2. 程式人生 > >ThinkPHP中關於RBAC使用詳解

ThinkPHP中關於RBAC使用詳解

阿新 • • 發佈：2019-02-17

RBAC是什麼，能解決什麼難題？

RBAC是Role-Based Access Control的首字母，譯成中文即基於角色的許可權訪問控制，說白了也就是使用者通過角色與許可權進行關聯[其架構靈感來源於作業系統的GBAC（GROUP-Based Access Control）的許可權管理控制]。簡單的來說，一個使用者可以擁有若干角色，每一個角色擁有若干許可權。這樣，就構造成“使用者-角色-許可權”的授權模型。在這種模型中，使用者與角色之間，角色與許可權之間，一般者是多對多的關係。其對應關係如下：

image

在許多的實際應用中，系統不只是需要使用者完成簡單的註冊，還需要對不同級別的使用者對不同資源的訪問具有不同的操作許可權。且在企業開發中，許可權管理系統也成了重複開發效率最高的一個模組之一。而在多套系統中，對應的許可權管理只能滿足自身系統的管理需要，無論是在資料庫設計、許可權訪問和許可權管理機制方式上都可能不同，這種不致性也就存在如下的憋端：

  • 維護多套系統，重複造輪子，時間沒用在刀刃上
  • 使用者管理、組織機制等資料重複維護，資料的完整性、一致性很難得到保障
  • 許可權系統設計不同，概念理解不同，及相應技術差異，系統之間整合存在問題，單點登入難度大，也複雜的企業系統帶來困難

RBAC是基於不斷實踐之後，提出的一個比較成熟的訪問控制方案。實踐表明，採用基於RBAC模型的許可權管理系統具有以下優勢：由於角色、許可權之間的變化比角色、使用者關係之間的變化相對要慢得多，減小了授權管理的複雜性，降低管理開銷；而且能夠靈活地支援應用系統的安全策略，並對應用系統的變化有很大的伸縮性；在操作上，許可權分配直觀、容易理解，便於使用；分級許可權適合分層的使用者級形式；重用性強。

ThinkPHP中RBAC實現體系

ThinkPHP中RBAC基於Java的Spring的Acegi安全系統作為參考原型，並做了相應的簡化處理，以適應當前的ThinkPHP結構，提供一個多層、可定製的安全體系來為應用開發提供安全控制。安全體系中主要有以下幾部分：

  • 安全攔截器
  • 認證管理器
  • 決策訪問管理器
  • 執行身份管理器

安全攔截器

安全攔截器就好比一道道門，在系統的安全防護系統中可能存在很多不同的安全控制環節，一旦某個環節你未通過安全體系認證，那麼安全攔截器就會實施攔截。

認證管理器

防護體系的第一道門就是認證管理器，認證管理器負責決定你是誰，一般它通過驗證你的主體（通常是一個使用者名稱）和你的憑證（通常是一個密碼），或者更多的資料來做到。更簡單的說，認證管理器驗證你的身份是否在安全防護體系授權範圍之內。

訪問決策管理

雖然通過了認證管理器的身份驗證，但是並不代表你可以在系統裡面肆意妄為，因為你還需要通過訪問決策管理這道門。訪問決策管理器對使用者進行授權，通過考慮你的身份認證資訊和與受保護資源關聯的安全屬性決定是是否可以進入系統的某個模組，和進行某項操作。例如，安全規則規定只有主管才允許訪問某個模組，而你並沒有被授予主管許可權，那麼安全攔截器會攔截你的訪問操作。
決策訪問管理器不能單獨執行，必須首先依賴認證管理器進行身份確認，因此，在載入訪問決策過濾器的時候已經包含了認證管理器和決策訪問管理器。
為了滿足應用的不同需要，ThinkPHP 在進行訪問決策管理的時候採用兩種模式：登入模式和即時模式。登入模式，系統在使用者登入的時候讀取改使用者所具備的授權資訊到 Session，下次不再重新獲取授權資訊。也就是說即使管理員對該使用者進行了許可權修改，使用者也必須在下次登入後才能生效。即時模式就是為了解決上面的問題，在每次訪問系統的模組或者操作時候，進行即使驗證該使用者是否具有該模組和操作的授權，從更高程度上保障了系統的安全。

執行身份管理器

執行身份管理器的用處在大多數應用系統中是有限的，例如某個操作和模組需要多個身份的安全需求,執行身份管理器可以用另一個身份替換你目前的身份，從而允許你訪問應用系統內部更深處的受保護物件。這一層安全體系目前的 RBAC 中尚未實現。

