权限系统设计模型及实现
权限系统设计模型分析（DAC，MAC，RBAC，ABAC）
权限系统设计模型分析（DAC，MAC，RBAC，ABAC）此篇⽂章主要尝试将世⾯上现有的⼀些权限系统设计做⼀下简单的总结分析，个⼈⽔平有限，如有错误请不吝指出。
术语这⾥对后⾯会⽤到的词汇做⼀个说明，⽼司机请直接翻到常见设计模式。
⽤户发起操作的主体。
对象（Subject）指操作所针对的客体对象，⽐如订单数据或图⽚⽂件。
权限控制表 (ACL: Access Control List)⽤来描述权限规则或⽤户和权限之间关系的数据表。
权限 (Permission)⽤来指代对某种对象的某⼀种操作，例如“添加⽂章的操作”。
权限标识权限的代号，例如⽤“ARTICLE_ADD”来指代“添加⽂章的操作”权限。
常见设计模式⾃主访问控制（DAC: Discretionary Access Control）系统会识别⽤户，然后根据被操作对象（Subject）的权限控制列表（ACL: Access Control List）或者权限控制矩阵（ACL: Access Control Matrix）的信息来决定⽤户的是否能对其进⾏哪些操作，例如读取或修改。
⽽拥有对象权限的⽤户，⼜可以将该对象的权限分配给其他⽤户，所以称之为“⾃主（Discretionary）”控制。
这种设计最常见的应⽤就是⽂件系统的权限设计，如微软的NTFS。
DAC最⼤缺陷就是对权限控制⽐较分散，不便于管理，⽐如⽆法简单地将⼀组⽂件设置统⼀的权限开放给指定的⼀群⽤户。
Windows的⽂件权限强制访问控制（MAC: Mandatory Access Control）MAC是为了弥补DAC权限控制过于分散的问题⽽诞⽣的。
在MAC的设计中，每⼀个对象都都有⼀些权限标识，每个⽤户同样也会有⼀些权限标识，⽽⽤户能否对该对象进⾏操作取决于双⽅的权限标识的关系，这个限制判断通常是由系统硬性限制的。
⽐如在影视作品中我们经常能看到特⼯在查询机密⽂件时，屏幕提⽰需要“⽆法访问，需要⼀级安全许可”，这个例⼦中，⽂件上就有“⼀级安全许可”的权限标识，⽽⽤户并不具有。
学生管理系统中的权限管理模块设计与实现
学生管理系统中的权限管理模块设计与实现权限管理是学生管理系统中非常重要的一项功能，它用于控制系统中不同角色的用户对系统各个模块的访问和操作权限。
权限管理模块的设计与实现需要考虑到系统的安全性、灵活性和可维护性。
本文将详细介绍学生管理系统中权限管理模块的设计与实现。
一、权限管理的基本概念权限是指用户在系统中能够执行的操作。
在学生管理系统中，常见的权限有学生信息管理、课程管理、成绩管理、教师信息管理等。
权限管理可以根据不同角色的用户划分，如管理员、教师、学生等。
二、权限管理模块的设计1. 角色管理：角色管理是权限管理的基础，它定义了系统中的不同角色及其对应的权限。
在系统中，可以设置管理员、教师、学生等角色，每个角色可以拥有不同的权限。
2. 用户管理：用户管理用于对系统中的用户进行管理，包括用户的添加、删除和修改等操作。
同时，还需考虑用户与角色的关联，即将用户与相应的角色进行绑定。
3. 权限分配：权限分配是权限管理的核心功能之一。
管理员在系统中可以根据不同角色设置相应的权限，如允许教师角色进行学生信息查询、允许管理员角色进行成绩管理等。
4. 权限校验：在系统中，对用户进行权限校验是必不可少的。
每次用户访问系统的某个模块时，系统需要对用户的权限进行验证，确保用户拥有访问该模块的权限。
如果用户无权访问该模块，则系统应给出相应的提示信息。
5. 日志记录：为了方便系统管理员对权限管理进行监控和审计，权限管理模块还需记录用户的操作日志。
日志记录包括用户的登录、退出、权限分配等操作，以便后续的审计和追溯。
6. 界面设计：权限管理模块的界面设计应该简洁明了，对用户友好。
