数字档案馆系统基于RBAC的精细化访问控制实操全指南

准备工作：搭建轻量化数字档案馆测试环境

本次实操使用国内开源轻量化方案元核数字档案馆开源版1.2.0，无需复杂部署依赖，10分钟即可完成本地搭建。

1. 环境前置要求

• Windows/macOS/Linux任意系统
• JDK 11或以上版本（已配置JAVA_HOME环境变量）
• MySQL 8.0或以上版本（已配置root用户可远程/本地登录）

2. 测试环境部署步骤

步骤1：下载安装包
直接访问GitHub Releases页面：https://github.com/yuanhedang/yuanhe-dang/releases/tag/v1.2.0，下载对应系统的zip/tar.gz压缩包。

步骤2：解压并配置数据库
解压后找到根目录下的application.yml文件，用记事本或VS Code打开，修改数据库配置部分：

```yaml spring: datasource: url: jdbc:mysql://localhost:3306/yuanhe_dang?useSSL=false&serverTimezone=Asia/Shanghai&allowPublicKeyRetrieval=true username: root password: 你的MySQL密码 ```

步骤3：初始化数据库
打开解压目录下的db文件夹，使用Navicat/MySQL Workbench/命令行执行init.sql文件。

步骤4：启动系统
Windows系统双击根目录start.bat，macOS/Linux系统在终端执行sh start.sh，看到“启动成功”日志后，浏览器访问http://localhost:8080，使用默认账号admin、密码admin123登录。

核心操作1：构建符合档案行业规范的RBAC权限模型

档案行业规范需遵循“最小权限原则”“职责分离原则”，本次将权限模型分为资源层、权限层、角色层、用户层4个维度。

1. 定义档案行业专属资源

登录系统后，进入系统管理-资源管理模块，系统已预置基础资源，需补充2类档案专属资源：

• 档案库资源：点击「新增按钮组」→ 新增「电子档案查阅」「电子档案借阅」「电子档案导出」「档案元数据编辑」4个API/页面按钮权限，资源路径分别绑定/archives/query/archives/borrow/archives/export/archives/edit，资源分类选「档案业务」
• 档案分类资源：点击「新增分类资源」→ 新增「文书档案」「人事档案」「声像档案」3个顶级分类，每个顶级分类下再新增1个测试子分类（如文书档案→2024年党群类），子分类绑定对应测试权限（如党群类电子档案仅人事管理员可导出）

2. 创建合规的档案角色

进入系统管理-角色管理模块，系统已预置管理员角色，需新增3个档案行业通用角色：

• 档案录入员：点击「新增」→ 角色名称填「档案录入员」→ 权限范围选「仅指定档案库」→ 绑定顶级分类「文书档案」「声像档案」→ 绑定按钮权限「电子档案查阅」「档案元数据编辑」
• 档案借阅审批员：点击「新增」→ 角色名称填「档案借阅审批员」→ 权限范围选「全部档案库」→ 绑定按钮权限「电子档案查阅」「电子档案借阅审批」
• 人事档案管理员：点击「新增」→ 角色名称填「人事档案管理员」→ 权限范围选「仅指定档案库」→ 绑定顶级分类「人事档案」→ 绑定所有档案业务按钮权限

3. 分配角色与用户绑定

进入系统管理-用户管理模块，新增3个测试用户并绑定对应角色：

• 测试用户1：用户名luru01，密码123456，绑定「档案录入员」
• 测试用户2：用户名shenpi01，密码123456，绑定「档案借阅审批员」
• 测试用户3：用户名renshi01，密码123456，绑定「人事档案管理员」

核心操作2：配置动态访问控制规则（可选但推荐）

开源版支持通过IP白名单、时间限制2种简单动态规则，提升访问安全性。

1. 配置IP白名单

进入系统管理-全局配置-安全配置模块，开启「IP白名单访问控制」开关，在「白名单IP段」输入框填入你所在局域网的IP段（如192.168.1.0/24），保存后，非白名单IP将无法访问系统。

2. 配置时间限制规则

回到系统管理-角色管理模块，编辑「档案录入员」「档案借阅审批员」角色，开启「时间访问限制」开关，设置工作时间为08:30-18:00，保存后，非工作时间这两个角色将无法登录或操作档案业务。

核心操作3：权限验证与测试

验证是确保权限配置正确的关键步骤，需覆盖所有用户角色与业务场景。

1. 档案录入员权限测试

• 登录luru01：
• ✅ 能看到「文书档案」「声像档案」，看不到「人事档案」
• ✅ 能编辑文书/声像档案的元数据，能查阅档案全文
• ❌ 点击「电子档案借阅」「电子档案导出」无反应或提示无权限
• ❌ 18:00后登录提示「当前时间不可访问」

2. 人事档案管理员权限测试

• 登录renshi01：
• ✅ 仅能看到「人事档案」
• ✅ 能进行查阅、借阅、导出、元数据编辑所有操作
• ❌ 无法操作文书/声像档案

3. 全局安全配置测试

切换至手机热点（非白名单IP段），尝试访问http://localhost:8080，提示「IP不在白名单范围内」即为配置成功。

常见问题排查

1. 角色分配后权限不生效

检查两点：一是是否绑定了正确的顶级/子分类（二选一绑定，优先子分类）；二是是否刷新了页面或重新登录（开源版权限变更需重新登录生效）。

2. 数据库连接失败

检查application.yml中的useSSL、allowPublicKeyRetrieval参数是否添加，MySQL 8.0默认开启SSL，本地测试需关闭。

3. 权限配置太复杂无法管理

开源版支持「角色继承」，编辑角色时可在「继承角色」下拉框选择上级角色（如人事档案管理员继承档案录入员），避免重复配置权限。