网络工程毕业论文
网络工程毕业论文
基于RBAC的权限管理在格雷电工ERP系统中的设计与实现
专业：网络工程
摘要 随着计算机网络技术的不断发展，信息管理系统在企业中的不断普及，权限访问控制成了解决企业信息系统安全的一个关键方法，也是IT信息安全领域研究的主要热点。基于格雷电工ERP系统安全访问控制的实际需求和权限管理要求，分析了传统的RBAC模型在权限管理中的设计原理，结合JQuery+Ajax的页面无刷新技术来改进基于RBAC的权限管理模型，以实现ERP系统中的权限管理和安全访问控制，从而达到合法用户安全、方便、快捷地访问特定数据，同时拒绝非法用户对企业日益积累的信息资源的访问，并记录非法访问痕迹。本论文在对基于角色访问控制模型（Role-Based Access Control，RBAC）研究的基础上，对其在ERP系统中的应用进行了实现和研究。
关键词 RBAC 角色 权限 访问控制 ERP
Design and implementation based on the RBAC authority
management in gray electrician ERP system
Abstract with the development of computer network technology and the increasing popularity of information management systems in enterprises, permission to access control became a key method to solve security problem in enterprise’s information system. It is also the major hotspot in the field of IT information security. Based on the actual and entitlement management requirements of security access control in gray electrician ERP system, analyze the design theory of traditional RBAC model in entitlement management, combined with no refreshing technology in JQuery and Ajax page, it aims to improve the entitlement management model based on RBAC and realizes the entitlement management and the security of access control, All of these will lead to achieve the security of legitimate users and convenience to specific access control. Meanwhile, it refuses the accumulating visit of illegal users to enterprise’s information resources. It record the trace of illegal access. Based on the model of role based access control, the article implements and researches its application in ERP system.
Keywords RBAC Roles Permission Access control ERP
目 录
引 言 ........................................................................................................................................................... 1
第一章 绪论 .......................................................................................................................................... 2
1.1 选题背景及研究意义 ................................................................................................................. 2
1.2 国内外现状 .................................................................................................................................... 2
1.2.1国外研究现状 .......................................................................................................................... 2
1.2.2国内研究现状 .......................................................................................................................... 3
1.3 主要研究内容 ............................................................................................................................... 3
1.4 论文结构 ........................................................................................................................................ 4
第二章 相关技术与访问控制原理的介绍 .......................................................................... 5
2.1 访问控制技术理论的介绍 ........................................................................................................ 5
2.2 RBAC的基本理论介绍 ............................................................................................................. 6
2.2.1 RBAC的基本概念 .................................................................................................................. 6
2.2.2 RBAC的基本模型 .................................................................................................................. 6
2.2.3 RBAC模型的主要特性 .......................................................................................................... 7
2.3 RBAC模型的权限访问控制原理 ........................................................................................... 8
2.4 开发平台与开发技术及工具的简介 ...................................................................................... 8
2.4.1主要开发技术及平台简介 ...................................................................................................... 8
2.4.2主要开发工具及服务器简介 .................................................................................................. 9
第三章 RBAC的权限管理在格雷电工ERP系统中的需求分析 ........................11
3.1 格雷电工ERP系统的总体需求分析 ....................................................................................11
3.2 权限管理模块需求分析 ........................................................................................................... 12
第四章 RBAC的权限管理在格雷电工ERP系统中的设计方案 ....................... 13
4.1 格雷电工权限管理模块E-R设计 ......................................................................................... 13
4.1.1 RBAC权限管理模块各实体E-R图 ................................................................................... 13
4.1.2 RBAC权限管理模块整体E-R图 ....................................................................................... 14
4.2 格雷电工权限管理模块的设计 ............................................................................................. 15
4.2.1基于RBAC权限管理的CDM设计 .................................................................................... 15
4.2.2基于RBAC权限管理的PDM设计 .................................................................................... 15
4.2.3基于RBAC权限管理的数据库设计 ................................................................................... 15
4.2.4基于RBAC权限管理的流程设计 ....................................................................................... 17
第五章 RBAC的权限管理在格雷电工ERP系统中的实现 ................................. 20
