后臺(tái)權(quán)限管理設(shè)計(jì)思路：三種模型分析01超簡(jiǎn)版本-用戶/權(quán)限模型

用戶直接與權(quán)限映射，這種設(shè)計(jì)的優(yōu)勢(shì)在于簡(jiǎn)潔直觀，適合用戶數(shù)量不多，功能較為簡(jiǎn)潔的系統(tǒng)，它的劣勢(shì)也是特別的明顯當(dāng)用戶量增多時(shí)，維護(hù)成本較高，可擴(kuò)展性差。

系統(tǒng)頁面Demo：

02

進(jìn)階版本-用戶/角色/權(quán)限模型

若系統(tǒng)用戶和功能增多，為每一個(gè)用戶匹配單獨(dú)的權(quán)限，會(huì)變得特別的繁瑣，因此權(quán)限分門別類，形成“權(quán)限包”。從用戶的角度，將用戶分類，同一類用戶固定為相同的角色，給予相同的權(quán)限，會(huì)讓操作變得簡(jiǎn)潔許多。

系統(tǒng)頁面Demo：

03

層級(jí)版本-組織/用戶/角色/權(quán)限模型

對(duì)于管理性后臺(tái)，往往人員是職級(jí)區(qū)分的，比如用戶王五為銷售組長(zhǎng)，其組員趙六和孫七，王五需要看到趙六和孫七的銷售額數(shù)據(jù)和可以進(jìn)行趙六和孫七的全部操作，而趙六僅能看到自己的銷售額數(shù)據(jù)，進(jìn)行和自己相關(guān)的操作。

這個(gè)事例中引入了兩個(gè)新的概念，一是用戶的權(quán)限可以細(xì)分為功能權(quán)限和數(shù)據(jù)范圍權(quán)限，二是數(shù)據(jù)范圍和功能權(quán)限都有了繼承的層級(jí)概念。

所謂功能權(quán)限大家比較好理解，比如能否看到某個(gè)頁面，能否點(diǎn)擊某個(gè)按鈕。而數(shù)據(jù)權(quán)限略抽象些，比如在業(yè)績(jī)報(bào)表模塊，從功能權(quán)限角度，可以打算用戶能否打開這個(gè)報(bào)表頁面，但是不同用戶進(jìn)來看到不同的數(shù)據(jù)（王五需要看到趙六和孫七的銷售額數(shù)據(jù)，而趙六僅能看到自己的銷售額數(shù)據(jù)，看不到孫七的），則是由數(shù)據(jù)范圍來掌握的。

1.數(shù)據(jù)范圍的繼承

我們可以將用戶進(jìn)行分級(jí)管理，比如建立多層級(jí)的組織架構(gòu)樹，將不同用戶放置于組織架構(gòu)的不同根節(jié)點(diǎn)上，來實(shí)現(xiàn)多層級(jí)用戶的建立和管理。

1）假如用戶的層級(jí)假如比較簡(jiǎn)潔（不多于三級(jí)），可以將層級(jí)關(guān)系融入到角色之中。比如用戶分為三級(jí)：管理員-組長(zhǎng)-組員，管理員能看到全部的數(shù)據(jù)范圍和擁有全部的功能權(quán)限，而組長(zhǎng)能查看組員的數(shù)據(jù)范圍和擁有部分功能權(quán)限（比如無法編輯用戶），而組員的數(shù)據(jù)范圍僅僅為自己負(fù)責(zé)的數(shù)據(jù)和擁有部分功能權(quán)限。

我們可以在組長(zhǎng)這個(gè)角色下，允許其綁定組員，針對(duì)不同的角色設(shè)置不同的數(shù)據(jù)范圍讀取方式，管理員可以讀取全部數(shù)據(jù)范圍，組長(zhǎng)需要讀取其組員的，組員只能讀取自己的。大家有愛好可以去了解下RBAC0/1模型

2）而對(duì)于用戶層級(jí)較多的狀況，建議采納多層級(jí)的組織架構(gòu)的管理模式，先建立公司的組織部門，再將人置于組織架構(gòu)樹的不同節(jié)點(diǎn)之下。以用戶在組織節(jié)點(diǎn)的位置，以及是否為某個(gè)節(jié)點(diǎn)組織的負(fù)責(zé)人，來確定其數(shù)據(jù)范圍。

2.功能權(quán)限的繼承

一般是將角色進(jìn)行分級(jí)，有了所謂的角色樹的概念

由此，我們就得到了自由度更高但是規(guī)律更簡(jiǎn)單的權(quán)限管理

涉及到組織架構(gòu)樹和角色樹，需要考慮到的場(chǎng)景更多，這些細(xì)節(jié)要依據(jù)實(shí)際的業(yè)務(wù)場(chǎng)景來制定方案。比如：

組織有成立和解散的時(shí)間，員工也存在轉(zhuǎn)崗換組織部門的狀況，因此要考慮引入時(shí)間軸的概念。增加許多的校驗(yàn)規(guī)律，比如需要增加員工入職、離職時(shí)間，且員工在該部門任職的時(shí)間不能早于部門成立的時(shí)間等等同一員工能否兼崗，允許在多個(gè)組織下存在角色上是否會(huì)有互斥狀況存在（RBAC-2模型），比照實(shí)際業(yè)務(wù)中，發(fā)鈔和驗(yàn)鈔的工作不允許同一個(gè)人做，因此在功能設(shè)計(jì)時(shí)要考慮角色之間的互斥性，通過為用戶配置角色來實(shí)現(xiàn)用戶與權(quán)限的映射關(guān)系，不同權(quán)限間是存在優(yōu)先級(jí)的，比如剛剛的例子，互斥關(guān)系為最高優(yōu)先級(jí)實(shí)體關(guān)系圖：

系統(tǒng)頁面Demo：

上述分析的三種權(quán)限管理其實(shí)并無優(yōu)劣之分。權(quán)限管理作為系統(tǒng)的基石，應(yīng)依據(jù)系統(tǒng)目標(biāo)用戶特點(diǎn)、后續(xù)進(jìn)展方向、維護(hù)成本等方面進(jìn)行綜合評(píng)估，找到最適合系統(tǒng)的模式即可。

學(xué)問點(diǎn)總結(jié)

用戶管理核心是解決用戶與權(quán)限的問題；角色可理解為一類用戶，或者一堆權(quán)限的集合，鏈接了用戶與權(quán)限的關(guān)系；權(quán)限可以分為功