CN101707695B - 一种网际协议电视业务中控制访问权限的方法和装置 - Google Patents

Abstract

本发明提供一种网际协议电视业务中控制访问权限的方法和装置，该方法包括：步骤A，接入设备从用户终端发送的业务数据请求报文中，提取用户终端的用户特征信息；步骤B，接入设备遍历查询访问权限控制表中的访问控制规则，根据用户特征信息确定与用户终端相匹配的访问控制规则，将匹配的访问控制规则与用户特征信息相匹配的用户特征项对应的分值相加，获得匹配的访问控制规则的匹配得分；步骤C，接入设备根据匹配的访问控制规则中、得分达到预定阈值的访问控制规则对所述用户终端的访问权限进行控制。利用本发明能实现对用户访问权限的快速匹配，有利于根据多种用户特征信息对访问控制规则进行扩充和/或修改。

Description

一种网际协议电视业务中控制访问权限的方法和装置

技术领域

本发明涉及数据通讯技术领域，特别是涉及一种网际协议电视业务中控制访问权限的方法和装置。

背景技术

网际协议电视IPTV，又称交互式网络电视，是由运营商基于宽带基础推出的，利用IP宽带网络，集互联网、多媒体、通信等多种技术于一体，向用户提供直播电视、视频点播、上网浏览等多种交互式服务的业务，用户可以通过PC或“IP机顶盒+电视”的方式使用的业务。

IPTV业务的实现中，用户终端向接入设备发送请求业务数据如组播节目的报文后，接入设备对用户进行接入认证，在用户通过接入认证后，接入设备访问权限控制表，从权限控制表中查找出与用户匹配的访问控制规则，并根据确定出的访问控制规则为该用户设置访问控制权限。例如，上述访问控制权限包括如下权限控制中一项或多项：

1)对用户加入的组播组的权限控制，包括预览、浏览、查询、拒绝权限；

2)对当前用户所能加入的组播组个数的限制；

3)对当前用户所能占用的带宽的限制；

4)对于预览用户，还包括对预览间隔和预览次数的限制。

现有技术的IPTV业务的实现方法中，查找用户匹配的访问控制规则局限于用户发送请求报文的端口(port)和用户请求报文中包含的介质访问控制(MAC，Media Access Control)地址，且在确定出匹配的规则后，从匹配的规则中确定出端口和MAC地址都匹配的最佳匹配访问控制规则。现有技术的上述IPTV业务实现方法，在查找匹配的访问控制规则时应用的用户特征局限于端口和MAC地址，比较单一；且现有技术的查找最佳匹配访问控制规则的方法效率低下，不利于根据除端口、MAC地址外的其它用户特征信息对访问控制规则进行扩充和/或修改。

发明内容

本发明的目的是提供一种网际协议电视业务中控制访问权限的方法和装置，以解决现有技术的控制访问权限的方法不易根据用户特征信息对访问控制规则进行扩充的技术问题。

为了实现上述目的，本发明提供了一种网际协议电视业务中控制访问权限的方法，其中，包括如下步骤：

步骤A，接入设备从用户终端发送的业务数据请求报文中，提取所述用户终端的用户特征信息；

步骤B，所述接入设备遍历查询访问权限控制表中的访问控制规则，根据所述用户特征信息确定与所述用户终端相匹配的访问控制规则，将所述匹配的访问控制规则与所述用户特征信息相匹配的用户特征项对应的分值相加，获得所述匹配的访问控制规则的匹配得分；

