CN101520875A - 对用户数据进行权限控制的方法及信息管理系统 - Google Patents

Abstract

本发明提供了一种对用户数据进行权限控制的方法及系统，系统包括一权限设置单元，用于进行用户数据的权限设置；一数据库，用于存储各种权限设置组合条件；一权限验证单元，应用组合条件实现数据权限控制。本发明针对信息管理系统在现有基于明细数据的权限控制上的不足，采用基于组合条件的数据权限控制方法，实现分用户的严格控制，保证系统数据的安全性；本发明基于组合条件的存储方案，无须存储明细数据的授权信息，只存储组合条件，组合条件由数据的属性组合而成，组合条件的生成读取操作简便、直观，降低了系统的消耗，保证系统良好的运行性能。

Description

对用户数据进行权限控制的方法及信息管理系统

技术领域

本发明涉及计算机技术领域，更具体地说，涉及一种信息管理系统。

背景技术

目前，在用于销售管控的企业信息系统中，一般对于数据权限有如下要求：每个分支机构销售人员只能查看和使用本机构的客户，并利用客户信息进行销售订单处理。销售人员只能查看所属业务线的商品清单及销售价格。通常信息系统的性能可以达到：查询一张订单的时间不超过1分钟，录入一张新订单的所有操作不超过10分钟。使用前述权限控制以后，要求运行性能没有明显降低。

数据权限的核心在于权限信息的存储方式，根据存储方式不同，目前主要有两种方案：

用户与数据交叉组合存储方案：每一个用户对应每一项数据是否有权限，都用一条信息来表示。优点是简单直观，这种方案适合于个人应用或部门级应用，一般在不超过20个用户的情况下，性能良好，实现简单。用户与数据交叉组合存储方案的缺点：记录数过大，不利于支持大数据量处理。例如：某集团企业有40家分支机构，400个用户，4000家客户，4万种商品，每年有40万张销售订单，其交叉组合将达到16亿(4000×40000)条记录，这将带来数据的生成和读取的明显性能降低，而且，存储空间大幅度增加。显然，用户与数据交叉组合存储方案不适合于企业级应用。

基于明细数据的用户压缩存储方案：每条数据一项的授权信息，用二进制字段0-1代表用户是否有权。比上述用户与数据交叉组合存储方案的优势在于：大大减少了数据存储空间。例如：当用户数不超过400时，可以用50个字节代表一条数据的授权信息。基于明细数据的用户压缩存储方案的缺点是：进行数据权限验证时，需要进行二进制比较，消耗较大；另外，当用户数很大时，带来表结构扩充，维护成本较高。本方案只适合中小型企业应用，不适合大型企业、成长性企业应用。

发明内容

本发明的主要目的在于提供一种可靠保证用户数据安全的方法及系统。

为实现上述目的，本发明提出了一种对用户数据进行权限控制的方法，适用于信息管理系统，包括如下步骤：设置数据权限组合条件；将数据权限组合条件存储至数据库中；应用数据权限组合条件实现数据权限控制。

上述的对用户数据进行权限控制的方法，其中之一实施方案中，于设置数据权限组合条件前，还包括建立基础数据的步骤；于设置数据权限组合条件时，应用该基础数据设置数据权限组合条件。

上述的对用户数据进行权限控制的方法，其中之一实施方案中，所述设置数据权限组合条件的过程包括：建立系统中客户基本信息数据结构，存储到数据库的基础数据表中；由权限设置单元的组合条件设置模块设置客户数据权限、销售订单数据权限的组合条件，存储到数据库的组合条件表中；组合条件设置模块设置销售订单的数据权限类型，存储到数据库的数据权限类型表中。

上述的对用户数据进行权限控制的方法，其中之一实施方案中，所述应用数据权限组合条件实现数据权限控制的步骤包括：由验证模块调用存储于数据库中的数据权限组合条件，对数据的录入、查询、修改和删除进行权限验证。

同时，本发明提出了一种信息管理系统，包括：权限设置单元，用于进行用户数据的权限设置；数据库，用于存储权限设置的数据权限组合条件；权限验证单元，应用数据权限组合条件实现数据权限控制。

上述的信息管理系统，其中之一实施方案中，所述权限设置单元包括：组合条件设置模块，用于将各种数据进行组合设置，形成数据权限组合条件，存储至所述数据库中；数据权限查询模块，用于对数据权限类型进行查询操作。所述数据库包括：基础数据表，用于存储基础数据；组合条件表，用于存储所述权限设置单元设置的数据权限组合条件；数据权限类型表，用于存储用户或用户组的数据权限类型。所述权限验证单元包括：业务数据查询模块，用于业务数据查询；验证模块，用于调用所述数据库中的数据权限组合条件，进行权限验证；业务数据录入模块，用于对业务数据录入。

