一、目的

管理系统用户的功能菜单权限，物理资源（文件、数据）权限。

二、RBAC模型设计

BAC模型（Role-Based Access Control：基于角色的访问控制）模型是一种权限实现模型，是系统权限设计中的一套方法论。

RBAC认为权限授权的过程可以抽象地概括为：Who是否可以对What进行How的访问操作，并对这个逻辑表达式进行判断是否为True的求解过程，也即是将权限问题转换为Who、What、How的问题，Who、What、How构成了访问权限三元组。

RBAC模型的核心对象为：用户、角色、权限

系统资源可分为逻辑资源和物理资源。逻辑资源如软件系统的菜单、页面、按钮等等；物理资源如视频文件、音频文件、pdf文件等等。

其中逻辑资源可以通过权限来控制，物理资源可通过在角色下设置资源列表，通过角色关联资源列表实现，也可直接将用户和资源列表关联实现。

所有的权限管理最终都要落到用户身上。

以RBAC0模型为基础建立核心业务实体：单位（公司/部委/组织机构）、部门（科室）、用户、角色、权限
使用关联实体为核心业务实体建立映射关系：用户角色、角色权限等
为方便数据查询和业务拓展，增加单位权限、单位角色映射关系。此两项非必须。
可按照RBAC1模型的设计思路，增加角色组，用户关联角色组、角色组关联角色，角色关联权限。从而实现更细粒度的权限管理。
可按照RBAC1模型的思想，将部门和用户的映射关系修改为m:n，将能够实现一个用户归属多个组织的权限管理。如分公司的董事长同时兼任集团公司部门领导的情况。其中隐含了单位和部门关系为多对多，部门和用户关系为多对多。当用户登录的时候，让用户自己选择需要在哪个组织下工作。鉴于这种情况的项目相对而言为少数，大部分项目没有那么复杂的组织架构，可以对外提供两套解决方案。