步骤C，所述接入设备根据所述匹配的访问控制规则中、得分达到预定阈值的访问控制规则对所述用户终端的访问权限进行控制。

优选地，所述的方法，其中，所述步骤C包括：

所述接入设备将所述匹配的访问控制规则中得分最高的访问控制规则确定为所述用户终端最佳匹配规则，并根据所述最佳匹配规则对所述用户终端的访问权限进行控制。

优选地，所述的方法，其中，所述步骤B中，所述根据所述用户特征信息确定与所述用户终端相匹配的访问控制规则的步骤包括：

步骤B1，确定需查询的用户特征项；

步骤B2，比较所述当前查询的访问控制规则中包含的所述需查询的用户特征项的内容与所述提取的用户特征信息中包含的所述需查询的用户特征项的内容是否匹配。

优选地，所述的方法，其中，所述步骤B1包括：

判断预设的、所述用户特征项的查询开启属性是否为开启状态；如是，则确定出所述用户特征项为需查询的用户特征项；否则，不需对所述用户特征项进行查询。

优选地，所述的方法，其中，所述步骤B1中，在判断出所述用户特征项的查询开启属性不为开启状态时，还包括：

步骤B 11，判断所述用户特征项是否为当前查询的访问控制规则中的最后一个用户特征项；如是，则执行步骤B12；否则，继续判断所述当前查询的访问控制规则中的下一个用户特征项的开启属性是否为开启状态，直至判断完所述当前查询的访问控制规则中的所有用户特征项；

步骤B12，判断所述当前查询的访问控制规则是否为所述访问控制规则表中的最后一条访问控制规则，如是，则执行步骤C；否则，继续访问下一条访问控制规则。

优选地，所述的方法，其中：

所述用户特征项包括如下特征项中的至少一项：

请求报文输入端口；

用户终端的介质访问控制地址；

用户终端所属的虚拟局域网；

用户终端的IP地址；

用户终端的IPV4地址；

用户终端的IPV6地址；

用户终端的身份信息。

优选地，所述的方法，其中，所述用户特征项的分值与所述用户特征项的优先级相对应，优先级越高的用户特征项分值越大。

另一方面，提供一种网际协议电视业务中控制访问权限的装置，其中，包括：

用户特征提取模块，用于从用户终端发送的业务数据请求报文中，提取所述用户终端的用户特征信息；

匹配模块，用于遍历查询访问权限控制表中的访问控制规则，根据所述用户特征信息确定与所述用户终端相匹配的访问控制规则，将所述匹配的访问控制规则与所述用户特征信息相匹配的用户特征项对应的分值相加，获得所述匹配的访问控制规则的匹配得分；

确定模块，用于所述接入设备根据所述匹配的访问控制规则中、得分达到预定阈值的访问控制规则对所述用户终端的访问权限进行控制。

优选地，所述的装置，其中，所述确定模块，进一步用于将所述匹配的访问规则中得分最高的访问控制规则确定为所述用户终端最佳匹配规则，并根据所述最佳匹配规则对所述用户终端的访问权限进行控制。

优选地，所述的装置，其中，所述匹配模块包括：

用户特征项确定模块，用于在确定与所述用户终端相匹配的访问控制规则时，确定需查询的用户特征项；

比较模块，用于比较所述当前查询的访问控制规则中包含的所述需查询的用户特征项的内容与所述提取的用户特征信息中包含的所述需查询的用户特征项的内容是否匹配。

优选地，所述的装置，其中，所述用户特征项确定模块包括：

查询开启属性判断模块，用于判断预设的、所述用户特征项的查询开启属性是否为开启状态，查询开启属性为开启状态的用户特征项为需查询的用户特征项。

本发明的技术效果在于：

本发明通过在查询到匹配的访问控制规则时，将匹配的访问控制规则与用户特征信息相匹配的用户特征项对应的分值相加，获得匹配的访问控制规则的匹配得分，并根据匹配的访问控制规则中得分达到预定阈值的访问控制规则来对该用户终端的访问权限进行控制，可快速查找到较精确匹配用户终端的用户特征信息的匹配规则，实现对用户访问权限的快速精确匹配，有利于根据多种用户特征信息对访问控制规则进行扩充和/或修改，可以满足更加灵活的访问控制需求，且实现简单。

附图说明

图1为本发明实施例的网际协议电视业务中控制访问权限的方法的流程示意图；

图2为本发明另一实施例的控制访问权限的方法的流程示意图；

图3为本发明实施例的网际协议电视业务中控制访问权限的装置的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图及具体实施例对本发明进行详细描述。

