用户权限管理设计方案用户认证管理设计方案1 设计思路为了设计一套具有较强可扩展性的用户认证管理， 需要建立用户、 角色和权限等数据库表，并且建立之间的关系，具体实现如下1.1 用户用户仅仅是纯粹的用户，用来记录用户相关信息，如用户名、密码等，权限是被分离出去了的 用户（User）要拥有对某种资源的权限， 必须通过角色（Role）去关联用户通常具有以下属性：编号，在系统中唯一名称，在系统中唯一用户口令注释，描述用户或角色的信息1.2 角色角色是使用权限的基本单位， 拥有一定数量的权限， 通过角色赋予用户权限，通常具有以下属性：编号，在系统中唯一名称，在系统中唯一注释，描述角色信息1.3 权限权限指用户根据角色获得对程序某些功能的操作，例如对文件的读、写、修改和删除功能，通常具有以下属性：编号，在系统中唯一名称，在系统中唯一注释，描述权限信息1.4 用户与角色的关系一个用户（ User）可以隶属于多个角色（ Role），一个角色组也可拥有多个用户，用户角色就是用来描述他们之间隶属关系的对象用户（ User）通过角色（ Role）关联所拥有对某种资源的权限，例如用户（ User）：UserID UserName UserPwd1张三xxxxxx2李四xxxxxx角色（ Role）：RoleIDRoleNameRoleNote01系统管理员监控系统维护管理员02监控人员监控人员03调度人员调度工作人员04一般工作人员工作人员用户角色（ User_Role）：UserRoleIDUserIDRoleIDUserRoleNote1101用户“张三”被分配到角色“系统管理员”2202用户“李四” 被分配到角色 “监控人员”3203用户“李四” 被分配到角色 “调度人员”从该关系表可以看出，用户所拥有的特定资源可以通过用户角色来关联。
1.5 权限与角色的关系一个角色（ Role）可以拥有多个权限（ Permission），同样一个权限可分配给多个角色例如：角色（ Role）：RoleIDRoleNameRoleNote01系统管理员监控系统维护管理员02监控人员监控人员03调度人员调度工作人员04一般工作人员工作人员权限（ Permission）：PermissionIDPermissionNamePermissionNote0001000200030004增加监控修改监控删除监控察看监控信息允许增加监控对象允许修改监控对象允许删除监控对象允许察看监控对象角色权限（Role_Permission）：RolePermissionIDRoleIDPermissionID RolePermissionNote1010001角色“系统管理员”具有权限“增加监控”2 01 0002 角色“系统管理员”具有权限“修改监控”3 01 0003 角色“系统管理员”具有权限“删除监控”4 01 0004 角色“系统管理员”具有权限“察看监控”5 02 0001 角色“监控人员”具有权限“增加监控”6 02 0004 角色“监控人员”具有权限“察看监控”由以上例子中的角色权限关系可以看出，角色权限可以建立角色和权限之间的对应关系。
1.6 建立用户权限用户权限系统的核心由以下三部分构成：创造权限、分配权限和使用权限第一步由 Creator 创造权限（Permission），Creator 在设计和实现系统时会划分利用存储过程 CreatePermissionInfo（@PermissionName,@PermissionNote）创建权限信息，指定系统模块具有哪些权限第二步由系统管理员（ Administrator ）创建用户和角色，并且指定用户角色（ User－Role）和角色权限（ Role－Permission）的关联关系1) Administrator 具有创建用户、修改用户和删除用户的功能：存储过程 CreateUserInfo（@UserName,@UserPwd）创建用户信息；存储过程 ModifyUserInfo （@UserName,@UserPwd）修改用户信息；存储过程 DeleteUserInfo（@UserID）删除用户信息；2) Administrator 具有创建角色和删除角色的功能：存储过程 CreateRoleInfo（@RoleName,@RoleNote）创建角色信息；存储过程 DeleteRoleInfo(@RoleID)删除角色信息；3）Administrator 具有建立用户和角色、角色和权限的关联关系功能：存储过程 GrantUserRole（@UserID,@RoleID,@UserRoleNote）建立用户和角色的关联关系；存储过程 DeleteUserRole(@UserRoleID)删除用户和角色的关联关系；存储过程GrantRolePermission(@RoleID,@PermissionID,@RolePermissionNote)建立角色和权限的关联关系；存储过程 DeleteRolePermission(@RolePermissionID)删除角色和权限的关联关系；第三步用户（ User）使用 Administrator 分配给的权限去使用各个系统模块。
利用存储过程 GetUserRole（ @UserID, @UserRoleID output）,GetRolePermission（ @RoleID,@Role--PermissinID output）获得用户对模块的使用权限1.7 用户认证实现当用户通过验证后，由系统自动生成一个 128 位的 TicketID 保存到用户数据库表中，建立存储过程 Login（ @UserID,@UserPwd,@TicketID output）进行用户认证，认证通过得到一个 TicketID ，否则 TicketID 为 null 其流程图如下：图 1 Login 流程图得到 TicketID 后，客户端在调用服务端方法时传递 TicketID ，通过存储过程JudgeTicketPermission（ @TicketID,@PermissionID）判断 TicketID 对应的用户所具有的权限，并根据其权限进行方法调用当用户退出系统时，建立存储过程 Logout（ @UserID）来退出系统当用户异常退出系统时，根据最后的登陆时间（ LastSignTime）确定用户的 TickeID ，建立存储过程 ExceptionLogout（@UserID,@LastSignTime）处理用户的异常退出。
图 2 Logout 流程图WebService可以采用 SoapHeader中写入 TicketID 来使得 TicketID 从客户端传递给服务端 .Net Remoting 可以采用 CallContext 类来实现 TicketID 从客户端传递给服务端2 数据库设计2.1 数据库表图 3 数据库关系图2.2 数据库表说明用户表（ Static_User）Static_UserStatic_User 字段详细解释类型备注名UserID路线编号varchar(20)PKUserName用户名称varchar(20)UserPwd用户密码varchar(20)LastSignTime最后登陆时间datatimeSignState用户登陆状态标int记TickeID验证票记录编号varchar(128)角色表（ Static_Role）Static_RoleStatic_User 字段详细解释类型备注名RoleID角色编号varchar(20)PKRoleName角色名称varchar(20)RoleNote角色信息描述varchar(20)2.2.3 用户－角色表（ Static_User_Role）Static_User_RoleStatic_User 字段详细解释类型备注名UserRoleID用户角色编号varchar(20)PKUserID用户编号varchar(20)FKRoleID角色编号varchar(20)FKUserRoleNote用户角色信息描varchar(20)述权限表（ Static_Permission）Static_PermissionStatic_User 字段详细解释类型备注名PermissionID编号varchar(20)PKPermissionName权限名称varchar(20)PermissionNote全息信息描述varchar(20)角色－权限表（ Static_Role_Permission）Static_Role_PermissionStatic_User 字段名详细解释类型备注RolePermissionID角色权限编号varchar(20)PKRoleID角色编号varchar(20)FKPermissionID权限编号varchar(20)FKRolePermissionNote角色权限信息描varchar(20)述3 .net 技术概要3.1 WebService SoapHeader对 SQL 数据库执行自定义身份验证和授权。
在这种情况中，应向服务传递自定义凭据（如用户名和密码），并让服务自己处理身份验证和授权将额外的信息连同请求一起。