细化迭代五——实现权限

4.1用例实现设计

4.1.1 销售开单

A. 设计类图。

B. 交互图。

4.1.2 收银

A. 设计类图。

B. 交互图。

4.1.3 退货

A. 设计类图。

B. 交互图。

4.4权限设计

4.4.1 实现方案

方案采用RBAC。RBAC（Role-Based Access Control，基于角色的访问控制），就是用户通过角色与权限进行关联。简单地说，一个用户拥有若干角色，每一个角色拥有若干权限。这样，就构造成“用户-角色-权限”的授权模型。在这种模型中，用户与角色之间，角色与权限之间，一般者是多对多的关系。在RBAC中，权限与角色相关联，用户通过成为适当角色的成员而得到这些角色的权限。这就极大地简化了权限的管理。

4.4.2 访问控制框架

采用shiro。Shiro 是一个用 Java 语言实现的框架，通过一个简单易用的 API 提供身份验证和授权。使用 Shiro，就能够为应用程序提供安全性而又无需从头编写所有代码。主要配置文件为application-shiro.xml：

4.4.3 权限粒度说明

为了更精细的管理系统资源，系统首先对用户权限进一步细化，根据系统需要分为功能权限和数据权限，用更详细的操作来描述系统权限。数据权限指如查看、 打印及下载等权限，功能权限即可能更改数据库或系统数据的操作权限，如编辑、 删除、 审核、 发布等。这样就将权限这个概念定义在功能的粒度上，通过引入功能的概念，既可以满足对大粒度权限的分配，也可以满足对小粒度权限的指派，在一定程度上让系统更加灵活。角色和权限的关联表示一个角色可以具有多项权限，一项权限也可以被赋予给多个不同的角色，它们之间也是多对多的关系。

4.4.4 数据库设计

  涉及五个表，分别为用户表，角色表，权限表，用户-角色表和角色-权限表。