Removing User Permissions From a List Item

Programmatically modifying the item-level permissions in a list involves manipulation of the Role Assignments collection for that item.

This example shows how to remove a specific role definition from each of the members of a user collection:
   /// <summary>
        /// Remove a role definition from each of the members of a user collection for a list item
        /// </summary>
        /// <param name="item">The List Item</param>
        /// <param name="userVals">The collection of users who are to have the role definition removed</param>
        /// <param name="def">The role definition to remove</param>
        internal static void RemoveRoleDefinitionFromUsers(SPListItem item, SPFieldUserValueCollection userVals, SPRoleDefinition def)
        {
            if (userVals != null)
            {
                foreach (SPFieldUserValue userVal in userVals)
                {
                    SPUser user = userVal.User;
                    SPRoleAssignment role = item.RoleAssignments.GetAssignmentByPrincipal((SPPrincipal)user);
                    if (role != null)
                    {
                        if (role.RoleDefinitionBindings.Contains(def))
                        {
                            role.RoleDefinitionBindings.Remove(def);
                            role.Update();
                            item.SystemUpdate(false);
                        }
                    }
                }
            }
        }

===========================================================

SPRoleDefinition用于角色（即前面所说的“权限级别”）的定义
它的几个重要的属性有：
Name：角色名称
Description：角色描述
BasePermissions：角色的权限（就是在这个地方指定详细的权限）
另外，Type属性是SPRoleType枚举类型的，这个和2003一样，枚举的条目好像也一样，说明在默认的情况下，角色还是那么几种
另外，关于权限的枚举在2003里面是SPRights，但是这个东西在2007里面同样被宣布成Obsolete的了，取而代之的是SPBasePermissions（其实内容差不太多）

SPRoleAssignment用于权限的分配，它比较简单，只有三个public的属性：
Member：把权限分配给谁
Parent：在什么东西上分配权限
RoleDefinitionBindings：分配什么权限
从最后一个东西的名字上来看，在2007里，权限的分配其实已经变成了角色的绑定
依次看一下上面这三个东西
Member是SPPrincipal类型的（它其实相当于2003里的SPMember），是SPUser和SPGroup的父类
Parent：一个实现了ISecurityxxxx接口的东东（估计2007里能分配权限的类都实现了这个接口）
RoleDefinitionBindings：可以理解为SPRoleDefinition的一个集合（虽然在对象模型上有点区别）

在2007里面
每一个能分配权限的东西（SPWeb、SPList、SPListItem等）都会有一个RoleAssignments属性，它是一个SPRoleAssignmentCollection类型的属性，用于分配权限
此外，在SPWeb里还有RoleDefinitions属性（只在SPWeb里有，也就是说角色只能定义在网站里）

举个例子，
比如我们要给一个用户（user）分配一个在列表（list）上的权限，权限使用了一个名叫“xxx”的角色
代码如下：

SPRoleAssignment ra = new SPRoleAssignment(user);
SPRoleDefinition rd = web.RoleDefinitions["xxx"];
ra.RoldDefinitionBindings.Add(rd);
list.RoleAssignments.Add(ra);

又比如，修改一个用户的权限：

SPRoleAssignment ra = list.RoleAssignments.GetAssignmentByPrincipal(user);
SPRoleDefinition rd = web.RoleDefinitions["xxx"];
ra.RoldDefinitionBindings.Add(rd);
ra.Update();

但是，如果这个列表的权限之前是继承自网站的，
那么上面的代码并不会自动的修改这种继承，反而会抛出异常
我们必须手工解除这种继承关系：

list.BreakRoleInheritance(true);

参数中true的意思是把继承下来的权限重新copy过来（如果你不改它的话，它和网站的权限还是一样的），如果是false，则使用列表模版中定义的默认权限

在使用“BreakRoleInheritance(bool)和ResetRoleInheritance()”时应确保CurrWeb的“AllowUnsafeUpdates==true”，BreakRoleInheritance之后应再次用“AllowUnsafeUpdates=true”使AllowUnsafeUpdates为true，以便以后向‘权限集’内增加权限之用。

example:

Guid siteId=SPControl.GetContextSite(HttpContext.Current).ID;     
SPSecurity.RunWithElevatedPrivileges(delegate()
 {
  using(SPSite site=new SPSite(siteId))
  {
       using(SPWeb web=site.openweb())
      {
         SPRoleAssignment assignment = web.RoleAssignments.GetAssignmentByPrincipal((SPPrincipal)web.CurrentUser);
         StringBuilder sb = new StringBuilder("");
   
         foreach (SPRoleDefinition role in assignment.RoleDefinitionBindings)
         {
          sb.AppendLine(role.Name);
          sb.AppendLine(role.BasePermissions.ToString());
          sb.AppendLine("#");
          }
       lblErrorMessage.Text = sb.ToString();
      }
 }
});