图1为本发明实施例的网际协议电视业务中控制访问权限的方法的流程示意图。如图1，该实施例的方法包括：

步骤101，接入设备从用户终端发送的业务数据请求报文中，提取所述用户终端的用户特征信息；示例性地，上述业务数据请求报文为组播节目请求报文。

示例性地，上述用户特征信息，包括如下中的一项或多项：接入设备接收上述请求报文的端口信息、用户终端所属虚拟局域网VLAN信息、用户MAC、和用户终端IP地址、用户终端的IPV4地址、用户终端的IPV6地址、用户身份信息等。

步骤102，接入设备遍历查询访问权限控制表中的访问控制规则，根据所述用户特征信息确定与所述用户终端相匹配的访问控制规则，将所述匹配的访问控制规则与所述用户特征信息相匹配的用户特征项对应的分值相加，获得所述匹配的访问控制规则的匹配得分。

示例性地，上述访问权限控制表预先设置在接入设备中。

示例性地，上述用户特征项对应的分值预先设定好，并设置在接入设备中。

优选地，上述步骤102中，所述根据所述用户特征信息确定与所述用户终端相匹配的访问控制规则的步骤包括：步骤1021，确定需查询的用户特征项；步骤1022，比较所述当前查询的访问控制规则中包含的所述需查询的用户特征项的内容与所述提取的用户特征信息中包含的所述需查询的用户特征项的内容是否匹配。

优选地，上述步骤1021包括：判断预设的、所述用户特征项的查询开启属性是否为开启状态；如是，则确定出所述用户特征项为需查询的用户特征项；否则，不需对所述用户特征项进行查询。

步骤103，所述接入设备根据所述匹配的访问控制规则中、得分达到预定阈值的访问控制规则对所述用户终端的访问权限进行控制。

利用本发明实施例的方法，通过根据得分达到预定阈值的访问控制规则来对该用户终端的访问权限进行控制，可快速查找到较精确匹配用户终端的用户特征信息的匹配规则，实现对用户访问权限的快速精确匹配。

优选地，上述步骤103包括：

所述接入设备将所述匹配的访问控制规则中得分最高的访问控制规则确定为所述用户终端最佳匹配规则，并根据所述最佳匹配规则对所述用户终端的访问权限进行控制。

示例性地，上述对用户的访问权限进行控制包括：对用户加入的组播组的权限控制，包括预览、浏览、查询、拒绝权限；对当前用户所能加入的组播组个数的限制；对当前用户所能占用的带宽的限制；对于预览用户，还包括对预览间隔和预览次数的限制等。

示例性地，上述所述步骤102中，所述根据所述用户特征信息确定与所述用户终端相匹配的访问控制规则的步骤包括：确定需查询的用户特征项；和，比较所述当前查询的访问控制规则中包含的所述需查询的用户特征项的内容与所述提取的用户特征信息中包含的所述需查询的用户特征项的内容是否匹配。

本发明的实施例中，可预先在全局设置好需查询的用户特征项，即预先设置好需进行匹配判断的用户特征项；示例性地，可通过将用户特征项对应的查询开启属性设置为开启来或关闭来设置需匹配或不需匹配该用户特征项。

示例性地，该实施例中，用户终端向局方设备如数字用户线路接入复用器(DSLAM，Digital Subscriber Line Access Multiplexer)发送IGMP报文，点播特定组播频道，包括浏览、预览等功能；DSLAM接收到用户报文后通过访问接入设备如高端交换机来对用户进行IPTV鉴权，查看用户是否有该操作权限。在确定出最佳匹配规则后，根据最佳匹配规则对该组播频道的访问权限，将鉴权结果返回给DSLAM设备，该鉴权结果为允许访问或拒绝访问，并记录下鉴权的相关信息做日志查看用。

图2为本发明另一实施例的控制访问权限的方法的流程示意图。如图2，该实施例的方法包括如下步骤：

步骤201，接入设备提取并保存用户特征信息，该用户特征信息包括如下用户特征项的信息：用户报文输入端口，用户终端所属VLAN，用户终端的MAC，用户终端的IP地址等，后续还可以灵活扩充其他信息，如针对IPV6用户的IPV6地址等；