ThinkPHP中RBAC認證流程

對應上面的安全體系，ThinkPHP 的 RBAC 認證的過程大致如下：

  1. 判斷當前模組的當前操作是否需要認證
  2. 如果需要認證並且尚未登入，跳到認證閘道器，如果已經登入 執行5
  3. 通過委託認證進行使用者身份認證
  4. 獲取使用者的決策訪問列表
  5. 判斷當前使用者是否具有訪問許可權

許可權管理的具體實現過程

RBAC相關的資料庫介紹

在ThinkPHP完整包，包含了RBAC處理類RBAC.class.php檔案，位於Extend/Library/ORG/Util。開啟該檔案，其中就包含了使用RBAC必備的4張表，SQL語句如下（複製後請替換表字首）：

複製 
  1. CREATE TABLE IF NOT EXISTS `ly_access`(
  2. `role_id` smallint(6)unsigned NOT NULL,
  3. `node_id` smallint(6)unsigned NOT NULL,
  4. `level` tinyint(1) NOT NULL,
  5. `module` varchar(50) DEFAULT NULL,
  6.   KEY `groupId`(`role_id`),
  7.   KEY `nodeId`(`node_id`)
  8. ) ENGINE=MyISAM DEFAULT CHARSET=utf8;
  9. CREATE TABLE IF NOT EXISTS `ly_node`(
  10. `id` smallint(6)unsigned NOT NULL AUTO_INCREMENT,
  11. `name` varchar(20) NOT NULL,
  12. `title` varchar(50) DEFAULT NULL,
  13. `status` tinyint(1) DEFAULT '0',
  14. `remark` varchar(255) DEFAULT NULL,
  15. `sort` smallint(6)unsigned DEFAULT NULL,
  16. `pid` smallint(6)unsigned NOT NULL,
  17. `level` tinyint(1)unsigned NOT NULL,
  18.   PRIMARY KEY (`id`),
  19.   KEY `level`(`level`),
  20.   KEY `pid`(`pid`),
  21.   KEY `status`(`status`),
  22.   KEY `name`(`name`)
  23. ) ENGINE=MyISAM  DEFAULT CHARSET=utf8;
  24. CREATE TABLE IF NOT EXISTS `ly_role`(
  25. `id` smallint(6)unsigned NOT NULL AUTO_INCREMENT,
  26. `name` varchar(20) NOT NULL,
  27. `pid` smallint(6) DEFAULT NULL,
  28. `status` tinyint(1)unsigned DEFAULT NULL,
  29. `remark` varchar(255) DEFAULT NULL,
  30.   PRIMARY KEY (`id`),
  31.   KEY `pid`(`pid`),
  32.   KEY `status`(`status`)
  33. ) ENGINE=MyISAM  DEFAULT CHARSET=utf8 ;
  34. CREATE TABLE IF NOT EXISTS `ly_role_user`(
  35. `role_id` mediumint(9)unsigned DEFAULT NULL,
  36. `user_id`char(32) DEFAULT NULL,
  37.   KEY `group_id`(`role_id`),
  38.   KEY `user_id`(`user_id`)
  39. ) ENGINE=MyISAM DEFAULT CHARSET=utf8;

下面對RBAC相關的資料庫表及欄位作一下介紹：

表名 欄位名 欄位型別 作用
ly_user id INT 使用者ID（唯一識別號）
username VARCHAR(16) 使用者名稱
password VARCHAR(32) 密碼
email VARCHAR(100) 使用者郵箱
create_time TIMESTAMP 建立時間（時間戳）
logintime TIMESTAMP 最近一次登入時間（時間戳）
loginip VARCHAR(15) 最近登入的IP地址
status TINYINT(1) 啟用狀態：0:表示禁用；1:表示啟用
remark VARCHAR(255) 備註資訊
ly_role id INT 角色ID
name VARCHAR(20) 角色名稱
pid SMALLINT(6) 父角色對應ID
status TINYINT(1) 啟用狀態（同上）
remark VARCHAR(255) 備註資訊
ly_node id SMALLINT(6) 節點ID
name VARCHAR(20) 節點名稱（英文名，對應應用控制器、應用、方法名）
title VARCHAR(50) 節點中文名（方便看懂）
status TINYINT(1) 啟用狀態（同上）
remark VARCHAR(255) 備註資訊
sort SMALLINT(6) 排序值（預設值為50）
pid SMALLINT(6) 父節點ID（如:方法pid對應相應的控制器）
level TINYINT(1) 節點型別：1:表示應用（模組）；2:表示控制器；3：表示方法
ly_role_user user_id INT 使用者ID
role_id SMALLINT(6) 角色ID
ly_access role_id SMALLINT(6) 角色ID
node_id SMALLINT(6) 節點ID
level
module