5.1 格雷电工ERP系统的实现 ..................................................................................................... 20
5.2 RBAC权限管理模块的实现 .................................................................................................. 20
5.2.1基于RBAC权限管理模块的数据库实现 ........................................................................... 20
5.2.2基于RBAC权限管理模块的J2EE实现 ............................................................................ 24
第六章 结 束 ..................................................................................................................................... 32
6.1 学习总结 ...................................................................................................................................... 32
6.2 心得体会 ...................................................................................................................................... 32
6.3 进一步的工作和学习期望 ...................................................................................................... 32 致 谢 ......................................................................................................................................................... 33 参考文献 ................................................................................................................................................. 34
引 言
随着网络技术与计算机、手机等终端技术的飞速发展，部署在网络平台上的各种企业应用系统也在人们生活和工作中的各个领域得到了广泛的应用。从而网络又进一步的改进了企业传统的商业模式，使信息和服务得到极大的共享，提高了企业的工作效率。但由此而来的网络安全访问问题也为企业的信息化应用带来了质疑，因此对企业信息资源的访问控制和用户权限的管理将成为了确保企业应用系统安全的一项重要工作。
与此同时，由于企业规模的日益扩大，各类用户因企业工作需求而与日俱增，并且共享的信息资源的结构也日趋复杂，如果还使用传统的访问控制机制，那么存取权限的管理将会变得十分复杂且难以满足现实应用的需求。比如自主访问控制DAC（Discretionary Access Control，DAC）允许用户自主地将权限授予其他用户，以降低系统安全性来提供较大的灵活性[1]；强制访问控制MAC（Mandatory Access Control，MAC）则由授权机构给主体和客体分别定义固定的访问属性，用户将无权进行修改，它是以灵活性来换取系统安全性，对于不同类型的信息采取不同层次的安全策略，并针对不同类型的数据来进行访问授权[2]。因此，基于灵活性与安全性的考虑，基于角色的安全访问控制RBAC（Role-Based Access Control，RBAC）能够减少授权管理的复杂性，可降低管理开销，而且还能为管理员提供一个控制安全复杂度的管理环境，是现在研究的热点，也得到了很大程度的应用。由此，本论文将以格雷电工ERP系统为研究对象，以基于RBAC的权限管理为研究内容，来设计与实现格雷电工ERP系统的信息资源的安全访问控制和权限管理模式。
第一章 绪论
1.1 选题背景及研究意义
信息化的飞速发展，为企业的文化及管理带来了无尽的效益，这都源于一款优秀的企业资源计划（ERP）软件产品，ERP系统除了先进的管理思想外，本身的技术设计和安全架构也是必不可少的因素。而权限管理模块作为ERP系统中的重要模块，是系统安全运行的有力保证。在格雷电工这种大型企业中，用户众多，业务关系庞杂，生产流程多样，使得权限在系统中的管理比较复杂。 用户的业务需求灵活多变，系统的功能因人而异，用户的入辞职都将给系统的权限带来变化，从而，系统的权限也应因人而异灵活多变。因此，基于RBAC的权限管理将无疑是格雷电工ERP系统权限管理的主要研究内容和实现对象。
基于角色的访问控制模型RBAC是目前主流的访问控制模型，它比传统的自主访问控制和强制访问控制更优越，同时也提供了更高的灵活性和扩展性[3]。在RBAC模型中，角色是实现访问控制策略的基本语义实体。系统管理员可以根据职能或机构的需求策略来创建角色、给角色分配权限和给用户分配角色等。基于角色访问控制的核心思想是将权限同角色关联起来，而用户的授权则通过赋予相应的角色来完成，用户所能访问的权限就由该用户所拥有的所有角色的权限集合的并集决定。角色之间可以有继承、限制等逻辑关系，并通过这些关系影响用户和权限的实际对应。在实际应用中，根据企事业机构中不同工作的职能来创建不同的角色，每个角色代表着一个独立的访问权限实体，从而实现了权限的灵活管理和系统业务的正常运营。
1.2 国内外现状
1.2.1 国外研究现状
企业应用软件是通过访问控制来保护企业日益积累的信息资源不被非法用户访问、更改、破坏的，随着计算机网络与信息技术的快速发展，人们对访问控制的研发日趋成熟。
在1983年美国国防部的《计算机系统可信赖性评估标准》（TCSEC）中详细定义了两种访问控制模式：自主访问控制（Discretionary Access Control，DAC）和强制访问控制（Mandatory Access Control，MAC）[4]。然而，随着企业规模的日益扩大，企业员工的频繁裁减与流动，传统的DAC模式显得过于主体化对系统权限的控制较弱，MAC模式显得过于强制化对系统权限的控制是“强加”给访问主体偏重于保密性对授权的可管理性考虑不足。随之于1992年美国人David Ferraiolo和Rick Kuhn在一篇名为“Role Based Access Control”中首次将角色引入到访问控制模型研究中，同年David Ferraiolo和Rick Kuhn还提出了基于角色的访问控制模型，并给出了一种集中式管理的RBAC管理方案[[5]]。1996年美国George Mansion大学的Rvai S.Sandhu教授在IEEE Computer上发表的学术论
文《Role-Based Access Control》中正式提出来RBAC96模型，是RBAC研究的又一进步[6]。目前国外RBAC的研究机构主要是美国NIST和George Mansion Univ.LIST实验室，同时许许多多的国外专家致力于RBAC的理论研究，并在相关期刊中发表着研究成果和理论知识，推动着信息产业的快速发展为计算机管理与应用提供了安全保障。
1.2.2 国内研究现状
基于角色访问控制（RBAC）最早研究是1994年华中理工大学马建平在学术论文《一种无干扰的访问控制模型》中的研究[7]。之后随着计算机技术在国内的突飞猛进，国内企业与政府办公自动化与信息化的注入，国内学者对国外关于权限管理模型进行了深入的研究，提出了自己的扩展模型，先后在RBAC96模型的基础上提出了新的RBAC模型（NRBAC），及基于业务工作流和角色的访问控制模型（WRABC）等。其中，NRBAC模型具有接近现实世界和形式统一的优点；WRBAC模型结合了RBAC96模型和RBAC97模型，并引入业务工作流对象，描述了业务工作流对象对方问控制操作的影响，同时中国科学软件研究所的丁仲和左春提出了使用于各个领域的RBAC权限控制的面向对象框架[8]。此次扩展实现了可重用的权限管理，将可通用的权限放在框架内实现，从而进一步提高了软件复用程度，全新的考虑了现代企业在实际世界中的权限控制方式，通过权限与角色关联、角色与主体关联，实现了主题与客体的逻辑分离。这样一来角色一旦分配给用户，除管理员修改管理外，用户就一直拥有这个角色，也就拥有这个角色的权限，但在某些应用场合下这种设计就未必显得力所能及，角色的权限分配应该做到时间与空间的限制[9]，即角色用户的权限生存时间与空间的控制。如角色用户在工作时间与非工作时间，角色用户在公司与出差环境下的权限问题已在国内学者中有很大的反响。
至今，RBAC已成熟的应用于PMI、CORBA、CSCW、ERP等系统架构中，同时在电子商务电子政务等大型信息系统中得到了广泛的应用，他是目前应用最广，访问控制效果最好的访问控制策略，是DAC与MAC的最佳替身[10]，是最能满足用户业务需求的访问控制策略。
1.3 主要研究内容
本课题以实际的格雷电工ERP系统为实战项目，以基于RBAC的权限管理思想为研究对象，以基于RBAC的权限管理在格雷电工ERP系统中的设计与实现为研究成果。为此本课题将在J2EE的开发环境下，学习运用Struts 2.3、Spring 3、JQuery、Ajax等技术来研究基于RBAC的权限管理思想并将其在格雷电工ERP系统中实现。所以本课题的研究重点是基于RBAC的访问控制技术，通过对RBAC模型理论的深入研究，分析当下企业级应用系统对安全管理及访问控制的需求，结合浙江格雷电工有限公司的管理思想和运营背景，设计并实现基于RBAC模型的权限管理组件在格雷电工ERP系统中的运行。具体内容如下：
一、通读导师下达的文献资料及相关教材和网络知识，全面了解国内外对访问控制技术的研究现状，结合格雷电工ERP系统对权限管理的实际需求，确定本课题的研究背景和意义。
二、了解传统的自主访问控制模型（DAC）和强制访问控制模型（MAC）的工作原理，重点学
习掌握基于角色的访问控制模型（RBAC）的相关理论知识，为在格雷电工ERP系统中实现RBAC模型的用户——角色——权限的核心思想而打下基础。
三、通过对RBAC模型的理论知识的研究，分析企业级应用系统普遍的访问控制需求及特征，将其与RBAC模型的思想结合，以理论联系实际分析格雷电工ERP系统的权限管理需求。
四、学习掌握PowerDesigner数据建模软件的操作原理，实现基于RBAC的权限管理模块的数据库的概念数据模型（CDM）建模和物理数据模型（PDM）建模，从而实现基于RBAC的权限管理模型的数据库设计。同时掌握SQL Server 2008数据库的设计及管理原理。
五、学习掌握J2EE的开发环境搭建，了解Tomcat 7.0的工作原理，掌握Struts 2.3与Spring 3的框架集成以及开发思想，掌握JQuery、Ajax技术在JQueryEasyUI插件下的快速开发，以实现基于RBAC的权限管理组件在格雷电工ERP系统中正常运行。
1.4 论文结构
本课题论文内容分为六章，各章主要内容如下：
第一章：绪论。引出本论文的项目背景、研究意义及国内外研究现状，同时介绍本论文的主要内容和组织结构。
第二章：相关技术与访问控制原理的介绍。本章主要介绍了RBAC访问控制的理论技术，RBAC基本概念及主要特性，RBAC的基本模型发展及工作原理的介绍，如自主访问控制（DAC）、强制访问控制（MAC）及与RBAC访问控制技术的优缺点比较。
第三章：RBAC的权限管理在格雷电工ERP系统中的需求分析。本章对格雷电工ERP系统的整体需求做了相应的分析，主要详细的分析了基于RBAC的权限管理模块在格雷电工ERP系统中的需求和设计要求及目标。
