基于RBAC模型的前后端分離系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)

摘" 要：權(quán)限管理是現(xiàn)代信息管理系統(tǒng)核心功能之一，能夠讓用戶可以安全訪問(wèn)系統(tǒng)數(shù)據(jù)，其中基于角色的訪問(wèn)控制模型是常用的一種權(quán)限管理模型，其優(yōu)點(diǎn)是能夠靈活地處理角色與權(quán)限之間的變化問(wèn)題，為復(fù)雜的權(quán)限管理問(wèn)題提供便利性。另一方面前后端分離技術(shù)能夠很好地解決前端頁(yè)面開發(fā)和后端服務(wù)器功能開發(fā)解耦的問(wèn)題，讓分工雙方更加注重各自面對(duì)的業(yè)務(wù)問(wèn)題，減少對(duì)開發(fā)人員技術(shù)門檻的要求，從而大大提高了開發(fā)效率。因此采用前后端分離技術(shù)實(shí)現(xiàn)通用的基于角色的訪問(wèn)控制系統(tǒng)具有一定的實(shí)用價(jià)值。

關(guān)鍵詞：基于角色的訪問(wèn)控制模型；前后端分離；訪問(wèn)控制；系統(tǒng)設(shè)計(jì)；數(shù)據(jù)庫(kù)

中圖分類號(hào)：TP32" " " " 文獻(xiàn)標(biāo)志碼：A" " " " " 文章編號(hào)：2095-2945（2024）04-0102-05

Abstract： Permission management is one of the core functionalities in modern information management systems， allowing users to securely access system data. The role-based access control （RBAC） model is a commonly used approach for managing permissions. Its advantage lies in its flexibility to handle changes in roles and permissions， providing convenience for dealing with complex permission management scenarios. On the other hand， the front-end and front-end separation technology can well solve the problem of decoupling front-end page development and back-end server function development， so that both sides of the division of labor pay more attention to the business problems they face and reduce the technical threshold requirements for developers. As a result， the development efficiency is greatly improved. Therefore， the use of front-end separation technology to achieve a general role-based access control system has a certain practical value.

Keywords： role-based access control （RBAC） model; front-end and back-end separation; access control; system design; database

隨著互聯(lián)網(wǎng)的發(fā)展，各行各業(yè)都在不斷加強(qiáng)信息化建設(shè)。在信息管理系統(tǒng)中，權(quán)限控制是系統(tǒng)安全的重要組成部分之一，有效的權(quán)限控制是保護(hù)計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)免受未經(jīng)授權(quán)訪問(wèn)和數(shù)據(jù)泄露的關(guān)鍵要素[1]。通過(guò)限制訪問(wèn)權(quán)限，可以降低遭受惡意攻擊或誤操作造成的風(fēng)險(xiǎn)，確保系統(tǒng)數(shù)據(jù)的完整性、可用性和保密性。隨著企業(yè)的不斷發(fā)展，權(quán)限管理的需要越來(lái)越復(fù)雜化，因而誕生出許多訪問(wèn)控制模型去解決這個(gè)問(wèn)題，其中基于角色的訪問(wèn)控制（Role Base Access Control， RBAC）模型是常用的一種權(quán)限管理模型[2]。由于其通過(guò)角色分離了用戶和權(quán)限的邏輯，減少了權(quán)限管理的使用難度，常被用于各種企業(yè)單位中[3-4]。隨著開發(fā)技術(shù)的發(fā)展，企業(yè)在技術(shù)升級(jí)上由傳統(tǒng)的后端渲染技術(shù)的開發(fā)變?yōu)榍昂蠖朔蛛x技術(shù)的開發(fā)，而在升級(jí)過(guò)程中，企業(yè)實(shí)現(xiàn)同樣的權(quán)限管理功能上還是原來(lái)的保護(hù)頁(yè)面資源，而不是保護(hù)接口資源，即用戶在訪問(wèn)頁(yè)面的操作和原來(lái)系統(tǒng)一樣，但是通過(guò)接口可以訪問(wèn)到頁(yè)面看不到的資源，從而導(dǎo)致數(shù)據(jù)安全性的問(wèn)題。因此針對(duì)前后端分離技術(shù)設(shè)計(jì)了基于RBAC的通用權(quán)限管理系統(tǒng)。

