在專案實際開發中我們不光要控制乙個使用者能訪問哪些資源，還需要控制使用者只能訪問資源中的某部分資料。
控制乙個使用者能訪問哪些資源我們有很成熟的許可權管理模型即rbac，但是控制使用者只能訪問某部分資源（即我們常說的資料許可權）使用rbac模型是不夠的，本文我們嘗試在rbac模型的基礎上融入資料許可權的管理控制。
首先讓我們先看下rbac模型。
rbac是role-basedaccess control的英文縮寫，意思是基於角色的訪問控制。
rbac事先會在系統中定義出不同的角色，不同的角色擁有不同的許可權，乙個角色實際上就是一組許可權的集合。而系統的所有使用者都會被分配到不同的角色中，乙個使用者可能擁有多個角色。使用rbac可以極大地簡化許可權的管理。
rbac模型還可以細分為rbac0，rbac1，rbac2，rbac3。這裡我們不討論他們之間的差異，感興趣的同學可以自行研究，我們主要聚焦於常見的rbac0模型上。
如下圖就是乙個經典rbac0模型的資料庫設計。
在rbac模型下，系統只會驗證使用者a是否屬於角色rolex，而不會判斷使用者a是否能訪問只屬於使用者b的資料datab。這種問題我們稱之為「水平許可權管理問題」。
列表資料許可權，主要通過資料許可權控制行資料，讓不同的人有不同的檢視資料規則；要實現資料許可權，最重要的是需要抽象出資料規則。
比如我們系統的商機資料，需要從下面幾個維度來控制資料訪問許可權。
銷售人員只能看自己的資料；
各大區的銷售經理只能看各區域的資料（安徽大區的銷售經理看安徽區域的商機資料），同理也適用於某bg分管領導只能看所在bg的商機資料；
財務人員只能看金額小於一萬的資料。
上面的這些維度就是資料規則。
這樣資料規則的幾個重點要素我們也明晰了，就是規則字段，規則表示式，規則值，上面三個場景對應的規則分別如下：
規則字段：建立人，規則表示式： = ，規則值：當前登入人
規則字段：所屬大區，規則表示式： = ，規則值：安徽大區
規則字段：銷售金額，規則表示式： < ，規則值：10000
規則字段配置說明：
條件表示式：大於/大於等於/小於/小於等於/等於/包含/模糊/不等於
規則值：指定值 ( 固定值/系統上下文變數 )
資料規則與資源的繫結很簡單，我們只需要建立乙個中間表即可，如下圖所示：
這樣資源就可以關聯上了資料規則。
在應用設計上我們需要乙個單獨的資料規則管理功能，方便我們錄入資料規則，然後在資源管理頁面（比如商機列表）上就可以選擇內建的資料規則進行資源與規則的繫結。
那麼如何讓不同的使用者擁有不同的資料規則呢？
在rbac模型中，使用者是通過授予不同的角色來進行資源的管理，同理我們可以讓角色在授予許可權的時候關聯上資料規則，這樣最終在系統上就體現為不同的使用者擁有不同的資料規則。
有點拗口，我們還是按上面的例子來說。
銷售人員、大區銷售經理、財務人員屬於不同的角色，他們都擁有商機列表這個資源許可權，但是在給這些角色繫結商機列表資源許可權時我們可以勾選對應的資料規則（上面已經實現資源與資料規則的繫結）。體現在資料庫設計中我們可以在角色資源對應關係表role_permission中新增乙個字段用於儲存關聯的資料規則，如果有多個資料規則可以使用分隔符分割。
最終rbac模型演變成如下所示的模型：
按照上面的設計我們需要區分各個大區管理的資料許可權則需要建立不同的大區角色，如安徽大區銷售經理、上海大區銷售經理，然後分別給角色勾選對應的資料規則。這裡就類似於rbac1中的角色繼承的概念了。
這樣我們就基本實現了rbac與資料規則的繫結，但是我們還有個問題就是如何在系統中落地。
這裡我們就要借助大名鼎鼎的aop來實現了，這篇文章只講原理不講實現，所以我們只順帶提一下實現方案。
自定義乙個資料許可權的註解，比如叫permissiondata
在對應的資源請求方法，比如商機列表上新增自定義註解@permissiondata
利用aop抓取到使用者對應角色的所有資料規則並進行sql拼接，最終在sql層面實現資料過濾。
在上面的設計中我們通過給不同角色繫結不同資料規則實現了資料許可權，但是考慮下面一種場景：某角色需要看到的資料範圍為 「所屬大區為安徽大區且事業部為消費者事業部的商機資料」，在這種場景裡按照我們之前的設計需要建立兩個資料規則：
所屬大區 = 安徽大區
所屬事業部 = 消費者事業部
然後再建立2個不同的角色，分別授予不同的資料規則，如果這樣的場景比較多的話很容易出現角色**的情況，所有我們這裡再抽取出資料規則組的概念。
乙個資料規則組有多個資料規則，資料規則之間通過and進行連線，放一張應用設計圖：
體現在資料庫設計中就變成了如下所示：
通過上面8張表的設計我們實現了rbac模型與資料許可權的結合，當然這裡還有繼續優化的空間。比如這裡的規則欄位和規則值我們可以抽取出對應的字典表，讓資料規則表去關聯這些字典字段，這樣在應用層配置資料規則的時候就不需要管理員手動填寫而是從字典項中去選擇了，減少了資料規則配置出錯的概率。
rbac許可權管理設計 RBAC使用者角色許可權設計方案
rbac role based access control，基於角色的訪問控制 就是使用者通過角色與許可權進行關聯。簡單地說，乙個使用者擁有若干角色，每乙個角色擁有若干許可權。這樣，就構造成 使用者 角色 許可權 的授權模型。在這種模型中，使用者與角色之間，角色與許可權之間，一般者是多對多的關係。...
RBAC許可權管理
rbac role based access control，基於角色的訪問控制 就是使用者通過角色與許可權進行關聯。簡單地說，乙個使用者擁有若干角色，每乙個角色擁有若干許可權。這樣，就構造成 使用者 角色 許可權 的授權模型。在這種模型中，使用者與角色之間，角色與許可權之間，一般者是多對多的關係。...
RBAC許可權管理
rbac role based access control，基於角色的訪問控制 就是使用者通過角色與許可權進行關聯。簡單地說，乙個使用者擁有若干角色，每乙個角色擁有若干許可權。這樣，就構造成 使用者 角色 許可權 的授權模型。在這種模型中，使用者與角色之間，角色與許可權之間，一般者是多對多的關係。...