MyException - 我的异常网
当前位置:我的异常网» Java相关 » 讨论数据权限,该如何处理

讨论数据权限,该如何处理

www.MyException.Cn  网友分享于:2013-12-31  浏览:322次
讨论数据权限
大多应用系统中会有如下需求:
1、普通员工可以对自己建立的业务对象有权限,而上级对所有下级建立的业务对象有权限;
2、员工A对区域A的业务对象有权限,员工B对区域B的业务对象有权限;
3、领导A可以看所有销售纪录,而大领导只关心金额超过1000K的销售纪录;
... ...

这些应该都属于数据权限的范畴,如何来抽象、设计和实现才能够尽可能灵活高效?
不讨论功能权限
Thanks

------解决方案--------------------
可以做一个层次树来管理员工之间的关系,这样可以在查询的时候判断一下是不是自己的领导
想看自己的所有的下属的记录也可以做到了

------解决方案--------------------
引用楼主 Little_qd 的帖子:
大多应用系统中会有如下需求:
1、普通员工可以对自己建立的业务对象有权限,而上级对所有下级建立的业务对象有权限;
2、员工A对区域A的业务对象有权限,员工B对区域B的业务对象有权限;
3、领导A可以看所有销售纪录,而大领导只关心金额超过1000K的销售纪录;
... ...

这些应该都属于数据权限的范畴,如何来抽象、设计和实现才能够尽可能灵活高效?
不讨论功能权限
Thanks

------解决方案--------------------

功能过滤相对简单,数据过滤很麻烦,需要根据身份(角色)过滤数据,难做
------解决方案--------------------
应该还是权限树之类的设计,但这树比较复杂的了,父权根有好几个子权限,子权限要有子权限,以此类推,个人想法.
------解决方案--------------------
长见识了。我们一般在业务逻辑中控制。
------解决方案--------------------
1、建立职位树,为每个员工设置一个上级关系,登录时获取当前用户的所有上级ID列表和所有下级ID列表。
在Users表中增加字段IDList,
如果ID=1 ParentID=0 IDList=,1, 说明 1没有上级
如果ID=2 ParentID=2 IDList=,1,2, 说明 2的上级是1
如果ID=4 ParentID=4 IDList=,1,2,4, 说明 4的上级是2,2的上级是1

如果ID=1登录时,通过IDList like '%,1,%'获取所有子ID。

2、通过配置设置,建立区域表、用户表、用户区域权限表(用户可以1对多个区域)。

3、a)领导A可以看所有销售纪录;
用户表中增加是否是数据管理员字段IsDataAdmin,为true则可以访问任何数据。建议增加一个所有数据查询页面,IsDataAdmin=true的用户就有权访问此页面,而不用从数据源上控制。
b)而大领导只关心金额超过1000K的销售纪录; 
增加一个查询条件,金额大于1000K就可以,其中1000K数值做成可配置的。
------解决方案--------------------
lz可以了解一下基于角色管理的系统访问控制.通用抽象实体在那里边都有定义.Users-->Roles-->Permissions
------解决方案--------------------
探讨
抛砖
现在只是有想法,还不清晰,不知可行否
★功能权限解决who what问题,数据权限解决who where what问题
★利用组织结构可以天然的实现上下级隶属关系类的数据权限控制
★业务类的数据权限
1、what:定义业务对象的类型,作为数据权限的目标,比如销售纪录是一种业务对象
2、where:定义业务范围,作为数据权限的场景,比如区域是一种场景类型
3、who:定义主体,作为数据权限的使用者,比如操作员是一种主体
主体、场…

------解决方案--------------------
探讨
你的观点和我的期望并没有冲突
正如你说业务对象实例是动态变化,数据权限是一种业务概念
但是数据权限同样很灵活,不拘泥于某一种形态
所以我想讨论是否有一种模型或者实现可以满足这种灵活的控制,而不是硬编码为一种特定的业务逻辑

------解决方案--------------------
2. 动态授权及权限控制(URL,业务方法,[b]领域对象). [/b]

领域对象= 数据字典 + AOP 

经过几年的思索和不断的技术验证,算是攻克数据权限的难题。

可以在不牺牲性能的前提下支撑各种复杂数据结构的业务场景。

------解决方案--------------------
我做的用户权限一般通过在数据库中增加权限字段来实现
------解决方案--------------------
用户--组--角色--功能--功能中各种操作的控制
按位&运算可以简单的实现功能权限管理,这是一个很成熟的方法,限制就是根据机器的位数限制了功能个数,比如32位的机器有32个,增、删、改、查......,不过似乎这种功能很少

对于部门业务数据控制方面,涉及到数据的安全性,我这边曾经做个项目,方案和jinxfei说的类似,用组绑定

对于领导数据检索统计方面,属于一个综合的子系统:领导查询。这是一个很复杂的业务系统,给领导做决策支持用的,最好别和权限混到一起
------解决方案--------------------
参与抛砖、上述的:
“功能权,解决 谁 能够 做什么 的问题。 
数据权,解决 谁 能够在什么 对象 上 做什么 的问题。 ”


——功能权是识别谁能够做什么,实际使用当中由于有角色这个集中点,使得对多个用户分配多项权限更方便。
但是楼主说的数据权范畴之中没有角色这么一个“集中点”,如果还是和功能权一样“解决 谁 能够在什么 对象 上 做什么”这样势必使得实现出来的系统使用上过于累赘,如果用户数量很多你可以想象必须对所有用户一个个分配数据权限、而且数据权限最基本也得分为对数据的增删改查四项,对一个数据对象一个用户至少得做四项配置...我认为应该把数据权限的定义改为:
数据权,标识 谁 不能在什么 对象 上 做什么 的问题
这样数据权限的内涵完全变了,要以功能权为主数据权为辅,数据权仅仅用于补充,也就是配置哪位用户不能对什么数据做什么操作。

文章评论

软件开发程序错误异常ExceptionCopyright © 2009-2015 MyException 版权所有