1" 基于角色的訪問(wèn)控制模型

1.1" RBAC模型概述

RBAC模型的核心是用戶（user）、角色（role）和權(quán)限（permission）[5-6]。如圖1所示，用戶表示在系統(tǒng)里面注冊(cè)，用于訪問(wèn)系統(tǒng)資源的使用者，可以擁有不同的角色和權(quán)限；角色表示一組相同類型的用戶，同一個(gè)角色的用戶擁有相同的權(quán)限集合，系統(tǒng)中常見角色有超級(jí)管理員、管理員和普通用戶等；權(quán)限是用于為了訪問(wèn)特定的資源，授予用戶或角色的操作權(quán)限。在RBAC模型里面，通過(guò)角色把用戶和權(quán)限進(jìn)行隔離，使得系統(tǒng)可以根據(jù)需要給用戶指派不同的角色，而角色通過(guò)調(diào)整權(quán)限來(lái)實(shí)現(xiàn)對(duì)不同資源的訪問(wèn)控制[7]。由于具有授權(quán)靈活、易于管理等優(yōu)點(diǎn)，能夠有效降低有不同管理要求企業(yè)的管理成本，因而得到廣泛的應(yīng)用[8-9]。

1.2" 傳統(tǒng)RBAC實(shí)現(xiàn)模型

傳統(tǒng)的RBAC模型的實(shí)現(xiàn)適用于傳統(tǒng)的Web應(yīng)用程序，也就是基于模板引擎的后端渲染技術(shù)，所以實(shí)現(xiàn)的關(guān)鍵是使用會(huì)話（Session）[10]。如圖2所示，用戶和角色的相關(guān)信息會(huì)存儲(chǔ)在會(huì)話中，在這種模型里面，用戶在登錄后會(huì)被系統(tǒng)分配一個(gè)會(huì)話，并在整個(gè)會(huì)話期間保持活動(dòng)狀態(tài)。在會(huì)話中，系統(tǒng)通過(guò)角色獲取對(duì)應(yīng)的資源操作權(quán)限，頁(yè)面資源的訪問(wèn)權(quán)限會(huì)一直持續(xù)到會(huì)話失效。下面是基于會(huì)話的RBAC的一般工作流程。①用戶登錄：當(dāng)用戶成功登錄系統(tǒng)后，系統(tǒng)會(huì)驗(yàn)證其憑據(jù)（用戶名和密碼），然后為用戶創(chuàng)建一個(gè)會(huì)話，并在會(huì)話中保存用戶的角色信息和權(quán)限信息；②角色授權(quán)：在登錄成功后，系統(tǒng)會(huì)根據(jù)用戶的角色來(lái)授予相應(yīng)的權(quán)限。角色信息通常存儲(chǔ)在數(shù)據(jù)庫(kù)中，系統(tǒng)會(huì)在登錄時(shí)查詢數(shù)據(jù)庫(kù)，獲取用戶的角色信息，并將其保存在會(huì)話中；③資源訪問(wèn)控制：一旦用戶登錄并被授權(quán)，系統(tǒng)在用戶的會(huì)話期間將使用角色信息和權(quán)限信息來(lái)控制對(duì)資源的訪問(wèn)。當(dāng)用戶請(qǐng)求訪問(wèn)某個(gè)資源時(shí)，系統(tǒng)會(huì)檢查其會(huì)話中的角色和權(quán)限信息，然后根據(jù)預(yù)定義的訪問(wèn)規(guī)則來(lái)決定是否允許訪問(wèn)；④會(huì)話管理：會(huì)話管理是保持用戶會(huì)話狀態(tài)有效的關(guān)鍵部分。系統(tǒng)需要確保會(huì)話的安全性，防止會(huì)話劫持等攻擊。會(huì)話會(huì)在一段時(shí)間后自動(dòng)過(guò)期，或者在用戶退出登錄時(shí)手動(dòng)終止。需要注意的是，基于Session的RBAC主要適用于傳統(tǒng)的Web應(yīng)用程序，其中會(huì)話通常由服務(wù)器端進(jìn)行管理。然而，隨著現(xiàn)代Web應(yīng)用的發(fā)展，越來(lái)越多的應(yīng)用采用前后端分離的架構(gòu)，使得傳統(tǒng)的基于會(huì)話身份驗(yàn)證不再適應(yīng)現(xiàn)代Web應(yīng)用的需求。

