CN101902402A - 一种用户权限管理方法、装置 - Google Patents

Abstract

本发明提供的用户权限管理方法及装置，通过在系统资源发生变化时，更新扩展后的基于角色的访问控制RBAC模型中，独立于权限类别集合的资源集合中的资源，并利用更新后的资源集合更新权限集合；确定用户访问更新后的所述权限集合的访问权限；基于确定的所述用户的访问权限，对所述用户发送的访问请求进行权限管理控制。从而使系统的权限集合可以适应系统资源集合的动态调整，而且还可以使系统为用户授权更加灵活。

Description

一种用户权限管理方法、装置

技术领域

本发明涉及权限管理技术领域，具体涉及一种用户权限管理方法、装置。

背景技术

目前在企业应用系统中，普遍采用基于角色的访问控制(RBAC，Role-based Access Control)模型，对系统用户的访问权限进行管理控制。如图1所示。RBAC把系统用户根据其所拥有的执行功能和安全策略分成不同的角色，然后对每个角色分配对应的权限，再通过对每个用户指定不同的角色，来实现对用户的权限管理控制。

在现有RBAC模型中，通常把系统中的权限集合进行了固定的限制，即把系统的资源(功能)集合以及施加于其上的权限类别集合(即操作类别集合)进行了固化绑定，作为系统的权限集合，而现有RBAC模型在实际应用时，特别是在Web系统中，因为Web系统拥有复杂的页面层次和表单元素，而这些内容在开发和维护中的变化是非常频繁和不可预期的，这就导致了当系统管理的资源集合处于动态变化的时候，系统的权限集合不能与系统资源动态适应。

可以看出，现有技术条件下的RBAC模型在具体实现过程中，权限集合不具备与系统的资源集合动态适应的能力，缺少灵活性。

发明内容

本发明所要解决的技术问题是提供一种用户权限管理方法、装置。从而使RBAC模型中的权限集合具备与系统资源动态适应能力。

为解决上述技术问题，本发明提供方案如下：

本发明实施例提供了一种用户权限管理方法，包括：

在系统资源发生变化时，更新扩展后的基于角色的访问控制RBAC模型中，独立于权限类别集合的资源集合中的资源，并利用更新后的资源集合更新权限集合；

确定用户访问更新后的所述权限集合的访问权限；

基于确定的所述用户的访问权限，对所述用户发送的访问请求进行权限管理控制。

优选的，所述方法中，所述在系统资源发生变化时，更新扩展后的基于角色的访问控制RBAC模型中，独立于权限类别集合的资源集合中的资源，并利用更新后的资源集合更新权限集合的过程中，包括增加系统资源流程和删减系统资源流程，其中，所述增加系统资源流程包括：

