6.1.1   用户、角色和组

在Plone中，用户（Users)、角色(Roles)和组(Groups)属于非常重要的概念，这里先对它们详细地介绍。

6.1.2   Plone控制面板中管理用户和组

在《使用Plone》的章节中介绍Plone控制面板的时候，Plone控制面板中提供了用户和组管理。下面来介绍在Plone控制面板中管理用户和组。

6.1.2.1   用户管理

以网站管理员角色进入网站设置，然后进入这个用户和组管理页面如图6.1，这个设置页面分为两个标签页，分别设置用户和组。

图 6.1 用户和组管理的用户标签页

在用户标签页中网站管理员可以通过【添加新用户】按钮添加新的用户。在下面的表格中可查找用户，单击【全部显示】显示所有用户。点击某个用户名，如zopen，可查看和修改这个用户的详细信息，包括所属的用户组。点击信封图标可给他发送邮件，可以编辑邮件地址，可变更用户角色，可删除用户，还可重置用户的密码（会自动发送通知邮件）。

提示

并不是所有的用户数据源都支持【全部显示】功能，比如通过LDAP等连接的用户就不能显示。

6.1.2.2   组管理

组标签页如图6.2所示。

图 6.2 用户和组管理的组标签页

这个界面很类似于成员管理的界面。在这里可以添加新的组。在表格中可搜索指定的组名。这里的组默认是全部（分页）显示的，可变更组的角色，还可删除组。点击某个组名，如Administrators，可添加组员和修改组属性，如图6.3是进入到Administrators，搜索zopen用户，将其加入到Administratros组。

图 6.3 用户和组管理－－添加用户到组中

图6.3中的组成员的页面中显示Administrators组的当前组成员，组成员可以是组也可以是用户，在当前组成员的表格中可以删除某一组/用户。在下面搜索新组员的表格中，可搜索到某一用户/组或全部显示，选中添加到Administrators组中。在这个页面的组属性标签页中可设置Administrators组的相关属性。

返回到组管理的页面，即图6.2所示。可看到这个页面中有角色管理的介绍，也清晰地描述了角色的概念，在上文中也有定义。可以添加新的角色，而这是一个开发工作，需要到Zope管理界面中去完成，下文中会详细介绍。

6.2.1   设置内容共享

在《使用Plone》的章节中，了解了一些内容标签，在这里介绍设置内容的【共享】标签。

Plone中的所有内容都可以设置共享，可对单个文件也可以对整个文件夹，由内容的所有者或站点管理员可在【共享】标签页中操作完成。

在【共享】标签中可为用户或者组分配本地角色。和前面的系统角色不同，本地角色仅仅在所在内容或者文件夹下才有效。

默认情况下，在文件夹上的本地角色设置，文件夹中的内容会自动获取；也就是说文件夹中的内容，可继承父文件夹中的本地角色设置。 因此，一般是对文件夹设置共享，而不必单独为文件夹中的每个内容设置。图6.4所示是进入stuff文件夹的共享标签页看到的当前共享权限。

图 6.4 设置共享权限－－stuff文件夹当前的共享权限

图中显示plonespace用户是此内容的所有者，而admin继承的所有者角色。在这个界面中可以对用户/组分配角色，同时也可以删除已存在的角色和用户/组。

6.2.1.1   给用户设置共享权限

在共享标签页的当前共享权限以下，可看到给用户授权的界面，如图6.5所示。

图 6.5 设置共享权限－－给用户授权(1)

通过多种搜索方式，如：用户登录名，邮件地址，或所在的组名来搜索用户。执行搜索后，此部分界面变成了下图6.6所示。

图 6.6 设置共享权限－－给用户授权(2)

搜索结果中显示搜索到的内容，如果有多个也会同时显示多个，选中需分配的用户（图中是spring的用户），选择要分配的角色（图中分配为管理员），单击为【所选用户分配本地角色】即可。执行后，再看看当前的共享权限，如图6.7所示。

图 6.7 查看当前的共享权限

看到设置后在当前的共享权限的表格中多了spring用户的信息，他是此内容（stuff文件夹）本地角色的管理员。spring用户是通过授权成为stuff文件夹的管理员，默认情况，spring用户也自动获取了stuff文件夹子文件的管理员权限。

6.2.1.2   给组设置共享权限

为方便管理，一般成组设置角色。这样，只需要将用户加入到某个组，便可自动得到为组所分配的权限。

再看看给组添加共享权限的界面，如图6.8所示。

图 6.8 设置共享权限－－给组授权(1)

