各位大神，求数据权限设计思路

Question

求J2ee数据权限的设计思路，基本要求： 部门经理可以查看该部门下的所有数据对象（比如销售订单），销售人员只可以查看自己的销售订单或者查看其他人的销售订单(通过权限设置)，请问该怎么设计？求高人帮忙.

Answer 1

你可以做一个菜单权限。专门写一个菜单生成模块。
1.前端：用一个js框架例如：ztree，是一个很好用的菜单框架。它有成熟的API，自定义自己的菜单。
2.数据库：简单的可以设计三个表：用户表，角色表，菜单表。三个表分别为多对多关系。利用用户所拥有的角色，角色对每个菜单的显示权限（可以用一个标识字段来判断是否显示）。这样就会生成该用户特有的菜单。
3.控制层：利用过滤器（这里使用jsp中的filter），光设置菜单的显示与否还不行，还得对指定的URL进行过滤限制（防止同行的web开发人员进行恶意攻击）。
以上就是大概思路啦。这是一般的中小型公司对用户权限的控制方案。临时写的，不太专业。高手勿喷。