将增加的系统资源添加至资源集合中，更新所述资源集合中的资源；

根据所述增加的系统资源对应的操作权限类别编码，将权限类别集合中对应的操作权限类别加载至所述增加的系统资源；

将所述更新后的资源集合与权限类别集合组合，构成更新后的权限集合；

所述删减系统资源流程包括：

将减少的系统资源从资源集合中删除，更新所述资源集合中的资源；

将所述更新后的资源集合与权限类别集合组合，构成更新后的权限集合。

优选的，所述方法中，所述确定用户访问更新后的所述权限集合的访问权限包括：

通过会话进程与用户交互，确定用户身份；

根据确定的所述用户身份与所述用户所属角色之间的对应关系，确定所述用户所属角色；

根据确定的所述用户所属角色与所述权限集合之间的对应关系，确定所述用户所属角色对应的访问权限。

优选的，所述方法中，若根据确定的所述用户所属角色与所述权限集合之间的对应关系，确定所述用户所属角色不具有访问所述权限集合的访问权限，则所述方法还包括：

将用户所属角色不具有访问所述权限集合的访问权限的确定结果反馈至用户。

优选的，所述方法中，所述确定用户访问更新后的所述权限集合的访问权限包括：

根据接收的所述用户发送的特别授权请求，为所述用户授予不基于用户所属角色访问所述权限集合的访问权限。

本发明实施例还提供了一种用户权限管理装置，包括：

更新模块，用于在系统资源发生变化时，更新扩展后的基于角色的访问控制RBAC模型，独立于权限类别集合的资源集合中的资源，并利用更新后的资源集合更新权限集合；

确定模块，用于确定用户访问所述更新模块更新后的权限集合的访问权限；

权限管理控制模块，用于基于所述确定模块确定的所述用户的访问权限，对所述用户发送的访问请求进行权限管理控制。

优选的，所述更新模块包括：

加载单元，用于在系统资源增加时，根据增加的系统资源对应的权限类别集合编码，将权限类别集合中对应的操作权限类别加载至所述增加的系统资源。

优选的，所述确定模块包括：

身份确定单元，用于通过会话进程与用户交互，确定用户身份；

角色确定单元，用于根据所述身份确定单元确定的用户身份与所述用户所属角色之间的对应关系，确定所述用户所属角色；

访问权限确定单元，用于根据所述角色确定单元确定的用户所属角色与所述权限集合之间的对应关系，确定所述用户所属角色对应的访问权限。

优选的，所述确定模块还包括：

提示单元，用于在所述访问权限确定单元确定所述用户所属角色不具有访问所述权限集合的访问权限时，将访问权限确定单元的确定结果反馈至用户。

优选的，所述确定模块还包括：

特别授权单元，用于根据接收的所述用户发送的特别授权请求，为所述用户授予不基于用户所属角色访问所述权限集合的访问权限。

从以上所述可以看出，本发明提供的用户权限管理方法及装置，通过在系统资源发生变化时，更新扩展后的基于角色的访问控制RBAC模型中，独立于权限类别集合的资源集合中的资源，并利用更新后的资源集合更新权限集合；确定用户访问更新后的所述权限集合的访问权限；基于确定的所述用户的访问权限，对所述用户发送的访问请求进行权限管理控制。从而使系统的权限集合可以适应系统资源集合的动态调整，而且还可以使系统为用户授权更加灵活。

附图说明

图1为现有技术中RBAC模型结构示意图；

图2为本发明实施例提供的RBAC模型结构示意图；

图3为本发明实施例提供的RBAC模型所涉及的封装格式示意图；

图4为本发明实施例提供的用户权限管理方法具体实现流程图一；

图5为本发明实施例提供的用户权限管理方法生成用户权限流程图；

图6为本发明实施例提供的用户权限管理方法具体实现流程图二；

图7为本发明实施例提供的用户权限管理装置具体实现结构示意图；

图8为本发明实施例提供的用户权限管理装置中确定模块具体实现结构示意图。

具体实施方式

本发明中提供了一种系统资源可动态管理的扩展RBAC模型，具体可如附图2所示。

针对现有的RBAC模型通常是把系统中的权限集合进行了固定的限制，即把系统的资源(功能)集合以及施加于其上的权限类别集合(即操作类别集合)进行了绑定，作为系统的权限集合，从而导致现有RBAC模型不具有灵活性的问题，本发明实施例提供了如附图2所示的扩展RBAC模型，该RMAC模型中，将权限集合分解成图2右侧虚线方框内的两个独立设置部分：权限类别集合与资源集合，使得权限集合由这两部分组合构成。这样，当系统的资源集合随着用户需求变化而动态调整时，权限集合也会相应的动态调整。

具体的，当系统新增一个资源F(F可假设是个页面等)时，则系统可以将资源F添加至资源集合中，更新独立设置的资源集合中的资源。并且，系统还可以将独立设置的权限类别集合中，与资源F对应的操作权限类别，如增加、删除、修改等操作加载至资源F上，即增加对资源F的增加、删除、修改等操作权限。由于资源集合是独立于权限类别集合设置的，因此，资源集合的变动，并不会影响权限类别集合，这样，由更新后的资源集合与权限类别集合组合，构成更新后的系统权限集合，即利用更新后的资源集合，更新权限集合。

由于权限类别集合中的操作权限类别存在唯一的编码，所以可根据资源的前缀编码来判断新增加的资源需要加载哪些权限类别集合中的操作权限类别。比如增加、删除、修改的操作分别对应1、2、3的编码，而系统新增加的资源的前缀编码为1、2、3，则系统为新增加的资源加载增加、删除、修改操作权限类别。

而在系统资源减少时，系统将减少的资源从资源集合中删除，更新独立设置的资源集合中的资源，然后由更新后的资源集合与权限类别集合组合，构成更新后的系统权限集合。

通过上述描述可以看出，通过将资源集合以及权限类别集合各自独立设置，并且有资源集合与权限类别集合组合，构成权限集合，从而可以实现系统权限集合能够适应系统资源集合动态变化的要求。因为资源集合是独立设置的，所以其动态调整也不会影响系统的结构。

下面对本发明实施例提供的扩展RBAC模型(如附图2所示)的具体组成进行详细的说明：

资源集合Sf：{F1，F2，…，Fi··}，具体可以定义为系统中资源或功能的集合，在Web系统中一般以页面和功能模块的形式存在。资源集合中的元素Fi具体可以包括Fcode、Ftitle、Flevel、Furl，Felse等参数，其中，Fcode是系统资源的编码，Ftitle是系统资源的标题，Flevel是系统资源的级别(在用菜单或树型结构组织资源的系统中非常重要)，Furl是系统资源的访问路径，Felse是系统资源的其它描述信息。

