第六章-用户和权限管理

用户和权限管理

对于任何一个系统，我们都会关心它的安全性问题。我们需要控制不同的人，在网站的不同地方，在不同的阶段，能够拥有不同的权限。Plone具有一个强大的、柔性、精细粒度的安全性模式，可针对每个对象，为用户、组分配权限，支持委托授权。

本章首先介绍或在内容中穿插介绍所有相关的概念术语，以及介绍Plone中怎样管理用户和设置权限。同时深入Zope的权限介绍。并对管理用户的文件夹及相关作用做详细介绍，包括原理，及与其它服务集成，如 LDAP（Lightweight Directory Access Protocol: 轻量级目录访问协议）集成，关系数据库用户集成等。

本章适合网站管理员、系统管理员、系统集成人员阅读。本章学习重点：

?管理用户的概念

?在Plone控制面板中管理用户和组

?Plone权限设置

?深入权限管理

?认识ZMI中的用户管理文件夹

?与第三方认证集成

6.1 管理用户

6.1.1 用户、角色和组

在Plone中，用户（Users)、角色(Roles)和组(Groups)属于非常重要的概念，这里先对它们详细地介绍。

6.1.1.1 用户

每个访问Plone站点的人，都被称为用户(User) ，不管是否可以通过Plone认证。那些不能通过认证的用户被称为匿名用户(anonymouse users) 。匿名用户属于最低等级的用户，系统对他们有最多的限制。一旦用户登入系统，就会获得账户赋予的角色身份。一个用户是由其用户名唯一识别的，例如 joy 。

6.1.1.2 角色

Plone站点拥有一组角色，角色是权限的集合。一般有系统集成人员在ZMI中预先定义每个角色拥有的权限，而Plone中不提供角色的设置界面。可以同时分配多个角色给一个用户，例如，一个用户可以是成员和管理员。每个角色也具有唯一的标识，如成员（Member）。

Plone有6个预设的角色，可以分为两种：可分配角色和不可分配角色。

不可分配的角色有：

?匿名用户(Anonymous)：指那些没有登录到系统中的用户，他们可能没有系统账户、或者有系统账户但只是没有登录。

?认证用户(Authenticated)：指所有已经登录到系统中的用户，不管他是什么角色。

一个用户不是匿名用户就是认证用户，这两种角色是互斥的。因为认证用户这种角色并不能在在用户分类上提供更多帮助，所以不推荐使用。

可分配的角色有：

?所有者(Owner)：如果用户创建一个内容对象后，即自动成为该内容的所有者。对被创建的内容对象而言，该角色只会赋予一个用户（创建它的用户），其所有者信

息被保存在这个内容对象本身。该角色的分配并不是显式操作的结果，而是Plone

自动完成的。

?成员(Members)：对于注册到Plone站点的用户而言，缺省即为成员角色。只要通过Plone界面中的注册链接方式加入的用户，都会具有该角色。

?审批人(Reviewer)：该角色用户拥有的权限比成员角色更多、但比管理员角色要少。

审批者用户可以编辑或审批由成员角色提交的内容；他们不可以修改系统配置或设置用户账户信息（这是管理员用户做的事情）。

?管理员(Manager)：管理员可以做任何事情，所以该角色只能赋予那些可信赖的开发人员或系统管理员。一个管理员用户可以删除、编辑内容对象，清除用户账户，改变系统配置，甚至删除整个Plone站点。所以一定要谨慎使用该角色！

Plone 3.0 引入了两个新的角色：

?查看人（Reader）：查看人可以查看所有状态的内容，并具有访问内容信息（Access content information）和查看文件夹列表（List folder contents）权限。

