通用數(shù)據(jù)權限解決方案.doc

通用數(shù)據(jù)權限解決方案1. 問題提出如何能通用的進行數(shù)據(jù)權限處理。2. 主要思路從數(shù)據(jù)庫角度來看，數(shù)據(jù)權限的實現(xiàn)最終都是落在用某張表的某個字段取值范圍來達到。結合公司技術平臺現(xiàn)狀，提出本模型。3. 定義數(shù)據(jù)權限模型1、 用戶使用某個功能單元，其數(shù)據(jù)權限通過角色來配置。2、 單元數(shù)據(jù)權限授權操作符是符合sql的操作符：= = like ，特殊操作符：all3、 功能單元：是否有數(shù)據(jù)權限本單元是否啟用數(shù)據(jù)權限控制；采用數(shù)據(jù)權限模式-本單元采用哪種數(shù)據(jù)模式4、 數(shù)據(jù)權限模式：數(shù)據(jù)對象(表名）-數(shù)據(jù)權限控制所用的表名；權限字段用哪個字段進行權限控制；過濾條件-符合where 語法的過濾語句，必須是數(shù)據(jù)對象表的字段，值內容固定。比如一個組織表，包含行政組織、工會組織，但現(xiàn)在只是用行政組織進行，則用“組織類型=行政組織”來過濾即可4. 授權對于有數(shù)據(jù)權限的單元，在角色授權時，只需要定義數(shù)據(jù)權限的“操作符”即可。5. 使用1） 權限模塊提供獲取單元數(shù)據(jù)權限接口入口參數(shù)：帳戶，單元出口參數(shù)：數(shù)據(jù)對象，權限字段，操作符，權限值，過濾條件如果出口參數(shù)為空，表示不進行數(shù)據(jù)權限控制如果出口參數(shù)的“操作符”為“all”，也表示不進行數(shù)據(jù)權限控制*另一種出口參數(shù)定義：數(shù)據(jù)對象，過濾的sql2） 單元在數(shù)據(jù)查詢時，獲取當前單元數(shù)據(jù)授權3） 單元獲取的本單元數(shù)據(jù)權限，對于結果不做任何加工，直接隨著查詢傳到數(shù)據(jù)層(數(shù)據(jù)層提供特殊操作符“DATAPRIV”，code也固定為“smt_priv_def”)。在編碼時，做單元查詢時總是要做該步，而不用關心本單元實際是否定義了數(shù)據(jù)權限。4） 數(shù)據(jù)層處理邏輯：按正常處理傳入的查詢條件，對于operator=DATAPRIV做如下特殊處理：（1） 判斷權限結果為空或權限結果.操作符為空，則不起作用（2） 如果單元所查詢的所有數(shù)據(jù)對象，都不包含權限結果.數(shù)據(jù)對象，則不起作用（3） 否則：拼裝權限sql（權限字段，操作符，權限值），嵌入到業(yè)務查詢sql（邏輯上是把數(shù)據(jù)對象表進行權限過濾的結果作為業(yè)務查詢對應的表）6. 方案通用性說明1） 需要擴展數(shù)據(jù)權限時，只需要增加一種權限模式及實現(xiàn)即可。對其它程序完全透明。2） 單元不需要先考慮是否要有數(shù)據(jù)權限，統(tǒng)一在查詢中加上調用獲取數(shù)據(jù)權限接口，并傳給數(shù)據(jù)層即可。3） 數(shù)據(jù)層不需要考慮單元特性，只從數(shù)據(jù)角度處理數(shù)據(jù)權限。4） 該模型具有容錯性，即使錯誤的定義了數(shù)據(jù)權限，也不會導致由于數(shù)據(jù)權限引起的錯誤。7. 方案優(yōu)缺點優(yōu)點：通用，可靈活擴展，容錯性，開發(fā)人員不需要關注數(shù)據(jù)權限缺點：本方案數(shù)據(jù)權限只能基于單數(shù)據(jù)對象，不能基于多數(shù)據(jù)對象。實現(xiàn)需要服務層、數(shù)據(jù)層配合；由