CN111199049A - 文件权限管理方法及装置 - Google Patents

Abstract

本申请针对大规模存储服务器中海量文件的权限管理，提出了一种文件权限管理方法及装置，所述方法包括：对目标文件配置第一访问权限及对目标文件下的密级文件配置第二访问权限，使得用户在第一访问权限下时能够对目标文件及目标文件下除密级文件外的子文件具有所述第一访问权限的所有操作权限，对密级文件只具有只读操作权限。而在第二访问权限下，用户能够对密级文件同时具有读和写操作权限。通过双重权限的配置，使得用户在访问一般文件时能够快速访问且过程简单容易实现，同时对密级文件又具有更高权限的控制，提高了文件的安全性，降低了文件被修改或删除的风险。

Description

文件权限管理方法及装置

技术领域

本申请涉及权限管理领域，具体而言，涉及一种文件权限管理方法及装置。

背景技术

随着人工智能时代的开启，各事业单位和企业面临着数据规模成倍数的增长，数据作为企事业单位积累的重要财富，其安全性问题也越来越受到重视，如何保障存储服务器中海量文件数据安全，设计出一种高可靠、高效率的权限管理方案具有十分重要的意义。

目前，主要的权限控制模型有基于角色的权限访问控制(Role-Based AccessControl，简称RBAC)、自主访问控制(Discretionary Access Control，简称DAC)、强制访问控制(Mandatory Acess Control，简称MAC)、基于身份的访问控制模型(Identity-BasedAccess Control，简称IBAC)、一种为解决行业分布式应用可信关系访问控制模型等。其中RBAC应用最为广泛，既可以用于复杂的大型系统，分组织、分角色、分策略等实现较为细粒子化的权限管理，也可以根据业务需求进行裁剪定制化设计。但这种传统的权限管理机制，仍未脱离一般电子密钥的范畴，一旦某个授权的用户相关信息被他人截取，就可能造成数据被窃取的风险。

发明内容

为了解决上述问题，本申请实施例提供一种文件权限管理方法及装置。

第一方面，本申请实施例提供一种文件权限管理方法，所述方法包括：

选定一待配置权限的目标文件，其中所述目标文件包括多个子文件，部分子文件为密级文件；

为所述目标文件配置第一访问权限，其中，在第一访问权限下，用户对所述目标文件及所述目标文件下除所述密级文件之外的子文件具有所述第一访问权限的所有操作权限，对所述密级文件具有只读操作权限；

为所述目标文件中的密级文件配置第二访问权限，其中，在所述第二访问权限下，用户对所述密级文件具有读和写操作权限。

可选地，在本实施例中，为所述目标文件配置第一访问权限包括：

检测所述目标文件是否存在上层文件，在存在上层文件时，检测所述上层文件是否配置有包括所述第一访问权限的权限；

在没有配置包括所述第一访问权限的权限时，为所述目标文件配置第一访问权限；

检测所述目标文件的子文件是否配置有第一访问权限，在配置有第一访问权限时，将所述子文件的第一权限的权限记录删除。

可选地，在本实施例中，为所述目标文件中的密级文件配置第二访问权限，包括：

选择需要配置第二访问权限的密级文件；

检测所述密级文件是否存在上层文件，在存在上层文件时，检测所述上层文件是否配置有所述第二访问权限；

在没有配置所述第二访问权限的权限时，为所述密级文件配置第二访问权限；

检测所述密级文件的子文件是否配置有第二访问权限，在配置有第二访问权限时，将所述子文件的第二权限的权限记录删除。

可选地，在本实施例中，为所述目标文件中的密级文件配置第二访问权限，还包括：

录入用户的人脸图像，对所述人脸图像进行深度学习训练，并将训练后的人脸图像保存。

可选地，在本实施例中，所述方法还包括：

响应对所述密级文件的写操作；

获取用户的人脸图像；

将获取的人脸图像与预先存储的具有第二访问权限的人脸图像进行比对，若比对成功，允许用户对所述密级文件进行修改，并保存修改后的密级文件。

可选地，在本实施例中，所述允许用户对所述密级文件进行修改，并保存修改后的密级文件，还包括：

允许用户在预设时间内对所述密级文件进行修改，并保存修改后的密级文件。

可选地，在本实施例中，所述方法还包括：

通过NoSQL的方式将目标文件的内容信息进行存储，其中，所述内容信息包括目标文件的路径、名称及文件大小；

通过SQL的方式将目标文件对应的权限进行存储。

第二方面，本申请实施例还提供一种文件权限管理装置，其包括选择模块，用于选定一待配置权限的目标文件，其中所述目标文件包括多个子文件，部分子文件为密级文件；

第一访问权限配置模块，用于为所述目标文件配置第一访问权限，其中，在第一访问权限下，用户对所述目标文件及所述目标文件下除所述密级文件之外的子文件具有所述第一访问权限的所有操作权限，对所述密级文件具有只读操作权限；