权限类别集合Spt：{Pt1，Pt2，…，Pti…}，具体可以定义为系统中操作权限类别的集合，例如新增、修改、删除、审核等。权限类别集合中的元素Pti具体可以包括Ptcode、Pttype、Ptdesc等参数，其中，PTcode是操作权限类别编码，PTtype是操作权限类别分类(在不同的功能流程中需要不同的权限分类方法)，PTdesc是操作权限类别的描述信息。

权限集合Sp：{Spt X Sf}，具体可以定义为系统的权限集合，它规定了系统中每个系统资源的所有可用操作权限类别。本发明中，权限集合是通过资源集合Sf与权限类别集合Spt集合关联组合形成的，它会随着系统资源的改变而动态变化，从而避免了现有RBAC模型权限集合中固定资源可操作权限类别的做法。权限集合中的元素Pi可表示为一个二元组：P；(Fcode，PTcode)，其中Fcode是资源集合中的资源编码，PTcode是权限类别集合中的权限类别编码。

角色集合Sr：{R1，R2，…，Ri，…}，具体可以定义为系统角色的集合，角色集合中的元素Ri具体可以包括Rcode、Rname、Rtype等参数，其中，Rcode是角色编码，Rname是角色名称，Rtype是角色类型(在系统通常可以根据职能部门、职位层次进行角色类型的区分)。

用户集合Su：{U1，U2，…，Ui，…}，具体可以定义为系统用户的集合，用户集合中的元素Ui具体可以包括Ucode、Uname、Uelse等参数，其中，Ucode是用户编码，Uname是用户名称，Uelse代表用户的其他属性信息，包括密码、联系方式等。

会话集合Ss：{S1，S2，…，Si，…}，具体可以定义为系统当前的会话集合，其中每个会话都存有登录用户的相应信息和会话的上下文环境。

本发明实施例提供的扩展RBAC模型中，上述集合可以采用二维关系的存储模式，具体可通过如附图3所示的以下步骤，按附图2中从右到左的顺序推导出用户权限的生成过程：

1)生成系统权限集合。

首先建立系统的资源集合Sf，即明确系统中的哪些页面(甚至页面元素)和模块作为系统资源参与权限控制，为其指定唯一的编码Fcode和其他必要属性。然后利用资源集合Sf与权限类别集合Spt进行关联，得到一个对照表(Sf-Spt)，即系统权限集合Sp。

2)为角色分配权限。

首先根据系统要求，按照部门或级别等划分原则，确定系统的角色集合Sr。然后针对角色集合Sr中的每个元素Ri，在权限集合Sp中为其寻找应有的权限子集P’(P₁，P₂，……P_n)，建立角色集合与权限集合之间的对应关系，形成角色一权限对照表(Sr-Sp)。

3)为用户指定角色。

新建用户，加入系统用户集合Su中，然后在角色集合Sr中根据需要为其寻找应有的角色子集R’(R₁，R₂，……R_n)，建立用户与角色集合之间的对应关系，形成用户一角色对照表(Su-Sr)。

4)为用户指定会话进程。

由系统为用户指定其对应的会话进程Ss，建立会话一用户对照表(Ss-Su)，其中每个会话都存有登录用户的相应信息和会话的上下文环境。

这样，系统的权限关联机制已经形成。当某用户登录系统后，系统会建立一个会话进程，通过查询会话一用户对照表(Ss-Su)，得到该用户身份；再通过查询用户一角色对照表(Su-Sr)，得到用户的角色集合；再通过查询角色一权限对照表(Sr-Sp)，最终可以得到用户在系统中的权限集合，即明确了用户可以对哪些资源集合进行那些类别的访问操作。从而实现对用户访问权限的管理控制。

在本发明实施例提供的扩展RBAC模型一个具体实施例中，还可以为用户进行特别授权，使用户可以在基于事先分配的角色，无法访问某个权限集合时，可以通过特别授权，具有访问该权限集合的访问权限。这是因为现有RBAC模型限定了系统的所有用户的权限都依附于某个(或某些)角色的权限(或权限集合)，这种限定虽然解决了用户授权的简单性，但有时候也存在明显的不足，例如，当某用户由于业务要求需暂时拥有某项权限时，而此时用户现有角色均不合适，那么，如果给该用户所属角色赋予此权限，则必然同样会给赋予该角色的所有用户增加此权限，这显然不合适；如果再建一个合适的新角色，然后赋予该用户，但因为用户的该项权限只是暂时的，所以权限撤销时又要删除相应角色，显得比较繁琐。

而在本发明实施例提供的扩展RBAC模型一个具体实施例中，为了解决上述问题，增加了为用户特别授权的过程，使得系统对用户授权更加灵活，以解决有些用户对暂时权限的方便授予和撤销。在具体应用是，若用户无法根据事先分配的角色访问需要的权限集合，则用户可以向系统发出特别授权请求，由系统(具体可以为管理员)直接为用户分配访问特定权限集合的特别访问权限，从而使用户具有不基于用户所属角色的特殊访问权限。并在用户完成访问后，直接撤销用户的权限。这种方法解决了现有技术中，临时权限通过RBAC模型中的角色授予存在的复杂性管理问题，提高了用户授权的灵活性和可维护性。