本发明针对信息管理系统在现有基于明细数据的权限控制上的不足，采用基于组合条件的数据权限控制方法，可实现分用户的严格控制，保证系统数据的安全性；本发明基于组合条件的存储方案，无须存储明细数据的授权信息，只存储组合条件，组合条件由数据的属性组合而成，组合条件的生成读取操作简便、直观，降低了系统的消耗，保证系统良好的运行性能。

附图说明

图1是本发明实施例的信息系统结构示意图；

图2是本发明实施例的系统中权限设置单元的结构示意图；

图3是本发明实施例的系统中数据库的结构示意图；

图4是本发明实施例的系统中权限验证单元的结构示意图；

图5是数据权限控制流程；

图6是数据权限的组合条件设置界面。

为了使本发明的目的、技术方案及优点更加清楚，以下结合附图及实施例，对本发明进行进一步详细说明。

具体实施方式

请参考图1所示，本例的信息系统包括：权限设置单元10，在业务管理环节，用于按基础数据进行用户数据的权限设置；数据库20，在系统后台处理环节，用于存储各种权限设置组合条件；权限验证单元30，用于在业务执行环节，应用组合条件实现业务数据的权限控制，即调用存储的组合条件，对数据的录入和查询等进行权限验证。

请参考图2所示，其中的权限设置单元10包括：组合条件设置模块101，用于将各种基础数据、业务数据等进行组合，存储至下述的数据库中20的组合条件表202中；数据权限查询模块102，用于对权限进行查询操作。

请参考图3所示，其中的数据库20包括：基础数据表201，用于存储基础数据，如客户基本信息数据等；组合条件表202，用于存储上述组合条件设置模块101设置的客户数据权限、销售订单数据权限等组合条件；数据权限类型表203，用于存储用户或用户组的数据权限类型。

请参考图4所示，其中的权限验证单元30包括：业务数据查询模块301，用于业务数据查询；验证模块302，用于调用数据库20中的组合条件，对数据的录入和查询等进行权限验证；业务数据录入模块303，用于对业务数据录入。

请参考图5所示的数据权限控制流程图，本例的用户数据权限控制的流程包括：第S400步，在信息管理环节，用基础资料信息建立基础数据；第S401步，在业务管理环节，按基础数据设置数据权限组合条件；第S402步，在系统后台处理环节，将权限组合条件存储至数据库中；在业务执行环节，应用组合条件实现业务数据的权限控制，即调用存储的组合条件，对数据的录入和查询等进行权限验证。

如表一所示，在信息管理环节中，建立系统中客户基本信息数据结构，存储到数据库20的基础数据表201中，数据结构描述为：

客户代码：客户的唯一标识，字符串；

客户名称：客户的企业名称，字符串；

地区：客户所在地区，字符串；

信用等级：客户的重要信息，通常，信用等级越高，可以获得更低的价格和更好的服务，整数。

 

客户代码	名称客户	地区	信用等级
				10.001	深圳宝光	深圳	1
10.002	深圳金能	深圳	2
				20.004	北京大胜	北京	2
20.005	北京奥科	北京	2

表一 客户基本信息

如下表二、表三所示，在业务管理环节，由权限设置单元10的组合条件设置模块101设置客户数据权限、销售订单数据权限的组合条件，存储到数据库20的组合条件表202中，结构描述如下：

数据类型：要进行数据授权的数据来源，例如表一的客户就是数据类型的一种，还有：销售订单、供应商、仓库、商品等，字符串；

方案名：方案的唯一标识，字符串；

左括号：用于表示多个表达式的运算次序，和右括号结合使用，可以是1个或多个括号，字符串；

字段：数据类型下面的具体字段，用来构成表达式，字符串；

比较符号：用来构成表达式，常用的符号有：等于，大于，小于，包含等等。

比较值：用来构成表达式，存储为字符串，根据所选字段的类型，显示为文本、数字或日期等；

右括号：同左括号；

逻辑连接：多个表达式的组合方式，一般有：并且，或者。

 

数据类型	方案名	左括号	字段	比较符号	比较值	右括号	逻辑连接
								客户	销售员A	(	地区	＝	深圳	)	并且
		(	信用等级	<	2	)
									销售员B		地区	＝	北京

表二 客户数据权限的组合条件

 

数据类型	方案名	左括号	字段	比较符号	比较值	右括号	逻辑连接
								销售订单	销售员A	(	折扣率	<＝	10	)	并且
		(	销售金额	<＝	5000	)
									销售员B		销售金额	<＝	10000

