权限系统设计指南

较通用的RBAC模型系统的实现中需解决的问题：组织结构的融入，权限的定义(资源点与操作)。想法不成熟，也许可能得不偿失，纯属想法，并未实践。1.组织结构 角色与组织结构的关系：角色是属于某个组织的，但是并没有规定角色的权限操作资源必须属于该组织。

有这样一个需求：不同的用户登陆近来看到的内容是不同的，比如超级管理员能看到所有的栏目　而普通用户只能看到超级管理员为其所设置的栏目，比如超级管理用为用户user1设置了只有Ａ，Ｂ，Ｃ３个栏目的权限，当user1用户登陆近来只后就只能看到Ａ，Ｂ，Ｃ３个栏目，超级管理用为用户user2设置了有Ｄ

通常权限系统由用户\角色\组\组织机构\操作 组成，基本规则是角色与操作关联，角色再与用户关联，有些设计用户也可以直接拥有操作，这算一种补充和扩展并不重要。组则针对角色较多的情况，组与角色关联，组再与用户关联，有些组设计为嵌套的，形成一个树形，每个组权限是所包含的角色的并集。组织机构应该怎么处理

最近我在设计通用权限组件的时候遇到AOP拦截器方面的一个问题，寻求解决方案，先描述一下应用场景： 通用权限组件以AOP的形式“插入”业务系统，AOP的拦截机制有两种：（A）通过Filter对用户请求的URI进行拦截（B）通过Intercep

我前不久配过一次利用FORM验证,而且成功了,但是今天再配置的时候出现问题,总报异常环境JBOSS 4.2.3GA mysql4.1页面: 用户名:

今天接到一个电话面试，谈我的OA项目时候，问了我一个url问题，比如说张三是管理员，拥有所有权限，而李四是普通员工，只有一个权限，问：当李四登陆后，假如他知道张三登陆后的url，然后他就直接转接到张三的url页面上去，问我怎么拦截，我说用Filter过滤器，又问我怎么实现，汗。。没有说出来！请高手指

这些年来做的项目和安全挂钩的挺不少，来上海后在OO设计方面也得到了加强，并且有了一些新的认识。最近在反思系统安全设计如何与系统OO设计之间如何做到紧密衔接而又低耦合。1：java安全方面无非就是加密 解密，认证与授权。具体的实现方面主要有像EJB那样的基于容器的安全控制和使用SPRI

大哥大姐们好；） 我们现在做b2b系统时，因为企业操作员分为：制单，复核，主管etc. 为了限制主管权限过高导致的操作问题。 要求增加多个主管，相互制约。如一个主管的操作（更改转账流程，转账限额，增加操作员）必须由另外一个主管来授权，授权同

目前的权限设计都是采用RBAC模型进行设计，但是该模式针对某个系统进行，如果系统中某个模块中某个角色的权限需要降低，而不影响其他模块的情况下我们应该如何设计？比如经理角色在A模块和B模块都存在，但是现在想把A模块的经理角色中的审批权限去处，我们应该如何设计？还有如果不是针对模块，而是针对某个经理个人

想用acegi security来进行权限控制，但是这样将会使用到SPRING...不想用SPRING...请问还有其它安全框架吗？

在jivejdon中是使用auth目录下的类去控制权限的在message案例中式使用继承usermodel的两者都有配置那个permission。xml 但那种更加简单呢？那种更灵活呢？更能利用jdon呢？

能否结合JDON的实例来介绍

经理一授予能的操作，经理二授予不能的操作~当这两个角色同时授予某个帐号时将会产生冲突~能还是不能？遇到这样的情况该怎么办？是按照所有遇到这种冲突时以能作为默认呢？还是针对不同的帐号设置经理一和经理二的优先级？？

我最近在做一个东西，是和权限相关的，是角色、资源和角色对资源具有的操作权限，问题是这个操作权限（比如读，写，打印等）是不是应该算资源的属性？还有我的资源存在父子关系，这样我在授权的时候，有两种方案，一是只对本资源授权，二是如果资源还有子资源及孙子以后的，那么对父资源授权后，就默认也对其下的资源具有权

在WEB应用中,通过应用服务器提供的登陆模块,比如databaseloginmodule,就不用个人实现登陆模块,然后按照应用服务器配置好,在web.xml中配置好了login-config登陆模式,这样就可以完成了用户登陆的认证了,而且借助JAVA中的安全注释,可以设置业务方法的访问权限,这些访问

关于这个话题应该是老话题了，在下经历了现在的项目，大体是这样设计的：在系统中有个配置，配置的结果是把查询条件拼成where话句的条件保存，等要查询到此对象时再去取相应配置的条件进行查询，这样的话跟数据库耦合无疑相当高。在下也曾经考虑到用代理来做控制，但是在碰到这种情况下没有了思路，希望在此得