Asp.net - 權限管理總結(附MVC權限管理系統源碼)

一步一步Asp.Net MVC系列_權限管理總結(附MVC權限管理系統源碼)

 

TZHSWEET：請大家多多反饋問題，我已經在修改中了，已更新版本。。。。。。

如果大家遇到數據庫附加問題，EF連接字符串問題，請自行配置,如果有bug反饋可以私聊，我的qq：409180955。

 

在上一節中我們總結了關於權限控制的方式,我們這一節講解關於權限控制中角色權限的授予處理等等並做本系列的總結.

 

首先,我們來談談權限控制中角色權限的控制,上一節只是針對權限攔截中比較粗的控制,如果我們需要對每一個動作做細致的權限認證,我們仍然進一步設計權限處理.

比如:我們分配給一個角色只有瀏覽日志的權限,不允許他進行其他動作,針對這種細的粒度,我們就必須專門進行處理,就是關於角色動作驗證的處理

當然,我們的數據庫設計就必須就需要進一步改進.

這是我們的EF關系圖:

主要看看關於tbModule,tbPermission部分,都是采用樹形設計,為什么這樣設計呢?

首先,我們必須要承認,Module也就是模塊,應該是多層次的,就像我們的菜單,是很多級的一樣,這種多層次需要我們設計成樹形,授予權限,我們就可以很輕松的設計成樹形進行處理.

其次,關於tbPermssion,這個是權限,但是這個權限應該也是樹形結構,比如我們設計一個菜單模塊權限細分分為多種,增刪改查,訪問,等等,一個訪問可能對應多種ajax請求,比如一個ajax讀取Grid信息,一個ajax讀取Tree信息,如果我們要做細致處理就要對應做多級處理,雖然,小型項目用不到,但是,我們的數據庫設計擁有很大的靈活性.

權限可以細分,我們授權的時候,也不會不方便,只需要前端處理的合理,做好關聯的處理,

但是,如果一個Update可能有多個子集Action方法,比如Get方法,例如:部門信息管理,我們一個更新動作,是先Get部門信息,然后在進行修改以后Update,所以,Get動作就是Update的子集操作,如果我們這個都控制,小型項目會變得太過復雜,怎么處理這種東西呢?

 

這時候我們之前的Attribute設計的多種權限處理就派上用場了.

 

首先,對於多種ajax動作,如果不是對數據庫很較大影響的,對於小型項目,我們根本不用管它,直接標記為只要登陸即可訪問,比如Get,GetGridTree之類的,讀取信息這類的子集動作,直接給他個默認的LoginAllowView標記(登錄即可訪問),對於更高粒度,我們當然要進行細致的控制.

 

這樣,我們的小型項目的Action控制基本上就兩級,也就是控制在增刪改查這個級別,

如果我們需要更高粒度的控制,只需要去掉LoginAllowView標記,在程序中對應添加Permission,並繼續給我們的Action添加子集操作,比如Add關聯子集的那些動作,全部錄入到數據庫中,雖然過程會長一點,但是我們可以通過UI設計的更友好來處理它.

把每一個具體操作關聯的Action都錄入處理,我們就可以了,當然我們的數據庫設計就必須合理,必須有ParentID字段,用來控制樹形結構.

 

 

 

 

針對權限的處理我們就到一段落,接下來,上演關於LigerUI項目中學到的一個東西,公共查詢組件的設計:

曾幾何時我們拼接查詢語句來設計各種搜索的高級功能,搜索,成了一塊心病,這是一年前,剛開始學的時候做一個搜索的設計,拼接查詢語句,

每一次的模塊都是靠后台手工編碼sql來設計邏輯

看到這里是不是已經吐了?????

我看了以前的東西都已經受不了了.....

也接觸到了LigerUI關於Filter過濾器組件以及后台的設計,也發現一位牛人海南胡勇的組合搜索設計,

這給了我一個相當大的思路,就是設計一個通用組合搜索組件,提高復用率,設計一種解析翻譯規則,我們只需要按照規則提供數據,把sql解析的工作交給組件.

