超全面的权限系统设计方案!
地址:cnblogs.com/iceblow/p/11121362.html
权限管理是所有后台系统的都会涉及的一个重要组成部分,主要目的是对不同的人访问资源进行权限的控制,避免因权限控制缺失或操作不当引发的风险问题,如操作错误,隐私数据泄露等问题。 目前在公司负责权限这块,所以对权限这块的设计比较熟悉,公司采用微服务架构,权限系统自然就独立出来了,其他业务系统包括商品中心,订单中心,用户中心,仓库系统,小程序,多个APP等十几个系统和终端
迄今为止最为普及的权限设计模型是RBAC模型,基于角色的访问控制(Role-Based Access Control)
这是权限最基础也是最核心的模型,它包括用户/角色/权限,其中用户和角色是多对多的关系,角色和权限也是多对多的关系。
用户 是发起操作的主体,按类型分可分为2B和2C用户,可以是后台管理系统的用户,可以是OA系统的内部员工,也可以是面向C端的用户,比如阿里云的用户。
角色 起到了桥梁的作用,连接了用户和权限的关系,每个角色可以关联多个权限,同时一个用户关联多个角色,那么这个用户就有了多个角色的多个权限。
有人会问了为什么用户不直接关联权限呢?在用户基数小的系统,比如20个人的小系统,管理员可以直接把用户和权限关联,工作量并不大,选择一个用户勾选下需要的权限就完事了。
但是在实际企业系统中,用户基数比较大,其中很多人的权限都是一样的,就是个普通访问权限,如果管理员给100人甚至更多授权,工作量巨大。
这就引入了"角色(Role)"概念,一个角色可以与多个用户关联,管理员只需要把该角色赋予用户,那么用户就有了该角色下的所有权限,这样设计既提升了效率,也有很大的拓展性。
权限 是用户可以访问的资源,包括页面权限,操作权限,数据权限:
以上是RBAC的核心设计及模型分析,此模型也叫做RBAC0,而基于核心概念之上,RBAC还提供了扩展模式。包括RBAC1,RBAC2,RBAC3模型。下面介绍这三种类型
此模型引入了角色继承(Hierarchical Role)概念,即角色具有上下级的关系,角色间的继承关系可分为一般继承关系和受限继承关系。
一般继承关系仅要求角色继承关系是一个绝对偏序关系,允许角色间的多继承。
而受限继承关系则进一步要求角色继承关系是一个树结构,实现角色间的单继承。这种设计可以给角色分组和分层,一定程度简化了权限管理工作。
基于核心模型的基础上,进行了角色的约束控制,RBAC2模型中添加了责任分离关系。
其规定了权限被赋予角色时,或角色被赋予用户时,以及当用户在某一时刻激活一个角色时所应遵循的强制性规则。
责任分离包括静态责任分离和动态责任分离。主要包括以下约束:
即最全面的权限管理,它是基于RBAC0,将RBAC1和RBAC2进行了整合。
当平台用户基数增大,角色类型增多时,而且有一部分人具有相同的属性,比如财务部的所有员工,如果直接给用户分配角色,管理员的工作量就会很大。
如果把相同属性的用户归类到某用户组,那么管理员直接给用户组分配角色,用户组里的每个用户即可拥有该角色,以后其他用户加入用户组后,即可自动获取用户组的所有角色,退出用户组,同时也撤销了用户组下的角色,无须管理员手动管理角色。
根据用户组是否有上下级关系,可以分为有上下级的用户组和普通用户组:
每个公司都会涉及到到组织和职位,下面就重点介绍这两个。
常见的组织架构如下图:
我们可以把组织与角色进行关联,用户加入组织后,就会自动获得该组织的全部角色,无须管理员手动授予,大大减少工作量,同时用户在调岗时,只需调整组织,角色即可批量调整。
组织的另外一个作用是控制数据权限,把角色关联到组织,那么该角色只能看到该组织下的数据权限。
假设财务部的职位如下图:
每个组织部门下都会有多个职位,比如财务部有总监,会计,出纳等职位,虽然都在同一部门,但是每个职位的权限是不同的,职位高的拥有更多的权限。