第二访问权限配置模块，用于为所述目标文件中的密级文件配置第二访问权限，其中，在所述第二访问权限下，用户对所述密级文件具有读和写操作权限。

可选地，在本实施例中，所述第一访问权限配置模块具体用于：

检测所述目标文件是否存在上层文件，在存在上层文件时，检测所述上层文件是否配置有包括所述第一访问权限的权限；

在没有配置包括所述第一访问权限的权限时，为所述目标文件配置第一访问权限；

检测所述目标文件的子文件是否配置有第一访问权限，在配置有第一访问权限时，将所述子文件的第一权限的权限记录删除。

可选地，在本实施例中，所述第二访问权限配置模块具体用于：

选择需要配置第二访问权限的密级文件；

检测所述密级文件是否存在上层文件，在存在上层文件时，检测所述上层文件是否配置有所述第二访问权限；

在没有配置所述第二访问权限的权限时，为所述密级文件配置第二访问权限；

检测所述密级文件的子文件是否配置有第二访问权限，在配置有第二访问权限时，将所述子文件的第二权限的权限记录删除。

可选地，在本实施例中，所述装置还包括：

响应模块，用于响应对所述密级文件的写操作；

图像获取模块，用于获取用户的人脸图像；

人脸比对模块，用于将获取的人脸图像与预先存储的具有第二访问权限的人脸图像进行比对，若比对成功，允许用户对所述密级文件进行修改，并保存修改后的密级文件。

相对于现有技术，本申请实施例具有以下有益效果：

本申请针对大规模存储服务器中海量文件的权限管理，提出了一种文件权限管理方法及装置，所述方法包括：对目标文件配置第一访问权限及对目标文件下的密级文件配置第二访问权限，使得用户在第一访问权限下时能够对目标文件及目标文件下除密级文件外的子文件具有所述第一访问权限的所有操作权限，对密级文件只具有只读操作权限。而在第二访问权限下，用户能够对密级文件同时具有读和写操作权限。通过双重权限的配置，使得用户在访问一般文件时能够快速访问且过程简单容易实现，同时对密级文件又具有更高权限的控制，提高了文件的安全性，降低了文件被修改或删除的风险。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的文件权限管理方法的流程图；

图2为本申请实施例提供的为目标文件配置第一访问权限时的流程图；

图3为本申请实施例提供的为目标文件配置第二访问权限时的流程图；

图4为本申请实施例提供的文件权限管理装置提供的功能模块图。

图标：401-选择模块；402-第一访问权限配置模块；403-第二访问权限配置模块；404-响应模块；405-图像获取模块；406-人脸比对模块。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本申请实施例的组件可以以各种不同的配置来布置和设计。

因此，以下对在附图中提供的本申请的实施例的详细描述并非旨在限制要求保护的本申请的范围，而是仅仅表示本申请的选定实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

在本申请的描述中，需要说明的是，术语“第一”、“第二”“第三”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

目前，为了保障存储服务器中的文件数据安全，一般通过以下两种方式实现。

现有技术1中，为用户分配不同的权限标识符，所述权限标识符能够表示所述用户所拥有的权限。在接收到用户提出的操作请求后，首先拦截用户的操作请求并判断所述用户所拥有的权限是否包括所述操作请求，若包括，则接受所述操作请求，用户通过操作请求获取到自己需要的资源；否则拒绝所述操作请求。

上述方法虽然能够对文件进行基本的权限控制，但涉及到的业务逻辑十分复杂，实现过程也较为困难，需要一定的时间周期。同时，上述方法对文件权限的控制过于细粒子化，需要对每一个文件均设置权限记录，不仅浪费时间，同时也会增加额外的权限记录，浪费存储空间。

现有技术2中，待配置权限的节点的子节点的权限记录集成自所述待设置权限的节点的当前权限设置操作之后的权限记录，因此仅设置目录树的父节点的权限记录，并使父节点对应的目录下的所有文件及所有子目录都继承所述父节点的权限记录。

上述方法解决了现有技术1的缺点，方案既简单易施，同时权限记录数据相对较少，不会造成存储空间的浪费。但上述方法的安全性不高，当用户的信息丢失或泄露时，相关文件存在被他人窃取或修改的风险。

