RBAC角色權限設計思路

1 設計思路

爲了設計一套具備較強可擴展性的用戶認證管理，須要創建用戶、角色和權限等數據庫表，而且創建之間的關係，具體實現以下。

1.1 用戶

用戶僅僅是純粹的用戶，用來記錄用戶相關信息，如用戶名、密碼等，權限是被分離出去了的。用戶（User）要擁有對某種資源的權限，必須經過角色（Role）去關聯。

用戶一般具備如下屬性：

ü         編號，在系統中惟一。

ü         名稱，在系統中惟一。

ü         用戶口令。

ü         註釋，描述用戶或角色的信息。

1.2 角色

角色是使用權限的基本單位，擁有必定數量的權限，經過角色賦予用戶權限，一般具備如下屬性：

ü         編號，在系統中惟一。

ü         名稱，在系統中惟一。

ü         註釋，描述角色信息

1.3 權限

       權限指用戶根據角色得到對程序某些功能的操做，例如對文件的讀、寫、修改和刪除功能，一般具備如下屬性：

ü         編號，在系統中惟一。

ü         名稱，在系統中惟一。

ü         註釋，描述權限信息

1.4 用戶與角色的關係

一個用戶（User）能夠隸屬於多個角色（Role），一個角色組也可擁有多個用戶，用戶角色就是用來描述他們之間隸屬關係的對象。用戶（User）經過角色（Role）關聯所擁有對某種資源的權限，例如

l         用戶（User）：

UserID      UserName      UserPwd

1                   張三                 xxxxxx

2                   李四                 xxxxxx    

……

l         角色（Role）：

RoleID           RoleName          RoleNote

       01                  系統管理員       監控系統維護管理員

       02                  監控人員          在線監控人員

       03                  調度人員          調度工做人員

       04                  通常工做人員   工做人員

       ……

l         用戶角色（User_Role）：

UserRoleID           UserID           RoleID           UserRoleNote

1                       1                   01                  用戶「張三」被分配到角色「系統管理員」

2                        2                   02                  用戶「李四」被分配到角色「監控人員」

3                        2                   03                  用戶「李四」被分配到角色「調度人員」

……

       從該關係表能夠看出，用戶所擁有的特定資源能夠經過用戶角色來關聯。

1.5 權限與角色的關係

一個角色（Role）能夠擁有多個權限（Permission），一樣一個權限可分配給多個角色。例如：

l         角色（Role）：

RoleID           RoleName          RoleNote

       01                  系統管理員       監控系統維護管理員

       02                  監控人員          在線監控人員

       03                  調度人員          調度工做人員

       04                  通常工做人員   工做人員

       ……

l         權限（Permission）：

PermissionID      PermissionName       PermissionNote

0001                        增長監控                 容許增長監控對象

0002                        修改監控                 容許修改監控對象

0003                        刪除監控                 容許刪除監控對象

0004                        察看監控信息       容許察看監控對象

……

l         角色權限（Role_Permission）：

RolePermissionID   RoleID PermissionID RolePermissionNote

1                             01            0001        角色「系統管理員」具備權限「增長監控」

2                             01            0002        角色「系統管理員」具備權限「修改監控」

3                             01            0003        角色「系統管理員」具備權限「刪除監控」

4                             01            0004        角色「系統管理員」具備權限「察看監控」

5                             02            0001        角色「監控人員」具備權限「增長監控」

6                             02            0004        角色「監控人員」具備權限「察看監控」

……

       由以上例子中的角色權限關係能夠看出，角色權限能夠創建角色和權限之間的對應關係。

1.6 創建用戶權限

用戶權限系統的核心由如下三部分構成：創造權限、分配權限和使用權限。

第一步由Creator創造權限（Permission），Creator在設計和實現系統時會劃分。利用存儲過程CreatePermissionInfo（@PermissionName,@PermissionNote）建立權限信息，指定系統模塊具備哪些權限。