這種設計是相當的震撼,而且web的開發方式可以把where放在客戶端,可以在不改變后台代碼的前提下,更大程度上去設計查詢.

LigerUI的作者那個權限管理,我研究了好久,Filter也看了好久,這里談談心得:

主要的模塊就是這幾塊:

FilterGroup:查詢條件組合數組

FilterParam:查詢參數集合

FilterRule:規則數組

FilterTranslator:翻譯機(專門負責把數據以及條件翻譯成sql語句)

重要:當然為了安全性考慮我們必須對翻譯機過程中的數據做校驗處理

 

  /// <summary>
    /// 用於存放過濾參數,比如一個是名稱,一個是值,等價於sql中的Parameters
    /// </summary>
    public class FilterParam
    {
        public FilterParam(string name, object value)
        {
            this.Name = name;
            this.Value = value;
        }
        public string Name { get; set; }
        public object Value { get; set; }
        /// <summary>
        /// 轉化為ObjectParameter可變參數
        /// </summary>
        /// <returns></returns>
        public ObjectParameter ToObjParam()
        {
            ObjectParameter param = new ObjectParameter(this.Name,this.Value);
            return param;
        }
        /// <summary>
        /// 為查詢語句添加參數
        /// </summary>
        /// <param name="commandText">查詢命令</param>
        /// <returns></returns>
        public static string AddParameters(string commandText,IEnumerable<FilterParam> listfilter)
        {
            foreach (FilterParam param in listfilter)
            {
                if (param.Value.IsValidInput())
                {
                  commandText=commandText.Replace("@"+param.Name,"'"+ param.Value.ToString()+"'");
                }

            }
            return commandText;
        }
        /// <summary>
        /// 轉化為ObjectParameter可變參數
        /// </summary>
        /// <param name="listfilter"></param>
        /// <returns></returns>
        public static ObjectParameter[] ConvertToListObjParam(IEnumerable<FilterParam> listfilter)
        {
            List<ObjectParameter> list = new List<ObjectParameter>();
            foreach (FilterParam param in listfilter)
            {
                list.Add(param.ToObjParam());
            }
            return list.ToArray();
        }

 /*  作者：       tianzh
 *  創建時間：   2012/7/22 22:05:45
 *
 */
 /*  作者：       tianzh
 *  創建時間：   2012/7/22 15:34:19
 *
 */
namespace TZHSWEET.Common
{
    public class FilterRule
    {
        /// <summary>
        /// 過濾規則
        /// </summary>
        public FilterRule()
        {
        }
        /// <summary>
        /// 過濾規則
        /// </summary>
        /// <param name="field">參數</param>
        /// <param name="value">值</param>
        public FilterRule(string field, object value)
            : this(field, value, "equal")
        {
        }
        /// <summary>
        /// 實例化
        /// </summary>
        /// <param name="field">參數</param>
        /// <param name="value">值</param>
        /// <param name="op">操作</param>
        public FilterRule(string field, object value, string op)
        {
            this.field = field;
            this.value = value;
            this.op = op;
        }
        /// <summary>
        /// 字段
        /// </summary>
        public string field { get; set; }
        /// <summary>
        /// 值
        /// </summary>
        public object value { get; set; }
        /// <summary>
        /// 操作
        /// </summary>
        public string op { get; set; }
        /// <summary>
        /// 類型
        /// </summary>
        public string type { get; set; }
    }
}

剩下個工作就是交給翻譯機進行翻譯:(對作者的版本做了修改)

 /*  作者：       tianzh
 *  創建時間：   2012/7/22 22:05:49
 *
 */
using System;
using System.Collections;
using System.Collections.Generic;
using System.Text;
using System.Linq;
using System.Data.Objects;
namespace TZHSWEET.Common
{