1.3" 前后端分離的RBAC實(shí)現(xiàn)模型

使用前后端分離技術(shù)后，頁(yè)面和服務(wù)器通過(guò)接口的形式進(jìn)行數(shù)據(jù)交互，這會(huì)導(dǎo)致設(shè)計(jì)上的一些變化。在服務(wù)器端，不再使用傳統(tǒng)服務(wù)器渲染頁(yè)面技術(shù)，而改用基于接口的設(shè)計(jì)，基于接口的設(shè)計(jì)一般都是無(wú)狀態(tài)的，也就是沒(méi)有了傳統(tǒng)的會(huì)話技術(shù)。在頁(yè)面端，不再使用傳統(tǒng)的模板引擎的頁(yè)面技術(shù)，而改用如Angular，React和Vue等的前端框架技術(shù)。這些框架生成的頁(yè)面不做調(diào)整的話一般都是單頁(yè)面應(yīng)用SPA（single-page application），也就是頁(yè)面只加載一個(gè)html頁(yè)面，頁(yè)面變化通過(guò)JavaScript來(lái)完成。如圖3所示，單頁(yè)面應(yīng)用的頁(yè)面資源都是公開的，因而資源的保護(hù)不能是頁(yè)面，而是接口。下面是基于接口的RBAC的一般工作流程。①用戶登錄：用戶提供憑據(jù)（用戶名和密碼）進(jìn)行登錄。一旦驗(yàn)證登錄成功，服務(wù)器端會(huì)生成一個(gè)的憑證token，token會(huì)把用戶的角色和權(quán)限等相關(guān)信息關(guān)聯(lián)起來(lái)，通過(guò)token就能查找用戶的相關(guān)信息；②token傳遞：服務(wù)器將token發(fā)送回客戶端，客戶端通過(guò)相關(guān)技術(shù)把token存儲(chǔ)起來(lái)，像瀏覽器里的Cookie、SessionStorage、localStorage等?？蛻舳嗽诤罄m(xù)的請(qǐng)求中將token添加到請(qǐng)求信息（通常請(qǐng)求頭的Authorization字段）中，以便服務(wù)器端識(shí)別用戶；③token驗(yàn)證：每當(dāng)客戶端發(fā)起請(qǐng)求，服務(wù)器端將從請(qǐng)求中獲取token，并對(duì)其進(jìn)行驗(yàn)證。驗(yàn)證包括檢查token是否有效、token是否在有效期內(nèi)以及是否包含所需的角色和權(quán)限信息；④資源訪問(wèn)控制：一旦token驗(yàn)證通過(guò)，服務(wù)器將獲取其中的角色和權(quán)限信息。然后，系統(tǒng)將使用這些信息來(lái)控制用戶對(duì)資源的訪問(wèn)。

2" 系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)

2.1" 數(shù)據(jù)庫(kù)設(shè)計(jì)與實(shí)現(xiàn)

