体的员工即可。这样即不用调整组织架构和对应的角色,也可以满足工作中特殊情况的权限需求。
(4)黑白名单
- 白名单:某些用户自身不拥有某部门的顶级角色,但处于业务需求,需要给他角色外的高级权限,那么我们可以设计限制范围的白名单,将需要的用户添加进去即可。在安全流程中,我们仅需要对白名单设计安全流程,即可审核在白名单中的特殊用户,做到监控拥有特殊权限的用户,减少安全隐患。
- 黑名单:比较常见的黑名单场景是某些犯了错误的员工,虽然在职,但已经不能给他们任何公司权限了。这种既不能取消角色关联,也不能完全停用账号的情况,可以设置黑名单,让此类用户可以登录账号,查看基本信息,但大多数关键权限已经被黑名单限制。
3.权限管理
权限管理一般从三个方面来做限制。页面/菜单权限,操作权限,数据权限。
(1)页面/菜单权限
对于没有权限操作的用户,直接隐藏对应的页面入口或菜单选项。这种方法简单快捷直接,对于一些安全不太敏感的权限,使用这种方式非常高效。
(2)操作权限
操作权限通常是指对同一组数据,不同的用户是否可以增删改查。对某些用户来说是只读浏览数据,对某些用户来说是可编辑的数据。
(3)数据权限
对于安全需求高的权限管理,仅从前端限制隐藏菜单,隐藏编辑按钮是不够的,还需要在数接口上做限制。如果用户试图通过非法手段编辑不属于自己权限下的数据,服务器端会识别、记录并限制访问。
四、用户管理系统权限设计中的更多实践细节
1.超级管理员
超级管理员是用来启动系统,配置系统的账号。这个账号应该在配置好系统,创建管理员之后被隐藏起来。超级管理员账号拥有系统中全部权限,可穿梭查看各部门数据,如果使用不恰当,是系统管理的安全隐患。
2.互斥角色如何处理
当用户已经有用的角色和即将添加的角色互相互斥时,应该在添加新角色时,提示管理员因角色互斥的原因,无法进行新角色添加。如需添加,要先撤销掉前一个角色,再添加新角色。
3.用户管理权限系统设计一定要简单清晰
在设计权限系统之处,一定要理清思路,一切从简,能不增加的多余角色和权限逻辑,就一定不要增加。因为随着公司业务的扩大,权限和角色也会随之增多,如果初期设计思路不严谨,那么权限系统会随着业务的扩大而无限混乱下去,此时再来整理权限,已经太晚了。所以初期设计就一定要条理清晰,简单明了,能避免后续非常多不必要的麻烦。
4.无权提示页
有时员工 A 会直接给员工 B 分享他当下正在操作的页面,但有可能员工 B 无权查看。此时我们应该在这里考虑添加「无权提示页」,避免粗暴的404页面让员工 B 以为是系统出错了。
五. 如何快速搭建用户管理系统
用户权限管理系统,设计起来虽然复杂,但只要产品逻辑理顺,页面设计完成,使用趁手的工具,很快就能完成管理系统的搭建和部署。
这里我推荐大家试试卡拉云,卡拉云是一套帮助后端程序员解决了数据库接入、API 调用等问题,前端组件拖放即用,可快速构建企业内部工具。
我用卡拉云按照本文思路,搭建了一套用户权限管理系统,仅花了1天时间。我已经将在卡拉云搭建好的用户管理系统生成为模版,即可快速复制我的模版到你的账号下,立即套用,接入自己的数据,完成部署。
卡拉云可轻松接入常见的数据库和 API ,只需简单配置,即可完成数据对接。
六.扩展资料
(1)快速搭建用户管理系统后端工具 - 卡拉云
(2)常用的权限系统模型
- ACL(Access Control List) 权限控制列表
- RBAC(Role-Based Access Control)基于角色的权限控制
- ABAC(Attribute-Based Access Control)基于属性的权限控制
- PBAC(Policy-Based Access Control)基于策略的权限控制
(3)由 George Mason 大学提出的 RBAC 模型文档
七、本文作者
蒋川,卡拉云联合创始人,B 端产品经理,专注研究企业内部效率工具实施搭建
我的微信 HiJiangChuan,欢迎一起交流。
卡拉云 - 快速搭建企业内部工具的低代码开发平台,只要会写SQL,即可快速上手。
欢迎访问我们的网站「卡拉云」,了解更多信息。