步骤202，根据提取的用户特征信息，遍历查询接入设备IPTV系统中的访问权限控制表；

其中，步骤203至步骤206是查询每条访问规则时对单条访问控制规则的具体匹配过程；

步骤203，根据预先设置的用户特征项的查询开启属性值，逐项判断各用户特征项的查询开启属性是否处于开启状态；如是，则执行步骤204；否则，执行步骤205；

步骤204，通过比较判断对于该用户特征项，提取的用户特征信息中的该特征项的内容与当前查询的访问控制规则中设定的该特征项的内容是否相匹配，示例性地，该匹配为内容相同；如是，则执行步骤206；否则，确定该规则与该用户终端不匹配，并转入执行步骤209；

步骤205，判断当前比较的用户特征项是否是该访问控制规则中的最后一项用户特征项；如是，则执行步骤207；否则，转入步骤203，继续判断下一项用户特征项是否匹配；

步骤206，将该匹配的用户特征项对应的分值加入到当前规则的匹配得分中，转入执行步骤205；当前规则的匹配得分等于该条规则所有匹配的用户特征项对应的分值的和；示例性地，该用户特征项对应的分值为预先设定的；

步骤207，判断当前规则得分是否大于历史最佳匹配规则的匹配得分；如是，则执行步骤208；否则，执行步骤209；

步骤208，将最佳匹配规则设置为当前规则；

步骤209；判断当前查询的访问控制规则是否为最后一条访问控制规则；如是，执行步骤210；否则，转入执行步骤202，访问即查询访问控制规则表中的下一条访问控制规则；

步骤210，返回最佳匹配规则对应的规则号，根据该最佳匹配规则对应的访问控制权限，返回鉴权结果；允许或拒绝用户对组播节目的点播。

该例中，匹配的访问控制规则的得分为：匹配的所有用户特征项对应的分值的和。

上述实施例中计算规则得分和确定最佳匹配规则的方法只是示例性地，并不用于作为限制。示例性地，在确定每条规则的匹配得分时，可以先确定出所有匹配的用户特征项，然后再将所有匹配的用户特征项对应的分值相加，获得该规则的匹配得分。示例性地，也可以在获得所有访问控制规则的匹配得分后，将得分最高的规则确定为最佳匹配规则。

在该实施例中，每一用户特征项与一用户特征域相对应；为预定的每个用户特征项如PORT，VLAN等提供两个额外域，第一个是该用户特征域的分值即该用户特征项的分值，该分值与该用户特征项的优先级相对应，优先级越高的用户特征项具有越高的分值；第二个是该用户特征域是查询开启，用于标识在进行规则匹配时，是否需查询该用户特征项即是否需比较用户特征信息中的该用户特征项的内容与访问控制规则中的该用户特征项的内容是否相匹配；如果该查询开启属性处于开启状态，则在判断规则是否匹配时拿用户特征信息中的该用户特征项的内容与规则中设定的该用户特征项的内容去比较，如两者中的该用户特征项的内容相匹配，则确定该用户特征项为匹配的用户特征项，则为该条规则加上该特征对应的分值，该条规则的得分的初始值可设置为0。不匹配则去查询下一条规则。没有开启检查则去查询下一个用户特征。该实施例中，记录遍历访问控制规则时匹配得分最高的规则号，将该规则作为最佳匹配规则，并在规则遍历完毕后返回该规则的规则号即该规则的规则ID。示例性地，查询开启属性的设置可通过设置查询开启位的取值来实现。

示例性地，本发明的实施例中，接入设备可根据如下表1来确定用户特征项是否需查询，及在需查询的用户特征项匹配时用户特征项对应的分值。该表中，当用户特征项对应的特征查询开启位为T即为真时标识该用户特征项的特征查询开启属性处于开启状态，需对提取的用户特征信息中的该用户特征项的内容与访问控制规则中的该用户特征项的内容是否匹配进行查询；当用户特征项对应的特征查询开启位为F即为假时无需查询该用户特征项。

特征项分值	1	2	4	16	…
						用户特征项	PORT	VLAN	MAC	IP	…
查询开启位	T	T	F	T	…

表1

示例性地，上表1预先设置在接入设备中。

该例中，如上表1，设定用户提取的用户特征信息中包含如下用户特征项的信息：用户请求报文的输入端口PORT，用户终端所属虚拟网VLAN，用户终端MAC，用户终端IP地址信息；其中，PORT，VLAN，IP地址信息是在查询最佳匹配规则时需比较的用户特征项，而无需判断MAC是否匹配；且，PORT特征项对应的分值为1，VLAN特征项对应的分值为2，MAC特征项对应的分值为4，IP特征项对应的分值为16。

