CN105373714B - 一种用户权限控制方法和装置 - Google Patents

Abstract

本发明提供了一种用户权限控制方法包括：获取用户待授权的角色和已授权的角色；获取预先设定的待授权角色和已授权角色所属的内互斥组和外互斥组，其中所述内互斥组中所有的角色之间互斥，所述外互斥组中所有的角色兼容，所述外互斥组中所有的角色与不在组内的所有角色互斥；根据所述待授权角色和已授权角色所属的内互斥组和外互斥组判断是否将待授权的角色授权给用户。和现有的函数比较方式相比，本发明所述用户权限控制方法，权限比较过程相对简单，控制精度较高，大大的提高了用户权限的控制效率。

Description

一种用户权限控制方法和装置

技术领域

本发明属于用户权限管理领域，尤其涉及一种用户权限控制方法和装置。

背景技术

在多用户***中，根据用户的权限和职位的不同，需要为用户分配不同的权限，从而为用户提供更为安全可靠的***服务。

RBAC(英文全为Role-Based Access Control，中文全称为基于角色的访问控制规范)，是目前公认的解决企业级应用***权限管理的有效方法。在RBAC中，权限与角色相关联，用户通过成为适当角色，从而得到这些角色的权限，极大地简化了权限的管理复杂度。

RBAC有三个安全原则：最小权限原则，责任分离原则和数据抽象原则。而RBAC96是最基础的RBAC规范，它包括4种模型：基本模型RBAC0，角色分级模型RBAC1，限制模型RBAC2，统一模型RBAC3。其中的限制模型描述了实现责任分离原则。

RBAC2中的一个基本限制是互斥角色的限制，互斥角色是指各自权限互相制约的两个角色。对于这类角色一个用户在某一次活动中只能被分配其中的一个角色，不能同时获得两个角色的使用权。

例如，在审计活动中，一个用户不能同时被指派给会计角色和审计员角色。或者，在公司中，经理和副经理的角色也是互斥的，合同或支票只能由经理签字，不能由副经理签字。在为公司建立的RBAC2模型中，一个用户不能同时兼得经理和副经理两个角色。限制模型的互斥限制可以支持权责分离原则的实现。

目前常见的互斥限制方法是采用函数来实现，当为用户指定角色或为角色分配权限时就调用这些函数进行检查，根据函数返回的结果决定分配是否满足限制的要求，通常只对那些可被有效检查和那些惯例性的一些简单限制能够进行实现。

采用函数的方式实现互斥限制，其方法较为灵活，可以实现任意的限制。但是，随着用户的增加，要为每个用户授权时，需要逐个比对与其它用户的权限的兼容性，不仅比较麻烦，而且容易出错。

发明内容

本发明的目的在于提供一种用户权限控制方法，以解决现有技术随着用户的增加，要为每个用户授权时，需要逐个比对与其它用户的权限的兼容性，不仅比较麻烦，而且容易出错的问题。

第一方面，本发明实施例提供了一种用户权限控制方法，所述方法包括：

获取用户待授权的角色和已授权的角色；

获取预先设定的待授权角色和已授权角色所属的内互斥组和外互斥组，其中所述内互斥组中所有的角色之间互斥，所述外互斥组中所有的角色兼容，所述外互斥组中所有的角色与不在组内的所有角色互斥；

