mayfly-go：Web版Linux、数据库、Redis、MongoDB统一管理操作平台，提供了完整的权限管理功能，支持对账号的角色以及资源进行分配，可针对不同的用户角色，分配不同的菜单和权限，从而实现对数据资源的有效管理。
一、功能特点
1. 用户管理
可以实现用户信息的增删改查操作。例如，管理员能够方便地添加新用户，输入用户的基本信息如用户名、密码、邮箱等。同时，也可以对已有的用户信息进行修改，如更新用户的联系方式或者重置密码等操作。对于不再需要的用户账号，也能够进行安全删除。
支持用户角色分配。它可以将不同的用户划分到各种角色中，比如普通用户、管理员、审核员等角色，每个角色对应着不同的权限。
2. 角色权限管理
提供精细的权限控制。通过角色来管理权限，能够为每个角色精确地分配系统中的各种操作权限。例如，对于普通用户角色，可以只赋予其查看数据的权限；而对于管理员角色，则可以赋予其包括创建、修改、删除数据等全部操作权限。
权限的动态调整。可以根据业务需求的变化，灵活地调整角色所拥有的权限。比如，当系统新增了一个功能模块后，可以通过权限管理平台为相关角色分配对这个新模块的访问和操作权限。
3. 资源访问控制
对系统内的各种资源（如文件、数据记录、接口等）进行有效的访问控制。它可以定义哪些角色或者用户能够访问特定的资源。例如，在一个企业级的文档管理系统中，只有被授权的用户（如部门主管）才能访问和审批重要文件，而普通员工只能查看部分公共文档。
支持基于规则的访问控制。可以根据IP地址、访问时间等规则来限制资源的访问。比如，限制某些敏感操作只能在公司内部IP地址范围内进行，或者在特定的工作时间内允许访问某些重要资源。
4. 审计与日志记录
详细记录用户的操作行为。当用户在系统中进行任何操作，如登录、查询数据、修改记录等，都会生成相应的操作日志。这些日志包含操作的时间、用户信息、操作类型等详细内容。
便于审计和安全检查。通过对操作日志的分析，可以追溯用户的行为，发现潜在的安全问题或者违规操作。例如，如果发现系统数据被异常修改，可以通过日志查找是哪个用户在什么时间进行的操作，从而采取相应的措施。
二、资源访问控制
1. 基于角色和用户的访问控制规则定义
角色权限分配：Mayfly-go首先通过角色来划分不同的权限集合。系统管理员可以在权限管理界面中，为每个角色定义其能够访问的资源类型。例如，在一个企业资源规划（ERP）系统应用场景中，为“财务经理”角色分配访问财务报表、预算编制工具等资源的权限，而“销售代表”角色可能被赋予访问客户订单信息、销售业绩统计等资源的权限。
用户 角色关联：用户被分配到特定的角色中，从而继承该角色对应的资源访问权限。当一个新用户（如刚入职的财务人员）被添加到系统中，将其关联到“财务专员”角色后，该用户就自动获得“财务专员”角色所定义的资源访问权限，如查看财务数据录入模块和部分财务报表的权限。
2. 资源分类与标记
资源分类方式：系统中的资源被分类管理，以便于进行访问控制。例如，在一个内容管理系统中，资源可以分为文档资源、图片资源、视频资源等类别。Mayfly-go可以对这些不同类型的资源分别设置访问规则。
资源标记技术：除了分类，还可以对资源进行标记。这些标记可以基于资源的敏感程度、所属部门、业务流程阶段等因素。以一个软件开发项目管理系统为例，代码资源可以标记为“开发中”“测试中”“已上线”等状态，不同状态的代码资源可以根据标记来限制访问。如只有开发人员可以访问标记为“开发中”的代码，测试人员可以访问“测试中”的代码。
3. 访问控制策略执行
前端验证：在用户通过前端界面请求访问资源时，前端应用会首先检查用户是否有相应的权限。例如，在一个Web应用中，当用户点击查看某个受限制的文档链接时，前端JavaScript代码会向权限管理服务发送请求，验证用户是否有权限查看该文档。如果没有权限，前端会显示相应的提示信息，如“您没有权限访问此资源”。
