區(qū)域空間資源綜合管理系統(tǒng)主要是利用GIS技術對獨立區(qū)域的空間資源進行綜合管理，如對各類建筑物、構筑物、建設規(guī)劃、通信、供排水、電力、燃氣、電視電纜等空間資源的管理。與傳統(tǒng)的城市各類管線管理系統(tǒng)相比，區(qū)域空間資源綜合管理具有領域廣、綜合性強等特點。 區(qū)域空間資源綜合管理系統(tǒng)，從結構上分為2個部分：一是以空間地理數(shù)據(jù)錄入、編輯、為主的數(shù)據(jù)維護部分；二是以空問信息查詢和日常業(yè)務辦理為主的業(yè)務管理部分。由于空間數(shù)據(jù)錄入、編輯的復雜性，專業(yè)空間數(shù)據(jù)錄入、編輯的數(shù)據(jù)維護部分大都采用的是C／S體系結構。以空間信息查詢和日常業(yè)務辦理為主的業(yè)務管理部分，主要是為了各相關職能部門以及領導可以方便地進行空間信息查詢和日常業(yè)務辦理。該部分基本采用B／S體系結構，具有使用方便，客戶端不需要安裝專業(yè)應用軟件，維護成本低等特點。 由于區(qū)域空間資源綜合管理系統(tǒng)從結構上包括了C／S結構和B／S結構的多個子系統(tǒng)，并且必須針對每個系統(tǒng)控制好每個用戶的查看范圍、查看資源、維護權限等，因此針對系統(tǒng)多、角色多、部門多等特點，設計實現(xiàn)了區(qū)域空間資源綜合管理系統(tǒng)的權限控制模塊，便于維護、使用，為系統(tǒng)提供安全保障。

l 區(qū)域空間資源綜合管理系統(tǒng)安全總體設計原則區(qū)域空間資源綜合管理系統(tǒng)中管理對象的空間位置、屬性等對不同的用戶有不同的權限：有的用戶可查看．有的用戶可編輯，有的用戶無任何權限。因此在系統(tǒng)總體設計時，不僅要考慮到系統(tǒng)本身的安全可靠性，還必須加強對數(shù)據(jù)的訪問權限嚴格控制，確保系統(tǒng)的安全。1．1 安全性總體設計 系統(tǒng)主要從以下幾個方面進行安全性設計： (1)身份認證。應用軟件自身的身份認證，對用戶密碼可以進行強制的復雜度設置；對密碼采取加密存儲，即使從數(shù)據(jù)庫中也無法獲取用戶密碼；第三方強身份認證的集成。 (2)強制數(shù)據(jù)訪問控制。區(qū)域空間資源綜合管理系統(tǒng)訪問控制的特點在于除了傳統(tǒng)信息系統(tǒng)中按角色進行功能授權外，還必須根據(jù)不同用戶，對不同子系統(tǒng)、不同的控制區(qū)域、不同類型的圖層以及不同圖層數(shù)據(jù)的控制權等進行訪問控制授權，以確保數(shù)據(jù)的安全性。 (3)審計功能。用戶登錄信息與登錄結果的審計；用戶對應用系統(tǒng)中的功能模塊操作的審計；用戶在應用系統(tǒng)中對信息的輸入和輸出審計；數(shù)據(jù)庫服務器的啟動和關閉信息、數(shù)據(jù)備份和載入信息的審計。 (4)嚴格實行三權分離制度。內(nèi)置職責權分離的3個管理用戶(系統(tǒng)管理員、系統(tǒng)安全員和系統(tǒng)審計員)，進行與系統(tǒng)應用及安全相關的管理和運行維護；這三個管理用戶在系統(tǒng)中各自有且只有一個，他們之間的管理權限分離、操作沒有交叉。其中，系統(tǒng)管理員的操作范圍包括組織機構管理、用戶管理和備份管理；系統(tǒng)安全員的操作范圍包括帳戶管理、角色管理和用戶角色管理；系統(tǒng)審計員的操作范圍只有對審計記錄的查詢。1．2 多維強制數(shù)據(jù)訪問控制區(qū)域空間資源綜合管理系統(tǒng)訪問控制原則： (1)對于特定子系統(tǒng)，只有授權的用戶才能進入； (2)對于特點區(qū)域的數(shù)據(jù)，只有授權的用戶才能訪問； (3)對于所有專業(yè)圖形數(shù)據(jù)的編輯操作，只有顯式授權的用戶才能進行； (4)對于某具體功能，只有授權的用戶才能訪問。 也就是說，該系統(tǒng)要實現(xiàn)按系統(tǒng)、區(qū)域、圖層、角色的多維數(shù)據(jù)安全訪問控制。

2 權限控制設計

2．1 權限控制分析 根據(jù)區(qū)域空間資源綜合管理系統(tǒng)安全設計原則，分別對C／S結構系統(tǒng)和B／s結構系統(tǒng)的權限控制進行分析，從中分解出涉及的對象及之間的關系，進而才能針對這些對象及關聯(lián)關系設計數(shù)據(jù)結構。 (1)C／S結構系統(tǒng)權限控制分析 ①首先判斷是否有進入此系統(tǒng)的權限； ②如果有就要查看登錄者所屬區(qū)域的圖層權限；

③當編輯某圖層時，查看登錄者是否有對某個區(qū)域的某個圖層有此權限。 C／S結構系統(tǒng)涉及的權限控制對象包括：部門(區(qū)域)、角色、應用系統(tǒng)名、用戶、圖層名。 (2)B／S結構系統(tǒng)權限控制分析 ①首先判斷是否有進入此系統(tǒng)的權限； ②如果有則獲取登錄者能查看的部門區(qū)域； ③添加圖層時只能加入有權限查看的圖層； ④選擇菜單項時，如果沒有對此圖層對象的屬性查看授權，則無權查看。 B／S系統(tǒng)涉及的權限控制對象包括：部門(區(qū)域)、角色、應用系統(tǒng)名、用戶、圖層名、菜單資源。2．2 權限控制對象關系 綜合系統(tǒng)權限控制分析，設計對象包括部門、角色、應用系統(tǒng)名、用戶、圖層名、菜單資源、角色用戶表、應用系統(tǒng)名表、角色圖層表、角色菜單表，它們間的關系如圖1所示。

3 權限控制實現(xiàn)根據(jù)上述分析，區(qū)域空間資源綜合管理系統(tǒng)權限控制模塊主要實現(xiàn)的功能包括：部門管理、角色管理、圖層授權管理、菜單管理、菜單授權管理、用戶管理、日志管理等功能。如圖2所示。其中： 部門管理 系統(tǒng)管理員實現(xiàn)部門的增加、修改、刪除、查詢功能； 用戶管理 用戶包括屬于超級管理員角色的用戶、分系統(tǒng)管理員的用戶、及分系統(tǒng)的查看、編輯用戶、分系統(tǒng)審計員等類。用戶管理模塊是系統(tǒng)管理員實現(xiàn)用戶的增加、修改、刪除、查詢功能；

關鍵詞： 控制 設計 實現(xiàn) 權限 管理系統(tǒng) 空間 資源 綜合 區(qū)域