给出搜索条件，执行搜索后，此部分界面变成了下图6.9所示。

图 6.9 设置共享权限－－给组授权(2)

也同样，搜索结果中显示搜索到的内容，如果有多个也会同时显示多个，选中需分配的组（图中是group1的组），选择要分配的角色（图中分配为管理员），单击【为所选组分配本地角色】即可。执行后，再看看当前的共享权限，如图6.10所示。

图 6.10 查看当前的共享权限

可看到设置后在当前的共享权限的表格中多了group1的信息，他的类型是组，他是此内容（stuff文件夹）本地角色的管理员。group1组也是通过授权获得stuff文件夹的管理员权限，同时也自动获取了stuff文件夹子文件的管理员权限。

添加组的共享权限就非常的方便，而且也是经常处理的工作，比如，我们需要这个部门的用户都能管理某一个文件夹，也正好之前将这个部门的所有用户分配到建立的某个组，那么只需要通过给这个组设置共享管理员的权限即可。

6.2.1.3   高级设置

前面了解到某一内容都有可能有从上一级目录继承的角色。那么是否可以去除这个继承关系呢？是可以的。现在以文件夹中的某一内容为例，这样更能清楚地看到从上一级继承的角色。进入stuff文件夹的document页面的的共享标签页的底部，可看到如图6.11所示。

图 6.11 设置共享权限－－高级设置

如果是站点管理员所看到的就还有更改所有者的的部分。做为此内容的所有者看到此页面是没有更改所有者的部分。

去掉【从上层文件夹继承角色】的选项（默认是选择的），单击【应用设置项】后，可以看到此内容的当前共享权限，如图6.12中。

图 6.12 查看当前的共享权限

图中可看到从上一级目录，即stuff文件夹继承角色的用户/组都变成灰色了。他们已经不是document页面的某些角色，也不再拥有document页面的相关权限。

站点管理员用户可以更改内容的属主，每个内容有唯一的所有者，管理员可在更改所有者的部分按提示操作。这个设置不常用到，设置也比较简单，这里就不多介绍了。

6.2.1.4   Plone 3.0中设置内容共享

上文中介绍的设置内容共享，设置过程还较复杂，较繁琐。一个设置内容共享的页面分成几个区域，导致共享的标签页很长，上文介绍的时候也不得不分成几个板块来分别介绍。下图6.13是Plone 3.0中设置内容共享的页面截图，Plone 3.0大大简化了权限的设置步骤。

图 6.13 Plone 3.0中设置内容共享

Plone 3.0设置内容共享的页面只用了一个搜索用户/组板块来设置本地角色，但同时多了编辑人，查看人的角色（上文中已介绍）。

6.2.2   调整内容的状态

调整文件夹的状态，比如保密、公开草案、发布等，这样可以设置文件夹下内容的保密级别。比如将文件夹设置为保密后，文件夹及文件夹下内容对除所有者和管理员的角色外所有的用户就没有显示的权限。当然直接对普通内容（文件，页面，图片等）也可单独设置内容状态。

图 6.14 调整内容的状态

可查看《管理工作流》章节中的工作流权限明细表，据不同的要求调整内容状态，这个比较简单，在《使用Plone》的章节中也有部分介绍，这里就不过多介绍了。

6.3.1   了解Zope的权限

在《深入Plone设置与管理》章节中介绍ZMI，当时了解了ZMI中每个对象都有一个Security标签页，即对象安全标签页。图 6.15所示是站点ZMI根目录的Security标签页的截图片断。

图 6.15 对象的安全标签页

图中看到这个页面的表单左侧列出的权限项(Permission)很多很多，这些是站点获得Zope的，以及Plone的，还有Plone的一些插件产品几乎所有的权限项。这些是几乎接近底层的东西，没有必要一个个去了解它们。在表单的右侧列出的是针对每一个权限项各个角色(Roles)是否拥有这个权限项的权限，这些角色正是上文中罗列的Plone站点中预设的6种角色(Anonymous, Authenticated, Manager, Owener, Reviewer)。

在每一个权限项的左侧，都有一个选择设定获取(Acquire permission settings?)的选择框，表示自动从对象上一级目录获取权限设置。 因为这个获取的存在，一般情况下，只需要在网站根文件夹下设置权限即可，下面的各级子文件夹中的内容都可自动获取根文件夹中的设置。 这样大大简化的网站的权限设置。

