技術領域

本發明涉及一種ERP、CRM等管理系統中監察審批操作、授權操作及表單操作的方法。

背景技術

管理系統中對用戶操作記錄的監督和追責十分重要，現有管理系統中，在很多情況下需要具有管理權限的管理者對被監督對象的操作記錄進行監督，雖然可以監督、監察被管理對象的工作操作記錄，然而，傳統系統均采用直接針對用戶/員工進行監督、監察的方式，一旦賦予了監督權限，監督者就可以監督該用戶/員工的所有工作操作記錄。但是一個用戶/員工經常是身兼多職，而監督者對用戶/員工的監督權限往往不能覆蓋其所有職位涉及到的工作內容，兩者很難兼顧。舉例：員工張三在公司擔任生產車間主任，同時兼任研發部部長，日常涉及到的工作內容主要是對生產車間員工的授權操作和研發部表單操作。賦予管理者李四對張三的監督權限后，則李四就可以監督張三的所有工作操作記錄，包括對生產車間員工的授權操作記錄和研發部表單操作記錄。然而，在企業實際運營過程中，往往需要將員工的某些工作內容獨立出來，如需要保密的內容，或某監督者不具備查看權限的部分內容等，并不能整體把所有的工作操作記錄都展示在某一個監督者面前。有的時候不同監督者對同一個用戶有著不同工作內容的監督權限，需要按崗位號/工位號對用戶的工作內容進行區分和分別的監督權限授權。例如，負責管理生產的副總王五只能對張三對車間員工的授權操作記錄進行監督，負責研發的副總趙六只能對張三研發部表單操作記錄進行監督，傳統技術手段無法實現此功能。

基于角色的訪問控制（RBAC）是近年來研究最多、思想最成熟的一種數據庫權限管理機制，它被認為是替代傳統的強制訪問控制（MAC）和自主訪問控制（DAC）的理想候選。傳統的自主訪問控制的靈活性高但是安全性低，強制訪問控制安全性高但是限制太強；基于角色的訪問控制兩者兼具，不僅易于管理而且降低了復雜性、成本和發生錯誤的概率，因而近年來得到了極大的發展?；诮巧脑L問控制（RBAC）的基本思想是根據企業組織視圖中不同的職能崗位劃分不同的角色，將數據庫資源的訪問權限封裝在角色中，用戶通過被賦予不同的角色來間接訪問數據庫資源。

在大型應用系統中往往都建有大量的表和視圖，這使得對數據庫資源的管理和授權變得十分復雜。由用戶直接管理數據庫資源的存取和權限的收授是十分困難的，它需要用戶對數據庫結構的了解非常透徹，并且熟悉SQL語言的使用，而且一旦應用系統結構或安全需求有所變動，都要進行大量復雜而繁瑣的授權變動，非常容易出現一些意想不到的授權失誤而引起的安全漏洞。因此，為大型應用系統設計一種簡單、高效的權限管理方法已成為系統和系統用戶的普遍需求。

基于角色的權限控制機制能夠對系統的訪問權限進行簡單、高效的管理，極大地降低了系統權限管理的負擔和代價，而且使得系統權限管理更加符合應用系統的業務管理規范。

然而，傳統基于角色的用戶權限管理均采用“角色對用戶一對多”的關聯機制，其“角色”為組/類性質，即一個角色可以同時對應/關聯多個用戶，角色類似于崗位/職位/工種等概念，這種關聯機制下對用戶權限的授權基本分為以下三種形式：

1、如圖1所示，直接對用戶授權，缺點是工作量大、操作頻繁且麻煩；當發生員工變動（如調崗、離職等），該員工涉及到的所有權限必須要作相應調整，特別是對于公司管理人員，其涉及到的權限多，權限調整的工作量大、繁雜，容易出錯或遺漏，影響企業的正常運營，甚至造成不可預估的損失。

2、如圖2所示，對角色（類/組/崗位/工種性質）進行授權（一個角色可以關聯多個用戶），用戶通過角色獲得權限，權限授權主體是組/類性質角色；

3、如圖3所示，以上兩種方式結合。

以上的表述中，2、3均需要對類/組性質的角色進行授權，而通過類/組/崗位/工種性質的角色進行授權的方式有以下缺點：

1、用戶權限變化時的操作難：在實際的系統使用過程中，經常因為在運營過程中需要對用戶的權限進行調整，比如：在處理員工權限變化時，角色關聯的某個員工權限發生變化，我們不能因該個別員工權限的變化而改變整個角色的權限，因為該角色還關聯了其他權限未變的員工。因此為了應對該種情況，要么創建新角色來滿足該權限發生變化的員工，要么對該員工根據權限需求直接授權（脫離角色）。以上兩種處理方式，在角色權限較多的情況下對角色授權不僅所需時間長，而且容易犯錯，使用方操作起來繁瑣又麻煩，也容易出錯導致對系統使用方的損失。