第四章：RBAC的权限管理在格雷电工ERP系统中的设计方案。本章主要对格雷电工ERP系统的权限管理模块在数据库设计，流程设计以及界面设计，以图表的形式将系统设计形象化，明了化，逻辑化。
第五章：RBAC的权限管理在格雷电工ERP系统中的实现。本章主要介绍了RBAC权限管理模块的数据实现，J2EE平台及Struts 2 + Spring3框架实现，Jquery easy UI框架界面实现，同时以截图及直观的形式展现出来。
第六章：结束语。本章主要介绍自己在课题研发中的学习成果，心得体会，及今后的期望和理想。
第二章 相关技术与访问控制原理的介绍
一个项目的开发，将不可避免的涉及到要了解、掌握项目的开发与实现技术。为此，做好相关技术与知识体系的了解与掌握对项目的开发与实施是至关重要的。本章就权限管理及基于RBAC权限管理模块的相关技术与原理做如下介绍，以便深入了解项目的开发技术与原理。
2.1 访问控制技术理论的介绍
访问控制技术是企业信息系统安全防范和保护的重要策略，其主要目标是保证合法用户安全、方便、快捷的访问特定的功能数据，同时拒绝非法用户的访问，从而保证了企业日益积累的信息资产安全。
目前的访问控制技术主要包括主体、客体和访问权限三个基本概念[11]。
一、主体（Subject）是一个主动的实体，在访问操作的过程种，它是访问操作发出的主动方，由用户、用户组、终端、主体或者一个应用的进程构成。
二、客体（Object）是一个被动的实体，可以是一个字节、字段、记录、程序、文件、一个网络结点等。
三、访问授权（Access Authorize）是指主体访问客体时是否授予了允许的权限，在系统中访问授权对每一个主体和客体来说是由该系统企业的业务逻辑决定的。例如，在浙江格雷电工有限公司中销售经理有权对客户订单进行查看、审核、修改的权利。
访问控制的核心是访问授权[12]。在一个系统中当访问主体具有对客体的访问授权时，该主体就是合法的用户，否则就是非法用户不能访问系统信息。然而，访问主体对方问客体的授权并不是固定的，主体在某种情况下能够自由的对客体进行访问，但在某种情况下主体的访问权限将受到限制。例如在格雷电工ERP系统中采购管理中，审核角色对于不同额度的请购单的审核权限将随着申请数额的上曾而受到限制。
目前主流的访问控制模型主要有：自主访问控制（DAC）、强制访问控制（MAC）和基于角色的访问控制（RBAC），其中自主访问控制（DAC）的内含是有访问许可的主体能够直接的向其他主体转让访问授权[13]。自主访问控制是在确认其主体身份和它所属的组的基础上来控制主体的活动，从而实现用户权限管理及访问属性等，是一种最为普遍的访问控制手段。如Windows NT及Unix系统采用的都是DAC的访问类型。DAC是一种通过访问控制矩阵（Access Control Matrix）将系统中的主体和客体之间的访问权限进行设计和管理的。它的缺点是当系统资源比较庞大，企业组织机构和业务逻辑比较复杂时，DAC访问控制的授权管理不仅要花费很大的人力，而且极易出错，同时动态的，复杂的安全政策将无法实现造成目前系统的基本需求不能满足。其中强制访问控制模型（MAC）的最初目的是为了实现比自主访问控制（DAC）更为严格的访问控制策略而设计的。在MAC中每一个数据对象都有一定的密级，每一个用户也被授予某一个级别的许可证[14]。通过该访问许可证来控制用户对系统对象的存取操作。因此强制访问控制MAC相对比较严格，适合于有多层
次安全级别需求的应用系统，其通过对用户可信任级别和信息安全级别的预定义来实现系统的高安全度。但MAC的主体访问级别和客体安全级别的划分很难达到系统需求所要的一致性，且对同级别的控制不够成熟。除此由于MAC过于偏重系统的保密性限制性较强，导致系统的连续工作能力、授权的可管理性难于维护，从而很难满足当下企业级应用软件的灵活多变和业务需求。
2.2 RBAC的基本理论介绍
2.2.1 RBAC的基本概念
在访问控制模型中，传统的访问控制模型是一种类似于用户——权限分配的映射关系，也就是在系统中直接给用户分配相应权限，用户根据所分配到的权限对系统资源进行操作，由此给系统带来重大的用户——权限维护，系统的安全隐患等问题。从而出现了将权限不直接分配给用户的基于角色的权限访问控制模型RBAC（Role-Based Access Control）。它的设计思想是在用户和权限之间增加了角色，从而权限不再直接分配给用户，而是分配给角色，而后通过角色在分配给用户，这样通过角色分别关联用户和权限使得用户和权限之间有了逻辑隔离。这里的角色可以是实际业务中的角色概念，也可能是根据某种算法产生的抽象意义上的角色。在基于角色的访问控制模型RBAC中，授权的过程由两部分组成。一方面需要为用户指定相应的角色（U-R），另一方面需要为角色指定相应的权限（R-P）从而实现了用户与角色之间的多对多的关系，满足了系统业务管理的灵活多样。其基本原理结构，如图2-1所示。
图2-1 RBAC的基本原理图
2.2.2 RBAC的基本模型
目前，随着计算机网络技术的飞速发展，RBAC模型以趋于成熟。其发展过程主要经历了
RBAC0、RBAC1、RBAC2和RBAC3四个不同的层次。
其中，RBAC0即RBAC96的基本模型，它规定了所有RBAC系统都必须包含的最小元素集合；RBAC1在RBAC0的基础上引入了角色层次这一概念，通过角色层次来反映企业机构的权利与责任间的关系；RBAC2在RBAC0的基础上增加了约束概念；RBAC3综合了RBAC1和RBAC2模型，他不仅包括角色层次关系，而且包括约束关系，是最完整最复杂的RBAC模型。
RBAC模型的引用主要是对RBAC模型的元素和各元素之间关系的定义，一个完整的RBAC模型主要由以下基本元素构成：
一、用户（Users）：是系统资源的访问者是一个可以访问系统中的数据或其他可用资源的主体，
可以是一台计算机或计算机的使用者，也可以是一个网络，也可以是一个注册用户ID或是指定某些或某种角色的集合。
二、角色（Roles）：是RBAC模型的核心所在，可以看作是一组操作的集合，在一个企业或组织机构中往往对应与业务的工作岗位。在用户角色管理中每个用户都将分配一个角色，每个角色都是相应权限的集合。当用户提交资源请求时，访问控制系统将根据用户所拥有的角色进行访问控制。
三、权限（Permissions）：在系统中权限在这里是由访问客体和操作组成的二元组（Object，Operation），表示对某一客体执行的某个操作，其中Object是某一客体资源对象，Operation是作用在Object上的一种操作方式。
四、操作（Operations）：表示主体对访问客体进行的操作，是在客体资源对象上执行的某种访问方式，如对系统资源的读取、修改、删除、审核、写入等操作，针对不同的客体，将有不同的操作。
五、访问客体（Objects）：访问客体即系统资源，是系统用户执行某种操作的目标，可以是任何一种需要进行访问控制的系统资源，如文件、报表数据、数据库中的一张表、一个文件或者终端等。
六、会话（Session）：会话是用户到其激活角色的映射关系，是一个动态的概念，它代表用户与系统的交互。其内容有用户信息，角色信息，角色与权限的映射关系及信息，权限与资源的映射关系和操作信息。存储着当前用户对系统资源操作权限的主要访问控制信息，一个用户可以同时进行很多会话，每次会话就会激活不同的角色，因而也就动态拥有了不同的权限。
由以上元素构成的RBAC模型通过用户（User）到角色（Role）的映射关系来实现用户——角色的分配，从而使用户和角色间产生了关联；通过角色（Role）到权限（Permission）的映射关系来实现角色——权限的分配，使得角色和权限之间产生了关联；通过权限（Permission）到资源（Resource）的映射关系来实现权限操作到系统资源的关联。从而使系统有了用户——角色——权限——资源的权限访问控制模型，使系统得以安全、合理、有序的为企业信息资源和业务往来服务。
2.2.3 RBAC模型的主要特性
RBAC模型功能强大操作简单方便，是目前企业信息管理系统权限管理的首要选择模型，这都源于RBAC模型如下的主要特性：
一、RBAC模型简化了系统授权管理
简化系统授权是RBAC模型的最大优势。在传统的DAC、MAC等访问控制模型中，都是将用户与权限直接对应，这样将导致新增用户或减少用户时，或者用户的权限变化时，需要进行非常大的授权管理操作。然而，在RBAC模型中，角色踊跃的成为了沟通用户与权限的心灵桥梁，使得对用户权限的授权成为了对角色的授权，再通过为用户指定相应的角色把用户和权限关联起来，从而，大大的降低了用户权限管理的复杂度。在用户权限发生变化时，可以通过修改用户角色来改变用户的权限。除此，在机构发生功能性改变时，只需要对角色重新授予权限即可。可见，RBAC模型在系统权限管理和系统信息安全管理上有着不可比拟的灵活性和易操作性。同时RBAC模型还可以为系统管理员提供与企业机构的业务管理相似的访问控制层次。通过创建不同
的角色，定义角色之间的继承关系，角色之间的联系等，管理员就可以动态的控制用户的行为。
二、RBAC模型定义了灵活的角色关系
RBAC模型在角色关系的灵活管理中，通过角色之间的互斥，使得两个或两个以上的不同角色之间的访问权限出现相互制约的关系，也就是说不能同时将这两个或这样的两个以上的角色赋予同一用户。当角色之间存在互斥时，就需要进行责任分离[15]。例如，在格雷电工ERP系统中，产品的出库授权与执行应该是分开的职能，否则可能会出现欺骗行为。
三、RBAC模型适应了极其广泛的范围
RBAC模型的灵活性使得RBAC模型与具体要使用的安全策略无关，为管理员可以按照实际需求使用不同的策略定义不同的角色奠定了基础，从而方便了RBAC模型对不同领域安全需求的适应。同时RBAC模型对DAC和MAC等绝大多数安全策略都有相应的适应。
四、RBAC模型严格了最小权限分配
RBAC模型按照企业机构、业务逻辑、管理模式的具体要求来设定拥有不同权限的角色，同时为用户指定合适的角色。当用户访问某个实体对象时，系统将根据激活角色判断该用户的操作是否在用户所在角色的授权操作之内，否则访问将被拒绝。
五、RBAC模型扩展了自管理能力
基于RBAC模型的权限管理模型极大地贴近了应用领域的实际情况，使得将实际的管理方式和安全策略映射到软件功能模块变得较为简单可行。从而，RBAC模型自身也可以进行管理极易扩展。
2.3 RBAC模型的权限访问控制原理
RBAC的权限管理通过满足系统的实用性、可靠性和安全性来实施其访问控制原理。通过引入角色（Roles）的概念，使主体用户与客体资源操作间接映射，形成了企业责权到人的管理模式。用户通过角色分配，获得了相应的角色责任，角色通过资源与权限授予获得了相应责任下的权利，从而形成了用户与角色的直接映射及角色与权限的直接映射，这样通过用户与权限的间接映射实现了企业信息系统基于RBAC模型的安全访问控制。
2.4 开发平台与开发技术及工具的简介
2.4.1 主要开发技术及平台简介
本系统是基于J2EE平台的项目开发，主要用了到如下的热门技术：
一、Struts 2.3框架技术
Struts是MVC设计模式的一种实现框架，包含了丰富的标记库和独立于该框架工作的实用程序类，经常运用于大型系统的实现，是WEB应用开发中最为流行的框架之一。客户端通过浏览器发出请求后，请求被ActionServlet获得，ActionServlet在Struts-config.xml配置文件中查找有效的映射，然后将相应的ActionMapping对象转发给Action处理器进行处理。Action处理器对象访问ActionForm中的数据来处理和响应客户请求及调用后台Bean组件封装的具体业务逻辑进
行处理和控制。
二、Spring 3框架技术
Spring框架是由Open Source开发的一个优秀的业务逻辑层框架，可为企业级应用软件提供一个轻量级的解决方案，可方便有效的降低开发难度和复杂度。我们可以根据需要有选择的使用框架中的相关技术，其轻松的与表示层框架Struts的集成将为格雷电工ERP系统中使用其核心控制反转IOC和和面向方面编程AOP奠定了基础。
三、SpringJDBC技术
SpringJDBC是Spring对数据持久层的支持技术，是非常好的JDBC框架，其核心包包含的JdbcTemplate由Spring框架的JDBC支持并提供使用，其模板式的设计模式简化了JDBC的使用，在开发中干净了编程代码，有更好的异常与资源处理。