6.3.2   常用权限设置

前面看到了ZMI中的Security标签页中的权限项太多，一般不推荐到这里来设置权限，这里介绍几个常用的权限。

6.3.3   添加角色

在上文中介绍用户与组管理时提到可以添加角色，就是在Security标签页的最下方，如图6.16。

图 6.16 添加角色

图6.16中是站点根目录的Security标签页下方的添加角色，所以你看到在这里可以删除成员和审批人的角色。在这里可以添加角色和删除角色。

添加角色属于系统集成人员才会执行的操作，添加角色后往往还要为该角色关联相关的权限。比如可定义一个贡献人角色，然后在Security标签中，和这个将Add portal content的权限项和这个角色关联。这样，便可以在Plone共享标签中，通过为文件夹中的用户或组分配这个新的贡献人角色，来授予添加内容的权限。

6.3.4   日常权限管理工作

说到Plone中的权限管理，不可能不提及到工作流。在上文中的Plone权限设置中，提到三种方式设置内容的权限，有一种就是调整内容状态，这其实是工作流所控制的。调整状态，可以批量的调整角色的权限。比如内容一旦发布，原始作者便不能再修改了。所以在Plone权限管理中是和工作流密切相关的，关于工作流具体会在下一章《定制工作流》中详细介绍。

Plone中的某些权限项，比如，内容的查看，编辑等权限，是由工作流所控制的。其他的权限设置，比如添加内容的权限项，用户注册的权限项，用户评注的权限项等，可以单独设置。

下面是日常权限管理工作中几个常用到的例子，通过例子的操作更深入地了解和掌握复杂一点的权限管理工作。

6.3.4.1   禁止用户自行注册

禁止用户自行注册也是很多案例需要去设置的，比如，建立企业的内部站点，建立私人站点，就常有这样的需求。下面是设置禁止用户自行注册的实例。

【例 6.1】 设置禁止用户自行注册

1. 进入站点ZMI根目录的Security标签
2. 找到Add portal member权限项，取消选择Acquire（获取）复选框，并选择允许Manager和Owner角色的复选框
3. 单击Save按钮，保存更改

这样就设置了站点禁止用户自行注册的功能，当您用匿名用户查看站点时，注册的链接已经没有了，匿名用户不能注册站点成员了，如图6.17所示。当然，管理员可以在Plone控制面板中添加站点成员，这也正是我们需要达到的目的。

图 6.17 设置禁止用户自行注册

6.3.4.2   允许成员添加内容

很多站点会有这样一个需要，它们开放某一个目录，在这里站点成员都可以添加内容（或某一类型内容）。下面是设置某一文件夹下允许成员添加内容的实例。

【例 6.2】 设置某一文件夹下允许成员添加内容

1. 进入ZMI中的stuff文件夹（这里以stuff文件夹为例）的Security标签页
2. 找到Add portal content权限项，取消选择Acquire，并选择允许 Manager 、Member 和 Owner 角色
3. 找到您想让成员添加的内容类型的权限项，比如，添加文件内容（ATContentTypes: Add File）的权限项，取消选择Acquire，并选择允许 Manager 、Member 和 Owner 角色
4. 单击Save按钮，保存更改

这样，站点成员就可以在stuff文件夹下加您允许添加的文件类型内容。下图 6.18 是成员用户登录到stuff文件夹后有添加文件的权限。

图 6.18 允许成员添加内容

6.3.4.3   允许匿名用户评论

默认的Plone站点对用户登录才能对内容发表评论，下面是设置允许匿名用户发表评论的实例。

【例 6.3】 设置允许匿名用户评论

1. 进入ZMI的根目录的 Security 标签页
2. 找到Reply to item权限项，取消选择Acquire，并选择允许Anonymous角色
3. 单击Save按钮，保存更改

这样，站点的内容如果开启了评论，匿名用户也可对内容进行评论。如下图是匿名用户可添加评注，默认情况内容开启评论后，图中红圈位置是【登录后发表评论】的按钮。

图 6.19 允许匿名用户评论

6.4.1   认识用户管理文件夹

进入站点的ZMI中，看到有一个acl_users的对象，如图6.20所示，Plone就是通过这个称之为用户管理文件夹的工具来存储和管理用户账号的。

图 6.20 用户管理文件夹

6.4.2   用户管理文件夹原理

从Plone 2.5开始，Plone开始引入PlonePAS来进行用户管理。 PlonePAS 是一个全插件架构的用户文件夹，拥有大量的插件，能够灵活的设置认证、用户管理、用户属性管理、组管理、角色管理等各个环节，并可轻松扩展，满足个性化的用户管理需要。 使用相关的插件，可实现Plone和第三方的用户数据源的集成，实现多数据员认证，支持用户组的管理，也可在多个Plone站点之间共享数据源。 PlonePAS底层采用Zope上的一个叫做PluggableAuthService的产品实现。

acl_users中除Plugins，其他对象都是用户管理文件夹都是插件，这些插件按不同类型的插件分类组成在用户管理文件夹，以下是这些插件简单说明。

PlonePAS用户文件夹的核心对象是plugins对象，它是所有插件的一个注册表。在acl_users文件夹中，进入plugins对象，这是查看插件的管理器，在插件管理器中，可以查看各种的注册清单。plugins对象的Active标签页对插件清单做了分类。如图6.21（为了更容易理解这部分内容，下面是加了一个ldap_users插件的截图）。

