基于原生PHP交叉会员权限控制

2020-03-22 18:23:56

字体：大中小

来源：转载

供稿：网友

对于一个网站的后台管理系统，单一的超级管理员权限往往不能满足我们的需求，尤其是对于大型网站而言，这种单一的权限会引发许许多多的问题出现。

比如：一个网站编辑，平时他只是负责公司网站的公告更新，但如果网站后台没有严格的权限限制，他是不是就可以操作到客户的一些信息，这是存在很大隐患的。

如果学过Thinkhtml' target='_blank'>PHP框架的朋友一定知道有个东西叫RBAC，今天咱不说那个，来说说在原生PHP语言中，怎么实现交叉权限控制。

好了，话不多说，老样子，直接说原理，上代码。

对于权限的交叉控制可以有很多种方法实现，这里只是提供一种思路：（我采用的是二进制数的方法）

一、这里先提下按位与和按位或的运算方法：

1、按位与运算符（&）

参加运算的两个数据，按二进制位进行“与”运算。

运算规则：0&0=0;0&1=0;1&0=0;1&1=1;

即：两位同时为“1”，结果才为“1”，否则为0

例如：3&5即 0000 0011& 0000 0101 = 0000 0001因此，3&5的值得1。

另，负数按补码形式参加按位与运算。

2、按位或运算符（|）

参加运算的两个对象，按二进制位进行“或”运算。

运算规则：0|0=0； 0|1=1；1|0=1；1|1=1；

即：参加运算的两个对象只要有一个为1，其值为1。

例如:3|5　即 0000 0011| 0000 0101 = 0000 0111因此，3|5的值得7。　

另，负数按补码形式参加按位或运算。

了解了按位与和按位或的运算，我们来看下面这个例子：

 1 <?php 2     define('ADD',1);//二进制1 3     define('DELETE',2);//二进制10 4     define('UPDATE',4);//二进制100 5     define('SELECT',8);//二进制1000 6  7     //有权限为1，没有权限为0 8     $admin=ADD|DELETE|UPDATE|SELECT;//1111 9     $editor=ADD|UPDATE|SELECT;//110110     $user=SELECT;//100011 ?>

我把增删改查分别做成了4个权限并定为常量

1的二进制数是1,2的二进制数是10,4的二进制数是100,8的二进制数是1000，这里刚好成一个规律

可能有些朋友会问上面权限变量admin，editor，user所对应的1111,1101,1000是怎么来的？

PHP里有一个十进制数转二进制数的函数叫decbin()

下面是对应的函数解释：

decbin(PHP 3, PHP 4, PHP 5)decbin -- 十进制转换为二进制说明string decbin ( int number )

返回一字符串，包含有给定 number 参数的二进制表示。所能转换的最大数值为十进制的 4294967295，其结果为 32 个 1 的字符串。 例子 1. decbin() 范例<?phpecho decbin(12) . "/n";echo decbin(26);?>  上例将输出：110011010参见 bindec()，decoct()，dechex() 和 base_convert()。

我们来测试输出看看吧：

 1 <?php 2      3      4     define('ADD',1);//二进制1 5     define('DELETE',2);//二进制10 6     define('UPDATE',4);//二进制100 7     define('SELECT',8);//二进制1000 8  9     //有权限为1，没有权限为010     $admin=ADD|DELETE|UPDATE|SELECT;//111111     $editor=ADD|UPDATE|SELECT;//110112     $user=SELECT;//100013 14     echo decbin($admin)."<br/>";15     echo decbin($editor)."<br/>";16     echo decbin($user)."<br/>";17 18 19 ?>

输出结果：

那么我们就可以运用这个运算来判断权限了，1代表有权限，0代表无权限

比如：

admin(超级管理员)拥有的权限是增删改查也就是1111——>0000 1111

editor(网站编辑)拥有的权限是增，改，查也就是1101——>0000 1101

user(普通用户)只拥有浏览、查询的权限也就是1000——>0000 1000

那么我们只穴ky"http://www.it165.net/qq/" target="_blank" class="keylink">qq21Mv8w8e9+NDQsLTOu9Pr1MvL477Nv8nS1MXQts/Kx7fxvt+xuMioz97ByzwvcD4KPHA+wP3I56O6PC9wPgo8cD7N+NW+seC8rcioz94gMDAwMCAxMTAxIA==" 0000 0010（删除权限十进制为2转二进制为10）　　结果：0000 0000 也就是没有具备权限

再来试试

普通用户权限 0000 1000 |0000 0001(添加权限十进制为1二进制为1)　　结果：0000 0000 也一样不具备权限

超级管理员权限0000 1111 |0000 1101（网站编辑的权限）　　结果：0000 1111 也就是具备了网站编辑的权限

好了看具体实例吧

我建了一个数据库，里面有2张表

一张是user用户表：

gid代表权限表的组id

一张是权限表：

flag代表增删改查的权限，可根据自己需穴ky"http://www.it165.net/qq/" target="_blank" class="keylink">qq2qNLlPC9wPgo8cD48aW1nIHNyYz0="http://www.it165.net/uploadfile/files/2014/0807/2014080720012574.jpg" alt="" />

基本配置页面：config.php

 1 <?php 2      3     define('HOST','localhost'); 4     define('DBNAME','member'); 5     define('USER', 'root'); 6     define('PASS', ''); 7  8  9     $link=@mysql_connect(HOST,USER,PASS) or die('数据库连接失败');10 11     mysql_select_db(DBNAME,$link);12 13     define('ADD',1);//二进制114     define('DELETE',2);//二进制1015     define('UPDATE',4);//二进制10016     define('SELECT',8);//二进制100017 18     //有权限为1，没有权限为019     $admin=ADD|DELETE|UPDATE|SELECT;//111120     $editor=ADD|UPDATE|SELECT;//110121     $user=SELECT;//100022 ?>

登陆首页：index.html

 1 <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> 2 <html xmlns="http://www.w3.org/1999/xhtml" xml:lang="en"> 3 <head> 4     <meta http-equiv="Content-Type" content="text/html;charset=UTF-8"> 5     <title>Document</title> 6 </head> 7 <body> 8     <form action="action.php" method="post"> 9         账号：<input type="text" name="username" />10         密码：<input type="password" name="password" />11         <input type="submit" name="submit" value="登陆">    12     </form>    13 </body>14 </html>

提交页面：action.php

 1 <?php 2      3     require_once('config.php'); 4     $username=$_POST['username']; 5     $password=$_POST['password']; 6  7  8     $sql="select * from user as a,role as b where a.gid=b.gid  9     and a.username='$username' and password='$password'";10 11     $result=mysql_query($sql);12     if($data=mysql_fetch_array($result)){13         //账号验证通过，判断对应权限14         //此处判断的是 是否具备删除权限15         if($data['flag']&DELETE){16             echo "你有删除权限";17         }else{18             echo "你没有删除权限";19         }20 21     }else{22         echo "错误账号密码";23     }24     25 26 ?>

效果图如下：