第二步由系統管理員（Administrator）建立用戶和角色，而且指定用戶角色（User－Role）和角色權限（Role－Permission）的關聯關係。

1)        具備建立用戶、修改用戶和刪除用戶的功能： Administrator

l         存儲過程CreateUserInfo（@UserName,@UserPwd）建立用戶信息；

l         存儲過程ModifyUserInfo（@UserName,@UserPwd）修改用戶信息；

l         存儲過程DeleteUserInfo（@UserID）刪除用戶信息；

2)        具備建立角色和刪除角色的功能： Administrator

l         存儲過程CreateRoleInfo（@RoleName,@RoleNote）建立角色信息；

l         存儲過程DeleteRoleInfo(@RoleID)刪除角色信息；

3）Administrator具備創建用戶和角色、角色和權限的關聯關係功能：

l         存儲過程GrantUserRole（@UserID,@RoleID,@UserRoleNote）創建用戶和角色的關聯關係；

l         存儲過程DeleteUserRole(@UserRoleID)刪除用戶和角色的關聯關係；

l         存儲過程GrantRolePermission(@RoleID,@PermissionID,@RolePermissionNote)創建角色和權限的關聯關係；

l         存儲過程DeleteRolePermission(@RolePermissionID)刪除角色和權限的關聯關係；

第三步用戶（User）使用Administrator分配給的權限去使用各個系統模塊。利用存儲過程GetUserRole（@UserID, @UserRoleID output）,GetRolePermission（@RoleID,@Role-

-PermissinID output）得到用戶對模塊的使用權限。

1.7 用戶認證明現

當用戶經過驗證後，由系統自動生成一個128位的TicketID保存到用戶數據庫表中，創建存儲過程Login（@UserID,@UserPwd,@TicketID output）進行用戶認證，認證經過獲得一個TicketID，不然TicketID爲null。其流程圖以下：

 

圖1 Login流程圖

獲得TicketID後，客戶端在調用服務端方法時傳遞TicketID，經過存儲過程JudgeTicketPermission（@TicketID,@PermissionID）判斷TicketID對應的用戶所具備的權限，並根據其權限進行方法調用。

當用戶退出系統時，創建存儲過程Logout（@UserID）來退出系統。當用戶異常退出系統時，根據最後的登錄時間（LastSignTime）肯定用戶的TickeID，創建存儲過程ExceptionLogout（@UserID,@LastSignTime）處理用戶的異常退出。

 

圖2 Logout流程圖

WebService能夠採用SoapHeader中寫入TicketID來使得TicketID從客戶端傳遞給服務端。.Net Remoting能夠採用CallContext類來實現TicketID從客戶端傳遞給服務端。

2 數據庫設計

2.1 數據庫表

 

圖3 數據庫關係圖

2.2 數據庫表說明

2.2.1 用戶表（Static_User）

 

Static_User

 

Static_User字段名	詳細解釋	類型	備註
UserID	路線編號	varchar(20)	PK
UserName	用戶名稱	varchar(20)
UserPwd	用戶密碼	varchar(20)
LastSignTime	最後登錄時間	datatime
SignState	用戶登錄狀態標記	int
TickeID	驗證票記錄編號	varchar(128)

 

 

 

2.2.2 角色表（Static_Role）

 

Static_Role

 

Static_User字段名	詳細解釋	類型	備註
RoleID	角色編號	varchar(20)	PK
RoleName	角色名稱	varchar(20)
RoleNote	角色信息描述	varchar(20)

 

 

2.2.3 用戶－角色表（Static_User_Role）

 

Static_User_Role

 

Static_User字段名	詳細解釋	類型	備註
UserRoleID	用戶角色編號	varchar(20)	PK
UserID	用戶編號	varchar(20)	FK
RoleID	角色編號	varchar(20)	FK
UserRoleNote	用戶角色信息描述	varchar(20)

 

 

2.2.4 權限表（Static_Permission）

 

Static_Permission

 

Static_User字段名	詳細解釋	類型	備註
PermissionID	編號	varchar(20)	PK
PermissionName	權限名稱	varchar(20)
PermissionNote	全息信息描述	varchar(20)

 

 

2.2.5 角色－權限表（Static_Role_Permission）

 

Static_Role_Permission

 

Static_User字段名	詳細解釋	類型	備註
RolePermissionID	角色權限編號	varchar(20)	PK
RoleID	角色編號	varchar(20)	FK
PermissionID	權限編號	varchar(20)	FK
RolePermissionNote	角色權限信息描述	varchar(20)

 

3 .net技術概要

3.1 WebService SoapHeader

對 SQL 數據庫執行自定義身份驗證和受權。在這種狀況中，應向服務傳遞自定義憑據（如用戶名和密碼），並讓服務本身處理身份驗證和受權。 將額外的信息連同請求一塊兒傳遞給 XML Web 服務的簡便方法是經過 SOAP 標頭。爲此，須要在服務中定義一個從 SOAPHeader 派生的類，而後將服務的公共字段聲明爲該類型。這在服務的公共合同中公開，而且當從 WebServiceUtil.exe 建立代理時可由客戶端使用，以下例所示：

 

 

 

 

using System.Web.Services;

using System.Web.Services.Protocols;

 

// AuthHeader class extends from SoapHeader

public class AuthHeader : SoapHeader {

    public string Username;

    public string Password;

}

 

public class HeaderService : WebService {

    public AuthHeader sHeader;

    ...

