CN105871813A - 业务管理***、用户权限控制方法及*** - Google Patents

Abstract

本发明提供一种业务管理***、用户权限控制方法及***，其通过接收用户的授权请求；获取所述用户的授权请求中携带的访问控制列表匹配数据；在预存的访问控制列表配置文件中根据所述访问控制列表匹配数据进行访问控制列表匹配；根据匹配的访问控制列表进行该用户权限的授权控制，当需要更改用户权限控制的颗粒度时，可扩展对相应访问控制列表类型元素的定义即可实现，即可方便的实现更细颗粒度的用户权限控制，而当需要扩展用户权限控制数据时，只需修改访问控制列表配置文件即可实现，即更便于扩展。

Description

业务管理***、用户权限控制方法及***

技术领域

本发明涉及用户权限控制技术领域，特别是涉及一种业务管理***、用户权限控制方法及***。

背景技术

业务管理***中常常涉及用户权限的控制，在业务管理***中，用户权限例如可能是用户对某个功能模块的操作、对某个业务的上传文件的删改、对某个业务菜单的访问，或者对某个业务页面上某个按钮、某个图片的可见性控制等，这些都可属于权限控制的范畴。

现有技术中，为了实现用户权限控制，通常采用基于角色的访问控制(RBAC，Role-Based Access Control)，即用户通过角色与权限进行关联。简单地说，一个用户拥有若干角色，每一个角色拥有若干权限。这样，就构造成“用户-角色-权限”的授权模型。在这种模型中，用户与角色之间，角色与权限之间，一般者是多对多的关系，如图1所示，但基于角色的访问控制技术中一般使用数据库存储角色或用户的权限数据，但使用数据库存储用户权限数据，不容易扩展；且只是基于角色进行用户权限控制，对用户权限控制的颗粒度不够。

发明内容

鉴于上述问题，本发明实施例提供一种业务管理***、用户权限控制方法及***，以方便进行扩展。

为了解决上述技术问题，本发明实施例提供的一种业务管理***的用户权限控制方法，其包括：

接收用户的授权请求；

获取所述用户的授权请求中携带的访问控制列表匹配数据；

在预存的访问控制列表配置文件中根据所述访问控制列表匹配数据进行访问控制列表匹配；

根据匹配的访问控制列表进行该用户权限的授权控制。

其中，所述访问控制列表匹配数据是用户匹配的一个或多个访问控制列表类型元素数据。

其中，所述访问控制列表类型元素包括以下一项或多项：匹配用户名、匹配角色、匹配数据传输方法或HTTP请求方法、匹配操作代码、匹配资源、匹配参数、匹配控制时间、匹配用户的IP地址或匹配用户对资源的操作频度。

另外，还包括：

当需要更改用户权限控制的颗粒度时，扩展对相应访问控制列表类型元素的定义。

其中，所述的访问控制列表配置文件以文本形式保存。

另外，还包括：

当需要扩展用户权限控制数据时，修改访问控制列表配置文件。

相应地，根据本发明实施例的一种业务管理***的用户权限控制***，其包括：

接收处理模块，用于接收用户的授权请求；

获取处理模块，用于获取所述用户的授权请求中携带的访问控制列表匹配数据；

匹配处理模块，用于在预先保存的访问控制列表配置文件中 根据所述访问控制列表匹配数据进行访问控制列表匹配；

授权控制处理模块，用于根据匹配的访问控制列表进行该用户权限的授权控制。

其中，所述访问控制列表匹配数据是用户匹配的一个或多个访问控制列表类型元素数据。

其中，所述访问控制列表类型元素包括以下一项或多项：匹配用户名、匹配角色、匹配数据传输方法或HTTP请求方法、匹配操作代码、匹配资源、匹配参数、匹配控制时间、匹配用户的IP地址或匹配用户对资源的操作频度。

另外，还包括：

当需要更改用户权限控制的颗粒度时，扩展对相应访问控制列表类型元素的定义。

其中，所述的访问控制列表配置文件以文本形式保存。

另外，还包括：

当需要扩展用户权限控制数据时，修改访问控制列表配置文件。

相应地，根据本发明实施例的一种业务管理***，包括业务***和用户权限控制***，其特征在于，所述用户权限控制***具体包括：

接收处理模块，用于接收业务***发来的用户的授权请求；

获取处理模块，用于获取所述用户的授权请求中携带的访问控制列表匹配数据；

匹配处理模块，用于在预先保存的访问控制列表配置文件中根据所述访问控制列表匹配数据进行访问控制列表匹配；

授权控制处理模块，用于根据匹配的访问控制列表进行该用户权限的授权控制。

其中，所述访问控制列表匹配数据是用户匹配的一个或多个访问控制列表类型元素数据。

其中，所述访问控制列表类型元素包括以下一项或多项：匹配用户名、匹配角色、匹配数据传输方法、匹配操作代码、匹配 资源、匹配参数、匹配控制时间、匹配用户的IP地址或匹配用户对资源的操作频度。

