如何设计基于层次角色的权限改造系统

Question

基本的交易是，我们有一个定制的“kickstart”为我们的项目。为此，我们正在考虑重做用户控件。我知道关于一般rbac有很多问题，但是我找不到关于层次rbac的问题？

我们的要求是：

• 角色可以分配给组权限
• 如果角色没有权限条目，则自动拒绝
• 用户可以被赋予覆盖权限
• 用户覆盖权限是授予或拒绝
• 如果用户被显式拒绝权限，无论哪个角色都说已授予，则重写获胜。
• 用户可以有多个角色
• 角色可以有层次
• 角色可以从其他角色继承（例如：论坛超级主持人角色是论坛主持人和系统维护者，论坛主持人角色已经继承了论坛用户角色）
• 从拒绝或授予特权的另一个角色继承的角色将重写其子权限
• 权限按模块分组（例如，博客模块可以有编辑条目权限，论坛模块可以有编辑条目权限，它们不会冲突）
• 有一个“一切和任何”权限，自动授予完全访问权限

所以，在这些要求被排除在外的情况下，下面是我的想法。

id            | int     | unique id

id            | int     | unique id
--------------|---------------------------------------------
title         | varchar | human readable name

id            | int     | unique id
--------------|---------------------------------------------
module        | varchar | module name
--------------|---------------------------------------------
title         | varchar | human readable name
--------------|---------------------------------------------
key           | varchar | key name used in functions

role_id       | int     | id from roles table
--------------|---------------------------------------------
user_id       | int     | id from users table

id            | int     | unique id
--------------|---------------------------------------------
permission_id | int     | id from permissions table
--------------|---------------------------------------------
role_id       | int     | id from roles table
--------------|---------------------------------------------
grant         | tinyint | 0 = deny, 1 = grant

id            | int     | unique id
--------------|---------------------------------------------
permission_id | int     | id from permissions table
--------------|---------------------------------------------
user_id       | int     | id from users table
--------------|---------------------------------------------
grant         | tinyint | 0 = deny, 1 = grant

嗯，实际上这是一半，那部分我很确定，我被卡住的部分是等级角色。

那么，我该如何设计这个呢？我的想法是，为了保存数据库查询，我只需要在登录时构建权限矩阵并将其保存到会话，这样查询就不必太简单，因为每次登录只运行一次。

我看到的问题是，我需要知道角色的层次结构，以便在解析继承之前解析继承的角色权限。

用户权限是最简单的部分，每用户权限本质上是最终解析的组。

Answer 1

有一种方法可以通过在表Roles上使用递归关系，通过对另一条记录进行角色引用来实现角色继承：

此关系将在Roles记录中添加1:n继承。您可以使用此存储函数获取整个层次结构树：

CREATE FUNCTION `getHierarchy`(`aRole` BIGINT UNSIGNED)
RETURNS VARCHAR(1024)
NOT DETERMINISTIC
READS SQL DATA
BEGIN
DECLARE `aResult` VARCHAR(1024) DEFAULT NULL;
DECLARE `aParent` BIGINT UNSIGNED;

SET `aParent` = (SELECT `parent` FROM `Roles` WHERE `id` = `aRole`);

WHILE NOT `aParent` IS NULL DO

    SET `aResult` = CONCAT_WS(',', `aResult`, `aParent`);
    SET `aParent` = (SELECT `parent` FROM `Roles` WHERE `id` = `aParent`);

END WHILE;

RETURN IFNULL(`aResult`, '');
END

然后，您可以通过以下方式获得所有授予的权限：

SELECT
    `permission_id`
FROM
    `Permission_Role`
WHERE
    FIND_IN_SET(`role_id`, `getHierarchy`({$role}))
    AND
    grant;

如果这还不够，您可以使用另一个表进行继承：

但是，在这种情况下，需要另一种层次获取算法。

要解决重写问题，您必须获得角色权限和用户权限。然后，将用户权限写入角色权限到会话。

此外，我建议删除Permission\u Role和Permission\u User中的grant列。不需要映射每个用户的每个权限。只需使用存在查询即可：如果有记录，则授予权限，否则不授予权限。如果需要检索所有权限和状态，可以使用LEFT JOINs。