?编辑人（Editor）：编辑人具有编辑（Modify portal content）站点内容的权限。

6.1.1.3 用户组

组是用户的一个集合，组是用户的逻辑分类。例如，市场部的用户可以划分为一个组，而工程部的用户又可以划分为另外一个组。每个用户可以不属于任何组、也可以属于多个组。

6.1.2 Plone控制面板中管理用户和组

在《使用Plone》的章节中介绍Plone控制面板的时候，Plone控制面板中提供了用户和组管理。下面来介绍在Plone控制面板中管理用户和组。

6.1.2.1 用户管理

以网站管理员角色进入网站设置，然后进入这个用户和组管理页面如下图 6.1 ，这个设置页面分为两个标签页，分别设置用户和组。

【图 6.1】用户和组管理的用户标签页

在用户标签页中网站管理员可以通过【添加新用户】按钮添加新的用户。在下面的表格中可查找用户，单击【全部显示】显示所有用户。点击某个用户名，如 zopen ，可查看

和修改这个用户的详细信息，包括所属的用户组。点击信封图标可给他发送邮件，可以编辑邮件地址，可变更用户角色，可删除用户，还可重置用户的密码（会自动发送通知邮件）。

提示

并不是所有的用户数据源都支持【全部显示】功能，比如通过LDAP等连接的用户就不能显示。

6.1.2.2 组管理

组标签页如下图所示。

【图 6.2】用户和组管理的组标签页

这个界面很类似于成员管理的界面。在这里可以添加新的组。在表格中可搜索指定的组名。这里的组默认是全部（分页）显示的，可变更组的角色，还可删除组。点击某个组名，如 Administrators ，可添加组员和修改组属性，如下图是进入到 Administrators ，搜索到 zopen 用户，将其加入到 Administratros 组。

【图 6.3】用户和组管理－－添加用户到组中

图 6.3 中的组成员的页面中显示 Administrators 组的当前组成员，组成员可以是组也可以是用户，在当前组成员的表格中可以删除某一组/用户。在下面搜索新组员的表格中，可搜索到某一用户/组或全部显示，选中添加到 Administrators 组中。在这个页面的组属性标签页中可设置 Administrators 组的相关属性。

返回到组管理的页面，即图 6.2 。可看到这个页面中有角色管理的介绍，也清晰地描述了角色的概念，在上文中也有定义。可以添加新的角色，而这是一个开发工作，需要到Zope管理界面中去完成，下文中会详细介绍。

6.2 Plone权限设置

在Plone中设置内容的权限一般有三种方式：第一，针对用户/用户组设置系统角色；第二，针对内容设置内容共享；第三，设置内容为保密或发布状态。

第一种方式，针对用户/用户组设置系统角色，在上文中介绍通过Plone控制面板管理用户和用户组的时候已经了解到。为用户分配的系统角色，将在整个网站在所有的内容上都有效。下面介绍设置权限的另外两种方式。

6.2.1 设置内容共享

在《使用Plone》的章节中，了解了一些内容标签，在这里介绍设置内容的【共享】标签。

Plone中的所有内容都可以设置共享，可对单个文件也可以对整个文件夹，由内容的所有者或站点管理员可在【共享】标签页中操作完成。

在【共享】标签中可为用户或者组分配本地角色。和前面的系统角色不同，本地角色仅仅在所在内容或者文件夹下才有效。

默认情况下，在文件夹上的本地角色设置，文件夹中的内容会自动获取；也就是说文件夹中的内容，可继承父文件夹中的本地角色设置。因此，一般是对文件夹设置共享，而不必单独为文件夹中的每个内容设置。下图 6.4 是进入 stuff 文件夹的共享标签页看到的当前共享权限。

【图 6.4】设置共享权限－－stuff文件夹当前的共享权限

图中显示 plonespace 用户是此内容的所有者，而 admin 继承的所有者角色。在这个界面中可以对用户/组分配角色，同时也可以删除已存在的角色和用户/组。

6.2.1.1 给用户设置共享权限

在共享标签页的当前共享权限以下，可看到给用户授权的界面，如下图 6.5 .