}

服務中的每一個 WebMethod 均可以使用 SoapHeader 自定義屬性定義一組關聯的標頭。默認狀況下，標頭是必需的，但也能夠定義可選標頭。SoapHeader 屬性指定公共字段的名稱或者 Client 或 Server 類的屬性（本標題中稱爲 Headers 屬性）。在爲輸入標頭調用方法前，WebService 設置 Headers 屬性的值；而當方法爲輸出標頭返回時，WebService 檢索該值。

[WebMethod(Description="This method requires a custom soap header set by the caller")]

[SoapHeader("sHeader")]

public string SecureMethod() {

 

if (sHeader == null)

return "ERROR: Please supply credentials";

else

return "USER: " + sHeader.Username;

 

}

而後，客戶端在調用要求標頭的方法以前，直接在代理類上設置標頭，以下面的示例所示：

HeaderService h = new HeaderService();

AuthHeader myHeader = new AuthHeader();

myHeader.Username = "username";

myHeader.Password = "password";

h.AuthHeader = myHeader;

String result = h.SecureMethod();

3.2 .Net Remoting的安全認證方式

CallContext提供與執行代碼路徑一塊兒傳送的屬性集，CallContext是相似於方法調用的線程本地存儲的專用集合對象，並提供對每一個邏輯執行線程都惟一的數據槽。數據槽不在其餘邏輯線程上的調用上下文之間共享。當 CallContext 沿執行代碼路徑往返傳播而且由該路徑中的各個對象檢查時，可將對象添加到其中。當對另外一個 AppDomain 中的對象進行遠程方法調用時，CallContext 類將生成一個與該遠程調用一塊兒傳播的 LogicalCallContext 實例。只有公開 ILogicalThreadAffinative 接口並存儲在 CallContext 中的對象被在 LogicalCallContext 中傳播到 AppDomain 外部。不支持此接口的對象不在 LogicalCallContext 實例中與遠程方法調用一塊兒傳輸。

CallContext.SetData方法存儲給定對象並將其與指定名稱關聯，CallContext.GetData方法從 CallContext 中檢索具備指定名稱的對象。

下面的代碼示例說明如何使用 SetData 方法將主體和標識對象傳輸到遠程位置以進行標識。

public class ClientClass {

   public static void Main() {

      GenericIdentity ident = new GenericIdentity("Bob");

      GenericPrincipal prpal = new GenericPrincipal(ident,

                                          Newstring[] {"Level1"});

      LogicalCallContextData data =

 new LogicalCallContextData(prpal);

      //Enter data into the CallContext

      CallContext.SetData("test data", data);

 

     

      Console.WriteLine(data.numOfAccesses);

      ChannelServices.RegisterChannel(new TcpChannel());

      RemotingConfiguration.RegisterActivatedClientType(

typeof(HelloServiceClass), "tcp://localhost:8082");

      HelloServiceClass service = new HelloServiceClass();

      if(service == null) {

          Console.WriteLine("Could not locate server.");

          return;

      }

 

      // call remote method

      Console.WriteLine();

      Console.WriteLine("Calling remote object");

      Console.WriteLine(service.HelloMethod("Caveman"));

      Console.WriteLine(service.HelloMethod("Spaceman"));

      Console.WriteLine(service.HelloMethod("Bob"));

      Console.WriteLine("Finished remote object call");

      Console.WriteLine();

 

      //Extract the returned data from the call context

      LogicalCallContextData returnedData =

         (LogicalCallContextData)CallContext.GetData("test data");

 

      Console.WriteLine(data.numOfAccesses);

      Console.WriteLine(returnedData.numOfAccesses);

   }

}

下面的代碼示例說明如何使用 GetData 方法將主體和標識對象傳輸到遠程位置以進行標識。

using System;

using System.Text;

using System.Runtime.Remoting.Messaging;

using System.Security.Principal;

 

public class HelloServiceClass : MarshalByRefObject {

   static int n_instances;

   int instanceNum;

 

   public HelloServiceClass() {

      n_instances++;

      instanceNum = n_instances;

      Console.WriteLine(this.GetType().Name + " has been created.