根据所述待授权角色和已授权角色所属的内互斥组和外互斥组判断是否将待授权的角色授权给用户。

结合第一方面，在第一方面的第一种可能实现方式中，所述根据所述待授权角色和已授权角色所属的内互斥组和外互斥组判断是否将待授权的角色授权给用户步骤包括：

判断待授权的角色与已授权的角色是否在同一内互斥组；

如果待授权的角色与已授权的角色在同一内互斥组，则拒绝授权，否则，进一步判断待授权的角色所属的外互斥组是否包括所有已授权的角色；

如果待授权的角色所属的外互斥组不包括所有已授权的角色，则拒绝授权，否则，进一步判断已授权的所有角色所属的外互斥组是否包含待授权的角色；

如果已授权的所有角色所属的外互斥组不包括待授权的角色，则拒绝授权，否则允许授权。

结合第一方面，在第一方面的第二种可能实现方式中，所述方法还包括：

当用户不存在已授权角色时，则允许授权。

结合第一方面，在第一方面的第三种可能实现方式中，所述根据所述待授权角色和已授权角色所属的内互斥组和外互斥组判断是否将待授权的角色授权给用户步骤包括：

如果待授权角色所属的同一个外互斥组中包括所有已授权角色，则允许授权。

结合第一方面，在第一方面的第四种可能实现方式中，在所述获取预先设定的待授权角色和已授权角色所属的内互斥组和外互斥组步骤之前，所述方法还包括：

建立***的内互斥组和外互斥组，所述内互斥组的个数包括零个、一个或者一个以上，所述外互斥组的个数包括零个、一个或者一个以上，所述内互斥组至少包括两个角色，所述外互斥组至少包括一个角色。。

第二方面，本发明实施例提供了一种用户权限控制装置，所述装置包括：

角色获取单元，用于获取用户待授权的角色和已授权的角色；

关系组获取单元，用于获取预先设定的待授权角色和已授权角色所属的内互斥组和外互斥组，其中所述内互斥组中所有的角色之间互斥，所述外互斥组中所有的角色兼容，所述外互斥组中所有的角色与不在组内的所有角色互斥；

第一授权单元，用于根据所述待授权角色和已授权角色所属的内互斥组和外互斥组判断是否将待授权的角色授权给用户。

结合第二方面，在第二方面的第一种可能实现方式中，所述第一授权单元包括：

第一判断子单元，用于判断待授权的角色与已授权的角色是否在同一内互斥组；

第二判断子单元，用于如果待授权的角色与已授权的角色在同一内互斥组，则拒绝授权，否则，进一步判断待授权的角色所属的外互斥组是否包括所有已授权的角色；

第三判断子单元，用于如果待授权的角色所属的外互斥组不包括所有已授权的角色，则拒绝授权，否则，进一步判断已授权的所有角色所属的外互斥组是否包含待授权的角色；

授权子单元，用于如果已授权的所有角色所属的外互斥组不包括待授权的角色，则拒绝授权，否则允许授权。

结合第二方面，在第二方面的第二种可能实现方式中，所述装置还包括：

第二授权单元，用于当用户不存在已授权角色时，则允许授权。

结合第二方面，在第二方面的第三种可能实现方式中，所述第一授权单元具体用于：

如果待授权角色所属的同一个外互斥组中包括所有已授权角色，则允许授权。

结合第二方面，在第二方面的第四种可能实现方式中，所述装置还包括：

关系组建立单元，用于建立***的内互斥组和外互斥组，所述内互斥组的个数包括零个、一个或者一个以上，所述外互斥组的个数包括零个、一个或者一个以上，所述内互斥组至少包括两个角色，所述外互斥组至少包括一个角色。

在本发明中，通过获取用户待授权角色和已授权角色，根据预先设定的待授权角色所属的内互斥组和外互斥组，以及已授权角色所属的内互斥组和外互斥组进行判断从而决定是否将待授权角色授权给用户。和现有的函数比较方式相比，本发明所述用户权限控制方法，权限比较过程相对简单，控制精度较高，大大的提高了用户权限的控制效率。

附图说明

图1是本发明第一实施例提供的用户权限控制方法的实现流程图；

图2是本发明第二实施例提供的根据关系组进行用户授权方法的实现流程图；

图3是本发明第三实施例提供的用户权限控制装置的结构示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明实施例所述用户权限控制方法，目的在于解决现有技术中对用户权限进行控制时，需要通过函数运算，逐个比较为用户指定的角色是否和已授权的角色冲突，通过函数的返回结果决定分配是否满足限制的要求。这样对于一套***来说，对于***内的N个角色，需要设置每个角与其它N-1个角色的兼容性，这样就出现了一张N*N的配伍矩阵，在为每个人授权时，都要检查这个矩阵，构建维护和使用这个矩阵较为麻烦，而且容易出错。基于此，本发明提出一种使用更为简便、授权效率更高的用户权限控制方法，下面结合附图具体进行说明。