【图 6.5】设置共享权限－－给用户授权(1)

通过多种搜索方式，如：用户登录名，邮件地址，或所在的组名来搜索用户。执行搜索后，此部分界面变成了下图 6.6 所示。

【图 6.6】设置共享权限－－给用户授权(2)

搜索结果中显示搜索到的内容，如果有多个也会同时显示多个，选中需分配的用户（图中是spring的用户），选择要分配的角色（图中分配为管理员），单击为【所选用户分配本地角色】即可。执行后，再看看当前的共享权限，如下图 6.7 。

【图 6.7】查看当前的共享权限

看到设置后在当前的共享权限的表格中多了spring用户的信息，他是此内容（stuff 文件夹）本地角色的管理员。spring用户是通过授权成为stuff文件夹的管理员，默认情况，spring 用户也自动获取了stuff文件夹子文件的管理员权限。

6.2.1.2 给组设置共享权限

为方便管理，一般成组设置角色。这样，只需要将用户加入到某个组，便可自动得到为组所分配的权限。

再看看给组添加共享权限的界面，如下图 6.8 .

【图 6.8】设置共享权限－－给组授权(1)

给出搜索条件，执行搜索后，此部分界面变成了下图 6.9 所示。

【图 6.9】设置共享权限－－给组授权(2)

也同样，搜索结果中显示搜索到的内容，如果有多个也会同时显示多个，选中需分配的组（图中是group1的组），选择要分配的角色（图中分配为管理员），单击【为所选组分配本地角色】即可。执行后，再看看当前的共享权限，如下图 6.10 。

【图 6.10】查看当前的共享权限

可看到设置后在当前的共享权限的表格中多了group1的信息，他的类型是组，他是此内容（stuff文件夹）本地角色的管理员。group1组也是通过授权获得stuff文件夹的管理员权限，同时也自动获取了 stuff 文件夹子文件的管理员权限

添加组的共享权限就非常的方便，而且也是经常处理的工作，比如，我们需要这个部门的用户都能管理某一个文件夹，也正好之前将这个部门的所有用户分配到建立的某个组，那么只需要通过给这个组设置共享管理员的权限即可。

6.2.1.3 高级设置

前面了解到某一内容都有可能有从上一级目录继承的角色。那么是否可以去除这个继承关系呢？是可以的。现在以文件夹中的某一内容为例，这样更能清楚地看到从上一级继承的角色。进入stuff文件夹的document页面的的共享标签页的底部，可看到如下图 6.11 所示。

【图 6.11】设置共享权限－－高级设置

如果是站点管理员所看到的就还有更改所有者的的部分。做为此内容的所有者看到此页面是没有更改所有者的部分。

去掉【从上层文件夹继承角色】的选项（默认是选择的），单击【应用设置项】后，可以看到此内容的当前共享权限，如下图 6.12 中。

【图 6.12】查看当前的共享权限

图中可看到从上一级目录，即stuff文件夹继承角色的用户/组都变成灰色了。他们已经不是document页面的某些角色，也不再拥有document页面的相关权限。

站点管理员用户可以更改内容的属主，每个内容有唯一的所有者，管理员可在更改所有者的部分按提示操作。这个设置不常用到，设置也比较简单，这里就不多介绍了。

6.2.1.4 Plone 3.0 中设置内容共享

上文中介绍的设置内容共享，设置过程还较复杂，较繁琐。一个设置内容共享的页面分成几个区域，导致共享的标签页很长，上文介绍的时候也不得不分成几个板块来分别介绍。下图 6.13 是 Plone 3.0 中设置内容共享的页面截图，Plone 3.0大大简化了权限的设置步骤。

【图 6.13】 Plone 3.0 中设置内容共享

Plone 3.0 设置内容共享的页面只用了一个搜索用户/组板块来设置本地角色，但同时多了编辑人，查看人的角色（上文中已介绍）。

6.2.2 调整内容的状态

调整文件夹的状态，比如保密、公开草案、发布等，这样可以设置文件夹下内容的保密级别。比如将文件夹设置为保密后，文件夹及文件夹下内容对除所有者和管理员的角色外所有的用户就没有显示的权限。当然直接对普通内容（文件，页面，图片等）也可单独设置内容状态。