为了克服上述现有技术中存在的缺陷，发明人通过研究提供下面实施例给出解决方案。

请参照图1，图1为本申请实施例提供的文件权限管理方法的流程图，所述方法包括：

S110，选定一待配置权限的目标文件，其中目标文件包括多个子文件，部分子文件为密级文件。

在本实施例中，当目标文件存入存储服务器中以便用户进行访问时，同时通过NoSQL的方式将文件存储的路径、文件大小、文件名称等相关信息储存至表tb_url中，以便后续进行查看。采用NoSQL的方式存储能够克服传统的关系型数据库扩展困难、读写慢、支撑容量有限等缺陷。其中，所述NoSQL是指非关系型数据库。

在用户访问相应的文件前，需要对所述用户关于目标文件进行权限配置，所述目标文件包括多个子文件，其中，部分子文件为密级文件。

例如，若用户甲想要访问的目标文件为A，文件A包括多个子文件A₁、A₂、A₃，其中，A₂为密级文件，则需要为用户甲开通访问目标文件A的访问权限。

S120，为目标文件配置第一访问权限，其中，在第一访问权限下，用户对目标文件及所述目标文件下除密级文件之外的子文件具有第一访问权限的所有操作权限，对密级文件具有只读操作权限。

在本实施例中，首先需要对目标文件配置第一访问权限，使用户甲在第一访问权限下能够访问目标文件A及除A₂外的所有的目标文件A的子文件，此时用户对目标文件A及除A₂外的所用文件具有只读或者读写权限，但对于密级文件A₂则只具有只读权限。

在本实施例中，所述第一访问权限可以是只读权限或读写权限。

S130，为目标文件中的密级文件配置第二访问权限，其中，在第二访问权限下，用户对密级文件具有读和写操作权限。

在本实施例中，当用户甲在第二访问权限下，能够对密级文件A₂进行读写操作。

在对用户甲进行配置关于目标文件A的访问权限之前，需要将用户甲的用户名及用户密码、用户类型等信息通过SQL的方式存储至关系型数据表tb_usr中。

在为用户甲配置关于目标文件A的访问权限时，将表tb_url及表tb_usr中的信息关联，并建立相应的关系型数据表tb_auth，在后续的访问请求中，通过查询表tb_auth中的信息即可获取到用户是否对目标文件具有相应的权限记录，以完成对大量文件的权限管理。

当存在多个用户时，则分别为多个用户针对相应的目标文件进行权限配置，使用户能够拥有相应的权限。

请参照图2，图2为本申请实施例提供的为目标文件配置第一访问权限时的流程图，包括以下步骤：

S210，检测目标文件是否存在上层文件，在存在上层文件时，检测上层文件是否配置有包括所述第一访问权限的权限。

S220，在没有配置包括所述第一访问权限的权限时，为目标文件配置第一访问权限。

S230，检测目标文件的子文件是否配置有第一访问权限，在配置有第一访问权限时，将子文件的第一权限的权限记录删除。

在本实施例中，所述第一访问权限包括只读权限或读写权限。以只读权限作为所述第一访问权限为例，在对用户甲进行关于目标文件A的只读权限配置时，首先检测目标文件A是否具有上层文件，若存在上层文件，则检测所述上层文件是否配置有只读权限或者读写权限，若上层文件已开通只读或读取权限，则无需再对目标文件A开通只读权限。

若上层文件未开通只读或读取权限，则为目标文件A配置相应的只读权限。在为目标文件开通了只读权限后，检测所述目标文件的子文件是否开通了只读权限，有则删除相应的权限；若所述子文件中部分文件开通了读写权限，则相应的读写权限保留。

应当理解的是，当为目标文件A开通读写权限时，与上述方法一致，在此不作赘述。

请参照图3，图3为本申请实施例提供的为目标文件配置第二访问权限时的流程图，包括以下步骤：

步骤S310，选择需要配置第二访问权限的密级文件。

步骤S320，检测密级文件是否存在上层文件，在存在上层文件时，检测上层文件是否配置有所述第二访问权限。

步骤S330，在没有配置第二访问权限的权限时，为密级文件配置第二访问权限。

步骤S340，检测密级文件的子文件是否配置有第二访问权限，在配置有第二访问权限时，将子文件的第二权限的权限记录删除。

在本实施例中，所述第二访问权限等级高于第一访问权限。为了防止用户的信息泄露导致文件被修改，为密级文件增加第二访问权限，当用户需要修改密级文件时，需要对用户进行二次鉴权，只有当第二次鉴权通过后，用户才可对密级文件进行修改，极大的增加了文件的安全性。

