基于RBAC的汽車企業通用權限管理系統設計

[摘要] 權限管理是信息管理系統不可或缺的一部分，其核心內容是訪問控制，為整個系統的信息安全提供重要的保障機制。本文采用目前最為廣泛使用的RBAC模型，提出一套適合于汽車企業的通用權限管理系統設計方案，主要從設計原則、基本功能模塊介紹、系統設計與實現等3個方面對該系統的建設思路進行綜合闡述。

[關鍵詞] 權限管理；訪問控制；RBAC；建設思路

中圖分類號：U468.6 " 文獻標志碼：A " " "文章編號：1003-8639（2023）07

Design of General Authority Management System

for Automobile Enterprises Based on RBAC

（SAIC-GM-Wuling Automobile Co.，Ltd. Technology Center，Guangxi Liuzhou 545007）

Abstract：Permission management is an indispensable part of the information management system. Its core content is access control，which provides an important guarantee mechanism for the information security of the entire system. In this paper，the most widely used RBAC model is adopted，and a design scheme of general authority management system suitable for automobile enterprises is proposed. The construction idea of the system is comprehensively described from three aspects： design principles，introduction of basic function modules，and system design and implementation.

Keywords：Authority Management；Access Control；RBAC；Construction Ideas

收稿日期：2022-11-03

作者簡介：蘇德（1995—），男，助理工程師，研究方向為后端開發以及大數據開發。

隨著計算機網絡技術的飛速發展，如今社會已進入信息時代。在信息時代的大背景下，人們享受著信息時代所帶來的諸多便利，同時也在承擔著隨之而來的信息安全隱患。如何保障數據安全，成為信息管理系統亟待解決的問題[1]。

為保障信息管理系統的數據安全，必須對用戶的訪問進行有效控制，而對用戶權限的管理，即可實現訪問控制。權限管理作為信息管理系統的重要組成部分之一，它規定不同級別的用戶在整個信息管理系統流程中扮演的角色。由于權限管理功能在大多數信息管理系統中都會使用到，故各系統的權限管理功能具有一定程度的相似性，為避免重復開發造成人力、財力和時間的浪費，其通常作為一個獨立模塊進行開發，并復用到各個信息管理系統當中[2]。

本文采用基于角色的訪問控制模型（Role-Based Access Control，簡稱RBAC），設計出一款適用于汽車企業的通用權限管理系統。基于RBAC模型屬于當前使用最為廣泛的一種權限管理方式，是一種基于安全策略且有效的訪問控制方式，它通過引進角色的概念實現了用戶和權限的邏輯分離。其中，RBAC 模型包含了用戶、角色和權限3大實體[3]，其關系如圖1所示。

圖1 "用戶、角色和權限的關系

在這種模型中，用戶與角色相關聯，角色與用戶相關聯，通過賦予用戶相應的角色，使得用戶擁有這些角色的權限，從而實現用戶的權限控制，極大地簡化了權限的管理。

1 "設計原則

通用權限管理系統的設計，應遵循以下原則。

安全性原則：數據安全性是衡量一個信息系統是否成功的標準，數據安全至關重要，不容忽視，因此要求系統對敏感或重要數據在傳輸、存儲、顯示進行加密處理或脫敏處理，防止數據泄露對用戶或者系統造成不良影響。

實用性原則：系統最大限度地滿足實際工作要求，充分考慮業務的連續性和管理的便捷性，把滿足用戶的業務管理作為第一要素進行考慮。

可靠性原則：一個成功的信息管理系統必須具有高可靠性，要求系統擁有抵御各種外界不良干擾、正常工作的能力，系統可靠性可以通過系統平均無故障運行時間、系統開工率等指標來衡量。

可拓展性原則：為滿足業務需求增加或變更，順利完成系統功能的迭代升級，要求系統必須具備良好的拓展性。首先，系統可采用Spring MVC的3層架構，即視圖層、業務邏輯層、數據層，實現各業務層間分離[4]；其次，對功能進行模塊化設計，保持模塊間的相對獨立性；最后，充分考慮未來的業務拓展需求，預留好相應的接口和方法。

2 "基本功能模塊介紹

通用權限管理系統由5大基本功能模塊構成，分別是機構管理模塊、菜單管理模塊、角色管理模塊、用戶管理模塊、日志監控模塊[5]。其功能架構如圖2所示。

圖2 "功能架構圖

2.1 "機構管理模塊

機構管理模塊主要用于管理組織機構信息。對于機構管理，采用的是樹形結構，該結構適用于較為復雜的層級關系，特點是清晰直觀地展現組織機構關系，并且查詢靈活豐富，支持樹目錄展開功能。系統管理員可通過機構管理模塊新增組織機構，查詢組織機構關系，修改組織機構關系以及刪除組織架構等一系列操作。

2.2 "菜單管理模塊

權限管理系統作為各個信息管理系統獨立出來的模塊，對多個系統的登錄和鑒權進行統一管理。菜單管理模塊主要用于配置系統菜單和操作權限，采用的是樹形目錄結構，1級目錄為系統名，2級目錄為系統的功能菜單項，3級目錄為操作權限，操作權限可包括查看權限、新增信息權限、修改信息權限、刪除信息權限、導出信息權限、凍結賬戶權限、解凍賬戶權限等一系列的權限。

系統管理員可以通過給角色分配系統及其菜單下的操作權限，再將角色賦予給用戶，從而實現用戶擁有系統的操作權限。例如：為了保證不同角色的用戶登陸系統后會進入不同的菜單界面，需要給用戶分配具有該系統菜單的訪問權限的角色。如用戶需要修改菜單下的信息，則需要給用戶分配具有該系統菜單的修改權限的角色，以此類推。

