ASP.NET系统用户权限设计与实现

　　ASP.NET概述

　　1、ASP.NET

　　ASP.NET是微软流行的动态WEB编程技术活动服务器网页（ASP）的最新版本，但它远不是传统ASP简单升级。ASP.NET和ASP的最大区别在于编程思维的转换，ASP.NET是真正的面向对象（Object-oriented），而不仅仅在于功能的增强。

　　在ASP.NET中，Web 窗体页由两部分组成：视觉元素（HTML、服务器控件和静态文本）和该页的编程逻辑。其中每一部分都存储在一个单独的文件中。可视元素在一个扩展名为 .aspx 文件中创建，而代码位于一个单独的类文件中，该文件称作代码隐藏类文件扩展名为.aspx.vb 或 .aspx.cs。这样，.aspx文件中存放所有要显示的元素，aspx.VB或.ASPx.cs文件中存放逻辑。

　　2、用户控件（UserControl）

　　为了使用户能够根据需要方便地定义控件，ASP.NET引入了 Web 窗体用户控件的概念。实际上，只要将.aspx稍作修改即可转换为 Web 用户控件，扩展名为 .ascx，.ascx和.aspx文件一样也有一个存放逻辑的代码隐藏类文件，扩展名为.ascx.VB或.ascx.cs，只是它不能作为独立 Web 窗体页来运行，只有当被包含在 .ASPx文件中时，用户控件才能工作。

　　通过以下两个步骤在WEB窗体页中设置用户控件：

　　（1）使用@ Register指令在.ASPx文件中注册用户控件。如要注册在放在相对路径“../UserControl/”下的头文件headinner.ascx的方法为：

＜%@ Register TagPrefix="Acme" TagName="Head" Src="../UserControl/headinner.ascx" %＞

　　（2）在服务器控件的开始标记和结束标记之间(＜form runat=server＞ ＜/form＞) 声明该用户控件元素。例如要声明上面所导入的控件的语法为：

＜Acme: Head runat="server"/＞

　　这样，该控件就成为页的一部分，并将在处理该页时呈现出来。并且，该控件的公共属性、事件和方法将向 Web 窗体页公开并且可以通过编程来使用。根据这个原理，就可以将每个页面初始化时所要执行的操作（如登录验证，角色验证）封装在用户控件当中。

　　RBAC的基本思想

　　RBAC（角色访问控制）的基本思想可简单地用图1来表示，即把整个访问控制过程分成两步：访问权限与角色相关联，角色再与用户关联，从而实现了用户与访问权限的逻辑分离。

　　由于RBAC实现了用户与访问权限的逻辑分离，因此它极大的方便了权限管理。例如，如果一个用户的职位发生变化，只要将用户当前的角色去掉，加入代表新职务或新任务的角色即可，角色/权限之间的变化比角色/用户关系之间的变化相对要慢得多，并且委派用户到角色不需要很多技术，可以由行政管理人员来执行，而配置权限到角色的工作比较复杂，需要一定的技术，可以由专门的技术人员来承担，但是不给他们委派用户的权限，这与现实中情况正好一致。