在本实施例中，为所述目标文件中的密级文件配置第二访问权限，还包括：

录入用户的人脸图像，对所述人脸图像进行深度学习训练，并将训练后的人脸图像保存。

在本实施例中，所述方法还包括：

响应对所述密级文件的写操作；获取用户的人脸图像；将获取的人脸图像与预先存储的具有第二访问权限的人脸图像进行比对，若比对成功，允许用户对所述密级文件进行修改，并保存修改后的密级文件。

当检测到用户想要修改密级文件的内容时，需要对用户进行二次鉴权，首先检测当前用户的人脸图像，将获取到的人脸图像与配置第二访问权限时存储的人脸图像进行比对，若比对成功则用户能够对文件进行修改，并保存修改后的密级文件；若比对失败，则用户无法对密级文件进行修改。采用二次鉴权的方式，能够提高文件的安全性，即使用户信息泄露，密级文件也会持续受到保护。

在本实施例中，所述允许用户对所述密级文件进行修改，并保存修改后的密级文件，还包括：允许用户在预设时间内对所述密级文件进行修改，并保存修改后的密级文件。

当用户二次鉴权通过后，用户仅拥有一段时间内对密级文件的修改权使得后续每一次访问密级文件都需要进行人脸识别的二次鉴权，能够最大程度的保护密级文件的安全，防止密级文件被他人篡改。

在本实施例中，所述方法还包括：通过NoSQL的方式将目标文件的内容信息进行存储，其中，所述内容信息包括目标文件的路径、名称及文件大小等信息，通过所述内容信息能够快速找到服务器中的目标文件。通过SQL的方式将目标文件对应的权限进行存储。通过联合使用NoSQL数据库和SQL数据库对大量文件进行权限管理，能够解决传统的关系型数据库扩展困难、读写慢、支撑容量有限等缺点。

请参照图4，图4为本申请实施例提供的文件权限管理装置提供的功能模块图，所述装置包括：

选择模块401，用于选定一待配置权限的目标文件，其中所述目标文件包括多个子文件，部分子文件为密级文件；

第一访问权限配置模块402，用于为所述目标文件配置第一访问权限，其中，在第一访问权限下，用户对所述目标文件及所述目标文件下除所述密级文件之外的子文件具有所述第一访问权限的所有操作权限，对所述密级文件具有只读操作权限；

第二访问权限配置模块403，用于为所述目标文件中的密级文件配置第二访问权限，其中，在所述第二访问权限下，用户对所述密级文件具有读和写操作权限。

在本实施例中，所述第一访问权限配置模块402具体用于：

检测所述目标文件是否存在上层文件，在存在上层文件时，检测所述上层文件是否配置有包括所述第一访问权限的权限。

在没有配置包括所述第一访问权限的权限时，为所述目标文件配置第一访问权限。

检测所述目标文件的子文件是否配置有第一访问权限，在配置有第一访问权限时，将所述子文件的第一权限的权限记录删除。

在本实施例中，所述第二访问权限配置模块403具体用于：

选择需要配置第二访问权限的密级文件。

检测所述密级文件是否存在上层文件，在存在上层文件时，检测所述上层文件是否配置有所述第二访问权限。

在没有配置所述第二访问权限的权限时，为所述密级文件配置第二访问权限。

检测所述密级文件的子文件是否配置有第二访问权限，在配置有第二访问权限时，将所述子文件的第二权限的权限记录删除。

请继续参照图4，在本实施例中，所述装置还包括：

响应模块404，用于响应对所述密级文件的写操作；

图像获取模块405，用于获取用户的人脸图像；

人脸比对模块406，用于将获取的人脸图像与预先存储的具有第二访问权限的人脸图像进行比对，若比对成功，允许用户对所述密级文件进行修改，并保存修改后的密级文件。

综上所述，本申请针对大规模存储服务器中海量文件的权限管理，提出了一种文件权限管理方法及装置，所述方法包括：对目标文件配置第一访问权限及对目标文件下的密级文件配置第二访问权限，使得用户在第一访问权限下时能够对目标文件及目标文件下除密级文件外的子文件具有所述第一访问权限的所有操作权限，对密级文件只具有只读操作权限。而在第二访问权限下，用户能够对密级文件同时具有读和写操作权限。通过双重权限的配置，使得用户在访问一般文件时能够快速访问且过程简单容易实现，同时对密级文件又具有更高权限的控制，提高了文件的安全性，降低了文件被修改或删除的风险。

以上所述仅为本申请的优选实施例而已，并不用于限制本申请，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (11)