假设规则a与用户特征信息的PORT项和VLAN项匹配，则该规则a的匹配得分为：1+2＝3；假设规则b与用户特征信息的IP地址项匹配，则该规则b的匹配得分为4；因此，在该例中，如访问控制权限表中仅有规则a和b，则规则b为最佳匹配规则。

除上述特征项外，根据需求，可设置其它能代表用户属性的用户特征项；示例性地，可将用户的VIP身份信息设置为用户特征项，并将该用户特征项的分值设得足够大，这样，该特征项匹配的规则即可作为最佳匹配规则，从而，可实现快速匹配VIP用户的访问控制权限。

本发明的实施例中，可在全局模式下为每个用户特征项设定分值。且，设计时用户特征越能精确地代表特定用户其对应的分值可以越大，比如MAC比PORT更能精确地代表一个用户，可将MAC的分值设置为可以大于PORT的分值。

本发明的实施例中，预先在全局对用户特征项的查询开启属性进行设置。在查询每条访问控制规则时，在判断出用户特征项对应的查询开启位处于开启状态时，才去匹配该特征项域。

本发明的技术方案，可灵活地匹配用户特征，且在根据用户特征扩充和/或修改访问控制规则后，仍可快速地确定出最佳匹配规则，所以本发明的根据用户特征的访问控制规则的扩充性好，且可根据实际情况灵活调整用户特征项的查询开启位和分值。

图3为本发明实施例的网际协议电视业务中控制访问权限的装置的结构示意图。如图3，该装置包括：用户特征提取模块301，用于从用户终端发送的业务数据请求报文中，提取所述用户终端的用户特征信息；匹配模块302，用于遍历查询访问权限控制表中的访问控制规则，根据所述用户特征信息确定与所述用户终端相匹配的访问控制规则，将所述匹配的访问控制规则与所述用户特征信息相匹配的用户特征项对应的分值相加，获得所述匹配的访问控制规则的匹配得分；确定模块303，用于所述接入设备根据所述匹配的访问控制规则中、得分达到预定阈值的访问控制规则对所述用户终端的访问权限进行控制。

优选地，所述的装置中，所述确定模块，进一步用于将所述匹配的访问规则中得分最高的访问控制规则确定为所述用户终端最佳匹配规则，并根据所述最佳匹配规则对所述用户终端的访问权限进行控制。

优选地，该实施例的装置中，匹配模块包括：用户特征项确定模块，用于在确定与所述用户终端相匹配的访问控制规则时，确定需查询的用户特征项；比较模块，用于比较所述当前查询的访问控制规则中包含的所述需查询的用户特征项的内容与所述提取的用户特征信息中包含的所述需查询的用户特征项的内容是否匹配。

优选地，该实施例的装置中，用户特征项确定模块包括：查询开启属性判断模块，用于判断预设的、所述用户特征项的查询开启属性是否为开启状态，查询开启属性为开启状态的用户特征项为需查询的用户特征项。

优选地，该实施例的装置中，用户特征项包括如下特征项中的至少一项：请求报文的输入端口；用户终端的介质访问控制地址；用户终端所属的虚拟局域网；用户终端的IP地址；用户终端的身份信息。

本发明还提供了一种保护上述网际协议电视业务中控制访问权限的装置的接入设备。

本发明的技术方案比较简单，易于实现，且可以满足更加灵活的访问控制需求，可根据用户端的用户特征信息快速匹配访问控制规则，实现用户访问权限的控制，提高匹配的效率，提高用户的体验，有利于以后提供ipv6的点播业务等，为用户提供更好的服务。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (11)

