RBAC授权模式

一、基于角色的访问控制

1.1概念

RBAC基于角色的访问控制（Role-Based Access Control）是按角色进行授权，

1.2实例

比如：主体的角色为总经理可以查 询企业运营报表，查询员工工资信息等。

例如：角色1 才能进行查看

If(user.hasRole(“角色1”)){

查看操作

}

 

此时如果角色 2 也需要有查看权限则：

If(user.hasRole(“角色1”)||user.hasRole(“角色2”)){

查看操作

}

 

缺点：当需要修改角色的权限时就需要修改授权的相关代码，系统可扩展性差。

1.3 关系

用户与角色是多对多关系

二、基于资源的访问控制

2.1概念

RBAC基于资源的访问控制（Resource-Based Access Control）是按资源（或权限）进行授权。

2.2 实例

比如：用户必须 具有查询工资权限才可以查询员工工资信息等。

只需判断用户或者角色有某个权限

If(user.hasPermission(“查看权限”)){

 

}

优点：系统设计时定义好查询工资的权限标识，即使查询工资所需要的角色变化为总经理和部门经理也不需要修改 授权代码，系统可扩展性强

2.3 关系

角色与权限是多对多的关系