总监拥有所有权限,会计和出纳拥有部分权限。特殊情况下,一个人可能身兼多职。
根据以上场景,新的权限模型就可以设计出来了,如下图:
根据系统的复杂度不同,其中的多对多关系和一对一关系可能会有变化
授权即给用户授予角色,按流程可分为手动授权和审批授权。权限中心可同时配置这两种,可提高授权的灵活性。
有了上述的权限模型,设计表结构就不难了,下面是多系统下的表结构,简单设计下,主要提供思路:
在项目中可以采用其中一种框架,它们的优缺点以及如何使用会在后面的文章中详细介绍。
权限系统可以说是整个系统中最基础,同时也可以很复杂的,在实际项目中,会遇到多个系统,多个用户类型,多个使用场景,这就需要具体问题具体分析,但最核心的RBAC模型是不变的,我们可以在其基础上进行扩展来满足需求。
本开发系统借助于国内外企业已有的煤与瓦斯突出预测技术,以及安全信息系统的开发经验,结合煤矿的实际情况,作为煤矿安全管理信息系统的一个子系统。从整体出发,以发展的观点,利用系统化的方法开发和设计,在系统的开发过程中,考虑以下几个方面:
1) 将预警的基本原理与 GIS 的功能结合,构建煤与瓦斯突出预警理论技术,明确其内涵,并就逻辑工作过程进行研究,形成完整的煤与瓦斯突出预警理论体系。
2) 通过对煤与瓦斯突出影响因素的分析,研究基于 GIS 表达的关键技术预警模型,提出基于 GIS 的煤与瓦斯突出预警实现的标准化过程 ( Bellacicco,2002) 。
3) 对煤与瓦斯突出警兆指标进行筛选,给出预警信息的分级输出标准,提出基于GIS 的预警级别输出方式。
4) 采用基于 ActiveX / COM 的 MapX,VB6. 0 编程语言,开发集信息管理、煤与瓦斯突出危险性预警于一体的煤与瓦斯突出预警系统 ( 张华兵等,2006) 。
5) 根据突出灾害区域特点和区域预警原则,收集煤矿地勘钻孔资料、历史特殊资料中,与煤与瓦斯突出密切相关的信息,依据 SQL Server 对数据的具体管理方式,建立煤与瓦斯突出地质数据库。为煤与瓦斯突出预警做好基础工作准备。
6) 结合煤与瓦斯突出地质数据库与已经较为成熟的煤与瓦斯预测数学地质方法,如多元统计理论、数量化理论运用数据挖掘技术从已有数据库中获取知识,建立煤与瓦斯突出危险性预警模型的方法、步骤考虑煤与瓦斯突出从孕育到激发,具有突变的特征,突出启动的突变条件,确定预警指标,尤其是确定预警阈值,提出预警级别和相应的对策措施。
7) 煤与瓦斯突出预警指标与综合预警模型的建立主要围绕煤与瓦斯突出时间影响因素给出,主要包括: 影响煤与瓦斯突出的自然历史原因,如: 井田的地质构造、煤厚大小、煤的破坏类型、煤的埋藏深度等影响煤与瓦斯突出的现实原因,如开采深度、支护方式、开采顺序等影响煤与瓦斯突出的实时原因: 如打钻时动力现象、瓦斯涌出初速度、瓦斯浓度等。
8) 根据煤矿企业实际需要将矿图中现实存在的点、线、面转换成 GIS 技术中表示空间属性的点状、线状、面状图层。以煤矿地理底图作为煤与瓦斯突出预警的背景位于第二层平面,煤与瓦斯突出预警信息突出在第一平面生成煤与瓦斯突出预警图。通过利用 GIS控件实现矿图管理和矿图的基本 GIS 操作功能利用 Visual Basic6. 0 与 GIS 控件结合开发实现 GIS 的扩展功能利用 Visual Basic6. 0 与 SQL Server 实现属性数据管理功能应用Photoshop、Flash 等软件完成个性化的功能和创建友好的用户界面、人机交互界面等。
预警系统设计方案如图 8. 1 所示。
图 8. 1 基于 GIS 的煤与瓦斯突出预警系统示意图
1.总体结构设计主要解决子系统的划分与确认、模块结构设计、网络设计和配置方案等问题。 ①子系统划分:是将一个复杂的系统设计转为若干子系统和一系列基本模块的设计,并通过模块结构图把分解的子系统和一个个模块按层次结构...