    /// <summary>
    /// 將檢索規則 翻譯成 where sql 語句,並生成相應的參數列表
    /// 如果遇到{CurrentUserID}這種，翻譯成對應的參數
    /// </summary>
    public class FilterTranslator
    {
        //幾個前綴/后綴
        /// <summary>
        /// 左中括號[(用於表示數據庫實體前的標識)
        /// </summary>
        protected char leftToken = '[';
        /// <summary>
        /// 用於可變參替換的標志
        /// </summary>
        protected char paramPrefixToken = '@';
        /// <summary>
        /// 右中括號(用於表示數據庫實體前的標識)
        /// </summary>
        protected char rightToken = ']';
        /// <summary>
        /// 組條件括號
        /// </summary>
        protected char groupLeftToken = '(';
        /// <summary>
        /// 右條件括號
        /// </summary>
        protected char groupRightToken = ')';
        /// <summary>
        /// 模糊查詢符號
        /// </summary>
        protected char likeToken = '%';
        /// <summary>
        /// 參數計數器
        /// </summary>
        private int paramCounter = 0;

        //幾個主要的屬性
        public FilterGroup Group { get; set; }
        /// <summary>
        /// 最終的Where語句(包括可變參占位符)
        /// </summary>
        public string CommandText { get; private set; }
        /// <summary>
        /// 查詢語句可變參數數組
        /// </summary>
        public IList<FilterParam> Parms { get; private set; }
        /// <summary>
        /// 是否為Entity To Sql 生成where翻譯語句(Entity To Sql就需要在實體前面加it,例如it.ID=@ID and it.Name-@Name)
        /// 否則為普通的SQL語句可變參拼接
        /// </summary>
        public bool IsEntityToSql { get; set; }
        public FilterTranslator()
            : this(null)
        {
            IsEntityToSql = false;
        }
        /// <summary>
        /// 構造函數
        /// </summary>
        /// <param name="group"></param>
        public FilterTranslator(FilterGroup group)
        {
            this.Group = group;
            this.Parms = new List<FilterParam>();
        }

        /// <summary>
        /// 翻譯語句成sql的where查詢條件
        /// </summary>
        public void Translate()
        {
            this.CommandText = TranslateGroup(this.Group);
        }
        /// <summary>
        /// 對多組規則進行翻譯解析
        /// </summary>
        /// <param name="group">規則數組</param>
        /// <returns></returns>
        public string TranslateGroup(FilterGroup group)
        {
            StringBuilder bulider = new StringBuilder();
            if (group == null) return " 1=1 ";
            var appended = false;
            bulider.Append(groupLeftToken);
            if (group.rules != null)
            {
                foreach (var rule in group.rules)
                {
                    if (appended)
                        bulider.Append(GetOperatorQueryText(group.op));
                    bulider.Append(TranslateRule(rule));
                    appended = true;
                }
            }
            if (group.groups != null)
            {
                foreach (var subgroup in group.groups)
                {
                    if (appended)
                        bulider.Append(GetOperatorQueryText(group.op));
                    bulider.Append(TranslateGroup(subgroup));
                    appended = true;
                }
            }
            bulider.Append(groupRightToken);
            if (appended == false) return " 1=1 ";
            return bulider.ToString();
        }

        /// <summary>
        /// 注冊用戶匹配管理，當不方便修改ligerRM.dll時，可以通過這種方式，在外部注冊
        ///  currentParmMatch.Add("{CurrentUserID}",()=>UserID);
        /// currentParmMatch.Add("{CurrentRoleID}",()=>UserRoles.Split(',')[0].ObjToInt());
        /// </summary>
        /// <param name="match"></param>
        public static void RegCurrentParmMatch(string key,Func<int> fn)
        {
            if (!currentParmMatch.ContainsKey(key))
                currentParmMatch.Add(key, fn);
        }

        /// <summary>
        /// 匹配當前用戶信息，都是int類型
        /// 對於CurrentRoleID，只返回第一個角色
        /// 注意這里是用來定義隱藏規則,比如,用戶只能自己訪問等等,
        /// </summary>
        private static Dictionary<string, Func<int>> currentParmMatch = new Dictionary<string, Func<int>>()
        {};
        /// <summary>
        /// 翻譯規則
        /// </summary>
        /// <param name="rule">規則</param>
        /// <returns></returns>
        public string TranslateRule(FilterRule rule)
        {

            StringBuilder bulider = new StringBuilder();
            if (rule == null) return " 1=1 ";

