後臺管理系統 – 權限管理

不管是開發手機APP，網站還是小程序等項目，基本上都需要一個後臺管理系統的支撐。而每個後臺管理系統都有一個通用的功能就是用戶權限管理。最近基於Antd+React.js做了一個後臺管理系統。

一、概要

權限管理是一個幾乎所有後臺系統的都會涉及的一個重要組成部分，主要目的是對整個後臺管理系統進行權限的控制，而針對的對象是員工，避免因權限控制缺失或操作不當引發的風險問題，如操作錯誤，數據泄露等問題。

就目前來說最廣泛的是一個賬號對應多個角色，每個角色對應相應的權限集（RBAC模型）這種模型基本可以應對所有的問題，且通過角色可以實現靈活且多樣的的權限操作需求。

權限管理中設計到三個重要的名詞：賬號、角色、權限。

賬號：每個用戶想要進入系統需要分配一個賬號，而這個賬號就是一把鑰匙。我們通過控制賬號所具備的權限，進而控制這個用戶的授權範圍。
角色：角色管理是確定角色具備哪些權限的一個過程，他是一個集合的概念，是衆多最小權限顆粒的組成。我們通過把權限給這個角色，再把角色給賬號，從而實現賬號的權限，因此它承擔了一個橋樑的作用。
權限：權限包括頁面權限，操作權限，數據權限。頁面權限控制你可以看到哪個頁面，看不到哪個頁面；操作權限則控制你可以在頁面上操作哪些按鈕；數據權限則是控制你可以看到哪些數據。

二、思考

瞭解很很多網上給出的權限管理方案，絕大部分解決方案都是事先定義好角色和各個角色的權限。如果換一個系統，由於角色和之前的不一樣，後臺管理系統需要從代碼層面做相應的修改。個人感覺這種前線管理通用性不強。因此想有沒有什麼方式把權限的顆粒度劃分的更細，角色和權限可以自由配置。

帶着這些疑問整理了自己對權限管理的理解和解決方案，本人非專業WEB端開發，只是提出個人見解，有不對的地方希望大家指正。上面也說了權限主要分爲頁面權限、操作權限和數據權限，我想從這三個方面細化並做成可自由配置。

頁面權限控制：頁面權限主要通過菜單配置和頁面跳轉操作來控制。一般進入後臺管理系統會呈現出主菜單，我們可以在角色管理中爲每一個角色配置不同的菜單。用戶使用賬號登錄時，後臺通過判斷該賬號的角色，返回對應的菜單，這樣就可以控制用戶的一級頁面的權限。對於二級頁面及其他頁面可以通過控制用戶操作權限來限制用戶訪問。

操作權限控制：操作權限主要控制用戶哪些按鈕可以點擊，哪些按鈕不可以點擊。我們可以事先爲頁面中要控制的按鈕定義一個標識，在獲取用戶菜單時一併返回，通過檢查當前用戶是有有這個標識來判斷是否有相應的操作權限。

數據權限控制：我理解的數據權限控制是角色有哪些接口調用的權限，防止用戶跨域或者跨權限調用接口，我們需要把接口和角色菜單關聯起來，調用接口時後臺檢測當前用戶的角色是否有調用該接口的權限，如果沒有權限則調用失敗。整個權限管理中我覺得這一塊是最複雜的，需要配置所有使用到的接口，還需要對每次接口調用進行檢測，雖然可以通過正則表達式去匹配，但是還是有一定的侷限性。另外對於非常大的系統，這個工作量是非常大的，所以這套權限控制方案不一定適用非常複雜的系統。