CN108846755A - 一种基于智能合约的权限管理方法及装置 - Google Patents

Abstract

本发明提供了一种基于智能合约的权限管理方法及装置，所述方法包括：获取主体标识、客体标识及主体与客体的操作关系；根据所述主体标识、客体标识及操作关系生成唯一权限存储标识；根据所述权限存储标识对所述主体或客体的权限控制内容信息进行操作。本发明符合Key‑Value数据库使用的数据结构和权限管理方法，在智能合约中完成，并不限于某类区块链技术。可高效与区块链节点等控制解耦合，与业务模型解耦合，实现小单元容量的权限管理，且不依赖其他***。本发明针对区块链的数据存储模型和单元容量大小限制，适应现有区块链数据新增、修改、查询、删除等操作，满足业务需求的权限管理复杂度，满足使用体验的性能等要求。

Description

一种基于智能合约的权限管理方法及装置

技术领域

本发明涉及智能合约的权限管理技术领域，尤指一种基于智能合约的权限管理方法及装置。

背景技术

区块链技术逐步成熟，基于区块链的应用、***等日益丰富。区块链***内部数据、档案、报表、交易、资产等主体种类繁多的同时，面对不同账户开放不同主体访问操作权限的需求同样繁琐复杂。权限控制***为管理、审计、发行、交易、查询等各类***提供对不同的账户、客户类型进行区分的可能。区块链***有着公开、透明、公平的特性，与个人、组织、企业等资产的归属、管理权并不冲突，同时因为公开、公平的特性，需要对这类私权给予对应的保护。

在基于传统数据存储方式的***中，权限控制是一个重要课题。复杂的组织架构和繁杂的临时权限等，在基于区块链的应用、***中有着同类的需求和场景。目前的***大多是将账户信息和权限控制信息写入数据库、文件等载体，当修改增减时只需更高级单一账户同意操作即可，尚属于中心化管理模式。

现有权限管理方法有树状体系、角色管理等，多见于ERP等***。分级体系，多见于单一管理员等简单***。现有权限管理方法中，支撑复杂结构的体系单元数据量过大，或者依赖数据库等检索功能；适用于区块链***的体系模型则过于简单，无法满足现有应用对权限管理的需求。

由于目前区块链中普遍使用Key-Value类型数据库，传统的关系型数据库中使用的权限管理模型不再适用。并且，目前区块链为解决实际工程问题，演化出中心、半中心、无中心等多种模型，同时单元数据大小都受到区块大小的限制。为适应区块链的多种应用模型和数据大小限制，急需新型的符合区块链生态的权限管理方法。

发明内容

为了解决现有权限管理中存在的单元数据大小受限、无法满足应用需求等问题，本发明实施例提供一种基于智能合约的权限管理方法，所述方法包括：

获取主体标识、客体标识及主体与客体的操作关系；

根据所述主体标识、客体标识及操作关系生成唯一权限存储标识；

根据所述权限存储标识对所述主体或客体的权限控制内容信息进行操作。

可选的，在本发明一实施例中，所述根据所述权限存储标识对所述主体的权限控制内容信息进行操作，包括：根据所述权限存储标识，确定所述权限存储标识所指向的权限存储空间；在所述权限存储空间内，对所述主体或客体的权限控制内容信息进行增加、查询、修改或删除。

可选的，在本发明一实施例中，所述权限控制内容信息包括：所述主体允许所述客体进行的操作信息及所述主体禁止所述客体进行的操作信息。

可选的，在本发明一实施例中，所述方法还包括：获取所述主体的权限控制内容信息；根据所述主体的权限控制内容信息，判断所述主体对所述权限控制内容信息进行的操作是否合法；若合法，则允许进行该操作；若不合法，则禁止进行该操作。

本发明实施例还提供一种基于智能合约的权限管理装置，所述装置包括：

获取单元，用于获取主体标识、客体标识及主体与客体的操作关系；

生成单元，用于根据所述主体标识、客体标识及操作关系生成唯一权限存储标识；

操作单元，用于根据所述权限存储标识对所述主体或客体的权限控制内容信息进行操作。

可选的，在本发明一实施例中，所述操作单元还用于：根据所述权限存储标识，确定所述权限存储标识所指向的权限存储空间；在所述权限存储空间内，对所述主体或客体的权限控制内容信息进行增加、查询、修改或删除。

可选的，在本发明一实施例中，所述权限控制内容信息包括：所述主体允许所述客体进行的操作信息及所述主体禁止所述客体进行的操作信息。

可选的，在本发明一实施例中，所述装置还包括：权限单元，用于获取所述主体的权限控制内容信息；验证单元，用于根据所述主体的权限控制内容信息，判断所述主体对所述权限控制内容信息进行的操作是否合法；若合法，则允许进行该操作；若不合法，则禁止进行该操作。