表三 销售订单数据权限的组合条件

如下表四所示，组合条件设置模块101进一步设置销售订单的数据权限类型，存储到数据权限类型表203中，结构描述：

数据类型：要进行数据授权的数据来源，字符串；

方案名：方案的唯一标识，字符串；

用户名：用户的唯一标识，数据存储为整数，界面显示为字符串；

权限类型：该权限的多个应用场景，以整数形式存储，以2的N次方代表一种类型，一个整数最多可以代表32种权限类型。界面可以显示为多个列的形式。

 

数据类型	方案名	用户名	权限类型
				销售订单	销售员A	销售员A	增加、修改、查询、删除
销售订单	销售员B	销售员B	增加、修改、查询、删除
				销售订单	销售员D	销售员D	查询

表四 销售订单的数据权限类型设置

组合条件表202中数据类型、字段、比较符号、比较值是核心项目，其余项目是辅助项目，使表达式更加完善。组合条件以表格的形式存储。也可以以文本的方式存储，即将上述表达式存储在一个字符串中。以表格的形式存储更有利于维护。

当增加新的组合条件时，运行“新增”，选择数据类型，设置字段、比较符号、比较值等，然后运行“保存”，输入条件的名称。保存后，再运行“授权”，将该条件授予一个或多个用户或用户组，并选择适用的权限类型，如：查询权、新增权、修改权等。如已经给销售员A设置销售订单的折扣率小于或等于5，现需要修改为10，并适用于销售员C的查询权，则可以调用已经保存的条件，修改表达式，然后重新运行“保存”，也可以再运行“授权”，将该条件再授予销售员C，选择查询权。

请参考图6所示，设置数据权限组合条件的参考界面，基于数据权限组合条件，即多个字段的条件组合形式授权方案，通过多种控件元素(文本框，下拉框，列表框等)、比较符号(＝<>包含等)和逻辑符号(并且，或者，括号等)，支持各种比较值类型(文本，数字，日期等)，用户可以通过友好的操作界面实现数据权限的授予。

系统管理员设置权限方案，并授予一个或多个用户或用户组，用户自动继承其用户组的权限，普通用户在得到授权后，可以将此权限转授给他人。权限的设置具有很好的易用性，充分体现继承和重用的思想，减少系统管理人员的工作量。

请参考下表五所示，在业务执行环节，应用数据权限组合条件实现业务数据的权限控制，调用存储的数据权限组合条件，对数据的录入和查询进行权限验证。对用户数据进行权限控制在销售订单的应用如下：

销售员A可以查询客户深圳宝光，但不能查询客户深圳金能(信用等级不符合)，也不能查询客户北京大胜(地区不符合)；

销售员A可以查询和录入订单SE001；由于销售金额将超过5000，但可以利用其折扣率10％的权限，实现该笔业务的处理。

销售员B可以查询和录入订单SE002，但不可以录入SE003，因为销售金额超过权限10000。

销售员C无数据权限控制，则可以录入SE003、SE004，并可以查询所有订单。

 

订单号	客户名称	订货日期	销售员	商品	价格	折扣率(％)	数量	销售金额
									SE001	深圳宝光	2008-6-1	销售员A	自行车B1	250	10	22	4950
SE002	北京大胜	2008-7-1	销售员B	自行车B2	290	0	3	870
									SE003	北京大胜	2008-8-1	销售员C	自行车B3	500	0	50	25000
SE004	深圳金能	2008-9-1	销售员C	自行车B3	500	0	5	2500

