什么是权限管理

谁践踏了优雅 2023-06-29 10:50 10阅读 0赞

# 概念 #

## 主体 ##

英文单词：principal  
使用系统的用户或设备或从其他系统远程登录的用户等等。简单说就是谁使用系统谁就是主体。

## 认证 ##

英文单词：authentication  
权限管理系统确认一个主体的身份，允许主体进入系统。简单说就是“主体”证明自己是谁。  
笼统的认为就是以前所做的登录操作。

## 授权 ##

英文单词：authorization  
将操作系统的“权力”“授予”“主体”，这样主体就具备了操作系统中特定功能的能力。  
所以简单来说，授权就是给用户分配权限。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70]

# 权限控制 #

1） 基于角色访问控制RBAC（role based access control）

问题：不利于系统维护（可扩展性不强）

2） 基于资源的访问控制RBAC（resource based access control）

推荐

# 权限管理解决方案 #

## 什么是粗粒度和细粒度权限 ##

粗粒度就是对资源类型的管理

*  粗粒度权限管理，对资源类型的权限管理。资源类型比如：菜单、url连接，用户添加页面，用户信息，类方法，页面中按钮
 *  粗粒度权限管理比如：超级管理员可以访问用户添加页面，用户信息等页面；部分管理员可以访问用户信息包括页面中所有按钮
 *  粗粒度权限管理比较容易将权限管理的代码提取出来在系统架构级别统一处理，比如通过springmvc的拦截器实现授权。

细粒度就是对资源实例的管理

*  细粒度权限管理，对资源实例的管理。资源实例就是资源类型的具体化，比如：用户id为001的修改连接，1110班的用户信息，行政部的员工。
 *  细粒度权限管理就是数据级别的权限管理。比如：部分经理只可以访问本部门的员工信息，用户只可以看到自己的菜单等等。
 *  对细粒度权限管理在数据级别是没有共性可言，针对细粒度权限管理就是系统业务逻辑的一部分，如果在业务层去处理相对比较简单，因此推荐在业务层实现

# 权限管理的主流框架 #

## SpringSecurity ##

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70 1]  
通过提供完整可扩展的认证和授权支持保护你的应用程序。  
https://spring.io/projects/spring-security

SpringSecurity特点：

*  和Spring无缝整合。
 *  全面的权限控制。
 *  专门为Web开发而设计。
    
     *  旧版本不能脱离Web环境使用。
     *  新版本对整个框架进行了分层抽取，分成了核心模块和Web模块。单独引入核心模块就可以脱离Web环境。
 *  重量级。

## 2.2Shiro ##

Apache旗下的轻量级权限控制框架。  
![在这里插入图片描述][20200112120513116.png]  
特点：

*  轻量级。Shiro主张的理念是把复杂的事情变简单。针对对性能有更高要求的互联网应用有更好表现。
 *  通用性。
    
     *  好处：不局限于Web环境，可以脱离Web环境使用。
     *  缺陷：在Web环境下一些特定的需求需要手动编写代码定制。

官网网址：http://shiro.apache.org/  
学习视频网址：http://www.gulixueyuan.com/course/45

# 使用配置类代替XML配置文件 #

## @Configuration注解 ##

@Target(ElementType.TYPE)
    @Retention(RetentionPolicy.RUNTIME)
    @Documented
    @Component//由于当前注解带有@Component注解，所以标记当前注解的类可以享受包的自动扫描
    public @interface Configuration {
        
    
    	/**
    	 * Explicitly specify the name of the Spring bean definition associated
    	 * with this Configuration class.  If left unspecified (the common case),
    	 * a bean name will be automatically generated.
    	 *
    	 * <p>The custom name applies only if the Configuration class is picked up via
    	 * component scanning or supplied directly to a {@link AnnotationConfigApplicationContext}.
    	 * If the Configuration class is registered as a traditional XML bean definition,
    	 * the name/id of the bean element will take precedence.
    	 *
    	 * @return the specified bean name, if any
    	 * @see org.springframework.beans.factory.support.DefaultBeanNameGenerator
    	 */
    	String value() default "";

类标记了这个注解就可以使用这个类代替Spring的XML配置文件。

## @Bean注解 ##

用来代替XML配置文件中的bean标签。下面两种形式效果一致：

@Configuration
    public class AnnotaionConfig{
        
    
    	@Bean
    	public EmpHandler getEmpHandler(){
        
    		return new EmpHandler();
    	}
    
    }

提示：Spring通过调用标记了@Bean注解的方法将对象放入IOC容器行为不会重复调用方法。原因是Spring想要获取bean对应的实例对象时会查看IOC容器中是否已经有了这个对象，如果有则不会执行这个方法，从而保证这个bean是单一实例的。  
如果希望对应的bean是多实例的，则可以配合@Scope注解。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20200112120401330.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20200112120428318.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3poaXpoZW5nZ3Vhbg==,size_16,color_FFFFFF,t_70
[20200112120513116.png]: https://img-blog.csdnimg.cn/20200112120513116.png