2.详细结构设计主要解决代码设计、输出设计、输入设计、处理过程设计、数据库设计、人机界面设计、安全控制设计等问题。 ①代码设计:是要设计出一套能为系统各部分公
计算机网络系统设计方案时应遵循原则:
1.网络信息系统安全与保密。
2.网络安全系统的整体性原则
强调安全防护、监测和应急恢复。要求在网络发生被攻击、破坏事件的情况下,必须尽 可能快地恢复网络信息中心的服务,减少损失。所以网络安全系统应该包括3种机制:安 全防护机制、安全监测机制、安全恢复机制。
3.网络安全系统的有效性与实用性原则
网络安全应以不能影响系统的正常运行和合法用户的操作活动为前提。
4.网络安全系统的“等级性”原则
良好的网络安全系统必然是分为不同级别的,包括对信息保密程度分级(绝密、机密、 秘密、普密);对用户操作权限分级(面向个人及面向群组),对网络安全程度分级 (安全子网和安全区域),对系统实现结构的分级(应用层、网络层、链路层等)。
5.设计为本原则
强调安全与保密系统的设计应与网络设计相结合。即在网络进行总体设计时考虑安全系 统的设计,二者合二为一。由于安全与保密问题是一个相当复杂的问题,因此必须搞好 设计,才能保证安全性。
6.自主和可控性原则
网络安全与保密问题关系着一个国家的主权和安全,所以网络安全产品不能依赖国外进 口产品。
7.安全有价原则
网络系统的设计是受经费限制的。因此在考虑安全问题解决方案时必须考虑性能价格的平衡,而且不同的网络系统所要求的安全侧重点各不相同。
(以包头奥林匹克体育中心为工程案例)
一:前言
奥林匹克体育中心作为城市大型体育建筑,承办全国性或洲际性体育赛事的主场馆区,以及举办国内外大型会展活动的现代化大型会展中心场地和紧急避灾场所,其在城市的现代化要求中有着很重要的地位。
一般的奥体中心在建筑群上均由主体育场,体育馆,室外大型的体育公园,公共的体育健身场地,运动场地,休闲场地,大型停车场等建筑群体组成。奥体中心一般包括一个10万人的主体育场、一座1万人主体育馆,还有游泳馆、网球中心、棒垒球中心、曲棍球场、小球中心、室内田径中心和重竞技中心等,可举办洲际性、全国性综合运动会及国际田径、足球比赛,拥有观众固定坐席近10万个。功能上可进行排球、篮球、羽毛球、乒乓球、手球和体操比赛,还可以举办大型会议和群众歌舞演出,形成以体育、博览功能为主,集商务、旅游、休闲、文化、居住功能于一体的城市新区。
大型奥体中心公共广播系统作为服务奥体中心日常的各项人性化服务及进行广播功能而建设,其必需完成满足奥体中心的多样化的功能要求,包括日常的背景音乐播放,各项背景音乐广播任务分区播放,全天候或定时段播放,无人值守;各项实时业务广播的播报;消防广播紧急强插等,要求广播系统具备高效的稳定性,综合性,智能化,多样化等特点。
二、包头奥体中心CEO-PA数字IP网络广播系统综合说明
1、工程项目概述:
包头市奥体中心体育馆建筑面积20379平方米,其中地上三层,设5954个座位,整个工程平面为圆形。于2010年上旬竣工,前期于迎接在包头举行的世界中学生排球锦标赛准备建设。中部为比赛场地,四周为运动员休息室、设备用房、办公及贵宾室、记者用房、新闻发布厅、观众席、舞台。奥体中心体育馆在使用功能上可进行排球、篮球、羽毛球、乒乓球、手球和体操比赛,还可以举办大型会议和群众歌舞演出。 从外形上看,奥体中心体育馆造型突出建筑的整体性,蝶形和球形相结合的造型体现出时代气息。其造型还象征着时间、速度,一根根架构犹如记时指针划过表面,让人隐约看到运动员追逐时间的脚步,感受到拼搏进取的运动精神。馆内融合26项新技术、新材料、新工艺的建设,使体育馆更美观、环保、坚固,凸显着包头市标志性建筑的大气。
2、系统功能要求:
1):播放日常的音乐、全天候定时段的分区定时播放、某些广播分区可多音源播放。
2):可以对任意分区进行广播和寻呼、并提供远程寻呼、在场馆物业监控室内。
3):消防联动,具备消防广播功能。系统要求提供软件管理,具备远程分控功能。
4):可定时打开系统设备、定进播放音乐(整体系统可统一控制)。
3、系统方案设计:
根据其系统要求,前期采用CEO-PA网络广播系统进行设计,按系统在室内,室外分别分区,在主体育馆、体育场室外草坪区域安装仿真草坪音,供全天候播放背景音乐及场馆注意事项等广播使用。在体育馆室内安装吸顶天花喇叭,播放背景音乐及日常的业务广播,和消防系统联动,受消防强插。主控室设计位于主体育馆馆内的弱电机房内,在物管中心配置远程分控中心,可实时控制整个系统,无需到主控室操作。在监控室配置远程寻呼中心,用于监控人员在发现场馆异常情况时实时广播提醒及通知游客注意等。