系統(tǒng)的數(shù)據(jù)庫(kù)設(shè)計(jì)是基于關(guān)系型數(shù)據(jù)庫(kù)。在數(shù)據(jù)庫(kù)設(shè)計(jì)中，RBAC模型可以用實(shí)體-關(guān)系圖（E-R圖）來(lái)表示。如圖4所示，為了顯示表之間的關(guān)系，圖中每張表的屬性如id、名稱、編碼等信息被省略。其中user表和role表是原有RBAC基礎(chǔ)功能表，user表用于記錄用戶信息；role表用于記錄已經(jīng)確定的角色（像超級(jí)管理員、管理員、普通用戶等），這些權(quán)限信息的控制已經(jīng)硬編碼到代碼中，不能實(shí)時(shí)進(jìn)行調(diào)整。user表和role表是多對(duì)多的關(guān)系，和使用這2張表可以復(fù)用已有的登錄校驗(yàn)和簡(jiǎn)單權(quán)限控制功能；基于接口前后端分離的RBAC核心功能擴(kuò)展了相關(guān)的3張表，staff表對(duì)應(yīng)可以靈活調(diào)整角色的用戶，其是user表一對(duì)一的擴(kuò)展關(guān)系；staff_role表對(duì)應(yīng)staff角色，staff表和staff_role表是多對(duì)多的關(guān)系，可以根據(jù)需要實(shí)時(shí)進(jìn)行調(diào)整；api_info表用于精細(xì)控制接口權(quán)限，用于記錄接口api信息。staff_role表和api_info表是多對(duì)多的關(guān)系，1個(gè)角色可以調(diào)用多個(gè)api，1個(gè)api也可以被多個(gè)角色調(diào)用。另外2張表是輔助應(yīng)用而設(shè)計(jì)的，organization表用于組織用戶的部門組織，尤其在企業(yè)每個(gè)人員都會(huì)屬于某個(gè)部門，使用organization表方便查找satff表用戶，以及操作多個(gè)用戶時(shí)可以使用以organization為單位進(jìn)行統(tǒng)一批量操作，簡(jiǎn)化了單獨(dú)操作每一個(gè)用戶的麻煩，organization表和staff表是多對(duì)多關(guān)系，1個(gè)部門可以用于多個(gè)員工，1個(gè)員工可以屬于多個(gè)部門；navigation表主要用于控制前端頁(yè)面菜單欄和操作界面的顯示，用戶在使用頁(yè)面的時(shí)候?qū)](méi)權(quán)限操作的頁(yè)面或者沒(méi)有權(quán)限操作的按鈕是不關(guān)心的，因此需要把沒(méi)權(quán)限操作的頁(yè)面隱藏起來(lái)，簡(jiǎn)化頁(yè)面，優(yōu)化用戶體驗(yàn)。navigation表和staff_role表是多對(duì)多關(guān)系，1個(gè)頁(yè)面可以被多個(gè)角色訪問(wèn)，1個(gè)角色可以訪問(wèn)多個(gè)頁(yè)面；navigation表和api_info表是多對(duì)多關(guān)系，1個(gè)頁(yè)面可以有多個(gè)操作調(diào)用api，1個(gè)api調(diào)用可以被多個(gè)頁(yè)面進(jìn)行使用。

2.2" 服務(wù)器設(shè)計(jì)與實(shí)現(xiàn)