界面可以提供用户操作的便捷方式，如树形结构展示角色与权限的关系，提供搜索功能等。
三、权限管理模块的实现权限管理模块可以使用各种技术进行实现，以下是一些常用的实现方式：1. 数据库实现：可以使用数据库来存储角色、用户和权限的关系。
通过建立角色表、用户表和权限表及其关联表，来实现权限的管理和分配。
权限管理系统设计和实现_毕业设计精品
权限管理系统设计和实现_毕业设计精品摘要：权限管理系统是一种用于对用户的访问权限进行管理和控制的软件系统。
本文介绍了权限管理系统的设计和实现方法，包括需求分析、系统架构设计、数据库设计、用户界面设计以及系统功能实现等方面。
通过对权限管理系统的设计和实现，可以提高系统的安全性和管理效率，为企业提供更好的用户权限管理服务。
关键词：权限管理系统；需求分析；系统架构设计；数据库设计；用户界面设计；系统功能实现一、引言随着企业规模的扩大和信息化水平的提高，对于用户权限的管理和控制变得越来越重要。
传统的权限管理方式往往效率低下且容易出错，因此需要开发一种高效、可靠的权限管理系统。
权限管理系统可以帮助企业对用户的访问权限进行细粒度的控制，提高系统的安全性和管理效率。
二、需求分析1.用户注册和登录：用户可以通过注册账户并登录系统，以便进行权限管理操作。
2.权限分类和分级：系统可以对用户的权限进行分类和分级管理，便于用户权限的控制和管理。
3.用户权限的分配和收回：管理员可以根据业务需求，对用户进行权限的分配和收回。
4.用户权限的控制和验证：系统可以根据用户的权限，对其进行访问控制和验证。
6.权限的日志记录和审计：系统可以记录用户的权限操作日志，便于后期的审计和追溯。
7.统计和报表功能：系统可以根据用户权限的使用情况，对权限进行统计和生成报表。
三、系统架构设计1.客户端：提供用户界面，用户通过客户端与系统进行交互。
2.业务逻辑层：处理用户的请求，调用数据库层进行数据操作。
3.数据库层：存储用户信息、权限信息以及系统日志等数据。
4.权限控制层：根据用户的权限，控制用户对系统资源的访问权限。
四、数据库设计1.用户表：包含用户的基本信息，如用户名、密码、角色等。
2.权限表：包含系统的所有权限信息，如权限名称、权限描述等。
3.用户权限关联表：建立用户与权限之间的关联关系。
4.日志表：记录用户的权限操作日志，包括操作时间、操作类型等。
用户权限管理设计方案
用户权限管理设计方案用户权限管理是一种重要的信息安全控制手段，能够确保系统中的用户只能访问其所需的数据和功能，防止未授权的操作和数据泄露。
本文将从用户权限的概念、设计原则、权限管理模型以及权限管理方案的实施等方面进行详细讨论。
一、用户权限的概念用户权限是指用户在系统中所具备的操作和访问资源的能力。
它涵盖了用户能够进行的操作类型、访问的资源范围以及操作的具体权限。
通过用户权限，系统可以灵活地控制用户在系统中的行为和操作，确保用户只能进行其所需的操作，从而提高系统的安全性。
二、用户权限管理的设计原则1.最小权限原则：用户应该被授予执行其工作所需的最小权限，以降低潜在的风险。
只有在确实需要的情况下，才应该授予更高级别的权限。
2.分级管理原则：根据用户的角色和职责将用户划分为不同的权限组，每个权限组仅拥有其所需的操作和资源访问权限。
3.统一权限管理原则：用户权限应该经过集中管理，避免出现分散和重复的权限设置，以减少管理成本和提高管理效率。
三、权限管理模型1. 自顶向下授权模型（Top-Down Authorization Model）：该模型将权限从高层次向低层次授权，通过角色定义和角色授权的方式，将用户划分为不同的角色，每个角色拥有其所需的权限。
2. 基于角色的访问控制模型（Role-Based Access Control Model）：该模型根据用户的角色将权限分配给用户，通过角色的添加、修改和删除来变更用户的权限。
