如何解决网站多用户权限管理

通过URL匹配控制访问权限，也就是在用户请求（response）某个URL的时候，查看该用户是否有这个权限。这个“查看”是在一个Filter中进行的。判断用户是否有权限的标准是在一个xml文件中配置的。Dtd文档如下
如：Java代码
1.<?xml version="1.0" encoding="UTF-8"?>
2.
3.
4.<!ELEMENT privilege (globe-error?,allmapping,user-name,mapping*)>
5.<!ELEMENT globe-error (#PCDATA)>
6.<!ELEMENT allmapping (#PCDATA)>
7.<!ELEMENT user-name (#PCDATA)>
8.<!ELEMENT mapping (error?, message)>
9.<!ELEMENT error (#PCDATA)>
10.<!ELEMENT message (#PCDATA)>
11.
12.<!ATTLIST globe-error redirect (false|true) "false">
13.<!ATTLIST error redirect (false|true) "false">
14.<!ATTLIST mapping
15. name CDATA #REQUIRED
16. url CDATA #REQUIRED
17. code CDATA #REQUIRED>
18.<!ATTLIST message key CDATA #IMPLIED >
<?xml version="1.0" encoding="UTF-8"?>
<!ELEMENT privilege (globe-error?,allmapping,user-name,mapping*)>
<!ELEMENT globe-error (#PCDATA)>
<!ELEMENT allmapping (#PCDATA)>
<!ELEMENT user-name (#PCDATA)>
<!ELEMENT mapping (error?, message)>
<!ELEMENT error (#PCDATA)>
<!ELEMENT message (#PCDATA)>
<!ATTLIST globe-error redirect (false|true) "false">
<!ATTLIST error redirect (false|true) "false">
<!ATTLIST mapping
name CDATA #REQUIRED
url CDATA #REQUIRED
code CDATA #REQUIRED>
<!ATTLIST message key CDATA #IMPLIED >
Xml文档的核心是mapping元素，有url，code属性(必选)和error，message子元素。url表示匹配的URL，code是
权限码，当用户的权限码符合这里的配置的权限码时，就认为用户用权限访问该URL，name属性唯一表示一个mapping。allmapping元素是
的内容所有mapping元素name的集合，每个name之间用一个符号隔开，比如’|’或’,’都可以，用来帮助自动生成权限码，后面详细说明。
Error(可选，如果没有则使用globe-error)是用户无权限时显示的错误页面，redirect属性(可选)制定forward到错误页面还
是redirect到forward页面。message指定返回的错误信息(支持国际化)。
用户的权限码存放在用户的session中，由于我习惯上把用户信息放在一个User对象中，再保存到session中，所以这里我的想法是User对象中有个属性表示用户权限码，比如可以这样获取：
Java代码
1.pcode=(User)session.getAttribute("user").getCode();//pcode就是用户权限码
pcode=(User)session.getAttribute("user").getCode();//pcode就是用户权限码
下面就开始说权限是如何设定的了。

先说说linux的文件权限设定，比如设定一个文件的权限111010010(所有者读写执行，同组读，其他人读)，用了三组三位的二进制数，第一组是文
件所有者，第二组是和所有者在同一组的用户，第三组是和所有者没有任何关系的其他人。每一组中，第一位表示“读”的权限，第二位表示“写”的权限，第三位
表示“执行”的权限。好，我们的权限表示方法也出现了，allmapping元素的作用也显示出来了。allmapping中有n的mapping设
定，mapping中name出现的顺序是有意义的，不过开发者不用关心它的顺序，让大家注意顺序是为了下面说明的更方便点。例如：
Java核心代码
1.<allmapping>read|add|delete<allmapping>
2.<mapping name=”read” url=”/read.do”>
3. <error>/errorpage.jsp</error>
4. <message key=”error.read”>没有权限读取的信息</message>
5.</mapping>
6.<mapping name=”add” url=”/add.do”>
7. <error>/errorpage.jsp</error>
8. <message key=”error.add”>没有权限添加的信息</message>
9.</mapping>
10.<mapping name=”delete” url=”/delete.do”>
11. <error>/errorpage.jsp</error>
12. <message key=”error.delete”>没有权限删除的信息</message>
13.</mapping>
<allmapping>read|add|delete<allmapping>
<mapping name=”read” url=”/read.do”>
<error>/errorpage.jsp</error>
<message key=”error.read”>没有权限读取的信息</message>
</mapping>
<mapping name=”add” url=”/add.do”>
<error>/errorpage.jsp</error>
<message key=”error.add”>没有权限添加的信息</message>
</mapping>
<mapping name=”delete” url=”/delete.do”>
<error>/errorpage.jsp</error>
<message key=”error.delete”>没有权限删除的信息</message>
</mapping>
用户的权限最终表示成一个二进制数，当用户访问一个URL是，如果第i个mapping匹配了这个URL，就检查用户权限二进制数的第i位，如果该位为1说明用户有此权限，为0则说明用户无此权限。
OK，那么怎么设定用户权限呢？总不能随便给一串二进制数吧！当然不能。下面是两个设定用户权限的方法：

一：用户权限用二进制数表示，在负责权限管理的类中(所有的一切和validation一样，应该是有一个类库的)有getCode(mapping-
name)方法，getCode返回一个n位二进制串，如果名字为mapping-name的mapping在第i位，则此二进制数的第i位为1，其他位
为0。如果用户设定的权限有read和add，使用getCode(“read”)和getCode(“add”)获得两串权限码，再进行按位或运算就得
到用户的最终权限码，用上面的设置，getCode(“read”)返回”100”,getCode(“add”)返回”010”，用户的权限码就是
100|010=110，也就是读和添加权限。

二：用户权限用十进制数表示，经常用linux的朋友可能更喜欢这种方式，因为大家都喜欢用”chmod 744
文件名”的方式设定文件权限。这种方式中，负责权限管理的类返回的是一个10进制数，这个十进数的值和上面说的二进制数的值是相等的，比如二进制返回
100，十进制就是4(二进制转十进制嘛！)。和上面相似，这次不是按位或运算，而是直接加运算。
还是设置读和添加权限，getCode(“read”)返回4,getCode(“add”)返回2,用户权限的表示就是2+4=6.
上面是总体方案，在具体实现时，用一个长整型数表示权限。还设计了一个接口：
Java代码
1.Privilege{
2. public long getPrivilege()
3.}//User对象应该实现这个接口，这样在Filter中我们使用
4.Privilege p=(Privilege)session.getAttribute("user");
5.p.getPrivilege();
Privilege{
public long getPrivilege()
}//User对象应该实现这个接口，这样在Filter中我们使用
Privilege p=(Privilege)session.getAttribute("user");
p.getPrivilege();就可以获取权限码。
其他细节还有url可以使用正则表达式，如果用户请求的url匹配多个配置项，那么只有用户的权限匹配所有的要求时才能算通过。这也安全性好一点。对没有配置的url，默认全部不需要任何权限，即任何人可访问。
在前台，我们一般都不会显示不想用户看到的超链接。比如对一个只有发布新闻的用户，肯定不想他看到删除新闻的链接。我的方案是在设计一个标签<privilege>有url属性，表示下面的操作要访问的url。如删除新闻：
Java代码
1.<privilege url="/deletenews.do">other</privilege>
<privilege url="/deletenews.do">other</privilege>
标签的大致实现是：获取当前用户权限码，获取配置文件中url的权限码。如果当前用户的权限不足以访问该url，则skipbody，否则eavlbody。(可以省去一堆if)。