【图 6.14】调整内容的状态

可查看《管理工作流》章节中的工作流权限明细表，据不同的要求调整内容状态，这个比较简单，在《使用Plone》的章节中也有部分介绍，这里就不过多介绍了。

6.3 深入权限管理

Plone提供了一个用户友好的权限设置界面，已经可以实现日常管理的权限设置。但您可能需要更多，更深入地了解Plone的权限，比如想了解是什么控制内容可查看，可编辑等，这需要您了解Zope的权限。Zope的权限非常细，也较为复杂，所以可进行更加精细的权限调整。实际当中，也并不需要了解这些细而复杂的权限，下面会介绍常用的权限设置。同时会介绍在Zope管理界面中如何添加新的角色，以及一些日常管理工作。

6.3.1 了解Zope的权限

在《深入Plone设置与管理》章节中介绍ZMI，当时了解了ZMI中每个对象都有一个Security标签页，即对象安全标签页。下图 6.15 是站点ZMI根目录的Security标签页的截图片断。

【图 6.15】对象的安全标签页

图中看到这个页面的表单左侧列出的权限项(Permission)很多很多，这些是站点获得Zope的，以及Plone的，还有Plone的一些插件产品几乎所有的权限项。这些是几乎接近底层的东西，没有必要一个个去了解它们。在表单的右侧列出的是针对每一个权限项各个角色(Roles)是否拥有这个权限项的权限，这些角色正是上文中罗列的Plone站点中预设的 6 种角色(Anonymous, Authenticated, Manager, Owener, Reviewer)。

在每一个权限项的左侧，都有一个选择设定获取(Acquire permission settings?)的选择框，表示自动从对象上一级目录获取权限设置。因为这个获取的存在，一般情况下，只需要在网站根文件夹下设置权限即可，下面的各级子文件夹中的内容都可自动获取根文件夹中的设置。这样大大简化的网站的权限设置。

6.3.2 常用权限设置

前面看到了ZMI中的Security标签页中的权限项太多，一般不推荐到这里来设置权限，这里介绍几个常用的权限。

6.3.3 添加角色

在上文中介绍用户与组管理时提到可以添加角色，就是在Security标签页的最下方，如图 6.16 。

【图 6.16】添加角色

图 6.16 中是站点根目录的Security标签页下方的添加角色，所以您看到在这里可以删除成员和审批人的角色。在这里可以添加角色和删除角色。

添加角色属于系统集成人员才会执行的操作，添加角色后往往还要为该角色关联相关的权限。比如可定义一个贡献人角色，然后在Security标签中，和这个将Add portal content的权限项和这个角色关联。这样，便可以在Plone共享标签中，通过为文件夹中的用户或组分配这个新的贡献人角色，来授予添加内容的权限。

6.3.4 日常权限管理工作

说到Plone中的权限管理，不可能不提及到工作流。在上文中的Plone权限设置中，提到三种方式设置内容的权限，有一种就是调整内容状态，这其实是工作流所控制的。调整状态，可以批量的调整角色的权限。比如内容一旦发布，原始作者便不能再修改了。所以在Plone权限管理中是和工作流密切相关的，关于工作流具体会在下一章《定制工作流》中详细介绍。

Plone中的某些权限项，比如，内容的查看，编辑等权限，是由工作流所控制的。其他的权限设置，比如添加内容的权限项，用户注册的权限项，用户评注的权限项等，可以单独设置。

下面是日常权限管理工作中几个常用到的例子，通过例子的操作更深入地了解和掌握复杂一点的权限管理工作。

6.3.4.1 禁止用户自行注册

禁止用户自行注册也是很多案例需要去设置的，比如，建立企业的内部站点，建立私人站点，就常有这样的需求。下面是设置禁止用户自行注册的实例。

【例 6.1】设置禁止用户自行注册

1.进入站点ZMI根目录的Security标签

2.找到Add portal member权限项，取消选择Acquire（获取）复选框，并选择允许

Manager和Owner角色的复选框

3.单击Save按钮，保存更改

这样就设置了站点禁止用户自行注册的功能，当您用匿名用户查看站点时，注册的链接已经没有了，匿名用户不能注册站点成员了，如下图 6.17 。当然，管理员可以在Plone 控制面板中添加站点成员，这也正是我们需要达到的目的。