4、原理简图
5、系统配置清单
设备名称 设备型号 数量
系统主控服务器 CE-6001 1/台
系统主控软件 CE-6001S 1/套
机房监听音箱 CE-1001 1/对
调音台 CE-F12 1/台
CD播放器 CE-CD12 1/台
数字调谐器 CE-F308R 1/台
广播麦克风 CE-MC10 1/只
分控软件 CE-6008 1/套
机房监听音箱 CE-1001 1/对
广播麦克风 CE-MC10 1/只
远程广播中心 CE-6006DPK/S 1/台
网络报警器 CE-6009A 1/台
机架式网络广播前置终端 CE-6008DP 4/台
机架式网络广播功放终端 CE-IP360P 2/台
系统避雷器 CE-8025L 2/台
纯后级广播功放 CE-8660 4/台
室外广播音柱 CE-703 12/只
室内壁挂喇叭 CE-16W/16B 48/只
吸顶天花喇叭 CEH-324T 63/只
仿真草坪音箱 CEH-AG2 72/只
各音频接口及线材 1/批
广播机柜 2/台
6、系统功能说明:
1):广播分区多、分区定时播放
系统分区按其体育馆、体育场周边及停车场、公共健身区域草坪区等。各区均独立分区,独立的控制地址及广播。全天候的分区定时播放。如在公共健身区早、晚的便民健身广播等。及公共草坪休闲区域的全天候的背景音乐播放和停车场的定时广播。播放具备多种播放模式;内置N个时间表,可多用户同时编辑及更换每个时间表,定时控制时间精确到秒,实现对播放的远程遥控。全天候的无人值守。
2):多路实时采播
能够将自用电台、录音机卡座、CD播放器、MP3播放器、麦克风等节目实时采集实时压缩成高音质数据流存储到服务器,并可按要求同时转播到指定的广播终端,用于播放外接设备广播及广播通知等。可以支持单台多路声卡采播
3):网上电台转播
可以将通过网络收音机软件接收到的Internet网络电台节目转换成IP网络广播数据格式,对广播终端实时播放,如一些专门的语言电台等。
4):广播节目监听
在主机房/分控机房基分控中心都配置了监听音箱,可以实时监听到所有的广播节目。
5):报警广播联动
从消防控制系统输入报警信号,智能联动广播服务器处理进行广播消防报警广播。
6):多路分区播音
系统可设定任意多个组播放制定的音频节目,或对任意指定的区域进行广播讲话;服务软件可远程控制每台终端的播放内容(划定区域播放)和音量等。
7):终端电源控制
各网络广播终端电源系统均受网络广播控制中心控制,根据广播信号有无自动开启自身电源系统及外控电源功能,待机功率小于等于0.3W。
8):权限级别设置
软件可设置多用户使用此系统软件或点播终端,其中由管理员统一管理,并由管理员给各用户分配系统使用账号和密码及其使用权限和终端数量等。级别有高低之分,管理员具备最高使用权限,并只有管理员才能设置或更改系统的设置参数等。
9):远程分控功能
校园广播分控室,便可以实现广播的远程控制。从而实现通过电脑远程对全区、分区、分组讲话。通过IP网络主控服务器或局域网上的任意一台分控中心(或电脑,加装分控软件),能指定全部、局部或单个终端,实现广播寻呼。
10):网络远程寻呼及对讲功能及录音存储功能
远程广播寻呼中心,可实现对任意一个分区进行广播讲话,或者音乐播放,也可以几个区组合在一起播放一种相同的音乐,可任意组合播放。任意分组;可以单独对某一区或者几个区的组合进行讲话。未被讲话的区域正常播放音乐。广播的语音可自动进行录音并存盘,主控中心可随时监听网络内的各终端的实时信息。
11):系统备份功能
主控服务器运行正版操作系统,安装专用备份及还原工具,后期使用过程中遇到系统需更新时只需按操作说明进行系统还原即可,无需重做操作系统。主控软件亦具备软件数据备份功能,在对广播主控软件进行各项广播任务设置后可对广播软件进行全面的广播软件数据备份,亦可在使用过程中对软件进行定期的广播软件数据备份,在后期使用过程中如需进行软件更新,只需恢复软件数据备份即可,一切广播软件的设置及任务编程都将恢复如新,无需重新对各项广播再进行设置。
12):定时开关机
主机可以根据广播系统的使用时间设定开启和关闭的时间。保证工作环境的清净,增加主机的使用寿命。
13):操作方便,显示直观。
具备大屏幕液晶显示屏可实时显示出当前的工作状态,具备人机对话功能。工作时间大型液晶显示屏,中文菜单可设定操作密码,保证系统安全运行。
更多体育场馆公共广播、商场广播、大学广播、工厂广播、车站广播解决方案请登录 德国西派电子