后端验证：即使前端进行了初步验证，后端也会再次进行权限验证。当用户请求到达后端服务后，后端会根据用户的身份（通过用户令牌或会话信息等方式确定）和请求的资源，查询权限管理数据库，确认用户是否真正有权限访问该资源。这是为了防止前端验证被绕过的情况。例如，在一个RESTful API服务中，当客户端请求获取某个敏感数据资源时，后端的权限验证中间件会检查用户的权限，只有权限验证通过后，才会执行实际的资源获取操作。
4. 基于规则的访问限制（如IP地址、访问时间等）
IP地址限制：Mayfly-go可以配置基于IP地址的访问规则。例如，在一个公司内部的系统中，规定只有公司内部网络的IP地址段（如192.168.1.0/24）的用户才能访问核心的业务资源，如财务系统或客户关系管理（CRM）系统中的敏感数据。如果用户是通过外部网络（如移动数据网络）访问，即使其用户角色和权限设置正确，也会被拒绝访问。
访问时间限制：系统还可以设置访问时间规则。比如，对于某些高风险的系统操作，如系统配置修改或重要数据的批量删除，只允许在工作时间（如周一至周五的9:00 17:00）内进行。在非工作时间，即使是具有相应权限的用户请求进行这些操作，也会被拒绝，并且可能会触发安全警报，通知系统管理员。
三、权限审计
1. 操作日志记录机制
详细的日志内容：Mayfly-go会记录用户在系统中的各种操作。每一条操作日志通常包含操作时间、操作类型（如用户登录、资源访问、数据修改等）、用户身份信息（用户名、用户ID等）、操作的资源对象（如访问的文件名称、修改的数据表记录ID等）。例如，当一个用户修改了一份销售订单的金额，日志中会记录下修改的准确时间、“修改销售订单金额”的操作类型、用户的姓名以及被修改订单的编号。
日志存储方式：这些日志一般存储在数据库中，数据库的设计确保了日志信息的完整性和可查询性。可以使用关系型数据库（如MySQL或PostgreSQL）的表结构来存储日志，每个日志条目作为一条记录。例如，创建一个名为“operation_logs”的表，其中包含字段“log_id”（日志唯一标识）、“operation_time”（操作时间）、“operation_type”（操作类型）、“user_id”（用户ID）、“resource_id”（资源ID）等。
2. 审计查询与分析功能
灵活的查询界面：Mayfly-go提供了审计查询界面，管理员可以通过多种条件进行日志查询。可以按照时间范围查询，例如查找特定日期（如2024年12月1日 2024年12月31日）内所有用户的操作日志；也可以按照用户进行查询，查看某个用户（如用户名是“John”）在一段时间内的所有操作。还可以按照操作类型查询，比如筛选出所有的“数据删除”操作，以检查是否有异常的数据删除行为。
数据分析工具：为了更好地进行审计分析，系统可能提供一些简单的数据分析功能。例如，可以统计不同操作类型的出现频率，发现哪些操作是用户最常进行的，哪些操作比较罕见。通过分析数据修改操作的日志，可以计算数据修改的平均值、最大值等统计信息，用于发现异常的数据修改幅度。例如，如果发现某个用户对某个数据字段的修改幅度远远超出正常范围，可能提示存在安全风险或误操作。
3. 异常行为检测与告警
异常行为规则定义：Mayfly-go可以设置异常行为的检测规则。这些规则可以基于操作频率、操作时间、操作的资源敏感性等因素。例如，如果一个用户在短时间内（如1分钟内）频繁登录失败超过一定次数（如5次），就可以判定为异常登录行为；或者如果一个普通用户尝试访问高度敏感的资源（如系统管理员权限才能访问的配置文件），也被视为异常行为。
