B/S系统权限组设计方案
记得大二暑假时曾经参加过一个OA系统的开发，在安全方面系统采取对拥有不同操作权限的用户进行分组，也就是权限组或者叫用户组，管理员可以控制用户该做什么，不该做什么，但当时我只是负责其中的考勤系统设计，对这个并没有太多关注。
不过最近想了想，决定进行一点简单的设计。
从关系上看：
l 每个权限组可以包含多个操作，每个操作可以被多个权限组包含，即多对多关系
l 每个权限组可以包含多个用户，每个用户可以属于多个权限组，也是多对多关系
l 操作可以有父操作和子操作（这些不多说）
表与表之间的关系描述如下：
权限组N--1 中间表（权限组—操作）1--N 操作
权限组N--1 中间表（权限组—用户）1--N 用户
| 字段名字 |
字段介绍 |
类型 |
外键 |
|
| 操作表 operate |
||||
| Id |
主键 |
Int |
无 |
|
| Operate_name |
操作名字 |
Char（255） |
无 |
|
| Operate_link |
操作链接 |
Char（255） |
无 |
|
| operate_userGroup_id |
对应中间表id |
Int |
外键（中间表（权限组—操作）） |
|
| 权限组 userGroup |
||||
| Id |
主键 |
Int |
无 |
|
| userGroup _name |
权限组名字 |
Var（255） |
无 |
|
| userGroup_operate_id |
对应中间表id |
Int |
外键（中间表（权限组—操作）） |
|
| userGroup _user_id |
对应中间表id |
Int |
外键（中间表（权限组—用户）） |
|
| 用户 user |
||||
| Id |
主键 |
Int |
无 |
|
| user_name |
用户名 |
Char（255） |
无 |
|
| password |
密码 |
Char（255） |
无 |
|
| user _ userGroup _id |
对应中间表id |
Int |
外键（中间表（权限组—用户）） |
|
| 中间表（权限组—操作） userGroup _operate |
||||
| Id |
主键 |
Int |
无 |
|
| userGroup _id |
权限组ID |
Int |
无 |
|
| operate_id |
操作ID |
Int |
无 |
|
| 中间表（权限组—用户） userGroup _user |
||||
| Id |
主键 |
Int |
无 |
|
| userGroup _id |
权限组ID |
Int |
无 |
|
| user_id |
用户ID |
Int |
无 |
|
添加一个超级管理员 （admin，admin），具备所有操作权限
l 管理员登录，C操作
l 创建权限组，C操作
l 创建操作，C操作
l 创建用户，C操作
l 向权限组添加操作，C操作
l 为操作分配权限组，C操作
l 向权限组添加用户，C操作
l 为用户分配权限组，C操作
l 当用户进行一个操作时，会向目的地发出对应于该操作的编号ID，目的地接受到这个ID后，首先判断该操作是否在表中存在，若存在就检查该用户所在权限组是否包含此操作，包含则执行此操作
l 此外，对操作，权限组，用户以及用户之间的关系也需要进行动态的管理，例如CRUD
测试
用户登录
执行某项操作
根据权限看是否执行成功
用户权限验证流程
在J2EE结构中，通常我们可以在控制器如Servlet或者Action来对所有用户的权限进行统一的校验（当然过滤器也是个不错的选择），来对用户操作进行统一的处理，比如说在一个Jsp+Servlet+JavaBean的B/S系统中，通常我们是由Servlet作为控制器的，那么我们就可以设计一个BaseServlet，
对里面的doPost(HttpServletRequest request,HttpServletResponse response)这样设计
/**
* 这个doPost方法现在对权限进行校验
*/
Public void doPost(HttpServletRequest request,HttpServletResponse response){
//获取操作ID
Int operateId =new ParseRequest().parseInt(request,”operateId”,0);
//判断该操作是否存在数据库中
If(new OperateService().isExist(operateId)){
//如果该操作存在于数据库中的话
//获取用户ID
Int userId=(UserInfo)request.getSession().get(“USERINFO”).getId();
//判断该用户是否具备进行该操作得权限
If(new UserService().is Valid(userId,operateId)){
//该用户可以进行此项操作
//转向执行方法
Execute(request,response);
}else{
//发生错误，用户无权限进行此操作
}
}else{
//发生错误，该操作不存在
}
}
/**
* 这个方法将被该类地子类实现，用来接收参数，调用Bean来完成一些操作
*/
Public void execute(HttpServletRequest request,HttpServletResponse response){
}
现在我们再开发Servlet的时候，只需要继承这个BaseServlet，然后复写Public void execute(HttpServletRequest request,HttpServletResponse response)方法，这样就可以对权限操作进行有效的控制了，当然，笔者这里建议最好你要跳转到的jsp页也采用Servlet进行转发。