用户认证管理设计方案
1 设计思路
为了设计一套具有较强可扩展性的用户认证管理，需要建立用户、角和权限等数据库表，并且建立之间的关系，具体实现如下。
用户
用户仅仅是纯粹的用户，用来记录用户相关信息，如用户名、密码等，权限是被分离出去了的。用户（User）要拥有对某种资源的权限，必须通过角（Role）去关联。
用户通常具有以下属性：
编号，在系统中唯一。
名称，在系统中唯一。
用户口令。
注释，描述用户或角的信息。
角
角是使用权限的基本单位，拥有一定数量的权限，通过角赋予用户权限，通常具有以下属性：
编号，在系统中唯一。
名称，在系统中唯一。
注释，描述角信息
权限
权限指用户根据角获得对程序某些功能的操作，例如对文件的读、写、修改和删除功能，通常具有以下属性：
编号，在系统中唯一。
名称，在系统中唯一。
注释，描述权限信息
用户与角的关系
一个用户（User）可以隶属于多个角（Role），一个角组也可拥有多个用户，用户角就是用来描述他们之间隶属关系的对象。用户（User）通过角（Role）关联所拥有对某种资源的权限，例如
用户（User）：
UserID UserName UserPwd
1 张三 xxxxxx
2 李四 xxxxxx
……
角（Role）：
RoleID RoleName RoleNote
01 系统管理员 监控系统维护管理员
02 监控人员 在线监控人员
03 调度人员 调度工作人员
04 一般工作人员 工作人员
webservice实现 ……
用户角（User_Role）：
UserRoleID UserID RoleID UserRoleNote
1 1 01 用户“张三”被分配到角“系统管理员”
2 2 02 用户“李四”被分配到角“监控人员”
3 2 03 用户“李四”被分配到角“调度人员”
……
从该关系表可以看出，用户所拥有的特定资源可以通过用户角来关联。
权限与角的关系
一个角（Role）可以拥有多个权限（Permission），同样一个权限可分配给多个角。例如：
角（Role）：
RoleID RoleName RoleNote
01 系统管理员 监控系统维护管理员
02 监控人员 在线监控人员
03 调度人员 调度工作人员
04 一般工作人员 工作人员
……
权限（Permission）：
PermissionID PermissionName PermissionNote
0001 增加监控 允许增加监控对象
0002 修改监控 允许修改监控对象
0003 删除监控 允许删除监控对象
0004 察看监控信息 允许察看监控对象
……
角权限（Role_Permission）：
RolePermissionID RoleID PermissionID RolePermissionNote
1 01 0001 角“系统管理员”具有权限“增加监控”
2 01 0002 角“系统管理员”具有权限“修改监控”
3 01 0003 角“系统管理员”具有权限“删除监控”
4 01 0004 角“系统管理员”具有权限“察看监控”
5 02 0001 角“监控人员”具有权限“增加监控”
6 02 0004 角“监控人员”具有权限“察看监控”
……
由以上例子中的角权限关系可以看出，角权限可以建立角和权限之间的对应关系。
建立用户权限
用户权限系统的核心由以下三部分构成：创造权限、分配权限和使用权限。
第一步由Creator创造权限（Permission），Creator在设计和实现系统时会划分。利用存储过程CreatePermissionInfo（@PermissionName,@PermissionNote）创建权限信息，指定系统模块具有哪些权限。
第二步由系统管理员（Administrator）创建用户和角，并且指定用户角（User－Role）和角权限（Role－Permission）的关联关系。
1) Administrator具有创建用户、修改用户和删除用户的功能：
存储过程CreateUserInfo（@UserName,@UserPwd）创建用户信息；
存储过程ModifyUserInfo（@UserName,@UserPwd）修改用户信息；
存储过程DeleteUserInfo（@UserID）删除用户信息；
2) Administrator具有创建角和删除角的功能：
存储过程CreateRoleInfo（@RoleName,@RoleNote）创建角信息；
存储过程DeleteRoleInfo(@RoleID)删除角信息；
3）Administrator具有建立用户和角、角和权限的关联关系功能：
存储过程GrantUserRole（@UserID,@RoleID,@UserRoleNote）建立用户和角的关联关系；
存储过程DeleteUserRole(@UserRoleID)删除用户和角的关联关系；
存储过程GrantRolePermission(@RoleID,@PermissionID,@RolePermissionNote)建立角和权限的关联关系；
存储过程DeleteRolePermission(@RolePermissionID)删除角和权限的关联关系；
第三步用户（User）使用Administrator分配给的权限去使用各个系统模块。利用存储过程GetUserRole（@UserID, @UserRoleID output）,GetRolePermission（@RoleID,@Role-
-PermissinID output）获得用户对模块的使用权限。
用户认证实现
当用户通过验证后，由系统自动生成一个128位的TicketID保存到用户数据库表中，建立存储过程Login（@UserID,@UserPwd,@TicketID output）进行用户认证，认证通过得到一个TicketID，否则TicketID为null。其流程图如下：
图1 Login流程图
得到TicketID后，客户端在调用服务端方法时传递TicketID，通过存储过程JudgeTicketPermission（@TicketID,@PermissionID）判断TicketID对应的用户所具有的权限，并根据其权限进行方法调用。
当用户退出系统时，建立存储过程Logout（@UserID）来退出系统。当用户异常退出系统时，根据最后的登陆时间（LastSignTime）确定用户的TickeID，建立存储过程ExceptionLogout（@UserID,@LastSignTime）处理用户的异常退出。
图2 Logout流程图
WebService可以采用SoapHeader中写入TicketID来使得TicketID从客户端传递给服务端。.Net Remoting可以采用CallContext类来实现TicketID从客户端传递给服务端。
发表评论