3. 基于目录的访问控制模型（Directory-Based Access Control Model）：该模型根据用户所在的组织结构进行权限管理，通过目录结构的设定和权限的继承来实现权限的控制和管理。
四、权限管理方案的实施1.确定用户的角色和职责：根据不同用户的角色和职责，将用户划分为不同的权限组。
同时，定义每个角色所需的操作和资源访问权限。
2.设计权限继承关系：通过权限的继承，将上层角色的权限传递给下层角色，以减少权限设置的重复。
基于RBAC模型的权限管理系统设计
基于RBAC模型的权限管理系统设计权限管理系统是现代信息管理系统极为重要的组成部分，其主要任务在于对系统中各个用户的权限进行管理，保障系统的安全性和稳定性，同时保证用户数据的隐私和保密性。
而基于rbac模型的权限管理系统，是目前被广泛采用的权限管理技术之一，其具有权限灵活、易于维护等优点，在具体的实现过程中也面临着一些问题。
本篇文章将会结合实例，对基于rbac模型的权限管理系统进行设计和探讨。
一、rbac模型的基本概念rbac模型，即基于角色的访问控制（Role-Based Access Control），其是一个灵活且易于维护的权限控制模型。
该模型主要由角色、用户、权限和访问控制的策略几部分组成，其中角色是rbac模型的核心概念，通过角色的授予和收回，来实现对用户权限的管理。
rbac模型的安全策略可以描述为：一个用户只能执行已被授权给他的角色所允许的操作，任何用户均不能超越其权限范围所赋予的功能和任务的边界。
具体而言，rbac模型主要包括以下几个基本概念：1. 用户（User）：指系统中执行任务的实体，需要进行权限控制；2. 角色（Role）：权限的集合，具有相同权限的用户集合，每个用户可以拥有多个角色；3. 权限（Permission）：系统中的功能、资源、操作等，需要设置相应的权限控制；4. 授权（Authorization）：将用户赋予相应角色以获取特定权限的过程；5. 会话（Session）：用户与系统进行交互的时间段，系统应在这个时间段内有效地控制用户访问权限。
二、rbac模型的优点和实现方式rbac模型相对于其他权限管理模型，具有如下优点：1. 集中化管理：通过对角色和权限进行集中管理，可以实现系统的动态管理和维护；2. 适应性强：对于各种企业的权限管理需求，尤其是大规模集成的企业环境，应用rbac能够很好地适应变化；3. 灵活性高：通过管理角色、权限和用户之间的映射关系，实现了权限的灵活控制；4. 安全性好：通过一系列的访问控制策略（如分级权限、非法访问限制等），确保系统信息的安全性和保密性。
基于组织架构的数据权限模型 OBAC设计与实现
基于组织架构的数据权限模型OBAC设计与实现摘要：本文针对基于角色的功能权限管理模型RBAC控制粒度粗，不足以满足现代MIS系统复杂、精细的数据权限管理需求，而参考其设计思想设计出一种基于组织架构的权限管理模型策略OBAC(Organization-Based Access Control)。
该策略创新性地引入组织架构数据信息，配合传统RBAC权限管理策略，实现了功能权限加数据权限的双重管理和过滤，达到了数据精细化管理要求，能够满足复杂环境下企业对敏感信息数据权限的管理要求，能够提高系统数据的安全性和灵活性。
本文给出了该模型的设计和实现方法，对于具有多层次数据权限管理需求的系统软件权限管理的设计和开发具有参考价值。
1.前言随着我国信息化产业的高速发展，信息系统覆盖的领域广泛，涉及到各行各业。
同时信息系统的功能愈加复杂，使用的客户群愈加庞大，客户需求愈加复杂，随之而来的问题就是针对系统数据安全的管理愈加困难和复杂。
因此，信息系统引入访问控制功能将是一个不可或缺的步骤，尤其是在金融、国防、能源、民生等行业，保证信息系统的安全将是首要考虑的问题，利用访问控制极大降低了系统的安全风险，同时监管对敏感信息的访问以及防止非法用户的入侵[1]。