告警机制：当检测到异常行为时，系统会触发告警。告警可以通过多种方式发送给管理员，如电子邮件、短信或者系统内部的消息通知。例如，当检测到异常登录行为时，系统会立即发送一封电子邮件给安全管理员，邮件中包含异常行为的详细信息（如异常登录的用户名、登录时间、登录IP地址等），以便管理员及时采取措施，如锁定用户账号或者进一步调查。
四、应用场景
1. 企业内部办公系统
员工权限管理：在企业的办公自动化（OA）系统中，Mayfly-go可以用于管理员工对不同办公模块的访问权限。例如，对于人力资源部门的员工，可以赋予其访问员工信息管理、考勤管理、招聘管理等模块的权限；而财务部门的员工则可以被授权访问财务报销、预算编制、财务报表等模块。通过这种方式，确保每个员工只能访问与其工作相关的系统资源，提高数据安全性和工作效率。
流程审批权限：在工作流程审批方面，如请假申请、采购审批等流程，Mayfly-go可以控制不同角色的审批权限。比如，部门主管可能有初审权限，部门经理有终审权限，而普通员工只有发起申请的权限。这有助于规范企业内部的审批流程，防止权限滥用。
2. 软件开发项目管理
开发环境权限划分：在软件开发团队中，Mayfly-go可用于划分开发人员、测试人员、运维人员等不同角色对开发环境的权限。开发人员可以被赋予代码提交、代码修改等权限；测试人员可以访问测试环境进行软件测试，包括执行测试用例、记录测试结果等权限；运维人员则能够对服务器环境进行配置和维护，如部署软件更新、监控系统性能等权限。
代码仓库与文档管理：对于代码仓库和项目文档，也可以通过Mayfly-go进行权限管理。例如，只有核心开发人员有权限对关键代码模块进行合并操作，而其他开发人员可能只有查看和提出建议的权限。对于项目文档，如需求文档、设计文档等，不同角色的人员可以根据工作需要被赋予不同的阅读、修改权限，确保项目信息的安全和有序使用。
3. 客户关系管理系统（CRM）
销售团队权限管理：在CRM系统中，Mayfly-go可以管理销售团队成员的权限。销售代表可以被授权访问和更新自己负责的客户信息、销售机会、订单信息等；销售经理可以查看整个团队的销售数据，进行销售策略的制定和销售业绩的评估，同时对重要的客户信息和销售合同进行审批。
市场与客服权限划分：市场人员可以通过Mayfly-go获取权限来查看市场活动数据、潜在客户线索等，用于市场分析和活动策划。客服人员则能够访问客户咨询记录、投诉处理等模块，以便及时为客户提供服务。这样可以确保每个部门在CRM系统中都能各司其职，有效利用系统资源。
4. 医疗信息管理系统
医护人员权限管理：在医院的信息管理系统中，Mayfly-go可以用于管理医护人员的权限。医生可以被授权访问患者的病历、检查报告、诊断结果等信息，以便进行诊断和治疗；护士可以查看患者的护理记录、医嘱执行情况等。不同科室的医护人员只能访问本科室患者的相关信息，特殊情况下（如会诊）可以通过临时授权访问其他科室患者的信息。
行政与后勤权限划分：医院的行政人员可以通过Mayfly-go获取权限来管理医院的人事信息、物资采购、财务管理等模块；后勤人员可以访问设备维护、病房管理等相关资源。这有助于确保医疗信息的保密性、完整性，同时提高医院整体的运营效率。
5. 教育机构管理系统
教师与学生权限管理：在学校或教育机构的管理系统中，Mayfly-go可以为教师和学生分配不同的权限。教师可以访问课程管理、学生成绩管理、教学资源等模块，用于教学计划的制定、成绩评定等工作；学生可以被授权查看自己的课程表、成绩、学习资料等。
教育管理人员权限划分：教育管理人员，如教务处人员、学校领导等，可以通过Mayfly-go查看全校的教学数据、教师工作情况、学生综合评价等信息，用于学校的整体管理和决策。同时，他们还可以对重要的教学资源分配、课程设置等进行审批，确保教育资源的合理利用。