四、JQuery easyUI及Ajax技术
JQuery EasyUI是一组基于JQuery的UI插件集合，可帮助开发者更轻松的打造出功能丰富并且美观的UI界面，可大量减少Javascript代码的编写，功能强大使用简单方便，同时结合Ajax技术的异步传输可实现浏览器与WEB服务器之间的请求更小、更快、更友好，使因特网应用程序变得如传统的桌面应用程序般更完善、更友好。
2.4.2 主要开发工具及服务器简介
该系统应浙江格雷电工有限公司ERP系统项目需求，主要用到了如下开发工具和系统服务器：
一、MyEclipse9.0为系统IDE开发工具
Myeclipse（Myeclipse Enterprise Workbench）是一款企业级应用软件工作平台，是对EclipseIDE的扩展，同时是一款功能强大的J2EE、Tomcat等集成开发环境，可支持代码编写、配置、测试及除错等功能。
二、PowerDesigner 15为数据建模工具
PowerDesigner是Sybase公司的一款CASE工具集，是一个集所有建模技术于一身的完整工具，集成了强有力的业务建模技术、传统的数据库分析以及UML对象建模。同时可生成多种客户端开发工具的应用程序及数据仓库制作结构模型，能对团队设计模型进行控制，可与多种数据库软件相配合从而缩短开发时间使系统设计更为优化。
三、Edraw Max v5.6为系统流程建模工具
亿图图示专家Edraw Max v5.6是一款专业的综合适量制图软件，新颖小巧，功能强大，可以很方便的绘制各种专业的流程图、组织结构图、网络拓补图、家具设计图及商业图标等，在软件开发中可以用作流程图、UML和软件设计。
四、Photoshop CS4为系统界面设计工具
Photoshop CS4是Adobe公司旗下最为出名的图像处理软件之一，集图想扫描、编辑修改、图像制作、广告创意、网页设计等为一体的图形图像处理软件，在软件开发中可用于图标制作，网页设计等。
五、Apache Tomcat 7.0为系统服务器工具
Tomcat 7.0是一款开源可免费使用的WEB应用程序服务器，是Apache软件基金会（Apache Software Foundation）的Jakarta项目中的一个核心项目，由Apache、Sun等公司及个人共同开发而成。
六、Microsoft SQL Server 2008为系统数据服务器工具
Microsoft SQL Server 2008是微软公司推出的一款可信、高效、智能的数据管理平台，可以对整个数据库、数据文件、日志文件进行加密，同时引入了用于提高开发人员、架构师和管理员效率的新功能，改进了包括T-SQL语句、数据类型和管理功能。是一款非常优越的数据软件。
第三章 RBAC的权限管理在格雷电工ERP系统中的需求分析
一款优秀的ERP系统离不开安全可靠的权限管理，因而在系统开发初期做好系统权限管理的需求分析将是系统后续开发中的最为重要的首要工作之一。根据浙江格雷电工有限公司的生产、业务、机构、管理等实际工作要求，现将格雷电工ERP系统简要的整体需求分析及详细的权限管理模块需求分析介绍如下。
3.1 格雷电工ERP系统的总体需求分析
该系统应浙江格雷电工有限公司需求和系统开发人员的调研及讨论，将整个系统分为如下功能模块：
一、基础数据管理
为了使格雷电工ERP系统中其他管理模块对一些具有固定规律的且频繁使用的数据方便掉用，将这些基础数据进行归类并在基础数据功能模块下统一管理，根据需求将基础数据划分如下子管理模块：部门管理、采购商品管理、薪资类型管理、紧急类型管理、密级管理、文档类型管理、车间管理、仓库管理、产品管理、入库类型管理、出库类型管理、规格管理、工序管理、供应商管理等分别用来查看、添加、删除、修改相应基础信息。
二、采购管理
为了满足浙江格雷电工有限公司采购部门的业务及办公需求，采购管理模块有请购单管理、询价单管理、采购单管理用来分步骤实现采购业务的信息化管理。
三、仓库管理
为满足浙江格雷电工有限公司库存产品的信息化管理，仓库管理模块将分如下子功能模块：入库管理、出库管理、库存管理、盘点管理、任务单管理用来实现仓库的进出库及产品盘点和生产任务单管理。
四、销售管理
为满足销售部门的业务和办公需求，销售管理模块分为客户管理、报价单管理、订单管理、销售单管里、物流管理等子功能模块用来实现公司销售业务数据的信息化管理。
五、行文管理
为满足公司行文在部门及员工间的信息化传阅和内外文件的收发需求，格雷电工ERP系统将在行文管理模块中设有发文管理、收文管理、发文拟稿管理、文件查阅管理等功能模块来实现行文业务的信息化管理。
六、薪资管理
为满足公司财务部门对员工薪资的信息化管理，格雷电工ERP系统设有员工工资单管理、计时工资单管理、计件工资单管理等子功能模块用来方便公司财务部对员工薪资的信息化管理。
七、系统权限管理
系统权限管理是为了满足格雷电工有限公司，员工业务及工作职能与系统权限相匹配的系统管理模块，用来实现员工实际业务职能与系统逻辑权限功能相映射，实现企业日益积累的信息资源能够被合理、安全、有效的访问和操作管，主要分为用户管理、角色管理、系统日志管理等子管理模块。
3.2 权限管理模块需求分析
权限管理模块应浙江格雷电工有限公司的机构功能和业务逻辑需求，将主要分析如下需求：
一、系统管理员权限需求分析
系统管理员主要负责系统用户的查看、添加、删除、修改、冻结、解冻和系统角色的查看、添加、删除、修改，同时可查看系统用户详情和权限详情，为系统用户分配角色、修改已分配角色、删除已分配角色以及为角色分配相应资源、权限，修改、删除已分配资源、权限，从而实现系统用户与系统资源、权限的间接映射，为实现系统资源信息安全、合理的共享起主导作用。
二、总经理权限需求分析
总经理应公司需求具有系统查看的最高权限，即可以查看系统中的任何一张报表和记录，同时也可以为每个用户分配角色及权限，能够对某些需要总经理审核的账单进行审核等权限。
三、部门经理权限分析
部门经理具有对相应部门信息查看的最高权限，如请购部经理可以查看和填写请购单，同时能够对该部门的单子或者需要该部门审核的单子进行审核。
四、特定员工需求分析
特定员工具有操作管理员或总经理赋予的与自己目前所从事的工作对应的权限，例如请购单录入员，可以录入查看请购信息，可以修改、取消未经审核通过的请购单信息等权限。
五、普通员工需求分析
根据公司需求普通员工注册系统账户的可以查看公司许可的信息和行文及员工自身的工资表记录查看等权限。
第四章 RBAC的权限管理在格雷电工ERP系统中的设计方案
一款优秀ERP系统软件的设计将关系到软件的后期使用和维护以及用户的工作体验。通过严密有序的软件设计把用户的需求以通俗易懂的设计流程、图片、表格、功能图及界面表示出来，以便明细开发人员的编写开发思路、项目进度及安排，同时方便用户了解系统项目实况对比项目需求。为此，本章主要介绍基于RBAC的权限管理模块在格雷电工ERP系统中的设计方案。
4.1 格雷电工权限管理模块E-R设计
4.1.1 RBAC权限管理模块各实体E-R图
一、用户实体E-R图设计，如图4-1所示。
图4-1 用户实体E-R图
二、角色实体E-R图设计，如图4-2所示。
图4-2角色实体E-R图
三、资源实体E-R图设计，如图4-3所示。
图4-3 资源实体E-R图
四、用户角色实体E-R图设计，如图4-4所示。
图4-4 用户角色实体E-R图
五、角色权限实体E-R图设计，如图4-5所示。
图4-5 角色权限实体E-R图
4.1.2
RBAC权限管理模块整体E-R图如图4-6所示
4.2 格雷电工权限管理模块的设计
4.2.1 基于RBAC权限管理的CDM设计如图4-7所示
图4-7 RBAC模型CDM设计图
4.2.2 基于RBAC权限管理的PDM设计如图4-8所示
图4-8 RBAC模型PDM设计图
4.2.3 基于RBAC权限管理的数据库设计
一、 用户主体表设计（QL_Users）见表4-1。
表4-1 用户主体表QL_Users
二、 角色表设计（QL_Roles）见表4-2。
表4-2角色表QL_Roles
三、 资源客体权限设计（QL_Resourcees）见表4-3。
表4-3 资源客体表QL_Resourcees
四、 用户角色指派表设计（QL_User_Role）见表4-4。
表4-4 用户角色指派表QL_User_Role
五、 角色权限资源指派表设计（QL_Permission_Resource）见表4-5。
表4-5 角色权限指派表QL_Permission_Resource
六、 系统日志表设计（QL_SystemLogs）见表4-6。
表4-6 系统日志表QL_SystemLogs
网络工程毕业论文
网络工程毕业论文
基于RBAC的权限管理在格雷电工ERP系统中的设计与实现
专业：网络工程
摘要 随着计算机网络技术的不断发展，信息管理系统在企业中的不断普及，权限访问控制成了解决企业信息系统安全的一个关键方法，也是IT信息安全领域研究的主要热点。基于格雷电工ERP系统安全访问控制的实际需求和权限管理要求，分析了传统的RBAC模型在权限管理中的设计原理，结合JQuery+Ajax的页面无刷新技术来改进基于RBAC的权限管理模型，以实现ERP系统中的权限管理和安全访问控制，从而达到合法用户安全、方便、快捷地访问特定数据，同时拒绝非法用户对企业日益积累的信息资源的访问，并记录非法访问痕迹。本论文在对基于角色访问控制模型（Role-Based Access Control，RBAC）研究的基础上，对其在ERP系统中的应用进行了实现和研究。
关键词 RBAC 角色 权限 访问控制 ERP
Design and implementation based on the RBAC authority
management in gray electrician ERP system
Abstract with the development of computer network technology and the increasing popularity of information management systems in enterprises, permission to access control became a key method to solve security problem in enterprise’s information system. It is also the major hotspot in the field of IT information security. Based on the actual and entitlement management requirements of security access control in gray electrician ERP system, analyze the design theory of traditional RBAC model in entitlement management, combined with no refreshing technology in JQuery and Ajax page, it aims to improve the entitlement management model based on RBAC and realizes the entitlement management and the security of access control, All of these will lead to achieve the security of legitimate users and convenience to specific access control. Meanwhile, it refuses the accumulating visit of illegal users to enterprise’s information resources. It record the trace of illegal access. Based on the model of role based access control, the article implements and researches its application in ERP system.