表五 销售订单信息

应用数据验证模块30实现数据权限控制的核心处理逻辑如下：

1)应用组合条件进行基础数据查询的处理逻辑为：

SELECT(客户不带数据权限的查询SQL)t1；

WHERE当前用户的客户组合条件；

“不带数据权限的查询”即用户所请求的查询，如果所有数据是一个全集，则用户请求的查询是其中一个子集，而用户最终查询的结果是这个子集的子集。

2)应用组合条件进行业务数据查询的核心处理逻辑：

SELECT(销售订单不带数据权限的查询SQL)t1

LEFT JOIN客户表t2 ON t1.客户代码＝t2.客户代码

WHERE当前用户的客户组合条件AND当前用户的销售订单组合条件

另外，考虑到在销售订单上客户不一定是必录项，如：内部用途的订单可能只有分支机构，可以通过对分支机构进行数据授权来实现。对于没有客户的订单，应当允许所有用户查看。

所以，修正后的查询条件如下：

WHERE(当前用户的客户组合条件OR t1.客户代码＝”)AND当前用户的销售订单组合条件。

3)应用组合条件进行业务数据录入的核心处理逻辑：

在业务数据保存前，先插入临时表中，检查是否完全符合权限，如果返回记录数不等于插入记录数则不能保存。

SELECT(基于临时表的销售订单不带数据权限的查询SQL)t1

LEFT JOIN客户表t2 ONt1.客户代码＝t2.客户代码

WHERE(当前用户的客户组合条件OR t1.客户代码＝”)AND当前用户的销售订单组合条件

以上权限控制均是基于SQL的过滤条件处理，筛选数据或多花费一定的时间，另一方面，通过权限控制减少了数据的返回记录，对性能有一定提高。

对于销售人员只能查看所属业务线的商品清单及销售价格，参照上述对客户进行数据授权的方式，再对商品进行授权，在验证销售订单权限时，再加上商品表的关联，组合条件之间用AND进行逻辑关联即可。

综上所述，如果组合条件采用文本信息的存储方式，易于编程实现；一个组合条件由多个属性组成，支持常用的逻辑运算；多个用户既可以共用一个组合条件，也可以分别针对不同用户设置多个组合条件，使其更符合企业应用的实际需求；组合条件不仅对现有数据生效，对新增数据同样也起作用，组合条件不会随着明细数据的增加而增加，减少了数据的存储量，保证了系统的运行性能，特别是大数据量的运行性能。

总之，基于组合条件的数据授权方式，通过对基础数据进行授权，在对应的业务数据上加以应用，进行数据权限控制。不仅仅适用于销售订单或销售业务，同样适用于仓库管理、采购管理、付款管理、工资管理、质量管理、出纳管理等信息管理环节的数据权限控制，适合于集团型企业、成长型软件、管理软件开发商采用。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。例如，上例中，取消步骤S400不影响数据权限的基本逻辑，业务数据可以不由任何基础信息构成，其组合条件全部由业务数据组合而成。例如：某零售企业的销售订单上的客户为非必需项目，数据权限主要控制销售数量和销售金额。

Claims (11)

1、一种对用户数据进行权限控制的方法，适用于信息管理系统，包括如下步骤：设置数据权限组合条件；将数据权限组合条件存储至数据库中；应用数据权限组合条件实现数据权限控制。

2.如权利要求1所述的对用户数据进行权限控制的方法，其中，在设置数据权限组合条件前，还包括建立基础数据的步骤；在设置数据权限组合条件时，应用该基础数据设置数据权限组合条件。

3.如权利要求1所述的对用户数据进行权限控制的方法，所述设置数据权限组合条件的过程包括：由权限设置单元的组合条件设置模块设置客户数据权限、销售订单数据权限的组合条件，存储到数据库的组合条件表中；组合条件设置模块设置销售订单的数据权限类型，存储到数据库的数据权限类型表中。

4.如权利要求1-3中任一项所述的对用户数据进行权限控制的方法，所述应用数据权限组合条件实现数据权限控制的步骤包括：由验证模块调用存储于数据库中的数据权限组合条件，对数据的录入、查询、修改和删除进行权限验证。

5.如权利要求1-3中任一项所述的对用户数据进行权限控制的方法，所述数据权限组合条件以表格或文本的形式存储。

6.如权利要求1-3中任一项所述的对用户数据进行权限控制的方法，其特征是：所述数据权限组合条件通过包括数据类型、字段、比较符号和比较值的表达式实现。

7.如权利要求3所述的对用户数据进行权限控制的方法，其特征是，所述设置数据权限组合条件的过程还包括：建立系统中客户基本信息数据结构，存储到数据库的基础数据表中。

8.一种信息管理系统，包括：权限设置单元，进行用户数据的权限设置；数据库，存储权限设置的数据权限组合条件；权限验证单元，应用数据权限组合条件实现数据权限控制。

9.如权利要求8所述的信息管理系统，所述权限设置单元包括：组合条件设置模块，将各种数据进行组合设置，形成数据权限组合条件，存储至所述数据库中；数据权限查询模块，对数据权限类型进行查询操作。

10.如权利要求8所述的信息管理系统，所述数据库包括：基础数据表，存储基础数据；组合条件表，存储所述权限设置单元设置的数据权限组合条件；数据权限类型表，存储用户或用户组的数据权限类型。

11.如权利要求8-10中任一项所述的信息管理系统，所述权限验证单元包括：业务数据查询模块，用于业务数据查询；验证模块，用于调用所述数据库中的数据权限组合条件，进行权限验证；业务数据录入模块，用于对业务数据录入。

Images