图 6.21 注册插件清单表

正如前面所介绍的，所有的插件是按不同类型的插件分类组成在用户管理文件夹，下表6.3是插件分类说明。

在这里很方便地看到各个插件的类型，同种功能插件的使用顺序，及可用到的插件等。 比如在上图中，同属于Authentication Plugins的插件有ldap_users和source_users，同属于Challenge Plugins的插件有credentials_cookie_auth和credentials_basic_auth。插件使用顺序在设置上也很重要，比如上图中的Authentication Plugins（认证插件），用户认证先使用ldap_users数据源，如果在这个数据源中没找到再到下一个source_users数据源中找。同样，你可以设置改变顺序，进入Authentication Plugins，如图6.22所示。

图 6.22 改变同功能的插件使用顺序

在这里可以调整Authentication Plugins的两个插件ldap_users和source_users的使用优先级。如果不需要用到source_users数据源，将source_users从Active Plugins（当前活动的插件）移到Available Plugins（可用到的插件）区。这样就做到了只使用ldap_users数据源了。

在用户数据认证，有时候需要满足这样的要求：某个Plone站点之前使用的是存放在默认Plone数据库中的用户数据源source_users，现在想使用用户数据更全的LDAP数据源认证，并且以后从网站注册的用户都存放在LDAP数据源中，Plone原来的用户数据源source_users只提供用户数据认证。这样实现其实很简单，在source_users的Activate标签页中设置一下接口就行，只允许提供用户认证接口，如图6.23所示。

图 6.23 设置source_users数据源中的接口

所以在这里也了解到，要实现多个用户数据源的认证，首先要添加多个用户数据源，如上图6.16中添加了一个ldap_users的数据源，然后要设置认证的顺序，还需设置各个数据源中的认证的接口，根据具体的需求设置实现多个数据源认证。另外，实现数据源认证一般需要设置缓存加速，进入数据源ldap_users的Cache标签页设置缓存。

6.5.1   LDAP集成

首先，确认已经建立好LDAP服务器，或某些使用LDAP协议（Lightweight Directory Access Protocol: 轻量级目录访问协议）的服务器，比如活动目录。下面的例子只介绍如何在Plone中与LDAP服务器集成。

与LDAP服务器集成需要安装以下几个产品扩展包：

• SimpleUserFolder：Zope的扩展包，将用户名和口令存放在Plone默认的数据库中，这个产品没有支持组的功能。
• LDAPUserFolder：Plone的扩展包，这个产品对Zope的用户文件夹重新定义，让Plone用户存储与LDAP服务器集成。如：活动目录、OpenLDAP。
• LDAPMultiPlugins：Plone的扩展包，这个产品提供PAS使用LDAP的插件。

这些都是Zope/Plone的产品，按照传统的安装方式将产品放到Plone实例的Products目录，重启服务即可，在ZMI的acl_users中可以看到可以添加ldap_multi_plugin插件，如图6.24。

图 6.24 提供集成LDAP的插件

在添加列表中有 ldap_multi_plugin ，现在添加这个插件，出现了配置LDAP的页面，如图6.25所示。

图 6.25 配置LDAP

连接LDAP服务器，配置上图表单中的配置项，下表6.4中对配置LDAP的配置项做了具体说明。

这些配置项由LDAP服务器的管理员提供，配置好后，单击Apply Changes提交更改，这样就对配置集成LDAP服务器就完成了。配置表单存放在ldap_users 的Content标签页下的acl_users文件夹，可看到LDAP服务器已经连接上，如图6.26所示。

【图 6.26】连接LDAP服务器

下面需要设置已经配置好LDAP数据源的接口，返回acl_user目录，进入ldap_users，设置它提供的接口。如图6.27所示。

图 6.27 设置LDAP数据源的接口

根据需求设置好接口后，单击Update按钮完成更改。

还需对认证LDAP数据源设置缓存加速。（关于这一步，LDAPMultiPlugins产品中的README.txt中写得很清楚，安装产品前看README是一个很好的习惯。）返回到acl_users目录，在下拉菜单中添加"RAM Cache Manager"，填入缓存设置的ID（例子中设置为auth_cache）配置缓存项，如图6.28所示。