             Instance # = {0}", instanceNum);

   }

 

  ~HelloServiceClass() {

      Console.WriteLine("Destroyed instance {0} of

HelloServiceClass.", instanceNum);     

   }

 

   public String HelloMethod(String name) {

 

      //Extract the call context data

      LogicalCallContextData data =

          (LogicalCallContextData)CallContext.GetData("test data");     

      IPrincipal myPrincipal = data.Principal;

     

      //Check the user identity

      if(myPrincipal.Identity.Name == "Bob") {

         Console.WriteLine("\nHello {0}, you are identified!",

myPrincipal.Identity.Name);

         Console.WriteLine(data.numOfAccesses);

      }

      else {

         Console.WriteLine("Go away! You are not identified!");

         return String.Empty;

      }

 

        // calculate and return result to client   

      return "Hi there " + name + ".";

   }

}

4 詳細代碼設計

4.1 WebService代碼設計

WebService端代碼主要進行對數據庫的操做，創建起Client操做數據庫所須要的方法，供Client的端調用。

1）class UserInfoMng() 用戶信息管理類，其中包括方法：

l         CreateUserInfo(string UserName string UserPwd) 創建用戶信息，調用存儲過程CreateUserInfo（@UserName,@UserPwd）

l         ModifyUserInfo(string UserName string UserPwd) 修改用戶信息，調用存儲過程ModifyUserInfo（@UserName,@UserPwd）

l         DeleteUserInfo() 刪除用戶信息，調用存儲過程DeleteUserInfo

(@UserID)

2）class UserAuthentication() 用戶認證類，用來實現用戶角色、權限的設置，包括方法：

l         CreatePermissionInfo(string PermissionName string Permissi-

-onNote) 創建權限信息，調用存儲過程CreatePermissionInfo

（@PermissionName,@PermissionNote）

l         CreateRoleInfo(string RoleName string RoleNote) 創建角色信息，調用存儲過程CreateRoleInfo(@RoleName,@RoleNote)

l         DeleteRoleInfo() 刪除角色信息，調用存儲過程DeleteRoleInfo

(@RoleID)

l         GrantUserRole(string UserID string RoleID string UserRoleNote) 授予用戶角色，調用存儲過程GrantUserRole(@UserID,@RoleID,

@UserRoleNote)

l         DeleteUserRole() 刪除用戶角色，調用存儲過程DeleteUserRole

(@UserRoleID)

l         GrantRolePermission(string RoleID string PermissionID string RolePermissionNote) 授予角色權限，調用存儲過程GrantRolePermission(@RoleID,@PermissionID,@RolePermissionNote)

l         DeleteRolePermission() 刪除授予的角色權限，調用存儲過程

DeleteRolePermission(@RolePermissionID)

4.2 用戶認證代碼設計（Client端）

Client端調用WebService方法來進行數據庫訪問，Client端代碼設計主要實現界面的功能，包括：權限設置、用戶管理、用戶受權管理和用戶認證管理

1)權限設置

class PermissionInfoMng() 用戶權限信息管理類，包括方法：

l         CreatePermissionInfo() 創建權限信息

2)用戶管理

class UserInfoMng() 用戶信息管理類，包括方法：

l         CreateUserInfo() 創建用戶信息

l         ModifyUserInfo() 修改用戶信息

l         DeleteUserInfo() 刪除用戶信息

3)用戶受權管理

class RoleInfoMng() 角色信息管理類，包括方法：

l         CreateRoleInfo() 創建角色信息

l         DeleteRoleInfo() 刪除角色信息

class UserRoleMng() 用戶角色管理類，包括方法：

l         GrantUserRole() 授予用戶角色

l         DeleteUserRole() 刪除用戶角色

class RolePermissionMng() 角色權限管理類，包括方法

l         GrantRolePermission() 授予角色權限

l         DeleteRolePermission() 刪除角色權限

4）用戶認證管理

class Authentication() 用戶認證類，包括方法：

l         Login(string UserName string UserPwd) 用戶登錄認證，用戶認證經過分配給用戶一個TicketID，不然TicketID則爲null

l         Logout() 用戶正常退出

l         ExceptionLogout() 用戶異常退出