            //如果字段名采用了 用戶信息參數
            if (currentParmMatch.ContainsKey(rule.field))
            {
                var field = currentParmMatch[rule.field]();
                bulider.Append(paramPrefixToken + CreateFilterParam(field, "int"));
            }
            else //這里實現了數據庫實體條件的拼接,[ID]=xxx的形式
            {

               //如果是EF To Sql
                if (IsEntityToSql)
                {
                    bulider.Append(" it." + rule.field+" ");
                }
                else
                {
                    bulider.Append(leftToken + rule.field + rightToken);
                }
            }
            //操作符
            bulider.Append(GetOperatorQueryText(rule.op));

            var op = rule.op.ToLower();
            if (op == "like" || op == "endwith")
            {
                var value = rule.value.ToString();
                if (!value.StartsWith(this.likeToken.ToString()))
                {
                    rule.value = this.likeToken + value;
                }
            }
            if (op == "like" || op == "startwith")
            {
                var value = rule.value.ToString();
                if (!value.EndsWith(this.likeToken.ToString()))
                {
                    rule.value = value + this.likeToken;
                }
            }
            if (op == "in" || op == "notin")
            {
                var values = rule.value.ToString().Split(',');
                var appended = false;
                bulider.Append("(");
                foreach (var value in values)
                {
                    if (appended) bulider.Append(",");
                    //如果值使用了 用戶信息參數 比如： in ({CurrentRoleID},4)
                    if (currentParmMatch.ContainsKey(value))
                    {
                        var val = currentParmMatch[value]();
                        bulider.Append(paramPrefixToken + CreateFilterParam(val, "int"));
                    }
                    else
                    {
                        bulider.Append(paramPrefixToken + CreateFilterParam(value, rule.type));
                    }
                    appended = true;
                }
                bulider.Append(")");
            }
            //is null 和 is not null 不需要值
            else if (op != "isnull" && op != "isnotnull")
            {
                //如果值使用了 用戶信息參數 比如 [EmptID] = {CurrentEmptID}
                if (rule.value != null && currentParmMatch.ContainsKey(rule.value.ObjToStr()))
                {
                    var value = currentParmMatch[rule.value.ObjToStr()]();
                    bulider.Append(paramPrefixToken + CreateFilterParam(value, "int"));
                }
                else
                {
                    bulider.Append(paramPrefixToken + CreateFilterParam(rule.value, rule.type));

                }
            }
            return bulider.ToString();
        }
        /// <summary>
        /// 創建過濾規則參數數組
        /// </summary>
        /// <param name="value"></param>
        /// <param name="type"></param>
        /// <returns></returns>
        private string CreateFilterParam(object value,string type)
        {

            string paramName = "p" + ++paramCounter;
            object val = value;


            ////原版在這里要驗證類型
            //if (type.Equals("int", StringComparison.OrdinalIgnoreCase) || type.Equals("digits", StringComparison.OrdinalIgnoreCase))
            //    val = val.ObjToInt ();
            //if (type.Equals("float", StringComparison.OrdinalIgnoreCase) || type.Equals("number", StringComparison.OrdinalIgnoreCase))
            //    val = type.ObjToDecimal();

            FilterParam param = new FilterParam(paramName, val);
            this.Parms.Add(param);
            return paramName;
        }

        /// <summary>
        /// 獲取解析的參數
        /// </summary>
        /// <returns></returns>
        public override string ToString()
        {
            StringBuilder bulider = new StringBuilder();
            bulider.Append("CommandText:");
            bulider.Append(this.CommandText);
            bulider.AppendLine();
            bulider.AppendLine("Parms:");
            foreach (var parm in this.Parms)
            {
                bulider.AppendLine(string.Format("{0}:{1}", parm.Name, parm.Value));
            }
            return bulider.ToString();
        }

