在用SSH框架中-------角色、权限----设计问题？？

[zljjava]

在用SSH框架设计用户的角色和权限时，如何将增删改查的操作（功能）和资源（具体页面、具体表）联系起来？

我想的办法是将每个action（action_id,action_name）都写入数据库，每个角色的java实体类中再加入set的集合（集合的元素是action）。

这样，肯定每次页面跳转的时候都要验证一下action是不是这个用户的，不太合适吧？

求高手告知 更好的方法，最好能贴下数据库表结构...

[yu111]

你是要把增删改查都赋予权限？
还是每个模块的菜单权限？

[zljjava]

每个模块的菜单权限，就是不同角色的用户登录会有不同的效果...

[zljjava]

不同用户登录会显示不同的界面，权限越高，显示条目越多，权限越低的显示的越少...

[yangping9152]

虽然加了字段，但是我不知道该怎么写啊！尤其是，我不想在登陆界面显示普通用户的管理员的分类，所以就不知道该怎么做了！

[shenjianox]

多对一
user------>roles------------->roles_action
|
|
|
action------------>
一个用户只属于一个角色，角色和资源是多对多的关系，这是最简单的权限了

[shenjianox]

草 刚写的时候不是这个样子发布之后 怎么回事这个样子呢

[yangping9152]

我也不会写用户权限的问题，我是在用户表中加了一个flag字段，可是不知道怎么用，我本来是想在action中跳转页面的时候，加一个判断，可是不知道该加什么判断，而且我不想在登陆界面显示一个下拉框分为普通用户和管理员，该怎么写啊！求助啊！谢谢！！

[苗子001]

你已经加了一个字段，可不可以用该字段代表有此权限或者无权限，应该是每个操作前都需要判断有无权限。

[chenw323]

LZ你可以采用RABC的权限设计.
把action地址存到资源表中 资源跟权限绑定 权限跟角色绑定
然后用户登录的时候,根据用户拥有的角色获取到他能访问的资源
然后根据根据你访问的URL地址判断是否有权限即可.

[银河指北]

用户属于用户组（角色），用户组拥有很多权限，权限可被多个用户组拥有

用户 N:1 用户组（角色）； 用户组（角色） N:N 权限

不每次查数据库的话，就在登录时将权限一次性放到session里，每次访问查session。不过这样的话，管理员更改某用户组权限后，怎样限制已登录用户的权限就比较麻烦了。

[银河指北]

我当时做的时候，权限表里存放的是Action和JSP页面的路径，用Filter过滤所有访问，然后向某个Action转发，之后用Interceptor拦截这个访问，再进行数据库查询。之所以这样是因为Filter不能注入。另外Filter和Interceptor各自的拦截规则挺有意思的，在web.xml里放置的顺序也会造成不同的效果，你可以自己试一下。

[zljjava]

[Quote=引用 11 楼 的回复:]

我当时做的时候，权限表里存放的是Action和JSP页面的路径，用Filter过滤所有访问，然后向某个Action转发，之后用Interceptor拦截这个访问，再进行数据库查询。之所以这样是因为Filter不能注入。另外Filter和Interceptor各自的拦截规则挺有意思的，在web.xml里放置的顺序也会造成不同的效果，你可以自己试一下。
[/Quote]

和我的思维很相符，但是我一直在想这样的话，肯定效率上不高，每次发一个请求都要访问数据库，我觉得不好...