实施例一：

图1示出了本发明第一实施例提供的用户权限控制方法的实现流程，详述如下：

在步骤S101中，获取用户待授权的角色和已授权的角色。

具体的，本发明实施例中所述待授权的角色，就是即将给用户分配的角色，比如用户进行入职、职位升迁等场合，或者因工作需要，分配用户具有某些特定权限的角色，比如进入某些重要场合需要授权，或者对数据修改需要获得授权等，需要在***中为其分配角色或者设定角色。所述已授权的角色，即用户事先已具备的角色，比如用户事先的职位角色为“副经理”，在升迁后，职位角色变更为“经理”。

本发明实施例中所述已授权的角色，可以为一个或者多个，当然也可以为空，即用户目前没有任何职位，比如新入职的用户。当已授权的角色为空时，则不需要后续的判断操作，可直接允许授权操作。

在步骤S102中，获取预先设定的待授权角色和已授权角色所属的内互斥组和外互斥组，其中所述内互斥组中所有的角色之间互斥，所述外互斥组中所有的角色兼容，所述外互斥组中所有的角色与不在组内的所有角色互斥。

具体的，本发明实施例中所述的内互斥组，是指该组内的所有的角色之间的关系为互斥关系。即位于同一内互斥组的角色，不能同时授予同一用户。比如会计角色和审计员角色，可属于同一内互斥组，在该内互斥组中可能还包括其它的角色，只需要满足在组内的任一角色，与组内的其它角色为互斥关系即可。

所述外互斥组，是指一个组内的所有角色，都是兼容关系，即组内的任一角色，与组内的其它角色都是兼容的。并且，对于外互斥组中的每一个角色，与不在该外互斥组中的任一角色，都是互斥关系，也即，用户如果已授权外互斥组内的角色，那么，用户就不可以授权所述外互斥组以外的角色。

比如，角色A、A1、A2属于同一个外互斥组，而角色B、C不属于该外互斥组，那么用户可以授权角色A、A1、A2中的一个或者多个。如果用户已授权所述外互斥组中的角色，那么用户将不允许授权外互斥组以外的任一角色。

本发明实施例中获取预先设定的待授权角色和已授权角色所属的内互斥组和外互斥组，可以通过预先对***中所有角色建立所属的内互斥组和外互斥组，并将建立的内互斥组与外互斥组存储。当需要查找待授权角色和已授权角色所属的内互斥组和外互斥组时，直接调用存储的数据即可。

在***的内互斥组和外互斥组建立后，在新增加用户，或者用户的角色发生变化时，通常不需要对所述数据进行更新操作。如果***新增加角色，则需要根据新增加的角色对存储的关系组进行重新的调整。

在本发明实施例中，建立***的内互斥组和外互斥组，所述内互斥组的个数可以包括零个、一个或者一个以上，所述外互斥组的个数包括一个或者一个以上，所述内互斥组至少包括两个角色，所述外互斥组至少包括一个角色。

在步骤S103中，根据所述待授权角色和已授权角色所属的内互斥组和外互斥组判断是否将待授权的角色授权给用户。

根据待授权角色所属的内互斥组和外互斥组，以及已授权角色所属的内互斥组和外互斥组，可较为快速的检测用户已授权的角色是否和用户待授权角色不兼容，如果出现不兼容，则拒绝授权，如果兼容，则允许授权。

本发明通过获取用户待授权角色和已授权角色，根据预先设定的待授权角色所属的内互斥组和外互斥组，以及已授权角色所属的内互斥组和外互斥组进行判断从而决定是否将待授权角色授权给用户。和现有的函数比较方式相比，本发明所述用户权限控制方法，权限比较过程相对简单，控制精度较高，大大的提高了用户权限的控制效率。

实施例二：

图2示出了本发明第二实施例提供的根据所述待授权角色和已授权角色所属的内互斥组和外互斥组判断是否将待授权的角色授权给用户的实现流程，详述如下：

在步骤S201中，判断待授权的角色与已授权的角色是否在同一内互斥组。

具体的，在实际操作中，对于待授权角色与已授权角色不能出现互斥关系，即不能将两个互斥关系的角色，比如会计员角色与审计员角色分配给同一个用户。

而本发明所述的内互斥组中的任一个用户，与该组内的其它用户都是互斥关系，因此，当检测到在待授权角色与已授权角色中的任一个在同一互斥组时，则可拒绝授权。

所述判断待授权的角色与已授权的角色是否在同一内互斥组的方法，可以通过获取待授权角色所属的内互斥组，如果已授权角色中有任一个位于待授权角色所属的内互斥组，则拒绝授权。