1.一种网际协议电视业务中控制访问权限的方法，其特征在于，包括如下步骤：

步骤A，接入设备从用户终端发送的业务数据请求报文中，提取所述用户终端的用户特征信息；

步骤B，所述接入设备遍历查询访问权限控制表中的访问控制规则，根据所述用户特征信息确定与所述用户终端相匹配的访问控制规则，将所述匹配的访问控制规则与所述用户特征信息相匹配的用户特征项对应的分值相加，获得所述匹配的访问控制规则的匹配得分；

步骤C，所述接入设备根据所述匹配的访问控制规则中、得分达到预定阈值的访问控制规则对所述用户终端的访问权限进行控制。

2.根据权利要求1所述的方法，其特征在于，所述步骤C包括：

所述接入设备将所述匹配的访问控制规则中得分最高的访问控制规则确定为所述用户终端最佳匹配规则，并根据所述最佳匹配规则对所述用户终端的访问权限进行控制。

3.根据权利要求1或2所述的方法，其特征在于，所述步骤B中，所述根据所述用户特征信息确定与所述用户终端相匹配的访问控制规则的步骤包括：

步骤B1，确定需查询的用户特征项；

步骤B2，比较当前查询的访问控制规则中包含的所述需查询的用户特征项的内容与所述提取的用户特征信息中包含的所述需查询的用户特征项的内容是否匹配。

4.根据权利要求3所述的方法，其特征在于，所述步骤B1包括：

判断预设的、所述用户特征项的查询开启属性是否为开启状态；如是，则确定出所述用户特征项为需查询的用户特征项；否则，不需对所述用户特征项进行查询。

5.根据权利要求4所述的方法，其特征在于，所述步骤B1中，在判断出所述用户特征项的查询开启属性不为开启状态时，还包括：

步骤B11，判断所述用户特征项是否为当前查询的访问控制规则中的最后一个用户特征项；如是，则执行步骤B12；否则，继续判断所述当前查询的访问控制规则中的下一个用户特征项的开启属性是否为开启状态，直至判断完所述当前查询的访问控制规则中的所有用户特征项；

步骤B12，判断所述当前查询的访问控制规则是否为所述访问控制规则表中的最后一条访问控制规则，如是，则执行步骤C；否则，继续访问下一条访问控制规则。

6.根据权利要求4所述的方法，其特征在于：

所述用户特征项包括如下特征项中的至少一项：

请求报文输入端口；

用户终端的介质访问控制地址；

用户终端所属的虚拟局域网；

用户终端的IP地址；

用户终端的IPV4地址；

用户终端的IPV6地址；

用户终端的身份信息。

7.根据权利要求1或2中任一项所述的方法，其特征在于，所述用户特征项的分值与所述用户特征项的优先级相对应，优先级越高的用户特征项分值越大。

8.一种网际协议电视业务中控制访问权限的装置，其特征在于，包括：

用户特征提取模块，用于从用户终端发送的业务数据请求报文中，提取所述用户终端的用户特征信息；

匹配模块，用于遍历查询访问权限控制表中的访问控制规则，根据所述用户特征信息确定与所述用户终端相匹配的访问控制规则，将所述匹配的访问控制规则与所述用户特征信息相匹配的用户特征项对应的分值相加，获得所述匹配的访问控制规则的匹配得分；

确定模块，用于所述接入设备根据所述匹配的访问控制规则中、得分达到预定阈值的访问控制规则对所述用户终端的访问权限进行控制。

9.根据权利要求8所述的装置，其特征在于，所述确定模块，进一步用于将所述匹配的访问规则中得分最高的访问控制规则确定为所述用户终端最佳匹配规则，并根据所述最佳匹配规则对所述用户终端的访问权限进行控制。

10.根据权利要求8或9所述的装置，其特征在于，所述匹配模块包括：

用户特征项确定模块，用于在确定与所述用户终端相匹配的访问控制规则时，确定需查询的用户特征项；

比较模块，用于比较当前查询的访问控制规则中包含的所述需查询的用户特征项的内容与所述提取的用户特征信息中包含的所述需查询的用户特征项的内容是否匹配。

11.根据权利要求10所述的装置，其特征在于，所述用户特征项确定模块包括：

查询开启属性判断模块，用于判断预设的、所述用户特征项的查询开启属性是否为开启状态，查询开启属性为开启状态的用户特征项为需查询的用户特征项。

Images