服務(wù)器端使用Sping-boot框架進(jìn)行接口開發(fā)，提供restful接口。數(shù)據(jù)存儲(chǔ)使用的是MySql數(shù)據(jù)庫(kù)，數(shù)據(jù)訪問(wèn)使用的是Hibernate框架實(shí)現(xiàn)的JPA（Java Persistence API）接口，由于JPA封裝了關(guān)系表的映射關(guān)系，使用JPA開發(fā)能夠讓開發(fā)者更加關(guān)注于業(yè)務(wù)的實(shí)現(xiàn)，不用關(guān)注數(shù)據(jù)庫(kù)訪問(wèn)的細(xì)節(jié)。接口使用的token是JWT（JSON Web Token），JWT的優(yōu)勢(shì)在于其無(wú)狀態(tài)性和分布式特性。由于JWT包含有關(guān)用戶身份和權(quán)限的信息，服務(wù)器端不需要在后臺(tái)存儲(chǔ)會(huì)話信息，從而實(shí)現(xiàn)了無(wú)狀態(tài)性，這使得系統(tǒng)在分布式環(huán)境中更加靈活和易于擴(kuò)展。同時(shí)，JWT是基于標(biāo)準(zhǔn)化的JSON格式，可跨平臺(tái)和語(yǔ)言進(jìn)行交換，使得前后端分離的應(yīng)用開發(fā)更加方便。下面是基于JWT的前后端分離的RBAC的一般工作流程。①用戶登錄：用戶提供憑據(jù)（用戶名和密碼）進(jìn)行登錄。一旦登錄成功，服務(wù)器端生成一個(gè)JWT，并將用戶的角色和權(quán)限信息加密為JWT的負(fù)載部分；②JWT傳遞：服務(wù)器將JWT發(fā)送回客戶端，存儲(chǔ)在客戶端的本地存儲(chǔ)中?？蛻舳嗽诤罄m(xù)的請(qǐng)求中將JWT添加到請(qǐng)求的頭部Authorization中，以便服務(wù)器端識(shí)別用戶；③JWT驗(yàn)證：每當(dāng)客戶端發(fā)起請(qǐng)求，服務(wù)器端將從請(qǐng)求頭部獲取JWT，并對(duì)其進(jìn)行驗(yàn)證。驗(yàn)證包括檢查JWT的簽名是否有效、是否在有效期內(nèi)以及是否包含所需的角色和權(quán)限信息；④資源訪問(wèn)控制：一旦JW驗(yàn)證通過(guò)，服務(wù)器將解碼JWT的負(fù)載部分，并獲取其中的角色和權(quán)限信息。然后，系統(tǒng)將使用這些信息來(lái)控制用戶對(duì)資源的訪問(wèn)。核心的安全模塊使用的是spring-security模塊，spring-security提供了基礎(chǔ)的RBAC功能，但是其中角色這一塊需要提前定義好，不符合企業(yè)靈活添加修改用戶的角色權(quán)限需求，因此需要在原有的基礎(chǔ)上補(bǔ)充一個(gè)新的角色模塊。用戶在通過(guò)接口使用資源時(shí)會(huì)通過(guò)2層校驗(yàn)，第一層是框架基礎(chǔ)的角色校驗(yàn)，也就是用戶登錄獲取代碼預(yù)設(shè)好的基礎(chǔ)權(quán)限；第二層是自定義細(xì)分角色的校驗(yàn)，在用戶調(diào)用接口的時(shí)候在第一層校驗(yàn)的基礎(chǔ)上獲取staff_role表的角色進(jìn)行判斷是否擁有接口的操作權(quán)限，通過(guò)這2層校驗(yàn)不僅解決前后端分離系統(tǒng)中沒(méi)有會(huì)話能力的RBAC問(wèn)題，加強(qiáng)了安全性，還保留了原有的靈活權(quán)限管理功能。

2.3" 頁(yè)面設(shè)計(jì)與實(shí)現(xiàn)