【图 6.17】设置禁止用户自行注册

6.3.4.2 允许成员添加内容

很多站点会有这样一个需要，它们开放某一个目录，在这里站点成员都可以添加内容（或某一类型内容）。下面是设置某一文件夹下允许成员添加内容的实例。

【例 6.2】设置某一文件夹下允许成员添加内容

1.进入ZMI中的stuff文件夹（这里以stuff文件夹为例）的Security标签页

2.找到Add portal content权限项，取消选择Acquire，并选择允许Manager 、Member

和Owner 角色

3.找到您想让成员添加的内容类型的权限项，比如，添加文件内容（ATContentTypes:

Add File）的权限项，取消选择Acquire，并选择允许Manager 、Member 和Owner 角色

4.单击Save按钮，保存更改

这样，站点成员就可以在stuff文件夹下加您允许添加的文件类型内容。下图 6.18 是成员用户登录到stuff文件夹后有添加文件的权限。

【图 6.18】允许成员添加内容

6.3.4.3 允许匿名用户评论

默认的Plone站点对用户登录才能对内容发表评论，下面是设置允许匿名用户发表评论的实例。

【例 6.3】设置允许匿名用户评论

1.进入ZMI的根目录的Security 标签页

2.找到Reply to item权限项，取消选择Acquire，并选择允许Anonymous角色

3.单击Save按钮，保存更改

这样，站点的内容如果开启了评论，匿名用户也可对内容进行评论。如下图是匿名用户可添加评注，默认情况内容开启评论后，图中红圈位置是【登录后发表评论】的按钮。

【图 6.19】允许匿名用户评论

6.4 用户管理文件夹

在Plone控制面板中可以对用户和组的管理，那么Plone站点用户在内部是如何存储、管理、认证的呢？下面就来介绍Plone的用户管理文件夹。

有的Plone网站需要与其它系统的用户数据集成，他们根本不想把用户放在Plone默认存储的数据库中，比如希望让Plone站点与LDAP集成，与关系数据库用户集成等，Plone 的用户管理文件夹可以实现这些。

6.4.1 认识用户管理文件夹

进入站点的ZMI中，看到有一个 acl_users 的对象，如下图 6.20 ，Plone就是通过这个称之为用户管理文件夹的工具来存储和管理用户账号的。

【图 6.20】用户管理文件夹

6.4.2 用户管理文件夹原理

从Plone 2.5开始，Plone开始引入PlonePAS来进行用户管理。 PlonePAS 是一个全插件架构的用户文件夹，拥有大量的插件，能够灵活的设置认证、用户管理、用户属性管理、组管理、角色管理等各个环节，并可轻松扩展，满足个性化的用户管理需要。使用相关的插件，可实现Plone和第三方的用户数据源的集成，实现多数据员认证，支持用户组的管理，也可在多个Plone站点之间共享数据源。 PlonePAS底层采用Zope上的一个叫做PluggableAuthService的产品实现。

acl_users中除Plugins，其他对象都是用户管理文件夹都是插件，这些插件按不同类型的插件分类组成在用户管理文件夹，以下是这些插件简单说明。

PlonePAS用户文件夹的核心对象是plugins对象，它是所有插件的一个注册表。在acl_users文件夹中，进入plugins对象，这是查看插件的管理器，在插件管理器中，可以查看各种的注册清单。plugins对象的Active标签页对插件清单做了分类。如下图 6.21（为了更容易理解这部分内容，下面是加了一个ldap_users插件的截图）。

【图 6.21】注册插件清单表

正如前面所介绍的，所有的插件是按不同类型的插件分类组成在用户管理文件夹，下表 6.3 是插件分类说明。