以下是資料庫表各欄位的關聯關係：

image

實現RBAC管理的前導性工作

基於ThinkPHP實現RBAC的許可權管理系統中，首先要做一些前導性的工作（系統資料庫設計TP已經為我們完成了），主要分以下幾個方面：

  • 使用者（增、刪、改、查）
  • 角色（增、刪、改、查）
  • 節點（增、刪、改、查）
  • 配置許可權（更新許可權）

具體實現的程式碼如下（相關解釋均在註釋之中）：

複製 
  1. <?php
  2. /**
  3.  * Created by PhpStorm.
  4.  * User: LiuYang
  5.  * Date: 14-9-6
  6.  * Time: 下午9:54
  7.  * Description: 基於ThinkPHP實現的許可權管理系統
  8.  */
  9. classRbacActionextendsCommonAction{
  10. //初始化操作
  11. function _initialize 
 
    
            
      
    
           
    
              
              
    
            
    
            
    相關推薦
    
			   
            
            
            
 

    

    
    
    
    ThinkPHP中RBAC資料庫詳解
    
     
     

    
許多人提到有關ThinkPHP都會對它的高效，方便為之折服。但與很多朋友交流後，都對它當中的RBAC許可權控制，感到頭疼不已。看完這個文件，相信大家一定會有很清晰的瞭解。並且，以後關於這個框架的許可權控制非常熟析，並且能熟練掌握。
    
RBAC許多人聽到後會覺得很頭疼，不知道這是什麼東西。 
    

    
  
 

    

    
    
    
    分享：thinkphp RBAC 詳解
    
     
     
一、什麼是RBAC
基於角色的訪問控制（Role-Based Access Control）作為傳統訪問控制（自主訪問，強制訪問）的有前景的代替受到廣泛的關注。
在RBAC中，許可權與角色相關聯，使用者通過成為適當角色的成員而得到這些角色的許可權。這就極大地簡化了許可權的管理。
在一個組織中，角色是為了完成 
    

    
  
 

    

    
    
    
    ThinkPHP函數詳解：F方法
    
     
     過濾   thinkphp   子目錄   讀取   數據緩存   文件   快速   由於   寫入    
我們已體味了ThinkPHP中的S編制的用法，F編制其實是S編制的一個子集功用，僅用於復雜數據緩存，而且只能支撐文件方式，不支撐緩存有用期，由於采取的是PHP前往編制，所以其效率較S編制較高，是以我 
    

    
  
 

    

    
    
    
    JS中JSON詳解
    
     
     名稱   完全   rip   json詳解   core   兼容   json字符串   之間   org   JSON(JavaScript Object Notation) 是一種輕量級的數據交換格式，采用完全獨立於語言的文本格式，是理想的數據交換格式。同時，JSON是 JavaScript 原生格式 
    

    
  
 

    

    
    
    
    nodeJs中npm詳解
    
     
     commonjs   -s   license   mon   sem   console   能力   效應   模塊安裝   npm 是 Node.js 的模塊依賴管理工具。作為開發者使用的工具，主要解決開發 node.js 時會遇到的問題。如同 RubyGems 對於 Ruby 開發者和 Maven 對 
    

    
  
 

    

    
    
    
    006_netstat中state詳解
    
     
     51cto   time   list   osi   lose   手動   請求   等待   沒有   TCP三次握手的過程如下：
        主動連接端發送一個SYN包給被動連接端；
        被動連接端收到SYN包後，發送一個帶ACK和SYN標誌的包給主動連接端；
        主動連接 
    

    
  
 

    

    
    
    
    EditText中inputType詳解
    
     
     trac   extc   isa   share   bsp   input   itl   浮點   ttext   
 <EditText Android:layout_width="fill_parent" android:layout_height="wrap_content" android 
    

    
  
 

    

    
    
    
    thinkphp 中英文網站詳解
    
     
     index   翻譯   新的   ges   內容   文件夾   判斷   welcom   自動   thinkphp 制作中英文網站的兩種方法
一，在網站程序裏增加語言腳本，設置整站自動翻譯。
二，在原有的頁面制作新的模板，在新的頁面編輯網站，
優缺點：
一：優點.........就是不用多次添加內容 
    

    
  
 

    

    
    
    
    linux中top詳解
    
     
     linux查看進程之top詳解簡介top命令是Linux下常用的性能分析工具，能夠實時顯示系統中各個進程的資源占用狀況，類似於Windows的任務管理器。top顯示系統當前的進程和其他狀況,是一個動態顯示過程,即可以通過用戶按鍵來不斷刷新當前狀態.如果在前臺執行該命令,它將獨占前臺,直到用戶終止該程序為止.  
    

