浅谈权限系统在本地生活服务平台的应用

建筑师（Jiagoux）

我们都是建筑师！

将来，你来吗？

本文首先介绍了Dori Bear业务的引入，导致Olion Bear Business Construction Perrissions System的痛苦点，然后从授权系统模型，授权系统设计和Dori Bear Business Business中详细讨论特定方案和设计应用。最后，数据维度构建，让每个人一起考虑解决方案。

业务简介

Dori Bear是Baidu下的当地生活服务平台。 Dori Bear的目的是为用户提供高价服务的高价折扣。根据Baidu的AI和双引擎功能，它迅速促进了改变市场结构，为当地商人提供丰富的营销渠道，并决心成为当地生活市场的重塑。性力量。

达利熊涵盖了许多类别，例如餐饮，酒店，风景秀丽，休闲和娱乐，美容和其他类别。用户可以花更少的钱享受熟食店选择的当地生活质量。成为达利熊的补贴，通过自购买来节省金钱。共享直接销售可以赚取佣金。粉末锁定政策使专家可以赚取长时间下订单。开发下游专家组可以赢得团队委员会。

达利熊体系结构如何支持整个业务的生态运营，如下图所示：

如图所示，达利熊的整个业务结构是三层。包括：生态场景层，平台支持层，基础架构层。

从数字可以看出，在整个Dali Bear业务结构中，有许多平台字符，并且权限系统面临许多挑战。

我们如何构建这些问题？以下将详细介绍。

权限系统简介

2.1权限系统模型

RBAC（基于角色的访问控制）：基于Rangers的权限访问控制。

RBAC是由字符和权限定义的访问控制机制。在RBAC中，当局与该角色相关联。用户通过成为角色的成员来获得这些字符的权限。这大大简化了权限的管理。在一个组织中，创建了该角色以完成各种任务，并根据其职责和资格分配了相应的角色。可以轻松地将用户分配给一个角色的另一个角色。角色可以根据新需求和系统的合并来赋予新的权威，并且也可以根据需要从某个角色中恢复权限。可以建立角色和角色之间的关系以包括更广泛的客观条件。

RBAC的四个核心组成部分：

S（主题）：主题，用户或自动代理

R（角色）：角色信息，定义为授权的职位或标题

SE（会话）：会话级别的身份权限的表达，S，R或P之间的映射关系

P（权限）：权限，访问资源的一种方式

RBAC定义了三个主要规则：

字符分布：只有在选择对象或分配主题时，字符才能受试者练习权限

角色授权：主题的积极作用必须由主题授权。使用以上规则1，该规则确保用户只能扮演他们的授权角色

永久授权：仅通过授权对主体的积极作用的许可，才能行使权限。对于规则1和2，该规则可确保用户只能行使其授权权限

RBAC的四种型号：

Flat RBAC：基本的RBAC模型，基本概念是将用户分配给角色，权威也分配给角色，用户通过角色获得了相应的权限

层次RBAC：角色是由组织组成构成的，其中“较低”级别的“较低”字符继承了所有权

RBAC受限：将责任分离（SOD）的实施到角色

对称RBAC：权限审查权限的要求，类似于Flat RBAC中描述的用户角色审查

这四个模型的级别和功能描述：

平面RBAC模型结构：

分层RBAC模型结构：

RBAC模型结构受限：

静态责任分离：

相互角色：同一用户只能选择两个相互排斥的字符之一

基本约束：用户的字符有限，角色的许可的许可证有限

先决条件约束：如果用户想获得高级字符，则必须首先具有低级别的角色

动态责任分离：

会话和角色之间的约束可以动态限制用户拥有的角色。例如，用户可以有两个角色，但是在运行时只能激活一个角色。

对称RBAC模型结构：

2.2权限系统设计

如何在我们的实际情况下选择和改变RBAC模型是一个深思熟虑的问题。首先，我们必须基于业务场景确认系统的核心功能。

我们要做的是本地服务TOB业务，因此对于商人来说，我们将拥有一个商家平台。除了商人的管理平台外，我们还需要管理O区施工平台和发展同学的干预平台。这些平台需要永久控制。每个系统都有自己的页面。每个页面都有自己的功能实现。控制页面权限的权限很大，与按钮的控制一样小。在未来的业务发展中，我们需要考虑我们的权威系统。因此，我们的权威管理相对较重。