图 6.28 配置缓存项

按照您的具体需要配置好后，单击Save Changes按钮，保存更改。返回acl_users目录，进入ldap_users的Cache标签页，设置ldap_users数据源的缓存使用的对象，即前面配置的缓存auth_cache。如图6.29所示。

图 6.29 对LDAP数据源使用缓存

设置好后，单击Save Changes按钮，保存更改。

按照需要在acl_users中调整数据源的认证顺序及其它设置，过后测试在站点页面中与关系数据库集成是否没问题，到这里，配置与LDAP服务器集成的工作就完成了。

6.5.2   关系数据库用户集成

在第十四章的《访问关系数据库》的章节中详细介绍了Plone与关系数据库如何集成，在了解Plone是如何与关系数据库集成后设置与关系数据库用户集成就很方便了。

首先，在您的关系数据库中建立一个新的用户数据库有数据库，下面的例子用MySQL创建的一个数据库及数据库表。

# 建立user_database数据库
create database user_database;

# 在user_database数据库中建立users_table表
create table user_database.users_table (
  username varchar primary key,
  full_name varchar,
  email varchar,
  password varchar
);

在站点在ZMI根目录下建立一个与关系数据库的连接（查看《访问关系数据库》的章节了解如何建立让Plone站点连接关系数据库）。取连接数据库的接口ID为mysql_users_database，确保能与 MySQL数据库取得连接。

需要安装SQLPASPlugin扩展产品包，这是Plone针对PAS做的SQL的插件包，按照传统方式安装后，在acl_users目录中，右侧的下拉菜单中有会sql_user_manager插件，如下图6.30。

图 6.30 sql_user_manager 插件

添加sql_user_manager插件项，出现下图的表单，取一个您想给予的Id,在Database Connection中就会有连接MySQL数据库的接口mysql_users_database，这正是前面配置的连接接口（您的站点中如果有多个，在这里可以选择其中的一个）。如图6.31所示。

图 6.31 添加sql_user_manager插件

填完表单后，单击add user manager按钮保存设置，在acl_users目录中就添加了一个连接关系数据库的数据源插件mysql_user_manager，下面需要对数据源进行配置，进入mysql_user_manager，设置它提供的接口，如图6.32所示。

图 6.32 设置SQL数据源接口

按照您的要求设置它提供认证、添加用户、列举用户、用户管理等接口，单击Update更改保存设置。进入mysql_user_manager的Properties标签页设置数据源的属性项，如图6.33所示。

图 6.33 设置SQL数据源的属性项

对应于在数据库中建立的表，依次在属性项中填入与数据库中表及表中字段映射关系，如下对应属性项内容。

users_table          :     user_talbe
users_col_username   :     username
users_col_password   :     password
col_mapping          :     email/email
                           full_name/fullname

设置好属性项后，单击Save Changes保存设置，这样就设置好了数据源的属性项了，下面需调整SQL数据源中的调整一些ZSQL方法，进入mysql_user_manager的Contents标签页，在这里面会看到sqlCreateUser，sqlLoadAllUsers, sqlLoadUser, sqlRemoveUser, sqlUpdateUser等默认的ZSQL方法，在这个页面中也可以添加新的ZSQL方法，下面需要对现有的ZSQL方法调整一下，让他们与属性项，与数据库字段对应。以sqlCreateUser为例，如图6.34所示。

图 6.34 调整ZSQL方法与属性项、与数据库字段对应

对sqlCreateUser的Arguments加入其它的字段，如上图6.28中所示，加上下面这些字段。

username password full_name email

对于sqlCreateUser写的ZSQL方法也需要调整，写ZSQL其实很简单，就是在SQL中加上DTML的语言，如下面的代码。

INSERT INTO user_table (username, password, full_name, email)
VALUES (<dtml-sqlvar username type=string>,
       <dtml-sqlvar password type=string>,
       <dtml-sqlvar full_name type=string>,
       <dtml-sqlvar email type=string>
)

这些是实现添加数据的功能，在页面下方操作按钮中的Change and Test 可以对ZSQL方法进行测试。依照这种方式更改其它ZSQL方法，确认每个使用到的ZSQL方法都能测试通过。

按照需要在acl_users中调整数据源的认证顺序及其它设置，过后测试在站点页面中与关系数据库集成是否没问题，到这里让Plone站点与关系数据库用户集成的设置工作就完成了。