本发明实施例还提供一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

获取主体标识、客体标识及主体与客体的操作关系；

根据所述主体标识、客体标识及操作关系生成唯一权限存储标识；

根据所述权限存储标识对所述主体或客体的权限控制内容信息进行操作。

本发明实施例还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现以下步骤：

获取主体标识、客体标识及主体与客体的操作关系；

根据所述主体标识、客体标识及操作关系生成唯一权限存储标识；

根据所述权限存储标识对所述主体或客体的权限控制内容信息进行操作。

本发明符合Key-Value数据库使用的数据结构和权限管理方法，在智能合约中完成，并不限于某类区块链技术。可高效与区块链节点等控制解耦合，与业务模型解耦合，实现小单元容量的权限管理，且不依赖其他***。本发明针对区块链的数据存储模型和单元容量大小限制，适应现有区块链数据新增、修改、查询、删除等操作，满足业务需求的权限管理复杂度，满足使用体验的性能等要求。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一种基于智能合约的权限管理方法的流程图；

图2为本发明实施例一种基于智能合约的权限管理装置的结构示意图。

具体实施方式

本发明实施提供一种基于智能合约的权限管理方法及装置。

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示为本发明实施例一种基于智能合约的权限管理方法的流程图，图中所示方法包括：步骤S1，获取主体标识、客体标识及主体与客体的操作关系；

步骤S2，根据所述主体标识、客体标识及操作关系生成唯一权限存储标识；

步骤S3，根据所述权限存储标识对所述主体或客体的权限控制内容信息进行操作。

在本实施例中，主体与客体的标识可以为例如主体ID(主体身份标识)或客体ID(客体身份标识)，主体与客体的操作关系可以为例如主体发起修改针对客体的某些权限设置等操作。操作关系包括但不限于：信息的增删改查，功能的执行，关系的绑定、解绑、归属、分类等，以及其他标注、审核、签名等附加类，及其他具体业务所需的权限控制内的操作关系。在实际应用中，首先发起业务，根据该业务对应的主体、客体及操作关系，生成唯一权限存储标识，并根据唯一权限存储标识对限控制内容信息进行操作后，执行该业务。由此实现在业务处理中，应用本发明的权限管理方法，达到业务处理过程高效、便捷的效果。

其中，主体标识、客体标识以及操作关系等记录以条目形式保存在区块链中，每条记录保存的一个主体的描述，或者关系的描述，所有数据记录均在区块链内，所有执行代码均可在智能合约中完成。记录种类分为：主体、角色、操作关系、从属关系，具体如表1所示。

表1

在本实施例中，根据主体标识、客体标识与操作关系生成唯一权限存储标识，其中，权限存储标识也可称为key值，生成key值的方法可以使用但不限于hash离散等方法。其中，使用越详细的信息key值所对应的内容数据量越少，以此来控制内容数据量大小。生成唯一的key值后，根据该key值对主体或客体的权限控制内容信息进行操作。

作为本发明的一个实施例，根据权限存储标识对主体的权限控制内容信息进行操作，包括：根据权限存储标识，确定权限存储标识所指向的权限存储空间；在权限存储空间内，对主体或客体的权限控制内容信息进行增加、查询、修改或删除。

在本实施例中，生成唯一key值后，该key值对应一存储空间，可称为权限存储空间。该权限存储空间中存储有权限控制内容信息，并可在该权限存储空间中对权限控制内容信息进行增加、查询、修改或删除等操作。

key值所指向的权限存储空间可以独立于主体与客体，也可以根据业务需求对权限存储空间进行设置，在此并不做限定。

作为本发明的一个实施例，权限控制内容信息包括允许标识及禁止标识，即主体允许所述客体进行的操作信息及主体禁止客体进行的操作信息。具体的，权限控制内容信息可以为例如主体允许客体访问其***息、主体禁止客体访问其私密信息等。此外，权限控制内容信息还包括有效期标识、次数标识等其他临时类标识。

作为本发明的一个实施例，该方法还包括：获取主体的权限控制内容信息；根据主体的权限控制内容信息，判断主体对权限控制内容信息进行的操作是否合法；若合法，则允许进行该操作；若不合法，则禁止进行该操作。

其中，若客体的权限级别高，那么主体若禁止客体的某些操作是不合法的，则不允许该操作。具体的，若客体为管理员或***服务端，那么客体具有为主体更改密码的权限，而客体无法更改主体的该项权限，由此可以在客体遗忘或丢失密码时，便于客体找回密码。