为了响应上面的业务方案和需求表，我们首先最终确定了权限系统的核心职责：

页面材料RWITAGE管理和控制

功能和全面控制

按钮功能权限控制

支持多企业线

我们设计了以下基于Flat RBAC的RBAC模型：

根据我们设计的RBAC模型，考虑持续细节的考虑

支持多企业线路访问和业务线业务隔离

有必要支持孕产妇权限，功能组权限，按钮权限的控制权

首先，考虑业务线支持问题。为此，我们使用了一个单独的表来表达产品线信息。在用户，角色和功能表的设计中，我们需要与业务线信息表相关联。

因此，我们考虑如何支持页面，功能组许可和按钮权限的问题。

菜单权限，功能组权限和按钮隶属于功能权限，因此我们使用表来表达功能权限，并与前端页面的树结构表达式进行比较以构造功能权限树。图片如下：

业务线

对于不同的系统，其各自的用户系统，角色管理和权限管理是不同的。他们需要满足不同系统的需求。第一件事是隔离每个系统。

我们设计了一份业务线信息表。核心字段如下：

该表主要描述业务线的基本信息内容，该信息用于更好的管理和配置。

业务行隔离的本质是，用户表，角色表和权限表需要指定业务线的产品，以便业务行隔离在BRAC模型的三个核心字符中。您需要指定自己的产品。

用户

从业务角度的角度来看，商家平台是登录到外部商人的用户帐户系统。对于O，这是我们用于操作同学的情况。 BD学生使用的内部帐户系统，因此我们在这里有此系统。不同的用户登录系统。

我们面临着各种用户系统表单，因此我们与不同的用户系统设计兼容，因此我们设计的用户表的核心字段如下：

prod_id，user_type和login_id是联合成立的。

角色

Flat Brac模型的特征不涉及字符的继承。我们的业务不涉及如此复杂的角色关系，因此我们使用最简单的方式来表达角色信息，从而减少角色身份的管理和维护。

角色的核心字段如下：

prod_id和en_name是统一的。

权威

这是我们想到的地方。我们希望可以通过统一标准同意前端页面的功能权限。

我们去了解前端使用的设计。无论是B的侧面还是O的前端，它都是我们自己的前端团队。他们谈论使用统一的前端框架和设计。这是我们权限系统的最佳情况。我们需要面对的第一件事是对这种风格的权威控制。

首先查看我们b -side页面的正面页面，如下所示：

左侧是页面菜单栏，右侧是对应于菜单栏的页面，该页面包含涉及的每个功能模块。

我们在这里必须处理的是：

菜单栏的权限控制：是否显示菜单，菜单层次结构和菜单设计的页面授权内容

页面权限：页面中涉及的功能权限

功能组：页面中某些功能模块的功能权威

按钮：按钮的权限

因此，我们正准备将授权表作为树结构转换为图：

基于这样的树结构，我们可以描述整个授权控制前端的内容。当局的核心领域如下：

总体核心设计是这样。结合我们的微服务框架概念，我们的整体业务互动图如下：

现在，我们的权威系统正在支持Dali Bear b -side平台和O侧平台的权威控制，并支持编辑平台。将来，我们将继续为更多平台的权力控制服务。

2.3 Dali Bear业务应用

基于上述权限系统的设计，在面对庞大的人员组织结构和复杂的业务系统时，多里熊业务也可以有效，灵活地管理。

如下图中的业务操作系统的应用程序方案所示，该系统向内部多个团队开放。每个团队都有不同的职能，甚至在团队内部分配了不同的职位。

对于此应用程序方案，系统权限的分配和管理主要包括以下步骤：

1。阐明系统的作用：如上图3.1所示，业务操作系统包括多个平台，包括商人，商店，订单等。对于每个平台，有必要确定平台上需要哪些角色，以及不同角色在平台中执行不同的任务。例如，商人定居系统包括帮助商人定居的作用以及帮助商人经理的作用。