2.3 "角色管理模塊

角色通常是根據業務需求而預先在系統中設定好的固定標簽，每個角色對應明確的系統權限。例如數據查詢業務，則添加數據查詢角色。角色信息可包括角色名、中文名、角色說明、創建人和創建時間等基本信息。在角色管理模塊，系統管理員可以添加角色、刪除角色、查詢角色信息以及修改角色信息等一系列操作。

在創建角色時，除了填寫角色基本信息，還需要給角色進行授權。首先，需要設置角色可以登錄和訪問的系統，其次，需要設置角色可以訪問的系統菜單，最后，設置系統菜單下的操作權限。例如，用戶需要查看與修改機構管理信息，則管理員可以授權用戶訪問權限管理系統的機構管理菜單，并授權用戶擁有修改的權限。

2.4 "用戶管理模塊

用戶管理模塊主要用于維護用戶信息，系統管理員可通過用戶管理模塊創建用戶、刪除用戶、修改用戶信息、查詢用戶信息、凍結或解凍用戶賬號等一系列操作。

系統用戶最基本的屬性是用戶賬號和密碼，這是用戶登錄系統的基本要素，除此之外，用戶還包括其他屬性，如所屬機構、分配角色、啟用狀態、郵箱、手機號等。因此，除了密碼這類敏感信息外，管理員都可以通過用戶管理界面進行訪問。在此管理模塊，系統管理員可以根據用戶的行政機構，將用戶劃分到特定的組織機構下。系統管理員還可以給用戶賦予角色，一個用戶可以是多個角色，即一個用戶擁有多種權限。

2.5 "日志監控模塊

為記錄用戶在各個信息管理系統上的行為，系統日志記錄必不可少。管理員可以通過日志監控模塊查看用戶在系統的訪問和使用情況，對于不安全行為的監控以及問題排查等有很大的幫助。展示的內容可包括系統名、接口地址、傳入參數、操作類型、操作狀態、操作人、操作IP等信息。

3 "系統設計與實現

3.1 "登錄鑒權設計

系統所有功能都必須在用戶成功登錄后才能正常使用，用戶登陸流程如圖3所示。用戶登陸流程設計具體如下。

圖3 "用戶登陸流程圖

1）用戶在客戶端輸入用戶名、密碼和驗證碼，請求登陸。

2）系統判斷驗證碼是否正確，是則下一步，否則返回“驗證碼錯誤”。

3）系統根據用戶名查詢數據庫是否存在該用戶，是則下一步，否則返回“用戶不存在”。

4）系統將用戶輸入的密碼和用戶對應的salt進行MD5加密，得到密文。

5）密文與數據庫中用戶的加密密碼進行對比驗證，如一致則登陸系統，否則返回“密碼錯誤”。

3.2 "操作權限控制設計

用戶成功登錄后才允許對系統進行操作，操作權限校驗流程圖如圖4所示。操作權限校驗流程設計具體如下。

1）用戶登陸系統后，系統會查詢用戶所有被賦予的角色。

2）系統根據用戶角色查詢出用戶所有可訪問的系統和菜單，以及所有的操作權限。

3）系統將權限信息存儲在內存中，以用戶信息為索引，建立用戶信息與權限信息的對應關系，形成信息庫。

4）當用戶發起操作請求時，系統去信息庫匹配該用戶是否有操作權限。

5）如有操作權限，則進行相應操作，否則不允許用戶操作。

圖4 "操作權限校驗流程圖

3.3 "數據庫設計

數據庫結構設計決定了系統的好壞，而是否擁有良好的內在機制支持和功能拓展潛力是評判的標準。數據庫結構需要基于RBAC模型的要求，并結合業務具體需求進行定制。本文采用開源的MySQL數據庫進行表結構設計，一些基礎表的結構見表1～表3。

表1 "用戶信息表

表1中的use_id是自增的主鍵，由數據庫自動生成；login_name是登錄用戶名，該字段屬于唯一約束（Unique Key），字段值不能重復出現；dept_id是外鍵，用于與機構信息表進行連表查詢；status是登錄賬戶是否可用的標志位，0代表賬號凍結不可用，1代表賬號正常。

表2 "角色信息表

表2中的role_id是自增的主鍵，由數據庫自動生成；del_flag是邏輯刪除標志位，-1代表角色已邏輯刪除，不可用，0代表角色正常。

表3 "機構信息表

表3中的parent_id用于表示上級機構ID，屬于一級機構則為0；order_num用于表示同一層級機構的序號，可通過最大的order_num值，判斷同一層級機構的數量。

4 "結束語

權限管理作為一種通用性功能，單獨從各系統中劃分出來，設計成一款通用的權限管理系統，不僅實現了權限管控的統一管理，還實現軟件復用，做到高內聚低耦合，有效提高系統開發效率，降低系統開發和運維管理的成本。

參考文獻：

[1]于洪石. 基于網絡信息安全技術管理的計算機應用[J]. 中國新通信，2022，24（7）：78-80，90.

[2]史會余，王余輝，肖杰. 基于角色訪問控制的通用權限管理系統設計與實現[J]. 電腦編程技巧與維護，2016（13）：52-53.

[3]李應琪，王位杰，檀庭方. 基于屬性管控的RBAC模型權限管理設計[J]. 自動化應用，2020（10）：68-69，74.

[4]王建祥，王洪澤. 基于MVC的權限管理系統設計[J]. 電子元器件與信息技術，2021，5（12）：165-172.

[5]楊晟，羅奇. 基于RBAC的通用權限管理系統設計[J]. 科技創新與應用，2022，12（9）：123-126.

（編輯 "凌 "波）