具体的，1、业务类单体操作流程

·主体发起操作

·查询主体角色是否允许此操作

—不允许则终止

·查询操作关系，***作主体是否允许此操作

—不允许则终止

·执行操作具体操作分类可包括例如read/write等

2、业务类批量操作流程

·主体发起操作

·查询主体角色是否允许此操作

—不允许则终止

·查询从属关系获得批量列表，使用从属特权进行操作

—从属特权不允许则终止

·或批量指定***作目标

·查询操作关系，***作主体是否允许此操作

—不允许则终止

·执行操作具体操作分类可包括例如read/write等

3、主体权限变更流程—注册

·新用户增加发起操作

·***审核信息

—不允许则终止

·***授权

—新用户自身权限

—默认角色

—从属关系权限模板

—操作关系权限模板

4、主体权限变更流程—自授权

·自我授权发起操作

·***审核

—不允许则终止

·执行操作

5、主体权限变更流程—销户

·用户退出(销户)发起操作

·***审核信息

—不允许则终止

·用户主体状态禁用

·操作关系状态禁用

·从属关系状态禁用

6、主体权限变更流程—恢复

·用户恢复发起操作

·***审核信息

—不允许则终止

·用户主体状态启用

·操作关系状态启用

·从属关系状态启用

7、主体权限变更流程—三方授权

·三方授权

·***审核

—不允许则终止

·查询授权主体与目标主体操作关系

—不允许则终止

·查询被赋权主体与目标主体操作关系

—不允许则终止

·执行操作

8、总体执行流程—以上流程调用关系

·进入智能合约

·发起权限管理类流程

·根据业务需求选择以下子流程进行：

a.业务类单体操作流程

b.业务类批量操作流程

c.主体权限变更流程

·在子流程内部使用权限信息流程执行具体的权限管理操作

·完成权限管理类流程

·退出智能合约

通过本发明的方法，符合Key-Value数据库使用的数据结构，在智能合约中完成，并不限于某类区块链技术。可高效与区块链节点等控制解耦合，与业务模型解耦合，实现小单元容量的权限管理，且不依赖其他***。本发明针对区块链的数据存储模型和单元容量大小限制，适应现有区块链数据新增、修改、查询、删除等操作，满足业务需求的权限管理复杂度，满足使用体验的性能等要求。适合区块链的数据存储方式和数据操作方法，权限信息流程(增删改查)均只需执行一次key值检索，极大程度提高执行效率，且符合大多数区块链的数据存储模型。单条数据存储量极小，满足全部区块链对数据体量大小的要求，且提高通讯效率。

如图2所示为本发明实施例一种基于智能合约的权限管理装置的结构示意图，图中所示装置包括：获取单元10，用于获取主体标识、客体标识及主体与客体的操作关系；

生成单元20，用于根据所述主体标识、客体标识及操作关系生成唯一权限存储标识；

操作单元30，用于根据所述权限存储标识对所述主体或客体的权限控制内容信息进行操作。

在本实施例中，主体与客体的标识可以为例如主体ID(主体身份标识)或客体ID(客体身份标识)，主体与客体的操作关系可以为例如主体发起修改针对客体的某些权限设置等操作。操作关系包括但不限于：信息的增删改查，功能的执行，关系的绑定、解绑、归属、分类等，以及其他标注、审核、签名等附加类，及其他具体业务所需的权限控制内的操作关系。在实际应用中，首先发起业务，根据该业务对应的主体、客体及操作关系，生成唯一权限存储标识，并根据唯一权限存储标识对限控制内容信息进行操作后，执行该业务。由此实现在业务处理中，应用本发明的权限管理方法，达到业务处理过程高效、便捷的效果。

其中，主体标识、客体标识以及操作关系等记录以条目形式保存在区块链中，每条记录保存的一个主体的描述，或者关系的描述，所有数据记录均在区块链内，所有执行代码均可在智能合约中完成。

作为本发明的一个实施例，操作单元还用于：根据权限存储标识，确定权限存储标识所指向的权限存储空间；在权限存储空间内，对主体或客体的权限控制内容信息进行增加、查询、修改或删除。

在本实施例中，生成唯一key值后，该key值对应一存储空间，可称为权限存储空间。该权限存储空间中存储有权限控制内容信息，并可在该权限存储空间中对权限控制内容信息进行增加、查询、修改或删除等操作。

key值所指向的权限存储空间可以独立于主体与客体，也可以根据业务需求对权限存储空间进行设置，在此并不做限定。

作为本发明的一个实施例，权限控制内容信息包括允许标识及禁止标识，即主体允许所述客体进行的操作信息及主体禁止客体进行的操作信息。具体的，权限控制内容信息可以为例如主体允许客体访问其***息、主体禁止客体访问其私密信息等。此外，权限控制内容信息还包括有效期标识、次数标识等其他临时类标识。作为本发明的一个实施例，装置还包括：权限单元，用于获取主体的权限控制内容信息；验证单元，用于根据主体的权限控制内容信息，判断主体对权限控制内容信息进行的操作是否合法；若合法，则允许进行该操作；若不合法，则禁止进行该操作。