目前信息系统主要是通过用户、角色、资源三方面来实现系统的访问控制。
具体来说，就是赋予用户某个角色，角色能访问及操作不同范围的资源。
通过建立角色系统，将用户和资源进行分离，以保证权限分配的实施。
根据系统设置的安全规则或者安全策略，用户可以访问而且只能访问自己被授权的资源。
从控制类型来看，可以将权限管理分为两大类：功能级权限管理与数据级权限管理。
功能级权限与数据级权限协同才能实现完整、精细的权限管理功能。
目前功能级权限有多种成熟方案可供选择，但数据级权限管理方面，一直没有统一的技术方案。
本文将介绍一种数据权限实现技术方案，并且通过在多个信息系统上的应用得到论证。
2.访问控制系统与RBAC简介访问控制（RAM）是信息系统提供的管理用户身份与资源访问权限的服务，信息系统可以创建并管理多个身份，并允许给单个身份或一组身份分配不同的权限，从而实现不同用户拥有不同资源访问权限的目的。
基于RBAC模型的权限管理系统的设计和实现
基于RBAC模型的权限管理系统的设计和实现RBAC（Role-Based Access Control）模型是一种常见的权限管理模型，它根据用户的角色来控制其访问系统资源的权限。
下面将详细介绍基于RBAC模型的权限管理系统的设计和实现。
权限管理系统是一种用于控制用户对系统资源进行访问的系统。
它通过定义角色、权限和用户的关系，实现了对用户的访问进行控制和管理。
基于RBAC模型的权限管理系统可以提供更加灵活和安全的权限控制机制。
首先，需要设计和构建角色，角色是对用户进行权限管理的一种方式。
可以将用户划分为不同的角色，每个角色具有一组特定的权限。
例如，一个网站的角色可以包括管理员、用户、访客等。
然后，定义角色与权限之间的关系。
一个角色可以具有多个权限，一个权限可以被多个角色具有，这种关系通常是多对多的。
可以使用关联表来表示角色和权限之间的对应关系，关联表中存储了角色ID和权限ID的对应关系。
接下来，需要创建用户，并将用户与角色进行关联。
用户是系统中的具体实体，每个用户可以拥有一个或多个角色。
通过将用户与角色关联，可以根据用户的角色来判断其具有的权限。
最后，实现权限的验证和控制。
在用户访问系统资源时，系统需要验证该用户是否具有访问该资源的权限。
可以通过在系统中添加访问控制的逻辑来实现权限的验证和控制。
例如，在网站中，可以通过添加访问控制列表（ACL）来限制用户访问一些页面或功能。
1.灵活性：RBAC模型允许根据不同的需求进行灵活的权限控制和管理。
2.可扩展性：可以根据系统的需求轻松地添加新的角色和权限。
3.安全性：通过对用户的访问进行控制和管理，可以提高系统的安全性，防止未授权的用户访问系统资源。
在实现权限管理系统时，需要考虑以下几个方面：1.用户界面：需要设计一个用户友好的界面，使用户能够轻松地管理和配置角色和权限。
2.数据库设计：需要设计合适的数据结构来存储角色、权限和用户之间的关系。
3.访问控制逻辑：需要实现权限的验证和控制的逻辑，确保只有具有相应权限的用户才能访问系统资源。
基于域控制的权限系统模型设计与实现
１ ７ ８ Ｍａ ｃ ｈ ｉ ｎ ｅ ｒ ｙ Ｄｅ ｓ ｉ ｇ ｎ ＆ Ｍａ ｎ ｕ ｆ ａ ｃ ｔ ｕｒ ｅ
第 ２期 ２ ０ １ ４年 ２月
基 于域控 制 的权 限 系统模 型设 计 与 实现
亓祥 波 ， 朱云龙 ， 张志 东 ， 王 海
（ １ ． 中国科学院沈阳 自 动化研究所， 辽宁 沈阳 １ １ ０ ０ １ ６ ；
中图分类号 ： Ｔ Ｈ１ ６
文献标识码 ： Ａ
文章编号 ： １ ０ ０ １ — ３ ９ ９ ７ （ ２ ０ １ ４ ） ０ ２ — ０ １ ７ ８ — ０ ３
