当前位置：首页 > news >正文

设计一个简单的权限管理系统

news 来源：原创 2025/6/17 3:12:55

针对大规模服务器集群的权限管理系统设计，需结合 角色分层、最小权限原则 和 动态权限控制 来实现安全高效的权限管理。以下是分阶段设计方案：

一、核心设计思路

基于角色的访问控制（RBAC）
定义角色层级（如董事长 > 总经理 > 项目经理 > 运维人员），每个角色关联不同权限范围和操作类型。
最小权限原则
用户仅能访问其职责范围内的服务器和操作，禁止越权行为。
动态权限继承
通过组织结构树动态继承上级权限（如项目经理自动拥有其下属项目的权限）。
审计与日志
记录所有权限操作，支持事后追溯。

二、权限模型设计

1. 数据模型

# 示例：使用 Django ORM 定义模型
from django.db import models

class Organization(models.Model):
    """组织架构（如部门、项目组）"""
    name = models.CharField(max_length=100)
    parent = models.ForeignKey('self', on_delete=models.CASCADE, null=True)  # 树形结构

class User(models.Model):
    """用户表"""
    name = models.CharField(max_length=100)
    role = models.ForeignKey('Role', on_delete=models.CASCADE)
    organization = models.ForeignKey('Organization', on_delete=models.CASCADE)  # 所属组织

class Role(models.Model):
    """角色表（如董事长、总经理）"""
    name = models.CharField(max_length=50)
    permissions = models.ManyToManyField('Permission')  # 关联权限

class Permission(models.Model):
    """权限表（定义可操作资源及动作）"""
    RESOURCE_TYPES = [
        ('SERVER', '服务器'),
        ('NETWORK', '网络设备'),
        ('DATABASE', '数据库'),
    ]
    ACTIONS = [
        ('VIEW', '查看'),
        ('EDIT', '编辑'),
        ('DELETE', '删除'),
        ('EXECUTE', '执行命令'),
    ]
    resource_type = models.CharField(max_length=20, choices=RESOURCE_TYPES)
    action = models.CharField(max_length=20, choices=ACTIONS)
    scope = models.CharField(max_length=100)  # 权限范围（如部门ID、项目ID）

2. 权限规则示例

角色	权限范围	允许操作
董事长	全公司所有服务器	查看所有资源，审计日志访问
总经理	所属部门及下级部门服务器	查看、执行命令，无法删除
项目经理	负责项目的服务器	查看、重启服务，编辑配置
运维	指定服务器集群	全操作（需审批）

三、权限验证流程

1. 用户访问资源时触发验证

def check_permission(user, resource_type, action, resource_id):
    # 1. 获取用户所有权限（含角色权限和组织继承权限）
    permissions = user.role.permissions.all()
    
    # 2. 检查资源所属范围（如项目、部门）
    resource_org = get_organization_by_resource(resource_id)
    
    # 3. 验证用户组织是否在资源组织树上
    if not is_user_in_organization_tree(user.organization, resource_org):
        return False
    
    # 4. 检查是否有匹配的权限条目
    return permissions.filter(
        resource_type=resource_type,
        action=action,
        scope__contains=resource_org.id  # 或更细粒度条件
    ).exists()

2. 权限继承逻辑

def is_user_in_organization_tree(user_org, target_org):
    """判断用户组织是否在目标组织的上级链中"""
    current = target_org
    while current:
        if current == user_org:
            return True
        current = current.parent
    return False

四、技术实现方案

1. 后端架构

API 网关：统一拦截请求，调用权限服务验证。
权限微服务：独立部署，处理权限校验逻辑。
缓存层：使用 Redis 缓存用户权限数据，降低数据库压力。
数据库：PostgreSQL/MySQL 存储权限模型数据。

2. Python 代码示例（FastAPI）

from fastapi import Depends, HTTPException
from fastapi.security import OAuth2PasswordBearer

oauth2_scheme = OAuth2PasswordBearer(tokenUrl="token")

async def has_permission(
    resource_type: str, 
    action: str, 
    resource_id: int,
    token: str = Depends(oauth2_scheme)
):
    user = await get_current_user(token)
    if not check_permission(user, resource_type, action, resource_id):
        raise HTTPException(status_code=403, detail="权限不足")
    return True

# 使用装饰器保护接口
@app.get("/servers/{server_id}")
async def get_server(
    server_id: int, 
    perm_check: bool = Depends(has_permission("SERVER", "VIEW", server_id))
):
    return fetch_server(server_id)