Keywords RBAC Roles Permission Access control ERP
目 录
引 言 ........................................................................................................................................................... 1
第一章 绪论 .......................................................................................................................................... 2
1.1 选题背景及研究意义 ................................................................................................................. 2
1.2 国内外现状 .................................................................................................................................... 2
1.2.1国外研究现状 .......................................................................................................................... 2
1.2.2国内研究现状 .......................................................................................................................... 3
1.3 主要研究内容 ............................................................................................................................... 3
1.4 论文结构 ........................................................................................................................................ 4
第二章 相关技术与访问控制原理的介绍 .......................................................................... 5
2.1 访问控制技术理论的介绍 ........................................................................................................ 5
2.2 RBAC的基本理论介绍 ............................................................................................................. 6
2.2.1 RBAC的基本概念 .................................................................................................................. 6
2.2.2 RBAC的基本模型 .................................................................................................................. 6
2.2.3 RBAC模型的主要特性 .......................................................................................................... 7
2.3 RBAC模型的权限访问控制原理 ........................................................................................... 8
2.4 开发平台与开发技术及工具的简介 ...................................................................................... 8
2.4.1主要开发技术及平台简介 ...................................................................................................... 8
2.4.2主要开发工具及服务器简介 .................................................................................................. 9
第三章 RBAC的权限管理在格雷电工ERP系统中的需求分析 ........................11
3.1 格雷电工ERP系统的总体需求分析 ....................................................................................11
3.2 权限管理模块需求分析 ........................................................................................................... 12
第四章 RBAC的权限管理在格雷电工ERP系统中的设计方案 ....................... 13
4.1 格雷电工权限管理模块E-R设计 ......................................................................................... 13
4.1.1 RBAC权限管理模块各实体E-R图 ................................................................................... 13
4.1.2 RBAC权限管理模块整体E-R图 ....................................................................................... 14
4.2 格雷电工权限管理模块的设计 ............................................................................................. 15
4.2.1基于RBAC权限管理的CDM设计 .................................................................................... 15
4.2.2基于RBAC权限管理的PDM设计 .................................................................................... 15
4.2.3基于RBAC权限管理的数据库设计 ................................................................................... 15
4.2.4基于RBAC权限管理的流程设计 ....................................................................................... 17
第五章 RBAC的权限管理在格雷电工ERP系统中的实现 ................................. 20
5.1 格雷电工ERP系统的实现 ..................................................................................................... 20
5.2 RBAC权限管理模块的实现 .................................................................................................. 20
5.2.1基于RBAC权限管理模块的数据库实现 ........................................................................... 20
5.2.2基于RBAC权限管理模块的J2EE实现 ............................................................................ 24
第六章 结 束 ..................................................................................................................................... 32
6.1 学习总结 ...................................................................................................................................... 32
