Shiro基础学习(一)—权限管理

一、基本概念

1.权限管理

     只要有用户参与的系统一般都要有权限管理，权限管理实现对用户访问系统的控制，按照安全规则或者安全策略控制用户可以访问而且只能访问自己被授权的资源。

    权限管理包括用户认证和授权两部分。

 

2.用户认证

    用户认证，用户去访问系统，系统要验证用户身份的合法性。

最常用的用户身份验证的方法：

(1)用户名密码方式

(2)指纹打卡机、

(3)基于证书验证方法。

系统验证用户身份合法，用户方可访问系统的资源。

(1)用户认证的流程

    

 

(2)关键对象

subject: 主体，理解为用户,可能是程序，都要去访问系统的资源，系统需要对subject进行身份认证。

principal: 身份信息，通常是唯一的，一个主体还有多个身份信息，但是都有一个主身份信息（primary principal）。

credential: 凭证信息，可以是密码 、证书、指纹。

总结：主体在进行身份认证时需要提供身份信息和凭证信息。

 

 

3.用户授权

     用户授权，简单理解为访问控制，在用户认证通过后，系统对用户访问资源进行控制，用户具有资源的访问权限方可访问。

流程:

    

 

4.权限模型

主体（账号、密码）

资源（资源名称、访问地址）

权限（权限名称、资源id）

角色（角色名称）

角色和权限关系（角色id、权限id）

主体和角色关系（主体id、角色id）

    

 

(1)基于角色份的访问控制

系统角色包括: 部门经理、总经理(角色针对用户来划分)。

系统代码中实现:

//如果该user是部门经理则可以访问if中的代码

if(user.hasRole('部门经理')){

     //系统资源内容

     //用户报表查看

}

问题：

角色针对人划分的，人作为用户在系统中属于活动内容，如果该 角色可以访问的资源出现变更，需要修改你的代码了，比如：需要变更为部门经理和总经理都可以进行用户报表查看，代码改为：

if(user.hasRole('部门经理') || user.hasRole('总经理') ){

     //系统资源内容

     //用户报表查看

}

基于角色的访问控制是不利于系统维护(可扩展性不强)。

 

(2)基于资源的访问控制

资源在系统中是不变的，比如资源有: 类中的方法，页面中的按钮。

对资源的访问需要具有permission权限，代码可以写为：

if(user.hasPermission ('用户报表查看（权限标识符）')){

     //系统资源内容

     //用户报表查看

}

上边的方法就可以解决用户角色变更不用修改上边权限控制的代码。

如果需要变更权限只需要在分配权限模块去操作，给部门经理或总经理增或删除权限。

建议使用基于资源的访问控制实现权限管理。

 

5.粗粒度和细粒度权限

(1)粗粒度权限管理

粗粒度权限管理，对资源类型的权限管理。

资源类型比如：菜单、url连接、用户添加页面、用户信息、类方法、页面中按钮。

粗粒度权限管理比如：超级管理员可以访问户添加页面、用户信息等全部页面。

部门管理员可以访问用户信息页面包括页面中所有按钮。

 

(2)细粒度权限管理

细粒度权限管理，对资源实例的权限管理。

资源实例就资源类型的具体化，比如：用户id为001的修改连接，1110班的用户信息、行政部的员工。

细粒度权限管理就是数据级别的权限管理。

细粒度权限管理比如：部门经理只可以访问本部门的员工信息，用户只可以看到自己的菜单，大区经理只能查看本辖区的销售订单。

 

粗粒度和细粒度例子

     系统有一个用户列表查询页面，对用户列表查询分权限，如果粗颗粒管理，张三和李四都有用户列表查询的权限，张三和李四都可以访问用户列表查询。

     进一步进行细颗粒管理，张三（行政部）和李四(开发部)只可以查询自己本部门的用户信息。张三只能查看行政部 的用户信息，李四只能查看开发部门的用户信息。细粒度权限管理就是数据级别的权限管理。

 

(3)如何实现粗粒度和细粒度权限管理

如何实现粗粒度权限管理？

     粗粒度权限管理比较容易将权限管理的代码抽取出来在系统架构级别统一处理。比如：通过springmvc的拦截器实现授权。

 

如何实现细粒度权限管理？

     对细粒度权限管理在数据级别是没有共性可言，针对细粒度权限管理就是系统业务逻辑的一部分，如果在业务层去处理相对比较简单，如果将细粒度权限管理统一在系统架构级别去抽取，比较困难，即使抽取的功能可能也存在扩展不强。建议细粒度权限管理在业务层去控制。

比如：部门经理只查询本部门员工信息，在service接口提供一个部门id的参数，controller中根据当前用户的信息得到该 用户属于哪个部门，调用service时将部门id传入service，实现该用户只查询本部门的员工。