另外，还包括：

当需要更改用户权限控制的颗粒度时，扩展对相应访问控制列表类型元素的定义。

其中，所述的访问控制列表配置文件以文本形式保存。

另外，还包括：

当需要扩展用户权限控制数据时，修改访问控制列表配置文件。

根据本发明实施例提供的业务管理***、用户权限控制方法及***，其通过接收用户的授权请求；获取所述用户的授权请求中携带的访问控制列表匹配数据；在预存的访问控制列表配置文件中根据所述访问控制列表匹配数据进行访问控制列表匹配；根据匹配的访问控制列表进行该用户权限的授权控制，当需要更改用户权限控制的颗粒度时，可扩展对相应访问控制列表类型元素的定义即可实现，即可方便的实现更细颗粒度的用户权限控制，而当需要扩展用户权限控制数据时，只需修改访问控制列表配置文件即可实现，即更便于扩展。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1是根据现有技术基于角色的访问控制的原理示意图；

图2是根据本发明业务管理***的具体实施例整体示意图；

图3是根据本发明业务管理***的用户权限控制方法的具体实施例流程图；

图4是根据图2中用户权限控制***的一个具体实施例的组 成示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员所获得的所有其他实施例，都属于本发明保护的范围。

请参阅图2，其为根据本发明业务管理***的具体实施例整体示意图。

如图示，本实施例业务管理***中包括业务***1和用户权限控制***2，具体实现时，业务***1可以是多个业务子***，其中每个业务或应用分别对应一个业务子***，每个业务子***中的用户都可以通过用户权限控制***2进行权限的集中控制。

需要说明的，由于用户权限通过统一的用户权限控制***进行集中控制，本实施例的业务管理***中，即使各业务子***的权限管理要求不同，也可以采用通用的统一解决方案实现用户权限控制。

参考图3，该图是根据本发明业务管理***的用户权限控制方法的具体实施例流程图，在本实施例中，业务管理***的用户权限控制方法主要包括如下步骤：

步骤S101，接收用户的授权请求；

具体实现时，所述用户的授权请求可以是各个业务子***的用户发来的授权请求，这里不再赘述；

步骤S102，获取所述用户的授权请求中携带的访问控制列表匹配数据；

具体实现时，访问控制列表匹配数据例如可以是用户匹配的一个或多个访问控制列表类型元素数据，需要说明的，本实施例中要预先定义访问控制列表类型元素，在编写访问控制规则时需 要引用它们，作为可选地实施例，所述访问控制列表类型元素可包括以下一项或多项：匹配用户名、匹配角色、匹配数据传输方法或者HTTP请求方法、匹配操作代码、匹配资源、匹配参数、匹配控制时间、匹配用户的IP地址或匹配用户对资源的操作频度，具体定义说明如下，其中

基本的ACL元素语法如下：

acl name type value1 value2...

ACL元素的值value之间是OR的关系，例如：

acl SportsGroup user zhang3 li4

需要说明的，当找到第一个值匹配时，即可停止搜索，因此，具体实现时最好把最可能匹配的值放在列表开头处，能减少匹配花费时间；

另外，在多数情况下，可以对一个ACL元素列举多个值，即可以有多个ACL行使用同一个名字，例如下列两段配置是等价的：

acl AllowAccessRes role tv_editor movie_editor zy_editor

acl AllowAccessRes role tv_editor

acl AllowAccessRes role movie_editor

acl AllowAccessRes role zy_editor

需要说明的，上述相同类型的同名元素是OR的关系，如上例；不同类型的同名元素，后面的元素会覆盖前面的元素，例如：

#被覆盖

acl myTest user test

#会覆盖前面的“myTest”元素

acl myTest action add

下面详细说明本实施例的访问控制列表类型元素：

1.1.ACL类型元素：user，即匹配用户名

匹配后台用户登录名(大小写敏感)或登录ID。

1.2.ACL类型元素：role，即匹配角色

匹配后台用户角色名(大小写敏感)或角色ID。

1.3.ACL类型元素：method，即匹配数据传输方法或HTTP请 求方法

匹配REQUEST_METHOD，例如GET、PUT、POST等(大小写不敏感)。

1.4.ACL类型元素：action，即匹配操作代码

匹配操作代号(大小写敏感)或操作ID。

1.5.ACL类型元素：resource，即匹配资源

匹配资源(操作对象)，包含资源类别代号(大小写敏感)和资源ID两部分。

其中，本实施例定义的对匹配资源的语法规则如下：

restype[resids]