6.2 心得体会 ...................................................................................................................................... 32
6.3 进一步的工作和学习期望 ...................................................................................................... 32 致 谢 ......................................................................................................................................................... 33 参考文献 ................................................................................................................................................. 34
引 言
随着网络技术与计算机、手机等终端技术的飞速发展，部署在网络平台上的各种企业应用系统也在人们生活和工作中的各个领域得到了广泛的应用。从而网络又进一步的改进了企业传统的商业模式，使信息和服务得到极大的共享，提高了企业的工作效率。但由此而来的网络安全访问问题也为企业的信息化应用带来了质疑，因此对企业信息资源的访问控制和用户权限的管理将成为了确保企业应用系统安全的一项重要工作。
与此同时，由于企业规模的日益扩大，各类用户因企业工作需求而与日俱增，并且共享的信息资源的结构也日趋复杂，如果还使用传统的访问控制机制，那么存取权限的管理将会变得十分复杂且难以满足现实应用的需求。比如自主访问控制DAC（Discretionary Access Control，DAC）允许用户自主地将权限授予其他用户，以降低系统安全性来提供较大的灵活性[1]；强制访问控制MAC（Mandatory Access Control，MAC）则由授权机构给主体和客体分别定义固定的访问属性，用户将无权进行修改，它是以灵活性来换取系统安全性，对于不同类型的信息采取不同层次的安全策略，并针对不同类型的数据来进行访问授权[2]。因此，基于灵活性与安全性的考虑，基于角色的安全访问控制RBAC（Role-Based Access Control，RBAC）能够减少授权管理的复杂性，可降低管理开销，而且还能为管理员提供一个控制安全复杂度的管理环境，是现在研究的热点，也得到了很大程度的应用。由此，本论文将以格雷电工ERP系统为研究对象，以基于RBAC的权限管理为研究内容，来设计与实现格雷电工ERP系统的信息资源的安全访问控制和权限管理模式。
第一章 绪论
1.1 选题背景及研究意义
信息化的飞速发展，为企业的文化及管理带来了无尽的效益，这都源于一款优秀的企业资源计划（ERP）软件产品，ERP系统除了先进的管理思想外，本身的技术设计和安全架构也是必不可少的因素。而权限管理模块作为ERP系统中的重要模块，是系统安全运行的有力保证。在格雷电工这种大型企业中，用户众多，业务关系庞杂，生产流程多样，使得权限在系统中的管理比较复杂。 用户的业务需求灵活多变，系统的功能因人而异，用户的入辞职都将给系统的权限带来变化，从而，系统的权限也应因人而异灵活多变。因此，基于RBAC的权限管理将无疑是格雷电工ERP系统权限管理的主要研究内容和实现对象。
基于角色的访问控制模型RBAC是目前主流的访问控制模型，它比传统的自主访问控制和强制访问控制更优越，同时也提供了更高的灵活性和扩展性[3]。在RBAC模型中，角色是实现访问控制策略的基本语义实体。系统管理员可以根据职能或机构的需求策略来创建角色、给角色分配权限和给用户分配角色等。基于角色访问控制的核心思想是将权限同角色关联起来，而用户的授权则通过赋予相应的角色来完成，用户所能访问的权限就由该用户所拥有的所有角色的权限集合的并集决定。角色之间可以有继承、限制等逻辑关系，并通过这些关系影响用户和权限的实际对应。在实际应用中，根据企事业机构中不同工作的职能来创建不同的角色，每个角色代表着一个独立的访问权限实体，从而实现了权限的灵活管理和系统业务的正常运营。
1.2 国内外现状
1.2.1 国外研究现状
企业应用软件是通过访问控制来保护企业日益积累的信息资源不被非法用户访问、更改、破坏的，随着计算机网络与信息技术的快速发展，人们对访问控制的研发日趋成熟。
在1983年美国国防部的《计算机系统可信赖性评估标准》（TCSEC）中详细定义了两种访问控制模式：自主访问控制（Discretionary Access Control，DAC）和强制访问控制（Mandatory Access Control，MAC）[4]。然而，随着企业规模的日益扩大，企业员工的频繁裁减与流动，传统的DAC模式显得过于主体化对系统权限的控制较弱，MAC模式显得过于强制化对系统权限的控制是“强加”给访问主体偏重于保密性对授权的可管理性考虑不足。随之于1992年美国人David Ferraiolo和Rick Kuhn在一篇名为“Role Based Access Control”中首次将角色引入到访问控制模型研究中，同年David Ferraiolo和Rick Kuhn还提出了基于角色的访问控制模型，并给出了一种集中式管理的RBAC管理方案[[5]]。1996年美国George Mansion大学的Rvai S.Sandhu教授在IEEE Computer上发表的学术论
文《Role-Based Access Control》中正式提出来RBAC96模型，是RBAC研究的又一进步[6]。目前国外RBAC的研究机构主要是美国NIST和George Mansion Univ.LIST实验室，同时许许多多的国外专家致力于RBAC的理论研究，并在相关期刊中发表着研究成果和理论知识，推动着信息产业的快速发展为计算机管理与应用提供了安全保障。
1.2.2 国内研究现状
基于角色访问控制（RBAC）最早研究是1994年华中理工大学马建平在学术论文《一种无干扰的访问控制模型》中的研究[7]。之后随着计算机技术在国内的突飞猛进，国内企业与政府办公自动化与信息化的注入，国内学者对国外关于权限管理模型进行了深入的研究，提出了自己的扩展模型，先后在RBAC96模型的基础上提出了新的RBAC模型（NRBAC），及基于业务工作流和角色的访问控制模型（WRABC）等。其中，NRBAC模型具有接近现实世界和形式统一的优点；WRBAC模型结合了RBAC96模型和RBAC97模型，并引入业务工作流对象，描述了业务工作流对象对方问控制操作的影响，同时中国科学软件研究所的丁仲和左春提出了使用于各个领域的RBAC权限控制的面向对象框架[8]。此次扩展实现了可重用的权限管理，将可通用的权限放在框架内实现，从而进一步提高了软件复用程度，全新的考虑了现代企业在实际世界中的权限控制方式，通过权限与角色关联、角色与主体关联，实现了主题与客体的逻辑分离。这样一来角色一旦分配给用户，除管理员修改管理外，用户就一直拥有这个角色，也就拥有这个角色的权限，但在某些应用场合下这种设计就未必显得力所能及，角色的权限分配应该做到时间与空间的限制[9]，即角色用户的权限生存时间与空间的控制。如角色用户在工作时间与非工作时间，角色用户在公司与出差环境下的权限问题已在国内学者中有很大的反响。
至今，RBAC已成熟的应用于PMI、CORBA、CSCW、ERP等系统架构中，同时在电子商务电子政务等大型信息系统中得到了广泛的应用，他是目前应用最广，访问控制效果最好的访问控制策略，是DAC与MAC的最佳替身[10]，是最能满足用户业务需求的访问控制策略。
1.3 主要研究内容
本课题以实际的格雷电工ERP系统为实战项目，以基于RBAC的权限管理思想为研究对象，以基于RBAC的权限管理在格雷电工ERP系统中的设计与实现为研究成果。为此本课题将在J2EE的开发环境下，学习运用Struts 2.3、Spring 3、JQuery、Ajax等技术来研究基于RBAC的权限管理思想并将其在格雷电工ERP系统中实现。所以本课题的研究重点是基于RBAC的访问控制技术，通过对RBAC模型理论的深入研究，分析当下企业级应用系统对安全管理及访问控制的需求，结合浙江格雷电工有限公司的管理思想和运营背景，设计并实现基于RBAC模型的权限管理组件在格雷电工ERP系统中的运行。具体内容如下：
一、通读导师下达的文献资料及相关教材和网络知识，全面了解国内外对访问控制技术的研究现状，结合格雷电工ERP系统对权限管理的实际需求，确定本课题的研究背景和意义。
二、了解传统的自主访问控制模型（DAC）和强制访问控制模型（MAC）的工作原理，重点学
习掌握基于角色的访问控制模型（RBAC）的相关理论知识，为在格雷电工ERP系统中实现RBAC模型的用户——角色——权限的核心思想而打下基础。
三、通过对RBAC模型的理论知识的研究，分析企业级应用系统普遍的访问控制需求及特征，将其与RBAC模型的思想结合，以理论联系实际分析格雷电工ERP系统的权限管理需求。
四、学习掌握PowerDesigner数据建模软件的操作原理，实现基于RBAC的权限管理模块的数据库的概念数据模型（CDM）建模和物理数据模型（PDM）建模，从而实现基于RBAC的权限管理模型的数据库设计。同时掌握SQL Server 2008数据库的设计及管理原理。
五、学习掌握J2EE的开发环境搭建，了解Tomcat 7.0的工作原理，掌握Struts 2.3与Spring 3的框架集成以及开发思想，掌握JQuery、Ajax技术在JQueryEasyUI插件下的快速开发，以实现基于RBAC的权限管理组件在格雷电工ERP系统中正常运行。
1.4 论文结构
本课题论文内容分为六章，各章主要内容如下：
第一章：绪论。引出本论文的项目背景、研究意义及国内外研究现状，同时介绍本论文的主要内容和组织结构。
第二章：相关技术与访问控制原理的介绍。本章主要介绍了RBAC访问控制的理论技术，RBAC基本概念及主要特性，RBAC的基本模型发展及工作原理的介绍，如自主访问控制（DAC）、强制访问控制（MAC）及与RBAC访问控制技术的优缺点比较。
第三章：RBAC的权限管理在格雷电工ERP系统中的需求分析。本章对格雷电工ERP系统的整体需求做了相应的分析，主要详细的分析了基于RBAC的权限管理模块在格雷电工ERP系统中的需求和设计要求及目标。