1.一种文件权限管理方法，其特征在于，所述方法包括：

选定一待配置权限的目标文件，其中所述目标文件包括多个子文件，部分子文件为密级文件；

为所述目标文件配置第一访问权限，其中，在第一访问权限下，用户对所述目标文件及所述目标文件下除所述密级文件之外的子文件具有所述第一访问权限的所有操作权限，对所述密级文件具有只读操作权限；

为所述目标文件中的密级文件配置第二访问权限，其中，在所述第二访问权限下，用户对所述密级文件具有读和写操作权限。

2.根据权利要求1所述的方法，其特征在于，为所述目标文件配置第一访问权限包括：

检测所述目标文件是否存在上层文件，在存在上层文件时，检测所述上层文件是否配置有包括所述第一访问权限的权限；

在没有配置包括所述第一访问权限的权限时，为所述目标文件配置第一访问权限；

检测所述目标文件的子文件是否配置有第一访问权限，在配置有第一访问权限时，将所述子文件的第一权限的权限记录删除。

3.根据权利要求1所述的方法，其特征在于，为所述目标文件中的密级文件配置第二访问权限，包括：

选择需要配置第二访问权限的密级文件；

检测所述密级文件是否存在上层文件，在存在上层文件时，检测所述上层文件是否配置有所述第二访问权限；

在没有配置所述第二访问权限的权限时，为所述密级文件配置第二访问权限；

检测所述密级文件的子文件是否配置有第二访问权限，在配置有第二访问权限时，将所述子文件的第二权限的权限记录删除。

4.根据权利要求3所述的方法，其特征在于，为所述目标文件中的密级文件配置第二访问权限，还包括：

录入用户的人脸图像，对所述人脸图像进行深度学习训练，并将训练后的人脸图像保存。

5.根据权利要求1-3中任意一项所述的方法，其特征在于，所述方法还包括：

响应对所述密级文件的写操作；

获取用户的人脸图像；

将获取的人脸图像与预先存储的具有第二访问权限的人脸图像进行比对，若比对成功，允许用户对所述密级文件进行修改，并保存修改后的密级文件。

6.根据权利要求5所述的方法，其特征在于，所述允许用户对所述密级文件进行修改，并保存修改后的密级文件，还包括：

允许用户在预设时间内对所述密级文件进行修改，并保存修改后的密级文件。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

通过NoSQL的方式将目标文件的内容信息进行存储，其中，所述内容信息包括目标文件的路径、名称或文件大小；

通过SQL的方式将目标文件对应的权限进行存储。

8.一种文件权限管理装置，其特征在于，所述装置包括：

选择模块，用于选定一待配置权限的目标文件，其中所述目标文件包括多个子文件，部分子文件为密级文件；

第一访问权限配置模块，用于为所述目标文件配置第一访问权限，其中，在第一访问权限下，用户对所述目标文件及所述目标文件下除所述密级文件之外的子文件具有所述第一访问权限的所有操作权限，对所述密级文件具有只读操作权限；

第二访问权限配置模块，用于为所述目标文件中的密级文件配置第二访问权限，其中，在所述第二访问权限下，用户对所述密级文件具有读和写操作权限。

9.根据权利要求8所述的装置，其特征在于，所述第一访问权限配置模块具体用于：

检测所述目标文件是否存在上层文件，在存在上层文件时，检测所述上层文件是否配置有包括所述第一访问权限的权限；

在没有配置包括所述第一访问权限的权限时，为所述目标文件配置第一访问权限；

检测所述目标文件的子文件是否配置有第一访问权限，在配置有第一访问权限时，将所述子文件的第一权限的权限记录删除。

10.根据权利要求8所述的装置，其特征在于，所述第二访问权限配置模块具体用于：

选择需要配置第二访问权限的密级文件；

检测所述密级文件是否存在上层文件，在存在上层文件时，检测所述上层文件是否配置有所述第二访问权限；

在没有配置所述第二访问权限的权限时，为所述密级文件配置第二访问权限；

检测所述密级文件的子文件是否配置有第二访问权限，在配置有第二访问权限时，将所述子文件的第二权限的权限记录删除。

11.根据权利要求8-10中任意一项所述的装置，其特征在于，所述装置还包括：

响应模块，用于响应对所述密级文件的写操作；

图像获取模块，用于获取用户的人脸图像；

人脸比对模块，用于将获取的人脸图像与预先存储的具有第二访问权限的人脸图像进行比对，若比对成功，允许用户对所述密级文件进行修改，并保存修改后的密级文件。

Images