例如：

某类资源全体restype[*]或restype

某类资源全体子资源restype[123].*

指定ID restype[123]

指定多个ID restype[123,234]

指定ID范围restype[10-99]

restype[-50](表示＜＝50)

restype[100-](表示＞＝100)

取反restype[！123，234](表示！＝123&&！＝234)

restype[！10-99](表示＜10&&＞99)

对于具有层级关系的资源类别，可采用以下规则：

prestype1[presids1].prestype2[presids2].{...}.restype[resids]

例如：

#等同于topic[16].page[*]，表示id为16的topic下的所有page

topic[16].page

channel[1095].page[2594].module[16715]

channel[123].channel[1864].ds[*]

#表示id为32的topic下的所有子资源，等同于topic[32].page[*]topic[32].ds[*]topic[32].page[*].module[*]

topic[32].*

1.6.ACL类型元素：param，即匹配参数

对指定的参数进行普通字符串/数值比较或正则表达式匹配。

其中语法规则如下：

paramname＝value1 value2…等于，普通字符串比较多个value之间是“或”的关系

paramname！＝value或

paramname＜＞value不等于，普通字符串比较只能有一个value

paramname＞numeric_value大于，普通数值比较只能有一个numeric_value，且必须是数值

paramname＞＝numeric_value大于等于，普通数值比较只能有一个numeric_value，且必须是数值

paramname＜numeric_value小于，普通数值比较只能有一个numeric_value，且必须是数值

paramname＜＝numeric_value小于等于，普通数值比较只能有一个numeric_value，且必须是数值

paramname＝～pattern1pattern2…正则表达式匹配多个pattern之间是“或”的关系

paramname是指定要进行匹配的参数名(字母、数字或下划线“_”的组合)。

其中正则表达式匹配：patternN是PERL风格的正则表达式，必须包含完整的定界符(任何不是字母、数字或反斜线“\”的字符)和表达式，可以在结束定界符后跟上修正符(参见http://www.php.net/manual/zh/book.pcre.php)。多个pattern之间是OR的关系。

需要说明的，上述param类型元素能实现user、resource、action等元素类型的功能，但是由于正则表达式比较耗时，所以优先使用前几种类型或者普通字符串相等匹配。

1.7.ACL类型元素：time

本实施例中控制可基于时间的访问，时间为每天中的具体时 间，和每周中的每天。

具体实现时，日期和时间以***服务端时间为准，所以设置time ACL时可能需要考虑业务***所在的时区和时差问题。

具体实现时，日期可以单字母来表示，时间可以24小时制来表示，开始时间可以大于结束时间(表示跨越0点)，但两者不能相同，具体如下：

符号日

S星期日Sunday

M星期一Monday

T星期二Tuesday

W星期三Wednesday

H星期四Thursday

F星期五Friday

A星期六Saturday

D工作日All weekdays(M-F)

另外，为了编写time的访问控制列表ACL来匹配对应的工作时间，可以按照下述方式编写：

acl Working_hours time MTWHF 08:00-17:00

或

acl Working_hours time D 08:00-17:00

跨越0点的例子：

acl Offpeak time 20:00-06:00

access deny Offpeak...

等价于：

acl Offpeak time 06:00-20:00

access deny！Offpeak...

同一个time的访问控制列表ACL可以放置多个日期和时间范围列表，“日期时间”或单个日期、单个时间都是合法的，例如：

acl Blah time M 08:00-10:00WHF 09:00-11:00SA

等价于下面3行：

acl Blah time M 08:00-10:00

acl Blah time WHF 09:00-11:00

acl Blah time SA

1.8.ACL类型元素：ip，即匹配用户的ip地址

匹配访问参数client_ip的IP地址。

具体实现时，指定IP地址时，可以以IP子网、地址范围等形式编写地址，支持标准IP地址写法(由”.”连接的4个小于256的数字)和无类域间路由规范。

例如，可以使用如下几种格式：

172.16.10.11单个IP

172.16.10.12-172.16.10.20地址范围

172.16.10.*通配符形式的网段

172.16.10.0/255.255.255.0掩码方式(mask)

172.16.10.0/24无类域间路由(CIDR)

