小李：最近我在研究医院的信息系统，发现统一身份认证系统非常重要。你知道吗？在医院里，不同角色的工作人员，比如医生、护士、行政人员，他们访问的数据和功能都不一样，如果不能统一管理，就会出现权限混乱的问题。

老张：没错，我之前在一家医院工作的时候就遇到过这种情况。当时没有统一的身份认证系统，每个人都要用不同的账号登录不同的系统，非常麻烦。而且数据分散，也容易出错。

小李：那你是怎么解决这个问题的呢？有没有什么好的方案？

老张：我们后来引入了统一身份认证系统（SSO），也就是Single Sign-On。这样，一个用户只需要登录一次，就可以访问所有授权的系统，大大提高了效率。

小李：听起来不错。那这个系统是怎么工作的呢？有没有具体的实现方式？

老张：当然有。我们可以使用OAuth2.0或者OpenID Connect这样的协议来实现。不过，如果是内部系统，也可以自己搭建一个基于JWT的认证服务。

小李：JWT是什么？能举个例子吗？

老张：JWT全称是JSON Web Token，它是一种开放标准，用于在各方之间安全地传输信息。比如，当用户登录成功后，服务器会生成一个包含用户信息的JWT，并将其返回给客户端。客户端之后每次请求时都携带这个Token，服务器通过验证Token来判断用户是否有权限访问资源。

小李：明白了。那我们可以写一段代码来演示一下这个过程吗？

老张：当然可以。下面是一个简单的Node.js示例，展示如何使用JWT进行身份认证。

// 安装依赖
// npm install jsonwebtoken express

const express = require('express');
const jwt = require('jsonwebtoken');

const app = express();
const SECRET_KEY = 'your-secret-key';

// 模拟数据库中的用户数据
const users = {
  'admin': { id: 1, role: 'admin' },
  'doctor': { id: 2, role: 'doctor' },
  'nurse': { id: 3, role: 'nurse' }
};

// 登录接口
app.post('/login', (req, res) => {
  const { username, password } = req.body;

  // 这里应从数据库查询用户
  if (users[username] && password === '123456') {
    const user = users[username];
    const token = jwt.sign({ id: user.id, role: user.role }, SECRET_KEY, { expiresIn: '1h' });
    res.json({ token });
  } else {
    res.status(401).json({ message: '用户名或密码错误' });
  }
});

// 需要认证的接口
app.get('/api/patients', (req, res) => {
  const token = req.headers['authorization'];
  if (!token) return res.status(401).json({ message: '未提供令牌' });

  try {
    const decoded = jwt.verify(token, SECRET_KEY);
    if (decoded.role !== 'admin' && decoded.role !== 'doctor') {
      return res.status(403).json({ message: '无权访问' });
    }

    // 假设这里是从数据库获取患者信息
    res.json({ patients: ['张三', '李四', '王五'] });
  } catch (err) {
    res.status(401).json({ message: '无效的令牌' });
  }
});

app.listen(3000, () => {
  console.log('服务器运行在 http://localhost:3000');
});
    

小李：这段代码看起来很清晰。那在医院中，这个系统是如何与资料管理结合的呢？

老张：这是关键的一点。统一身份认证不仅用于用户登录，还与资料管理紧密相连。比如，医生只能查看自己的病人资料，而管理员可以查看所有资料。这就需要在系统中设置详细的权限控制。

小李：那具体怎么实现权限控制呢？有没有什么设计模式或架构建议？

老张：通常我们会采用RBAC（Role-Based Access Control）模型，即基于角色的访问控制。每个角色对应一组权限，用户被分配到某个角色后，就可以拥有该角色的所有权限。

小李：那能不能再举个例子，说明权限是如何配置的？

老张：好的。比如，在医院系统中，可能有以下几种角色：

管理员（Admin）：可以管理所有用户和数据。

医生（Doctor）：可以查看和修改患者的病历。

护士（Nurse）：可以查看患者的基本信息和护理记录。

普通用户（Patient）：只能查看自己的基本信息。

小李：那这些角色的权限是如何存储的呢？有没有数据库结构的例子？

老张：通常我们会有一个角色表和权限表，以及一个角色-权限关联表。例如：

-- 角色表
CREATE TABLE roles (
  id INT PRIMARY KEY AUTO_INCREMENT,
  name VARCHAR(50) NOT NULL UNIQUE
);

-- 权限表
CREATE TABLE permissions (
  id INT PRIMARY KEY AUTO_INCREMENT,
  name VARCHAR(100) NOT NULL UNIQUE
);

-- 角色-权限关联表
CREATE TABLE role_permissions (
  role_id INT,
  permission_id INT,
  FOREIGN KEY (role_id) REFERENCES roles(id),
  FOREIGN KEY (permission_id) REFERENCES permissions(id)
);
    

小李：明白了。那在实际应用中，如何将这些权限与用户绑定呢？

老张：我们会有一个用户表，其中包含用户的角色ID。例如：

-- 用户表
CREATE TABLE users (
  id INT PRIMARY KEY AUTO_INCREMENT,
  username VARCHAR(50) NOT NULL UNIQUE,
  password VARCHAR(100) NOT NULL,
  role_id INT,
  FOREIGN KEY (role_id) REFERENCES roles(id)
);
    

小李：这样就能根据用户的角色来判断其权限了。那在代码中，如何实现权限校验呢？

老张：可以在每个需要权限的接口中，先获取用户的角色，然后查询该角色对应的权限，再判断用户是否具备访问当前资源的权限。

小李：那是不是可以写一个中间件来处理权限校验？

老张：是的，这是一个常见的做法。比如在Express中，我们可以写一个中间件函数，用于检查用户是否有权限访问特定的路由。

function checkPermission(requiredRole) {
  return (req, res, next) => {
    const token = req.headers['authorization'];
    if (!token) return res.status(401).json({ message: '未提供令牌' });

    try {
      const decoded = jwt.verify(token, SECRET_KEY);
      const userRole = decoded.role;

      if (userRole === requiredRole || userRole === 'admin') {
        next();
      } else {
        res.status(403).json({ message: '无权访问' });
      }
    } catch (err) {
      res.status(401).json({ message: '无效的令牌' });
    }
  };
}
    

小李：这确实很方便，避免了重复代码。那在医院的资料管理中，还有哪些需要注意的地方呢？

老张：除了权限控制外，还需要考虑数据的敏感性。比如，患者的隐私信息必须严格保护，不能随意泄露。同时，系统还需要有审计日志，记录谁在什么时候访问了哪些资料。

小李：那审计日志是怎么实现的呢？有没有什么好的实践？

老张：通常我们会使用日志系统，比如ELK（Elasticsearch, Logstash, Kibana）或者Splunk。每次用户访问资源时，都会记录一条日志，包括用户ID、操作时间、操作内容等。

小李：听起来挺复杂的，但也很必要。那现在我们总结一下，统一身份认证系统在医院中的作用有哪些？

老张：主要有以下几个方面：

提高用户体验：用户只需登录一次，即可访问多个系统。

提升安全性：集中管理用户身份，减少密码泄露风险。

便于权限管理：通过角色和权限控制，确保数据安全。

方便审计和监控：可追踪用户行为，保障合规性。

小李：确实，统一身份认证系统是医院信息系统的重要组成部分。你刚才提到的代码和设计思路都很实用，对我帮助很大。

老张：很高兴能帮到你。如果你有兴趣，我们可以一起做一个更完整的医院管理系统原型。

小李：那太好了！我期待着我们的合作。