Ｄｅ ｓ ｉ ｇ ｎ ａ ｎ ｄ Ｉ ｍｐ ｌ ｅ ｍｅ ｎ ｔ ａ ｔ ｉ ｏ ｎ ｏ ｆ Ａｃ ｃ ｅ ｓ ｓ Ｃｏ ｎ ｔ ｒ ｏ ｌ Ｍｏ ｄ ｅ ｌ Ｂ ａ ｓ ｅ ｄ ｏ ｎ Ｄｏ ｍａ ｉ ｎ
ｗ ｉ ｔ ｈ ａ ｒ ｏ ｌ ｅ ｉ ｎ ａ ｕ ｔ ｈ ｏ ｒ ｉ ｔ ｙ ｓ ｙ ｓ ｔ ｅ ｍ． Ｉ ｔ ｐ ｒ ｅ ｓ ｅ ｎ ｔ ｓ ｎ ａ ｃｃ ａ ｅ ｓ ｓ ｃ ｏ ｎ ｔ ｒ ｏ Ｚ ｍｏ ｄ ｅ ｆ ｗｈ ｉ ｃ ｈ ｎ ｔ ｒ ｏ ｄ ｕ ｃ ｅ ｓ ｄ ｏ ｍａ ｉ ｎ．ｄ ｏ ｍａ ｉ ｎ ｃ ｏ ｎ ｔ ｒ ｏ ｌ ａ ｎ ｄ ｒ ｅ ｓ ｔ ｒ ｉ ｃ ｔ ｅ ｄ
Ｑ Ｉ Ｘ ｉ ａ ｎ ｇ － ｂ ｏ ， Ｚ Ｈ Ｕ Ｙ ｕ ｎ — ｌ ｏ ｎ ｇ ， Ｚ Ｈ Ａ Ｎ Ｇ Ｚ ｈ ｉ — ｄ ｏ ｎ ｇ ， ＷＡ Ｎ Ｇ Ｈ ａ ｉ
（ １ ． Ｓ ｈ ｅ ｎ ｙ ａ ｎ ｇ Ｉ ｎ ｓ ｔ ｉ ｔ ｕ ｔ ｅ ｏ ｆ Ａ ｕ ｔ ｏ ｍ ａ ｔ ｉ ｏ ｎ Ｃ ｈ ｉ ｎ ｅ ｓ ｅ Ａ ｃ ａ ｄ ｅ ｍ ｙ ｏ ｆ Ｓ ｃ ｉ ｅ ｎ ｃ ｅ ｓ ， Ｌ ｉ ａ ｏ ｎ ｉ ｎ ｇ Ｓ ｈ ｅ ｎ ｙ ａ ｎ ｇ １ １ ０ ０ １ ６ ， Ｃ ｈ ｉ ｎ ａ ；
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
3 具体实现
具体的实现包括了3个部分：权限的创建、权限的授权、权限的使 用。下面各个部分描述：
3.1 权限创建
权限的创建过程就是应用系统开发人员定义好系统中要权限控制的 资源以及定义对对资源具体化为哪些操作的过程。在我们的内容发 布里面作如下定义：
3.1.1 模块资源 把系统中要用到的模块进行资源的统一编号，以模块的编号作为 权限控制里资源编号，目前的编号规则为如下：
其它模块的按钮操作也可以类似编码，但因为目前核心是文章发 布。所以暂时这里不一一列出。以后扩展的时候一起实现。
3.1.4 栏目操作 栏目的操作按钮根据目前的需求定义如下操作。
按钮 新增 删除 修改
按钮(操作)编号 ADD DELETE EDIT
备注
授权 所有
AUTH C02_ALL
对这个栏目的子栏 目进行管理员的权 限分派
C02_COPY C02_MOVE C02_ALL
点“栏目管理” 新增一个栏目 删除一个栏目 修改一个栏目
红色表示目前未实 现的功能
如果用户有这个权 限，有所有操作的 权限
3.4.2 业务流程图
用户登录
是否有相应操作权限
Note:
栏目管理 文章管理 用户管理 角色管理
继续操作 结束
提示没有操作权限
对栏目的权限判断要实现递归遍历所有父亲栏目权限。
权限的使用有如下逻辑过程：
3.4 权限分级管理实现
3.4.1 模型分析 对于比较大型的网站,集中式的管理无法满足用户的内容分级别、 管理分层次的需求。因此要设计分级的权限管理模型。
从实际使用用例来看，有如下的功能（操作）模型：
栏目的授权完成栏目资源的权限分派，栏目资源的权限点分为如下表：
按钮（权限 点） 栏目管理
编号说明： 编号由”上级编号”+”两位本级编号”组成 上级编号由”功能码”+”两位本级编号”组成
功能码编码为：
新闻采集 P 内容发布 C 广告发布 A 系统管理 S 应用管理 Y
功能 新闻采集 采集状态 采集发布 站点维护 采集控制
编号 P P01 P02 P03 P04
内容发布 C 文章栏目设 C01 置 文章发布 C02 专题栏目设 C03 置 专题发布 C04
1.0 Chris Chen
15
明
权限系统设计模型及实现
设计一个比较抽象和通用的权限系统是一件比较复杂的工作，根据实际 目前项目需要，我们设计了如下一个简易基于角色的权限模块。
先引出权限系统中的概念
1 概念