        #region 公共工具方法
        /// <summary>
        /// 獲取操作符的SQL Text
        /// </summary>
        /// <param name="op"></param>
        /// <returns></returns>
        public static string GetOperatorQueryText(string op)
        {
            switch (op.ToLower())
            {
                case "add":
                    return " + ";
                case "bitwiseand":
                    return " & ";
                case "bitwisenot":
                    return " ~ ";
                case "bitwiseor":
                    return " | ";
                case "bitwisexor":
                    return " ^ ";
                case "divide":
                    return " / ";
                case "equal":
                    return " = ";
                case "greater":
                    return " > ";
                case "greaterorequal":
                    return " >= ";
                case "isnull":
                    return " is null ";
                case "isnotnull":
                    return " is not null ";
                case "less":
                    return " < ";
                case "lessorequal":
                    return " <= ";
                case "like":
                    return " like ";
                case "startwith":
                    return " like ";
                case "endwith":
                    return " like ";
                case "modulo":
                    return " % ";
                case "multiply":
                    return " * ";
                case "notequal":
                    return " <> ";
                case "subtract":
                    return " - ";
                case "and":
                    return " and ";
                case "or":
                    return " or ";
                case "in":
                    return " in ";
                case "notin":
                    return " not in ";
                default:
                    return " = ";
            }
        }
        #endregion

    }
}

可能大家說,這玩意怎么用呀?LigerUI做了一個專門針對組合查詢的組件,也可以自己去寫,有了開源的代碼,相信我們自己也可以寫出自己的組件.

我們前台的搜索設計就更容易了:

看看我的日志搜索模塊怎么設置的搜索

      //搜索表單應用ligerui樣式
      $("#formsearch").ligerForm({
          fields: [
           {display: "用戶名", name: "UserName", newline: true, labelWidth: 100, width: 220, space: 30, type: "text",
                attr: { op: "equal" }, cssClass: "field"}
                ,
           { display: "IP地址", name: "IPAddress", newline: false, labelWidth: 100, width: 220, space: 30, type: "text", cssClass: "field"},
           { display: "開始時間", name: "CreateDate", newline: true, labelWidth: 100, width: 220, space: 30, type: "date", cssClass: "field", attr: { "op": "greaterorequal"}},
           { display: "結束時間", name: "CreateDate", newline:false , labelWidth: 100, width: 220, space: 30, type: "date", cssClass: "field", attr: { "op": "lessorequal"}}
           ],
          appendID: false,
          toJSON: JSON2.stringify
      });

      //增加搜索按鈕,並創建事件
      LG.appendSearchButtons("#formsearch", grid);

也就是說,我們只需要設置規則,甚至可以自己去按照json格式傳遞給后台我們的規則就可以了,比如:

如果我們的Grid想設計條件,可以直接這么加

直接把這個where條件json化傳遞給后台就可以實現我們的按照條件查詢Grid功能了.

這時候,大家想到了什么?

我們把條件where的部分更多的分擔在UI層,我們的后台業務邏輯只需要解析where就可以再不改變業務邏輯的的條件下實現更復雜的業務邏輯.

 

其實,海南胡勇那位牛人設計的winform查詢組件也是這個道理.

如果你還停留在拼接查詢語句階段,可以看看他們的設計.

 

 

 

最后,整個項目實際上,我非常不滿意的是架構,這部分太差了,沒有真正的公司工作經驗,僅僅是粗淺的理解,深入學習,<<企業架構模式>>這本書買了也看不懂,缺少真正的工作經驗,談架構就是扯淡,所以,大家見諒.

 

 

如果覺得不錯就推薦一下,支持一下吧!呵呵!

 

感謝,博客園的眾多牛人提供了太多的學習資料和項目,讓我們這些沒有畢業的學生也有更多的學習資料.

這里也提供源碼分享給更多學習的人.

 

 

注:推薦使用IE9,或者谷歌!IE8出現了BUG......呃!另外忘了說了，這個是vs2010開發，數據庫是sql2005。。請確保安裝mvc3，vs2010，sql2005。。。。。額。。。

 

目前1.1下載版本

附帶源碼網盤地址:http://pan.baidu.com/netdisk/singlepublic?fid=511632_114595096

設計的主要截圖:

出處： http://www.cnblogs.com/mysweet/archive/2012/08/07/2626954.html