前端頁(yè)面使用了Vue框架進(jìn)行實(shí)現(xiàn)，Vue是一個(gè)JavaScript框架，通過(guò)Vue能夠高效地開發(fā)用戶界面。這歸功于它的兩大核心功能，一個(gè)是Vue基于標(biāo)準(zhǔn)HTML拓展出來(lái)的模板語(yǔ)法的聲明式渲染，使得可以使用簡(jiǎn)單的語(yǔ)句來(lái)寫HTML和JavaScript之間關(guān)系的代碼；另一個(gè)是Vue的響應(yīng)性功能，這讓應(yīng)用狀態(tài)在其發(fā)生變化時(shí)響應(yīng)式地更新HTML文檔的DOM節(jié)點(diǎn)。頁(yè)面的狀態(tài)管理使用的是Pinia，Pinia是Vue3提供的新狀態(tài)管理解決方案。比舊方案Vuex使用更加的簡(jiǎn)單，Pinia沒(méi)有全局狀態(tài)樹，每個(gè)模塊都有自己的狀態(tài)。這樣的設(shè)計(jì)可以避免全局狀態(tài)的命名沖突，并且更容易進(jìn)行模塊化開發(fā)。頁(yè)面的HTTP請(qǐng)求使用了Axios庫(kù)，Axios是一個(gè)流行的基于Promise的HTTP客戶端工具庫(kù)，用于在瀏覽器和Node.js環(huán)境中發(fā)送HTTP請(qǐng)求。它是一個(gè)簡(jiǎn)單、易于使用且功能豐富的工具，可以與現(xiàn)代JavaScript框架和庫(kù)無(wú)縫集成，方便日后擴(kuò)展到基于前端技術(shù)的應(yīng)用中。頁(yè)面實(shí)現(xiàn)了2個(gè)核心功能：①頁(yè)面的配置，頁(yè)面配置功能可以配置用戶、角色、權(quán)限、接口、菜單和組織等數(shù)據(jù)信息以及之間的關(guān)系，其中用戶、角色、權(quán)限和組織等業(yè)務(wù)數(shù)據(jù)由普通管理員負(fù)責(zé)，而接口等安全性比較高的數(shù)據(jù)由預(yù)先設(shè)定好的超級(jí)管理員負(fù)責(zé)配置。數(shù)據(jù)配置除了基本的操作增刪改查外，還加了數(shù)據(jù)導(dǎo)入導(dǎo)出功能，方便日后系統(tǒng)數(shù)據(jù)的復(fù)用；②動(dòng)態(tài)路由，由于不同角色的用戶看到的頁(yè)面菜單會(huì)有所區(qū)別，因此需要根據(jù)用戶登錄時(shí)所擁有的權(quán)限動(dòng)態(tài)的顯示頁(yè)面。系統(tǒng)在Vue官方路由Vue Router的基礎(chǔ)上進(jìn)行了擴(kuò)展。Vue Router可以通過(guò)URL來(lái)控制視圖之間的切換，而不需要重新加載整個(gè)頁(yè)面。用戶利用傳統(tǒng)Web技術(shù)進(jìn)行導(dǎo)航，整個(gè)頁(yè)面會(huì)重新渲染，導(dǎo)致頁(yè)面切換時(shí)有“閃一下”的效果，而使用Vue Router導(dǎo)航只有變化的部分會(huì)重新渲染，從而提供更快速、流暢的用戶體驗(yàn)。系統(tǒng)對(duì)VueRouter的2個(gè)主要功能進(jìn)行了擴(kuò)展。①擴(kuò)展了路由映射，Vue Router允許定義不同的路由，將URL映射到對(duì)應(yīng)的Vue組件，但默認(rèn)情況下需要硬編碼到代碼中，也就是頁(yè)面在使用前就知道URL相應(yīng)的頁(yè)面。系統(tǒng)利用VueRouter在生產(chǎn)路由信息時(shí)進(jìn)行接口請(qǐng)求，請(qǐng)求用戶擁有操作權(quán)限的菜單信息，轉(zhuǎn)化為路由信息后和已有的路由進(jìn)行組合，重寫入路由映射，從而實(shí)現(xiàn)動(dòng)態(tài)路由映射；②擴(kuò)展了路由守衛(wèi)，可以使用路由守衛(wèi)來(lái)控制路由的訪問(wèn)權(quán)限，限制未經(jīng)授權(quán)的用戶訪問(wèn)特定頁(yè)面或執(zhí)行特定操作。在每一個(gè)頁(yè)面渲染之前，路由守衛(wèi)路由首位都會(huì)經(jīng)過(guò)判斷，判斷是否存在token并且token是否有效，即通過(guò)token可以獲取到當(dāng)前用戶信息。如果token失效，就調(diào)到登錄頁(yè)面進(jìn)行登錄；否則跳到相應(yīng)的操作頁(yè)面。在此基礎(chǔ)上，通過(guò)進(jìn)一步請(qǐng)求用戶的權(quán)限信息，判斷用戶是否有權(quán)限操作此頁(yè)面，從而限制用戶的操作，防止用戶通過(guò)特殊手段訪問(wèn)到不該訪問(wèn)的頁(yè)面。