用户：使用权限的登录用户或者系统.一个用户有多个角色，但同时只 能以一个角色登录系统。 角色：拥有相关权限的一个集合。一个角色可以有多个权限，一个角色 有多个用户。 权限：权限是一个资源+操作的组合。即权限是指对什么东西有什么动 作。如用户管理是一个资源，而用户的增加、修改是指具体的操作，而 整个“用户”+“增加”就构成了用户增加的权限。单独的资源或操作在权 限系统中没有意义。 操作：对资源的动作。如对数据的增加、删除、修改；对模块的登录 等。 资源：系统中要权限控制的东西。也就是什么东西要进行权限的控制。 资源有不同的类型，一般系统中会遇到的能用类型为功能权限和数据权 限。目前我们系统中用到的资源类型有“模块”和“栏目”，用英文module 和category表示。
按钮 新增 发布 删除 修改 预览 所有
审核
复制 移动
按钮(操作)编号 C02_ADD C02_PUBLIC C02_DELETE C02_EDIT C02_PREVIEW C02_ALL
C02_VERIFY
C02_COPY C02_MOVE
备注
如果用户有这个权 限，有所有操作的 权限 红色表示目前未实 现的功能
4 附件
操作编码规则： “功能编号”+”_”+”按钮编号” 如文章发布里的新增按钮编码为：C03_ADD
目不同类型的资源操作可能是不一样的。详见附件里的操作编码规则。
CmsFunction:表示系统中的某个功能模块。
CmsUserRole:
表示用户和角色的关联关系。一个CmsUser,有多个
CmsUserRole
CmsRolePermission: 表示角色和权限的关联关系。一个CmsRole有多个
CmsRolePermission
内容发布系统权限设计说明书
项目名称： 内容发布系统发布系统v1.0
分类： 设计说明书
部门： 开发部
作者： Chris Chen
日期： 2005年9月7日
参考号： V1.0
页数：
附注：
文档控制页
日 期 修改说明
版本 作 者 审批人 审批日期
2004-3月 建立
1.0 Chris Chen
2004-7- 增加栏目的权限控制说
广告发布 A
备注
客户管理 A01 广告位管理 A02 广告发布 A03
系统管理 S 用户管理 S01 角色管理 S02 权限管理 S03 模板管理 S04 参数配置 S05
应用管理 Y 投票管理 Y01 BBS管理 Y02 公告管理 Y03 留言管理 Y04
3.1.2 栏目资源 栏目资源的编号采用多级栏目的id,是数字 3.1.3 模块操作 模块的操作编码规则遵循统一的操作编码规则，即： “模块名称”+ “_”+”按钮名称” 其中按钮名称只在保证可以唯一标识就可以了，如用数字或者英 文。目前我们定义文章发布里的按钮名称为：
2 模型的描述
类图说明：
CmsUser: user的实现
CmsRole: role的实现
CmsPermission: 表示一个权限点。其实resourceid表示操作的资源编号，
resourcetype表示资源的类型，目前实现为module 表示是一个模块，
category表示资源是一个栏目；operateid 是操作的编号，对于模块和栏
如果用户有这个权 限，有所有操作的 权限
3.2 权限授权
权限 授权就是指对于某个角色赋予相关的栏目权限和模块权限。其 中栏目权限为树状显示如下图：
Байду номын сангаас
模块的权限如下图：
3.3 权限使用
对于前台使用权限的来说通过两个接口来调用。主要是UserInfoBean 和CmsAclManager来实现。其类图如下：
按钮(操作)编号 备注
ADMIN
栏目管理，考虑实 现的复杂性，把栏 目的增、删、改统 一成一个权限
栏目新增 栏目删除 栏目修改 新增 发布 删除 修改 预览 审核
复制 移动 所有
ADD DELETE EDIT C02_ADD C02_PUBLIC C02_DELETE C02_EDIT C02_PREVIEW C02_VERIFY