172.16.10.0-172.16.19.0/24多个相邻子网

或者例如：下例中的每组是相等的：

acl Foo ip 172.16.44.21/255.255.255.255

acl Foo ip 172.16.44.21/32

acl Foo ip 172.16.44.21

acl Xyz ip 172.16.55.32/255.255.255.248

acl Xyz ip 172.16.55.32/28

acl Bar ip 172.16.66.0/255.255.255.0

acl Bar ip 172.16.66.0/24

acl Bar ip 172.16.66.0

多个相邻子网：

或者例如

acl Bar ip 172.16.10.0-172.16.13.0/24

等价于下面的行：

acl Bar ip 172.16.10.0/24

acl Bar ip 172.16.11.0/24

acl Bar ip 172.16.12.0/24

acl Bar ip 172.16.13.0/24

注意使用IP地址范围，掩码只能取一个，不能为范围里的地址设置多个不同掩码。

另外，本实施例中同样支持一个ip ACL里设置多个IP地址值，例如：

acl Foo ip 172.16.43.10 172.16.43.16 172.16.43.20-172.16.43.50172.16.44.0/24

1.9.ACL类型元素：freq，即匹配用户对资源的操作频度

控制用户对资源的操作频度，如果频度超过指定值则匹配。

其语法规则可定义如下：

{field1&field2&...}:{times}/{period}

其中field只能是restype、resid或action，中间用“&”连接。表示对某类/某个资源的某种操作进行频次统计。

times表示操作次数，必须是大于0的整形数值。

period表示最近一段时间，必须是大于0的整形数值+单位，单位可以是D(Day)、H(Hour)、M(Minute)或S(Second)，不写单位的话默认是M。

由于freq元素是当操作频度超过指定值时，匹配该ACL元素，所以一般用deny的访问规则进行控制。

具体实现时，可和user、resource、action元素一起联合控制，而且之后再跟一条没有freq的allow联合控制规则，例如：

acl zhang3 user zhang3

acl allTopic resource topic[*]

acl deleteAction action delete

acl limitFreq freq restype&action:5/1M

access deny zhang3 allTopic deleteAction limitFreq

access allow zhang3 allTopic deleteAction

另外，本实施例中还需要设置访问控制规则，用来允许或拒绝某些动作。

例如，一种语法如下：

access allow|deny[！]aclname[！]aclname...

举例说：

access allow AllowAccessRes

access deny！NewsChannel

access allow SportsGroup TechGroup FinanceGroup

access规则的aclname之间是AND关系。

实际中，也可以采用下述方式，即：

access allow ACL1ACL2ACL3

对该匹配规则来说，请求必须匹配ACL1、ACL2、ACL3中的任何一个。假如这些ACL中的任何一个不匹配请求，停止搜索该规则，并继续处理下一条。具体实现时，对某个规则来说，将最少匹配的ACL放在首位，能使效率最佳。

需要说明的，本实施例中也可以支持匿名ACL元素，即在a ccess规则中支持匿名ACL元素，即不需要事先定义的ACL元素，例如：

access allow{user myname}

access deny SportsGroup{action delete}

{}中的即为匿名ACL。

最后，可设置并保存访问控制列表配置文件，具体实现时， 所述的访问控制列表配置文件最好以文本形式保存，其中访问控制列表定义如下，即

access_list:＝access规则\n access规则\n...

其中“\n”是换行符，access_list按顺序匹配，如果能匹配到一条，则停止匹配，如果不能匹配，则换到下一条继续匹配，因此，具体实现时，通常可将更具体和受限制的访问列表放在首位。

步骤S103，预存的访问控制列表配置文件中根据所述访问控制列表匹配数据进行访问控制列表匹配；

具体实现时，根据上述步骤102预先保存有访问控制列表配置文件，本步骤中即可读取预先保存的访问控制列表配置文件，然后根据所述访问控制列表匹配数据进行访问控制列表匹配。

步骤S104，根据匹配的访问控制列表进行该用户权限的授权控制。

需要说明的，当需要扩展用户权限控制的维度时，可以增加新的访问控制列表元素类型；而当需要更改用户权限控制的颗粒度时，本实施例中可通过扩展对相应访问控制列表类型元素的定义即可实现，另外，当需要扩展用户权限控制数据时，修改访问控制列表配置文件即可实现，而无需像现有技术一样修改数据库，另外，本实施例中由于支持匹配控制时间、匹配用户的IP地址或匹配用户对资源的操作频度等各种高级别的权限控制需求，因此，***设计的复杂度不会明显提高。

