php 通用权限系统设计

huanguuq

大家好， 我目前做了一个通用权限系统
也想跟大家讨论下
我的通用权限系统设计是更换权限时候尽量不要涉及到代码修改

1. <?php
   
2. /*
   
3. *控制访问表
   
4. *  acl值    功能
   
5. *    1        需要登录
   
6. *    2         自身修改
   
7. *    4         需要组的权限集合         
   
8. *    8         需要身份访问集合     
   
9. *    16         身份被禁止访问     
   
10. *    32         可访问的日期     
    
11. *    64         可访问的周日     
    
12. *    128         可访问的时间     
    
13. *    256         输入密码才能访问     
    
14. *    512         超级管理使用     
    
15. */
    
16. class aclACL extends acl {
    
17.     public $routername="acl";
    
18.     public $aclid='2';            //权限资源ID,如果登录人员没有拥用这个权限那么其（下面）它值都为0也不能访问
    
19.     public $roledisable=array(9); //禁用身份
    
20.     public $pwd=123456;           //密码访问 ACL->noPwd();
    
21.     public $date=array('begin'=>0,'end'=>0);   //允许日期之间
    
22.     public $hours=array('begin'=>0,'end'=>0);  //一日内小时区间
    
23.     public $weeks=array('begin'=>0,'end'=>0);  //一周内周一到周七
    
24.     public $aclgroup=array("create"=>"4,45,8"); //create需要的组才能创建
    
25.     public $aclrole=array("all"=>"6","create"=>"7,95,78"); //create需要的角色才能创建,该组需要ID为6的角色才能访问
    
26.     public $acl=array("all"=>0,
    
27.                       "index"=>4,    //表列4表示检查组的组合
    
28.                       "delete"=>1,   //删除只登录后删除,当然呆以设置为2或4
    
29.                       "update"=>1,   //更新提交只能登录后才能更新，在这里做也防止非法、post，edit是不能访问显示编辑内容页
    
30.                       "createForm"=>1, //也不能新提交数据库
    
31.                       "edit"=>0,       //登录才显示编辑框
    
32.                       "show"=>0,       //不用登录也能显示
    
33.                       "create"=>1);    //创新表单需要登录操作 可以设置某个组才能创建
    
34. 
    
35. }  
    
36. 
    
37. ?>  

复制代码

这个是要认证的文件模块是acl
每当用户访问acl模块时候，如果开启了认证那么会调用这个类
然后这个类会根据$acl 的all或index等值去做认证检查。


把这个文件放在router/acl目录里面就可以了，框架会自动认证如果用户没有相应的正向授权是无法访问相应的限制的。
比如crud create方法 负向权限为17 那按照前面解释应该是 需要登录和组授权 就是$aclgroup 数组中create的4 45 8三个组，
首先会员没有登录将提示登录，如果会员不在这三个组是无法访问该方法的会提示没有权限。

目前router可以自己根据情况开启用acl控制
方法是在xxxxRouter.class.php文件中 添加 public function isAcl(){}  
可以返回权限文件名比如返回curd，那么自动会调用curdACL.class.php类和名
curdRouter类设置验证

1. 
   
2. <?php
   
3. class curdRouter extends controller{
   
4.      
   
5.     //返回 RBAC 控制访问列表验证类默认是跟router同名也就是curd
   
6.     //可以不写这个函数，那么不会启用通用权限系统。
   
7.     public function isAcl(){}   
   
8.     public function index()
   
9.     {
   
10.        $booktype=M("booktype");
    
11.        $this->pager=C("pager");//取得分类
    
12.        $this->pager->setPager($booktype->count(),10,'page');//取得数据总数中，设置每页为10
    
13.        $this->assign("list",$booktype->orderby("bookid desc")->limit($this->pager->offset(),10)->fetch()->getRecord());
    
14.     }
    
15. public function login(){  //登录页面
    
16.   
    
17.   }
    
18.   public function logout(){ //退出页面
    
19. 
    
20.       MY()->logout(); //退出登录
    
21.      redirect(url_for("guestbook/index"),"退出成功",3);
    
22.   }
    
23.   public function noAcl($mask) { //处理一下如果没有权限转向登录
    
24.       redirect(url_for("guestbook/login"),"需要登录",3);
    
25.   }
    
26.   public function loginpost() {  //登录提交地方 简单处理下登录认证
    
27.       if($_POST['author']=='queryphp'&&md5($_POST['pwd'])==md5('123456'))
    
28.     {
    
29.       MY()->setLogin(); //设置登录状态
    
30.       redirect(url_for("guestbook/adminlist"),"登录成功",3);
    
31.     }
    
32.     redirect(url_for("guestbook/login"),"登录失败",3);
    
33.   }
    

复制代码

1. 
   
2. <?php
   
3. /*
   
4. *登录信息基本类
   
5. *权限表可以缓存数据，登录时候恢复。
   
6. */
   
7. class mybase {
   
8.   public $options=array();
   
9.         public $uid;
   
10.   public $username;
    
11.   public $isadmin;
    
12.   public $role=array();  //我使用的身份
    
13.   public $group=array(); //我所在组
    
14.   public $grouprole=array(); //组的身份
    
15.   public $mygroupMar=array(); //我拥有管理的组
    
16.   public $mygroupOwn=array(); //属于我的组
    
17.   public $acl=array();       //主动控制表 groupacl和myacl控制权限集合 内容是rbac的rbacid
    
18.   public $groupacl=array();  //组拥用的控制权限
    
19.   public $myacl=array();     //我的身份拥用的控制权限
    
20.   public $loginfaild=0;      //登录失败次数 如果超过这个数应该禁止IP登录几分种
    

复制代码

这是基本
可以把myUser.class.php放在项目lib目录里面

1. <?php class myUser extends mybase { } ?>
   
2. 
   

复制代码

使用MY()函数就可以取得myUser了。

huanguuq

下载测试例子和chm手册
http://code.google.com/p/queryphp/downloads/list

huanguuq

通用权限系统已实现代码编写
代码到
http://code.google.com/p/queryphp/downloads/list
下载chm里面有详细说明

huanguuq

a.a

能够把作品共享出来，真是不错。根据你后面的图片来看倒很像是一个oa系统。

四不象

你这只能对URL进行权限验证吧，更加细粒度的行为就不行了。 不好意思没仔细看

用AOP方式来实现权限验证是最好的了。

starzhestarzhe

支持原创吧,不过还是用自己的吧，用习惯了

huanguuq

回复 6# 四不象

可以定义到类和方法。不是使用url实现，就是在访问类那里控制。也就是入口

四不象

回复 8# huanguuq


能介绍一下实现么？你的图看了让人发晕。

类必须继承相应基类来支持ACL，还是纯粹无侵入式的扩展？

huanguuq

可以看框架文件
project/router目录有一个guestbookRouter.class.php
在后台

取得guestbookRouter.class.php类名和方法。
然后给这些方法加权限

右边有一个应用权限，有一个取消权限，如果取消权限表示没有权限限制
也就是删除权限文件
应用权限 表示给这个类添加权限，会生成一个权限文件。
在project/router/acl/生成 guestbookACL.class.php文件
程序在加载guestbookRouter.class.php时候会检查有没有guestbookACL.class.php权限文件
有就使用权限检证，没有就没有。这样加减权限跟guestbookRouter.class.php文件入口没有一点改动
所以将来加权限方法很方便。