当然，也可以获取每个已授权角色所属的内互斥组，如果每个已授权角色所属的内互斥组中，有任一内互斥组中包括待授权角色，则拒绝授权。

在步骤S202中，如果待授权的角色与已授权的角色在同一内互斥组，则拒绝授权，否则，进一步判断待授权的角色所属的外互斥组是否包括所有已授权的角色。

进一步的，如果通过内互斥组不能直接判断为拒绝用户授权，则进一步判断待授权角色所属的外互斥组是否包括所有已授权的角色。

即对于待授权角色所属的外互斥组中，每一个角色和组内的其它角色都是兼容的，但是，在每一个外互斥组中的角色，与外互斥组内的角色是互斥的关系。

由于待授权角色可能包括多个外互斥组，因此，如果待授权角色所属的外互斥组包括所有已授权角色时，还不能直接判断所述待授权角色与已授权角色为兼容关系。还需要通过步骤S203进一步判断。

在步骤S203中，如果待授权的角色所属的外互斥组不包括所有已授权的角色，则拒绝授权，否则，进一步判断已授权的所有角色所属的外互斥组是否包含待授权的角色。

如果待授权的角色所属的外互斥组不包括所有已授权的角色，则拒绝授权。如果待授权的角色所属的外互斥组包括所有已授权的角色，则进一步判断已授权的所有角色所属的外互斥组是否包含待授权的角色。

通过对已授权角色所属的外互斥组包含的角色进行判断，如果已授权角色所属的外互斥组中，也包括待授权的角色，则说明待授权角色符合授权条件，进入到步骤S204，对待授权角色进行授权。

在步骤S204中，如果已授权的所有角色所属的外互斥组不包括待授权的角色，则拒绝授权，否则允许授权

作为本发明进一步优化的实施方式中，所述方法还可以包括，判断如果待授权角色所属的同一个外互斥组中包括所有已授权角色，则允许授权。这样进行判断的好处是可以提高授权判断的效率。

本发明通过结合已授权角色、待授权角色的外互斥组、内互斥组进行授权判断，和现有技术中的逐条比较方式相比，本发明授权效率更高。

实施例三：

图3示出了本发明第三实施例提供的用户权限控制装置的结构示意图，详述如下：

本发明实施例所述用户权限控制装置，包括：

角色获取单元301，用于获取用户待授权的角色和已授权的角色；

关系组获取单元302，用于获取预先设定的待授权角色和已授权角色所属的内互斥组和外互斥组，其中所述内互斥组中所有的角色之间互斥，所述外互斥组中所有的角色兼容，所述外互斥组中所有的角色与不在组内的所有角色互斥；

第一授权单元303，用于根据所述待授权角色和已授权角色所属的内互斥组和外互斥组判断是否将待授权的角色授权给用户。

优选的，所述第一授权单元包括：

第一判断子单元，用于判断待授权的角色与已授权的角色是否在同一内互斥组；

第二判断子单元，用于如果待授权的角色与已授权的角色在同一内互斥组，则拒绝授权，否则，进一步判断待授权的角色所属的外互斥组是否包括所有已授权的角色；

第三判断子单元，用于如果待授权的角色所属的外互斥组不包括所有已授权的角色，则拒绝授权，否则，进一步判断已授权的所有角色所属的外互斥组是否包含待授权的角色；

授权子单元，用于如果已授权的所有角色所属的外互斥组不包括待授权的角色，则拒绝授权，否则允许授权。

优选的，所述装置还包括：

第二授权单元，用于当用户不存在已授权角色时，则允许授权。

优选的，所述第一授权单元具体用于：

如果待授权角色所属的同一个外互斥组中包括所有已授权角色，则允许授权。

优选的，所述装置还包括：

关系组建立单元，用于建立***的内互斥组和外互斥组，所述内互斥组的个数包括零个、一个或者一个以上，所述外互斥组的个数包括一个或者一个以上，所述内互斥组至少包括两个角色，所述外互斥组至少包括一个角色。