参考图4，该图是根据本发明业务管理***的用户权限控制***的一个具体实施例，本实施例的用户权限控制***主要包括：

接收处理模块11，用于接收用户的授权请求；

具体实现时，所述用户的授权请求可以是业务***的各个业务子***的用户发来的授权请求，这里不再赘述；

获取处理模块12，用于获取所述用户的授权请求中携带的访问控制列表匹配数据；

具体实现时，参考前述说明，访问控制列表匹配数据例如可以是用户匹配的一个或多个访问控制列表类型元素数据，需要说明的，本实施例中要预先定义访问控制列表类型元素，在编写访问控制规则时需要引用它们，作为可选地实施例，所述访问控制列表类型元素可包括以下一项或多项：匹配用户名、匹配角色、匹配数据传输方法、匹配操作代码、匹配资源、匹配参数、匹配控制时间、匹配用户的IP地址或匹配用户对资源的操作频度，具体定义参见上述说明，这里不再赘述。

匹配处理模块13，用于在预先保存的访问控制列表配置文件中根据所述访问控制列表匹配数据进行访问控制列表匹配；

具体实现时，匹配处理模块13可读取预先保存的访问控制列表配置文件，其中所述的访问控制列表配置文件可以文本形式保存，然后根据所述访问控制列表匹配数据进行访问控制列表匹配。

授权控制处理模块14，用于根据匹配的访问控制列表进行该用户权限的授权控制。

需要说明的，本实施例中，当需要扩展用户权限控制的维度时，可以增加新的访问控制元素类型；而当需要更改用户权限控制的颗粒度时，本实施例中可通过扩展对相应访问控制列表类型元素的定义即可实现，另外，当需要扩展用户权限控制数据时，修改访问控制列表配置文件即可实现，而无需像现有技术一样修改数据库，另外，本实施例中由于支持匹配控制时间、匹配用户的IP地址或匹配用户对资源的操作频度等各种高级别的权限控制需求，因此，***设计的复杂度不会明显提高。

在上述所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。

Claims (13)

1.一种业务管理***的用户权限控制方法，其特征在于，包括：

接收用户的授权请求；

获取所述用户的授权请求中携带的访问控制列表匹配数据；

在预存的访问控制列表配置文件中根据所述访问控制列表匹配数据进行访问控制列表匹配；

根据匹配的访问控制列表进行该用户权限的授权控制。

2.根据权利要求1所述的业务管理***的用户权限控制方法，其特征在于，所述访问控制列表匹配数据是用户匹配的一个或多个访问控制列表类型元素数据。

3.根据权利要求2所述的业务管理***的用户权限控制方法，其特征在于，所述访问控制列表类型元素包括以下一项或多项：匹配用户名、匹配角色、匹配数据传输方法、匹配操作代码、匹配资源、匹配参数、匹配控制时间、匹配用户的IP地址或匹配用户对资源的操作频度。

4.根据权利要求3所述的业务管理***的用户权限控制方法，其特征在于，还包括：

当需要更改用户权限控制的颗粒度时，扩展对相应访问控制列表类型元素的定义。

5.根据权利要求1-4任一项所述的业务管理***的用户权限控制方法，其特征在于，所述的访问控制列表配置文件以文本形式保存。

6.根据权利要求5所述的业务管理***的用户权限控制方法，其特征在于，还包括：

当需要扩展用户权限控制数据时，修改访问控制列表配置文件。

7.一种业务管理***的用户权限控制***，其特征在于，包括：

接收处理模块，用于接收用户的授权请求；

获取处理模块，用于获取所述用户的授权请求中携带的访问控制列表匹配数据；

匹配处理模块，用于在预先保存的访问控制列表配置文件中根据所述访问控制列表匹配数据进行访问控制列表匹配；

授权控制处理模块，用于根据匹配的访问控制列表进行该用户权限的授权控制。

8.根据权利要求7所述的业务管理***的用户权限控制***，其特征在于，所述访问控制列表匹配数据是用户匹配的一个或多个访问控制列表类型元素数据。

9.根据权利要求8所述的业务管理***的用户权限控制***，其特征在于，所述访问控制列表类型元素包括以下一项或多项：匹配用户名、匹配角色、匹配数据传输方法、匹配操作代码、匹配资源、匹配参数、匹配控制时间、匹配用户的IP地址或匹配用户对资源的操作频度。

10.根据权利要求9所述的业务管理***的用户权限控制***，其特征在于，还包括：

当需要更改用户权限控制的颗粒度时，扩展对相应访问控制列表类型元素的定义。

11.根据权利要求7-10任一项所述的业务管理***的用户权限控制***，其特征在于，所述的访问控制列表配置文件以文本形式保存。

12.根据权利要求11所述的业务管理***的用户权限控制***，其特征在于，还包括：

当需要扩展用户权限控制数据时，修改访问控制列表配置文件。

13.一种业务管理***，包括业务***和如权利要求7-12所述的用户权限控制***。