第四章：RBAC的权限管理在格雷电工ERP系统中的设计方案。本章主要对格雷电工ERP系统的权限管理模块在数据库设计，流程设计以及界面设计，以图表的形式将系统设计形象化，明了化，逻辑化。
第五章：RBAC的权限管理在格雷电工ERP系统中的实现。本章主要介绍了RBAC权限管理模块的数据实现，J2EE平台及Struts 2 + Spring3框架实现，Jquery easy UI框架界面实现，同时以截图及直观的形式展现出来。
第六章：结束语。本章主要介绍自己在课题研发中的学习成果，心得体会，及今后的期望和理想。
第二章 相关技术与访问控制原理的介绍
一个项目的开发，将不可避免的涉及到要了解、掌握项目的开发与实现技术。为此，做好相关技术与知识体系的了解与掌握对项目的开发与实施是至关重要的。本章就权限管理及基于RBAC权限管理模块的相关技术与原理做如下介绍，以便深入了解项目的开发技术与原理。
2.1 访问控制技术理论的介绍
访问控制技术是企业信息系统安全防范和保护的重要策略，其主要目标是保证合法用户安全、方便、快捷的访问特定的功能数据，同时拒绝非法用户的访问，从而保证了企业日益积累的信息资产安全。
目前的访问控制技术主要包括主体、客体和访问权限三个基本概念[11]。
一、主体（Subject）是一个主动的实体，在访问操作的过程种，它是访问操作发出的主动方，由用户、用户组、终端、主体或者一个应用的进程构成。
二、客体（Object）是一个被动的实体，可以是一个字节、字段、记录、程序、文件、一个网络结点等。
三、访问授权（Access Authorize）是指主体访问客体时是否授予了允许的权限，在系统中访问授权对每一个主体和客体来说是由该系统企业的业务逻辑决定的。例如，在浙江格雷电工有限公司中销售经理有权对客户订单进行查看、审核、修改的权利。
访问控制的核心是访问授权[12]。在一个系统中当访问主体具有对客体的访问授权时，该主体就是合法的用户，否则就是非法用户不能访问系统信息。然而，访问主体对方问客体的授权并不是固定的，主体在某种情况下能够自由的对客体进行访问，但在某种情况下主体的访问权限将受到限制。例如在格雷电工ERP系统中采购管理中，审核角色对于不同额度的请购单的审核权限将随着申请数额的上曾而受到限制。
目前主流的访问控制模型主要有：自主访问控制（DAC）、强制访问控制（MAC）和基于角色的访问控制（RBAC），其中自主访问控制（DAC）的内含是有访问许可的主体能够直接的向其他主体转让访问授权[13]。自主访问控制是在确认其主体身份和它所属的组的基础上来控制主体的活动，从而实现用户权限管理及访问属性等，是一种最为普遍的访问控制手段。如Windows NT及Unix系统采用的都是DAC的访问类型。DAC是一种通过访问控制矩阵（Access Control Matrix）将系统中的主体和客体之间的访问权限进行设计和管理的。它的缺点是当系统资源比较庞大，企业组织机构和业务逻辑比较复杂时，DAC访问控制的授权管理不仅要花费很大的人力，而且极易出错，同时动态的，复杂的安全政策将无法实现造成目前系统的基本需求不能满足。其中强制访问控制模型（MAC）的最初目的是为了实现比自主访问控制（DAC）更为严格的访问控制策略而设计的。在MAC中每一个数据对象都有一定的密级，每一个用户也被授予某一个级别的许可证[14]。通过该访问许可证来控制用户对系统对象的存取操作。因此强制访问控制MAC相对比较严格，适合于有多层
次安全级别需求的应用系统，其通过对用户可信任级别和信息安全级别的预定义来实现系统的高安全度。但MAC的主体访问级别和客体安全级别的划分很难达到系统需求所要的一致性，且对同级别的控制不够成熟。除此由于MAC过于偏重系统的保密性限制性较强，导致系统的连续工作能力、授权的可管理性难于维护，从而很难满足当下企业级应用软件的灵活多变和业务需求。
2.2 RBAC的基本理论介绍
2.2.1 RBAC的基本概念
在访问控制模型中，传统的访问控制模型是一种类似于用户——权限分配的映射关系，也就是在系统中直接给用户分配相应权限，用户根据所分配到的权限对系统资源进行操作，由此给系统带来重大的用户——权限维护，系统的安全隐患等问题。从而出现了将权限不直接分配给用户的基于角色的权限访问控制模型RBAC（Role-Based Access Control）。它的设计思想是在用户和权限之间增加了角色，从而权限不再直接分配给用户，而是分配给角色，而后通过角色在分配给用户，这样通过角色分别关联用户和权限使得用户和权限之间有了逻辑隔离。这里的角色可以是实际业务中的角色概念，也可能是根据某种算法产生的抽象意义上的角色。在基于角色的访问控制模型RBAC中，授权的过程由两部分组成。一方面需要为用户指定相应的角色（U-R），另一方面需要为角色指定相应的权限（R-P）从而实现了用户与角色之间的多对多的关系，满足了系统业务管理的灵活多样。其基本原理结构，如图2-1所示。
图2-1 RBAC的基本原理图
2.2.2 RBAC的基本模型
目前，随着计算机网络技术的飞速发展，RBAC模型以趋于成熟。其发展过程主要经历了
RBAC0、RBAC1、RBAC2和RBAC3四个不同的层次。
其中，RBAC0即RBAC96的基本模型，它规定了所有RBAC系统都必须包含的最小元素集合；RBAC1在RBAC0的基础上引入了角色层次这一概念，通过角色层次来反映企业机构的权利与责任间的关系；RBAC2在RBAC0的基础上增加了约束概念；RBAC3综合了RBAC1和RBAC2模型，他不仅包括角色层次关系，而且包括约束关系，是最完整最复杂的RBAC模型。
RBAC模型的引用主要是对RBAC模型的元素和各元素之间关系的定义，一个完整的RBAC模型主要由以下基本元素构成：
一、用户（Users）：是系统资源的访问者是一个可以访问系统中的数据或其他可用资源的主体，
可以是一台计算机或计算机的使用者，也可以是一个网络，也可以是一个注册用户ID或是指定某些或某种角色的集合。
二、角色（Roles）：是RBAC模型的核心所在，可以看作是一组操作的集合，在一个企业或组织机构中往往对应与业务的工作岗位。在用户角色管理中每个用户都将分配一个角色，每个角色都是相应权限的集合。当用户提交资源请求时，访问控制系统将根据用户所拥有的角色进行访问控制。
三、权限（Permissions）：在系统中权限在这里是由访问客体和操作组成的二元组（Object，Operation），表示对某一客体执行的某个操作，其中Object是某一客体资源对象，Operation是作用在Object上的一种操作方式。
四、操作（Operations）：表示主体对访问客体进行的操作，是在客体资源对象上执行的某种访问方式，如对系统资源的读取、修改、删除、审核、写入等操作，针对不同的客体，将有不同的操作。
五、访问客体（Objects）：访问客体即系统资源，是系统用户执行某种操作的目标，可以是任何一种需要进行访问控制的系统资源，如文件、报表数据、数据库中的一张表、一个文件或者终端等。
六、会话（Session）：会话是用户到其激活角色的映射关系，是一个动态的概念，它代表用户与系统的交互。其内容有用户信息，角色信息，角色与权限的映射关系及信息，权限与资源的映射关系和操作信息。存储着当前用户对系统资源操作权限的主要访问控制信息，一个用户可以同时进行很多会话，每次会话就会激活不同的角色，因而也就动态拥有了不同的权限。
由以上元素构成的RBAC模型通过用户（User）到角色（Role）的映射关系来实现用户——角色的分配，从而使用户和角色间产生了关联；通过角色（Role）到权限（Permission）的映射关系来实现角色——权限的分配，使得角色和权限之间产生了关联；通过权限（Permission）到资源（Resource）的映射关系来实现权限操作到系统资源的关联。从而使系统有了用户——角色——权限——资源的权限访问控制模型，使系统得以安全、合理、有序的为企业信息资源和业务往来服务。
2.2.3 RBAC模型的主要特性
RBAC模型功能强大操作简单方便，是目前企业信息管理系统权限管理的首要选择模型，这都源于RBAC模型如下的主要特性：
一、RBAC模型简化了系统授权管理
简化系统授权是RBAC模型的最大优势。在传统的DAC、MAC等访问控制模型中，都是将用户与权限直接对应，这样将导致新增用户或减少用户时，或者用户的权限变化时，需要进行非常大的授权管理操作。然而，在RBAC模型中，角色踊跃的成为了沟通用户与权限的心灵桥梁，使得对用户权限的授权成为了对角色的授权，再通过为用户指定相应的角色把用户和权限关联起来，从而，大大的降低了用户权限管理的复杂度。在用户权限发生变化时，可以通过修改用户角色来改变用户的权限。除此，在机构发生功能性改变时，只需要对角色重新授予权限即可。可见，RBAC模型在系统权限管理和系统信息安全管理上有着不可比拟的灵活性和易操作性。同时RBAC模型还可以为系统管理员提供与企业机构的业务管理相似的访问控制层次。通过创建不同
的角色，定义角色之间的继承关系，角色之间的联系等，管理员就可以动态的控制用户的行为。
二、RBAC模型定义了灵活的角色关系
RBAC模型在角色关系的灵活管理中，通过角色之间的互斥，使得两个或两个以上的不同角色之间的访问权限出现相互制约的关系，也就是说不能同时将这两个或这样的两个以上的角色赋予同一用户。当角色之间存在互斥时，就需要进行责任分离[15]。例如，在格雷电工ERP系统中，产品的出库授权与执行应该是分开的职能，否则可能会出现欺骗行为。
三、RBAC模型适应了极其广泛的范围
RBAC模型的灵活性使得RBAC模型与具体要使用的安全策略无关，为管理员可以按照实际需求使用不同的策略定义不同的角色奠定了基础，从而方便了RBAC模型对不同领域安全需求的适应。同时RBAC模型对DAC和MAC等绝大多数安全策略都有相应的适应。
四、RBAC模型严格了最小权限分配
RBAC模型按照企业机构、业务逻辑、管理模式的具体要求来设定拥有不同权限的角色，同时为用户指定合适的角色。当用户访问某个实体对象时，系统将根据激活角色判断该用户的操作是否在用户所在角色的授权操作之内，否则访问将被拒绝。
五、RBAC模型扩展了自管理能力
基于RBAC模型的权限管理模型极大地贴近了应用领域的实际情况，使得将实际的管理方式和安全策略映射到软件功能模块变得较为简单可行。从而，RBAC模型自身也可以进行管理极易扩展。
2.3 RBAC模型的权限访问控制原理