    
  
 

    

    
    
    
    視覺SLAM中相機詳解
    
     
     目的   攝像頭   像素   一定的   原理   接收   計算   傳感   span   視覺SLAM中，通常是指使用相機來解決定位和建圖問題。
SLAM中使用的相機往往更加簡單，不攜帶昂貴的鏡頭，以一定的速率拍攝周圍的環境，形成一個連續的視頻流。
相機分類：
單目相機：只是用一個攝像頭進行SLAM的 
    

    
  
 

    

    
    
    
    04-Linux中DNS詳解（一）
    
     
     訪問   舉例   dynamic   linux下   目錄   col   ofo   圖片   nslookup   零、關於配置Linux下的DNS中一些名詞的解釋請參見文章“03-關於配置Linux下的DNS中一些名詞的解釋（轉自網絡）”自行學習一、關於DNS配置文件查看DNS配置文件：
rpm - 
    

    
  
 

    

    
    
    
    05-Linux中DNS詳解（二）
    
     
     相關   proc   gen   lin   四種方法   ....   rate   我的網站   四種   接“04-Linux中DNS詳解（一）”

六、在Linux上測試域名解析1、先檢查DNS是否設置正確
cat /etc/resolv.conf

[resolv.conf]
# Generate 
    

    
  
 

    

    
    
    
    07-Linux中DNS詳解（四）
    
     
     用戶   mail   all   驗證   src   更改   條目   http   nslookup   接“06-Linux中DNS詳解（三）”

九、配置主從DNS服務器實現域名解析容錯

1、實驗環境zhangyujia.com(192.168.80.100)為主區域，com(192.168.8 
    

    
  
 

    

    
    
    
    Angular JS 中 指令詳解
    
     
     scope   []   功能   spa   fun   table   clas   rest   方法   Angular JS的強大功能就在於其可以自定義很多指令，現在就指令做一下詳細的剖析。
一個Angular js 指令（directive）的生命周期 開始於$compile方法 結束於$link 
    

    
  
 

    

    
    
    
    ES6 中 Promise 詳解
    
     
     out   保持   type   xxxxx   承諾   操作   結束   span   aso   Promise，簡單說就是一個容器，裏面保存著某個未來才會結束的事件（通常是一個異步操作）的結果。從語法上說，Promise 是一個對象，從它可以獲取異步操作的消息。
Promise 提供統一的 API 
    

    
  
 

    

    
    
    
    LeetCode-4. 兩個排序數組的中位數(詳解)
    
     
     說了   AC   problems   arr   scrip   print   奇數   時間復雜度   兩個    鏈接:https://leetcode-cn.com/problems/median-of-two-sorted-arrays/description/
 
有兩個大小為 m 和 n 
    

    
  
 

    

    
    
    
    關於web.xml中配置詳解
    
     
      
    

    
  
 

    

    
    
    
    生成器接受和返還功能在執行過程中的詳解
    
     
     top   exce   ret   one   代碼   stop   ngx   put   rsa   
 1 import random
 2 
 3 SENTENCES=[
 4     ‘How are you ?‘,
 5     ‘Fine,thank you!‘,
 6     ‘Nothi 
    

    
  
 

    

    
    
    
    Spring Boot 2.0 Intellij Idea 中圖文詳解打包成可執行Jar
    
     
     off   aps   cycle   找到   sna   打包   AS   main   切換   我們使用Spring Boot 2.0 創建好我們的項目後，我們一般需要打包，然後部署到服務器上。
打包步驟：
1. 選中項目，右鍵——> Open Module Settings.

 2. 切換 
    

    
  
 

    

    
    
    
    thinkphp---模糊查詢詳解
    
     
     包含   RR   word   words   desc   key   怎樣   這樣的   -h   最近做項目，在做搜索模塊的時候，模糊查詢肯定少不了。
今天就詳細的看一下模糊查詢：

$where[‘title‘] = array(‘like‘,‘%‘.$words.‘%‘);
$where[‘ti