2。阐明角色权限：对于角色的特定任务，相应的系统可以以不同的方式运行权限，这需要每个字符才能分配特定的操作权限。例如，有助于商人定居的角色可以具有界面的权限，例如输入，查询和修改商家信息。

3.阐明团队结构：如上图3.2所示，审核和管理项目需要多个团队，例如业务，运营，客户服务以及不同团队下的相应职位来执行不同的任务。例如，业务团队包括业务编辑，业务管理员和业务领导者。

4。为团队成员分配系统的角色：为了将系统中的角色权限与团队的组织结构相结合。如上3.3所示，经理可以将人员提供给人员的人员，以将相应的平台权限授予邮政人员。例如，业务编辑仅具有产品管理的作用，业务也可以同时具有产品管理角色和业务条目字符。

权限系统思维

有了功能权限，我们应该考虑另一个字段，即数据权限。

数据权限是具有或没有某些数据的访问权限。特定的表达式表格是，当用户具有操作权限时，并不意味着它已经查看了所有数据或管理权限。数据权限有两种形式：一个是练习，另一个是权限列表。

SO称为行为是限制用户对某些行的访问权限，例如：只能根据数据范围限制人员，部门和组织的数据，例如：合同将用户限制以限制用户访问数据的访问。 SO称为专栏作家是限制用户对某些列的访问。例如，可以检查某些内容的摘要，但是详细的内容只能由VIP用户查看。

通过数据权限，您可以从物理级别获取数据行或列。此方法在获取所有数据后根据用户的权限限制某些行或列更有益。以列表数据权限为例，数据权限的数据控制数据，因此不同的人具有不同的查看数据规则。为了获得数据权限，最重要的是抽象数据规则。

但是，没有足够的数据规则。我们还需要将数据规则与资源和用户绑定。这样，资源可以与数据规则相关联。

在设计中，我们需要一个单独的数据规则管理功能，这很方便我们输入数据规则，然后我们可以在资源管理页面上选择构建的数据规则来绑定资源和规则。

那么，如何使不同的用户具有不同的数据规则？

在RBAC模型中，用户被授予管理资源的不同角色。以同样的方式，我们可以在授予权限时与数据规则相关联。这样，不同的用户就系统本质具有不同的数据规则

基于此，我们基本上可以实施RBAC和数据规则的绑定；同时，数据权限是一个相对复杂的函数。除了扩展RBAC模型外，是否还有其他更合理的想法，还让每个人都可以思考精华

结尾

参考材料：

[1]

如果您喜欢这篇文章，请单击右上角并将文章分享给朋友圈子

如果您想了解技术要点，请留言与Ruofei共享

由于公共帐户更改推定规则，请单击“外观”并添加“ Starbar”，以尽快获得出色的技术共享

· 结尾 ·

相关阅读：
一张图看懂微服务架构路线
基于Spring Cloud的微服务架构分析
微服务等于Spring Cloud？了解微服务架构和框架
如何构建基于 DDD 领域驱动的微服务？
小团队真的适合引入SpringCloud微服务吗？
DDD兴起的原因以及与微服务的关系
微服务之间的最佳调用方式
微服务架构设计总结实践
基于 Kubernetes 的微服务项目设计与实现
微服务架构-设计总结
为什么微服务一定要有网关？
主流微服务全链路监控系统之战
微服务架构实施原理详解
微服务的简介和技术栈
微服务场景下的数据一致性解决方案
设计一个容错的微服务架构