RBAC的权限管理通过满足系统的实用性、可靠性和安全性来实施其访问控制原理。通过引入角色（Roles）的概念，使主体用户与客体资源操作间接映射，形成了企业责权到人的管理模式。用户通过角色分配，获得了相应的角色责任，角色通过资源与权限授予获得了相应责任下的权利，从而形成了用户与角色的直接映射及角色与权限的直接映射，这样通过用户与权限的间接映射实现了企业信息系统基于RBAC模型的安全访问控制。
2.4 开发平台与开发技术及工具的简介
2.4.1 主要开发技术及平台简介
本系统是基于J2EE平台的项目开发，主要用了到如下的热门技术：
一、Struts 2.3框架技术
Struts是MVC设计模式的一种实现框架，包含了丰富的标记库和独立于该框架工作的实用程序类，经常运用于大型系统的实现，是WEB应用开发中最为流行的框架之一。客户端通过浏览器发出请求后，请求被ActionServlet获得，ActionServlet在Struts-config.xml配置文件中查找有效的映射，然后将相应的ActionMapping对象转发给Action处理器进行处理。Action处理器对象访问ActionForm中的数据来处理和响应客户请求及调用后台Bean组件封装的具体业务逻辑进
行处理和控制。
二、Spring 3框架技术
Spring框架是由Open Source开发的一个优秀的业务逻辑层框架，可为企业级应用软件提供一个轻量级的解决方案，可方便有效的降低开发难度和复杂度。我们可以根据需要有选择的使用框架中的相关技术，其轻松的与表示层框架Struts的集成将为格雷电工ERP系统中使用其核心控制反转IOC和和面向方面编程AOP奠定了基础。
三、SpringJDBC技术
SpringJDBC是Spring对数据持久层的支持技术，是非常好的JDBC框架，其核心包包含的JdbcTemplate由Spring框架的JDBC支持并提供使用，其模板式的设计模式简化了JDBC的使用，在开发中干净了编程代码，有更好的异常与资源处理。
四、JQuery easyUI及Ajax技术
JQuery EasyUI是一组基于JQuery的UI插件集合，可帮助开发者更轻松的打造出功能丰富并且美观的UI界面，可大量减少Javascript代码的编写，功能强大使用简单方便，同时结合Ajax技术的异步传输可实现浏览器与WEB服务器之间的请求更小、更快、更友好，使因特网应用程序变得如传统的桌面应用程序般更完善、更友好。
2.4.2 主要开发工具及服务器简介
该系统应浙江格雷电工有限公司ERP系统项目需求，主要用到了如下开发工具和系统服务器：
一、MyEclipse9.0为系统IDE开发工具
Myeclipse（Myeclipse Enterprise Workbench）是一款企业级应用软件工作平台，是对EclipseIDE的扩展，同时是一款功能强大的J2EE、Tomcat等集成开发环境，可支持代码编写、配置、测试及除错等功能。
二、PowerDesigner 15为数据建模工具
PowerDesigner是Sybase公司的一款CASE工具集，是一个集所有建模技术于一身的完整工具，集成了强有力的业务建模技术、传统的数据库分析以及UML对象建模。同时可生成多种客户端开发工具的应用程序及数据仓库制作结构模型，能对团队设计模型进行控制，可与多种数据库软件相配合从而缩短开发时间使系统设计更为优化。
三、Edraw Max v5.6为系统流程建模工具
亿图图示专家Edraw Max v5.6是一款专业的综合适量制图软件，新颖小巧，功能强大，可以很方便的绘制各种专业的流程图、组织结构图、网络拓补图、家具设计图及商业图标等，在软件开发中可以用作流程图、UML和软件设计。
四、Photoshop CS4为系统界面设计工具
Photoshop CS4是Adobe公司旗下最为出名的图像处理软件之一，集图想扫描、编辑修改、图像制作、广告创意、网页设计等为一体的图形图像处理软件，在软件开发中可用于图标制作，网页设计等。
五、Apache Tomcat 7.0为系统服务器工具
Tomcat 7.0是一款开源可免费使用的WEB应用程序服务器，是Apache软件基金会（Apache Software Foundation）的Jakarta项目中的一个核心项目，由Apache、Sun等公司及个人共同开发而成。
六、Microsoft SQL Server 2008为系统数据服务器工具
Microsoft SQL Server 2008是微软公司推出的一款可信、高效、智能的数据管理平台，可以对整个数据库、数据文件、日志文件进行加密，同时引入了用于提高开发人员、架构师和管理员效率的新功能，改进了包括T-SQL语句、数据类型和管理功能。是一款非常优越的数据软件。
第三章 RBAC的权限管理在格雷电工ERP系统中的需求分析
一款优秀的ERP系统离不开安全可靠的权限管理，因而在系统开发初期做好系统权限管理的需求分析将是系统后续开发中的最为重要的首要工作之一。根据浙江格雷电工有限公司的生产、业务、机构、管理等实际工作要求，现将格雷电工ERP系统简要的整体需求分析及详细的权限管理模块需求分析介绍如下。
3.1 格雷电工ERP系统的总体需求分析
该系统应浙江格雷电工有限公司需求和系统开发人员的调研及讨论，将整个系统分为如下功能模块：
一、基础数据管理
为了使格雷电工ERP系统中其他管理模块对一些具有固定规律的且频繁使用的数据方便掉用，将这些基础数据进行归类并在基础数据功能模块下统一管理，根据需求将基础数据划分如下子管理模块：部门管理、采购商品管理、薪资类型管理、紧急类型管理、密级管理、文档类型管理、车间管理、仓库管理、产品管理、入库类型管理、出库类型管理、规格管理、工序管理、供应商管理等分别用来查看、添加、删除、修改相应基础信息。
二、采购管理
为了满足浙江格雷电工有限公司采购部门的业务及办公需求，采购管理模块有请购单管理、询价单管理、采购单管理用来分步骤实现采购业务的信息化管理。
三、仓库管理
为满足浙江格雷电工有限公司库存产品的信息化管理，仓库管理模块将分如下子功能模块：入库管理、出库管理、库存管理、盘点管理、任务单管理用来实现仓库的进出库及产品盘点和生产任务单管理。
四、销售管理
为满足销售部门的业务和办公需求，销售管理模块分为客户管理、报价单管理、订单管理、销售单管里、物流管理等子功能模块用来实现公司销售业务数据的信息化管理。
五、行文管理
为满足公司行文在部门及员工间的信息化传阅和内外文件的收发需求，格雷电工ERP系统将在行文管理模块中设有发文管理、收文管理、发文拟稿管理、文件查阅管理等功能模块来实现行文业务的信息化管理。
六、薪资管理
为满足公司财务部门对员工薪资的信息化管理，格雷电工ERP系统设有员工工资单管理、计时工资单管理、计件工资单管理等子功能模块用来方便公司财务部对员工薪资的信息化管理。
七、系统权限管理
系统权限管理是为了满足格雷电工有限公司，员工业务及工作职能与系统权限相匹配的系统管理模块，用来实现员工实际业务职能与系统逻辑权限功能相映射，实现企业日益积累的信息资源能够被合理、安全、有效的访问和操作管，主要分为用户管理、角色管理、系统日志管理等子管理模块。
3.2 权限管理模块需求分析
权限管理模块应浙江格雷电工有限公司的机构功能和业务逻辑需求，将主要分析如下需求：
一、系统管理员权限需求分析
系统管理员主要负责系统用户的查看、添加、删除、修改、冻结、解冻和系统角色的查看、添加、删除、修改，同时可查看系统用户详情和权限详情，为系统用户分配角色、修改已分配角色、删除已分配角色以及为角色分配相应资源、权限，修改、删除已分配资源、权限，从而实现系统用户与系统资源、权限的间接映射，为实现系统资源信息安全、合理的共享起主导作用。
二、总经理权限需求分析
总经理应公司需求具有系统查看的最高权限，即可以查看系统中的任何一张报表和记录，同时也可以为每个用户分配角色及权限，能够对某些需要总经理审核的账单进行审核等权限。
三、部门经理权限分析
部门经理具有对相应部门信息查看的最高权限，如请购部经理可以查看和填写请购单，同时能够对该部门的单子或者需要该部门审核的单子进行审核。
四、特定员工需求分析
特定员工具有操作管理员或总经理赋予的与自己目前所从事的工作对应的权限，例如请购单录入员，可以录入查看请购信息，可以修改、取消未经审核通过的请购单信息等权限。
五、普通员工需求分析
根据公司需求普通员工注册系统账户的可以查看公司许可的信息和行文及员工自身的工资表记录查看等权限。
第四章 RBAC的权限管理在格雷电工ERP系统中的设计方案
一款优秀ERP系统软件的设计将关系到软件的后期使用和维护以及用户的工作体验。通过严密有序的软件设计把用户的需求以通俗易懂的设计流程、图片、表格、功能图及界面表示出来，以便明细开发人员的编写开发思路、项目进度及安排，同时方便用户了解系统项目实况对比项目需求。为此，本章主要介绍基于RBAC的权限管理模块在格雷电工ERP系统中的设计方案。
4.1 格雷电工权限管理模块E-R设计
4.1.1 RBAC权限管理模块各实体E-R图
一、用户实体E-R图设计，如图4-1所示。
图4-1 用户实体E-R图
二、角色实体E-R图设计，如图4-2所示。
图4-2角色实体E-R图
三、资源实体E-R图设计，如图4-3所示。
图4-3 资源实体E-R图
四、用户角色实体E-R图设计，如图4-4所示。
图4-4 用户角色实体E-R图
五、角色权限实体E-R图设计，如图4-5所示。
图4-5 角色权限实体E-R图
4.1.2
RBAC权限管理模块整体E-R图如图4-6所示
4.2 格雷电工权限管理模块的设计
4.2.1 基于RBAC权限管理的CDM设计如图4-7所示
图4-7 RBAC模型CDM设计图
4.2.2 基于RBAC权限管理的PDM设计如图4-8所示
图4-8 RBAC模型PDM设计图
4.2.3 基于RBAC权限管理的数据库设计
一、 用户主体表设计（QL_Users）见表4-1。
表4-1 用户主体表QL_Users
二、 角色表设计（QL_Roles）见表4-2。
表4-2角色表QL_Roles
三、 资源客体权限设计（QL_Resourcees）见表4-3。
表4-3 资源客体表QL_Resourcees
四、 用户角色指派表设计（QL_User_Role）见表4-4。
表4-4 用户角色指派表QL_User_Role
五、 角色权限资源指派表设计（QL_Permission_Resource）见表4-5。
表4-5 角色权限指派表QL_Permission_Resource
六、 系统日志表设计（QL_SystemLogs）见表4-6。
表4-6 系统日志表QL_SystemLogs