其中，若客体的权限级别高，那么主体若禁止客体的某些操作是不合法的，则不允许该操作。具体的，若客体为管理员或***服务端，那么客体具有为主体更改密码的权限，而客体无法更改主体的该项权限，由此可以在客体遗忘或丢失密码时，便于客体找回密码。

本发明实施例还提供一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

获取主体标识、客体标识及主体与客体的操作关系；

根据所述主体标识、客体标识及操作关系生成唯一权限存储标识；

根据所述权限存储标识对所述主体或客体的权限控制内容信息进行操作。

本发明实施例还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现以下步骤：

获取主体标识、客体标识及主体与客体的操作关系；

根据所述主体标识、客体标识及操作关系生成唯一权限存储标识；

根据所述权限存储标识对所述主体或客体的权限控制内容信息进行操作。

基于与上述一种基于智能合约的权限管理方法相同的申请构思，本发明还提供了上述一种基于智能合约的权限管理装置、一种计算机设备与一种计算机可读介质。由于该一种基于智能合约的权限管理装置、一种计算机设备与一种计算机可读介质解决问题的原理与一种基于智能合约的权限管理方法相似，因此该一种基于智能合约的权限管理装置、一种计算机设备与一种计算机可读介质的实施可以参见一种基于智能合约的权限管理方法的实施，重复之处不再赘述。

本发明符合Key-Value数据库使用的数据结构，在智能合约中完成，并不限于某类区块链技术。可高效与区块链节点等控制解耦合，与业务模型解耦合，实现小单元容量的权限管理，且不依赖其他***。本发明针对区块链的数据存储模型和单元容量大小限制，适应现有区块链数据新增、修改、查询、删除等操作，满足业务需求的权限管理复杂度，满足使用体验的性能等要求。适合区块链的数据存储方式和数据操作方法，权限信息流程(增删改查)均只需执行一次key值检索，极大程度提高执行效率，且符合大多数区块链的数据存储模型。单条数据存储量极小，满足全部区块链对数据体量大小的要求，且提高通讯效率。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读取存储介质中，比如ROM/RAM、磁碟、光盘等。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种基于智能合约的权限管理方法，其特征在于，所述方法包括：

获取主体标识、客体标识及主体与客体的操作关系；

根据所述主体标识、客体标识及操作关系生成唯一权限存储标识；

根据所述权限存储标识对所述主体或客体的权限控制内容信息进行操作。

2.根据权利要求1所述的方法，其特征在于，所述根据所述权限存储标识对所述主体的权限控制内容信息进行操作，包括：

根据所述权限存储标识，确定所述权限存储标识所指向的权限存储空间；

在所述权限存储空间内，对所述主体或客体的权限控制内容信息进行增加、查询、修改或删除。

3.根据权利要求1所述的方法，其特征在于，所述权限控制内容信息包括：所述主体允许所述客体进行的操作信息及所述主体禁止所述客体进行的操作信息。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取所述主体的权限控制内容信息；

根据所述主体的权限控制内容信息，判断所述主体对所述权限控制内容信息进行的操作是否合法；若合法，则允许进行该操作；若不合法，则禁止进行该操作。

5.一种基于智能合约的权限管理装置，其特征在于，所述装置包括：

获取单元，用于获取主体标识、客体标识及主体与客体的操作关系；

生成单元，用于根据所述主体标识、客体标识及操作关系生成唯一权限存储标识；

操作单元，用于根据所述权限存储标识对所述主体或客体的权限控制内容信息进行操作。

6.根据权利要求5所述的装置，其特征在于，所述操作单元还用于：

根据所述权限存储标识，确定所述权限存储标识所指向的权限存储空间；

在所述权限存储空间内，对所述主体或客体的权限控制内容信息进行增加、查询、修改或删除。

7.根据权利要求5所述的装置，其特征在于，所述权限控制内容信息包括：所述主体允许所述客体进行的操作信息及所述主体禁止所述客体进行的操作信息。

8.根据权利要求5所述的装置，其特征在于，所述装置还包括：

权限单元，用于获取所述主体的权限控制内容信息；

验证单元，用于根据所述主体的权限控制内容信息，判断所述主体对所述权限控制内容信息进行的操作是否合法；若合法，则允许进行该操作；若不合法，则禁止进行该操作。

9.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现以下步骤：

获取主体标识、客体标识及主体与客体的操作关系；

根据所述主体标识、客体标识及操作关系生成唯一权限存储标识；

根据所述权限存储标识对所述主体或客体的权限控制内容信息进行操作。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现以下步骤：

获取主体标识、客体标识及主体与客体的操作关系；

根据所述主体标识、客体标识及操作关系生成唯一权限存储标识；

根据所述权限存储标识对所述主体或客体的权限控制内容信息进行操作。