概述
采用“基于特权”与“基于角色”两种方式来进行系统的安全管理 。混合使用这两种方式来进行安全管理是由本系统工作台的构建特点决定的。
| 进入工作台后，可以看到系统的操作界面类似下图1：在下方有一组tab页，不同的功能归集在不同的tab页下。普通操作员拥有“日常”，“工作”，“报表”，“帮助”这几个tab页的操作权限。当在人员管理中赋与了某操作员“允许进行系统管理”的权限后，他就拥有了“系统”tab页的操作权限。这种粗犷的权限管理我们称之为“基于特权”的安全管理模式。此模式的优点是设置简单，权限层次也简单，不足是过于粗犷，无法进行精细化的完全管理。因此，“基于特权”的安全管理模式可以理解为“基于固定工作台，固定角色（普通操作员，系统管理员）的权限管理”。 | |
“基于角色”的权限管理允许更精细的完全控制。它包含“资源”，“操作”，“角色”，“用户”几层概念。
“资源”：在系统工作台中定义的工作台目录或链接地址。可形象地理解为能够用浏览器打开的链接地址。或一组链接地址所在的工作台目录。自定义的工作台及链接称为“自定义资源”，系统固有的工作台链接称为“固有资源”。
“操作”：对资源的操作。每个资源都有一个基本操作，即“打开”。即是否允许在浏览器中打开该资源目录或地址。不同的资源可能还具有不同的操作。比如单据资源还具有“新增单据”，“编辑单据”，“删除单据”，“打印单据”等操作。
“角色”：对资源授权的定义就是角色。角色是一个虚拟的概念，它表示的是一组授权的集合。角色允许继承。被继承的角色称为“父角色”，因继承而产生的角色称为“子角色”。角色仅允许单一继承。即一个角色仅允许有一个父角色，而一个角色可以拥有多个子角色。这样的继承关系最终将呈现一颗角色树（如图3）。子角色自动继承了父角色的所有权限设置，并可以根据需要对子角色的权限进行修改。
“用户”：即系统注册用户，用户可以扮演某（几）个角色。他所扮演角色权限的并集将是该用户所拥有的权限。当他所扮演角色权限之间有冲突时，遵循“授与”优先的原则。比如张三他是“普通员工”和“经理”这两个角色。“普通员工”不拥有“月销量统计报表”的操作权限，而“经理”拥有“月销量统计报表”的操作权限，在“月销量统计报表”这个资源上，“普通员工”与“经理”的权限设置是不一至的。按照“授与”优先的原则，张三最终是拥有“月销量统计报表”的操作权限。
看图2，其中红框中的部分是自定义的工作台。也就是上文提到的“自定义资源”。自定义工作台可以在“系统”tab页中的“系统工作台管理”中进行设置
角色的权限规则