本发明实施例所述用户权限控制装置，与实施例一、二所述用户权限控制方法相对应，在此不作重复赘述。

在本发明所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个***，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种用户权限控制方法，其特征在于，所述方法包括：

获取用户待授权的角色和已授权的角色；

获取预先设定的待授权角色和已授权角色所属的内互斥组和外互斥组，其中所述内互斥组中所有的角色之间互斥，所述外互斥组中所有的角色兼容，所述外互斥组中所有的角色与不在组内的所有角色互斥；

根据所述待授权角色和已授权角色所属的内互斥组和外互斥组判断是否将待授权的角色授权给用户，若待授权角色与已授权角色不兼容，则拒绝授权，若待授权角色与已授权角色兼容，则允许授权。

2.根据权利要求1所述方法，其特征在于，所述根据所述待授权角色和已授权角色所属的内互斥组和外互斥组判断是否将待授权的角色授权给用户步骤包括：

判断待授权的角色与已授权的角色是否在同一内互斥组；

如果待授权的角色与已授权的角色在同一内互斥组，则拒绝授权，否则，进一步判断待授权的角色所属的外互斥组是否包括所有已授权的角色；

如果待授权的角色所属的外互斥组不包括所有已授权的角色，则拒绝授权，否则，进一步判断已授权的所有角色所属的外互斥组是否包含待授权的角色；

如果已授权的所有角色所属的外互斥组不包括待授权的角色，则拒绝授权，否则允许授权。

3.根据权利要求1所述方法，其特征在于，所述方法还包括：

当用户不存在已授权角色时，则允许授权。

4.根据权利要求1所述方法，其特征在于，所述根据所述待授权角色和已授权角色所属的内互斥组和外互斥组判断是否将待授权的角色授权给用户步骤包括：

如果待授权角色所属的同一个外互斥组中包括所有已授权角色，则允许授权。

5.根据权利要求1所述方法，其特征在于，在所述获取预先设定的待授权角色和已授权角色所属的内互斥组和外互斥组步骤之前，所述方法还包括：

建立***的内互斥组和外互斥组，所述内互斥组的个数包括零个、一个或者一个以上，所述外互斥组的个数包括零个、一个或者一个以上，所述内互斥组至少包括两个角色，所述外互斥组至少包括一个角色。

6.一种用户权限控制装置，其特征在于，所述装置包括：

角色获取单元，用于获取用户待授权的角色和已授权的角色；

关系组获取单元，用于获取预先设定的待授权角色和已授权角色所属的内互斥组和外互斥组，其中所述内互斥组中所有的角色之间互斥，所述外互斥组中所有的角色兼容，所述外互斥组中所有的角色与不在组内的所有角色互斥；

第一授权单元，用于根据所述待授权角色和已授权角色所属的内互斥组和外互斥组判断是否将待授权的角色授权给用户，若待授权角色与已授权角色不兼容，则拒绝授权，若待授权角色与已授权角色兼容，则允许授权。

7.根据权利要求6所述装置，其特征在于，所述第一授权单元包括：

第一判断子单元，用于判断待授权的角色与已授权的角色是否在同一内互斥组；

第二判断子单元，用于如果待授权的角色与已授权的角色在同一内互斥组，则拒绝授权，否则，进一步判断待授权的角色所属的外互斥组是否包括所有已授权的角色；

第三判断子单元，用于如果待授权的角色所属的外互斥组不包括所有已授权的角色，则拒绝授权，否则，进一步判断已授权的所有角色所属的外互斥组是否包含待授权的角色；

授权子单元，用于如果已授权的所有角色所属的外互斥组不包括待授权的角色，则拒绝授权，否则允许授权。

8.根据权利要求6所述装置，其特征在于，所述装置还包括：

第二授权单元，用于当用户不存在已授权角色时，则允许授权。

9.根据权利要求6所述装置，其特征在于，所述第一授权单元具体用于：

如果待授权角色所属的同一个外互斥组中包括所有已授权角色，则允许授权。

10.根据权利要求6所述装置，其特征在于，所述装置还包括：

建立***的内互斥组和外互斥组，所述内互斥组的个数包括零个、一个或者一个以上，所述外互斥组的个数包括零个、一个或者一个以上，所述内互斥组至少包括两个角色，所述外互斥组至少包括一个角色。