3" 結(jié)束語(yǔ)

本文設(shè)計(jì)了一款通用的RBAC前后端分離的系統(tǒng)，保持傳統(tǒng)RBAC的優(yōu)點(diǎn)，能夠?qū)崿F(xiàn)對(duì)業(yè)務(wù)系統(tǒng)靈活的權(quán)限管理，方便對(duì)資源的訪問(wèn)控制，保障系統(tǒng)的數(shù)據(jù)安全，以及前后端分離的優(yōu)點(diǎn)，即服務(wù)端開發(fā)人員只需要專注服務(wù)端技術(shù)和服務(wù)端問(wèn)題，頁(yè)面開發(fā)人員只需要專注頁(yè)面技術(shù)和頁(yè)面問(wèn)題，在減少開發(fā)門檻的基礎(chǔ)上，解決了傳統(tǒng)RBAC模型設(shè)計(jì)模式直接切換到前后端分離的RBAC模型導(dǎo)致的資源保護(hù)問(wèn)題，可以有效提高系統(tǒng)的安全性，節(jié)約管理成本，提升開發(fā)效率。

參考文獻(xiàn)：

[1] 王建祥，王洪澤.基于MVC的權(quán)限管理系統(tǒng)設(shè)計(jì)[J].電子元器件與信息技術(shù)，2021，5（12）：165-172.

[2] 夏曄.信息系統(tǒng)用戶權(quán)限管理分析[J].計(jì)算機(jī)產(chǎn)品與流通，2020（7）：116.

[3] 楊晟，羅奇.基于RBAC的通用權(quán)限管理系統(tǒng)設(shè)計(jì)[J].科技創(chuàng)新與應(yīng)用，2022，12（9）：123-126.

[4] 白嘉萌，寇英帥，劉澤藝，等.云計(jì)算平臺(tái)基于角色的權(quán)限管理系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)[J].信息網(wǎng)絡(luò)安全，2020，20（1）：75-82.

[5] 鞠博，邊臻.RBAC模型在訪問(wèn)控制中的應(yīng)用[J].福建電腦，2022，38（9）：37-40.

[6] 王駿，韋文亮.基于RBAC的信息化資源共享平臺(tái)的建設(shè)與研究[J].電子測(cè)試，2021（10）：70-71.

[7] 彭思喜，彭鵬.基于RBAC的B/S結(jié)構(gòu)學(xué)生收費(fèi)系統(tǒng)安全機(jī)制[J].汕頭大學(xué)學(xué)報(bào)（自然科學(xué)版），2021，36（1）：12-20.

[8] 胡海濱.信息系統(tǒng)權(quán)限管理新方法及實(shí)現(xiàn)探討[J].數(shù)字通信世界，2020（4）：109.

[9] 王杉文.基于SpringBoot+Shiro的權(quán)限管理實(shí)現(xiàn)[J].電腦編程技巧與維護(hù)，2019（9）：160-161，173.

[10] 何鼎權(quán)，胡輝，嚴(yán)家成.基于RBAC的通用權(quán)限管理系統(tǒng)[J].電腦知識(shí)與技術(shù)，2020，16（33）：97-102.