在本发明实施例提供的扩展RBAC模型一个具体实施例中，除在用户浏览器界面进行用户权限验证之外，还可以在系统后台程序代码中，增加用户访问权限的验证过程，从而实现浏览器和服务器端双重验证，保证了权限控制的安全性和正确性。本发明实施例对于如何在系统后台程序代码中增加用户访问权验证过程的表现形式并不限制。

在本发明实施例提供的扩展RBAC模型一个具体实施例中，还可以实现页面的局部更新，从而减少了系统响应时间，避免了占用过多带宽的情况。这是因为在现有RBAC模型中，传统的权限页面应用允许用户填写表单(form)，当提交表单时就向权限服务器发送一个请求。服务器接收并处理传来的表单，然后返回一个新的网页。由于在前后两个页面中的大部分超文本标识语言(HTML：Hyper Text Markup Language)代码往往是相同的，而用户需要操作的只是页面中的一个局部，而页面其他部分是无需改动的，因此，现有RBAC模型在实现与用户交互时，存在浪费带宽的情况。而且，由于每次应用的交互都需要向服务器发送请求，应用的响应时间就依赖于服务器的响应时间。这导致了用户界面的响应比本地应用慢得多。

下面对本发明扩展RBAC模型一个具体实施例，基于异步JavaScript和可扩展标记语言(XML：Extensible Markup Language)技术，即AJAX技术实现局部页面更新的具体实现过程为例进行说明，具体可以包括：

1)客户端接收用户访问请求。

首先用户在客户端将必要信息(如操作员名称、密码等)在WEB页面上填写好，然后点击提交，向系统发送访问请求。

为了便于理解，下述描述以本实施例中所涉及的扩展RBAC模型采用JAVA Spring框架进行构建为例进行说明。那么，上述访问请求即可以具体为XML超文本传输协议(Http：HyperText Transfer Protocol)请求(Request)对象。

2)系统对用户的访问请求进行重新封装后发送至系统后台。

本发明中为了调用后台程序更加便捷，可以对XMLHttpRequest对象进行封装，具体的封装格式可如附图3所示，其中，接口名可为callUrl(url，inparas，outparas，isSyn)，即通过统一资源定位符(URL，Uniform Resource Locator)方式调用服务。参数Url是后台类路径和后台方法的结合，其中后台类路径与JAVA后台管理程序spring容器的javabean相对应。参数inparas是输入参数，具体可以为基本数据类型和对象。参数outparas是输出参数，其同样可以为基本数据类型和对象。参数isSyn是指是否异步，当需要同步时，将此配置为true，否则为false。

本发明通过上述对XMLHttpRequest对象的封装，将用户发送的访问请求发送给系统后台。

3)系统后台根据用户的访问请求进行数据处理。

在系统后台，具体可由Web容器接收封装后的访问请求，并将访问请求转发至业务层。

业务层在解析了访问请求所包含的参数之后，调用持久层相关的数据库处理逻辑，把结果序列化成XML，并把XML写入HttpServletResponse(HttpServlet响应)，将HttpServletResponse返回至系统前台。

4)根据系统后台返回的数据，局部更新用户页面。

当系统前台接收到系统后台返回的XML文档后，根据XML文档所携带的数据，用JavaScript操纵页面的HTML文档对象模型(DOMDocument Object Model)，把客户端用户界面的局部内容进行更新。

通过上述操作，本发明实施例提供的扩展RBAC模型即可以实现局部页面更新操作。从而避免了系统与用户交互过程中，占用过多带宽的情况。而且交互过程中，系统处理的数据量小，因此加快了系统反映时间，也为用户提供更友好的界面。

通过上述描述可以看出，本发明实施例提供的扩展RBAC模型，可以实现系统权限集合动态适应系统资源的调整变化，使扩展RBAC模型具有很强的灵活性。而且还可以实现用户的特别授权，方便了用户使用。另外，本发明实施例提供的扩展RBAC模型还可以实现浏览器和服务器端双重验证，保证了权限控制的安全性和正确性。本发明实施例提供的扩展RBAC模型还可以实现局部页面更新操作。从而避免了系统与用户交互过程中，占用过多带宽的情况。而且交互过程中，系统处理的数据量小，因此加快了系统反映时间，也为用户提供更友好的界面。由于本发明实施例提供的扩展RBAC模型并没有对RBAC模型进行架构上的改变，因此具有很强的通用性。

基于本发明实施例提供的扩展RBAC，本发明实施例提供一种用户权限管理方法，如附图4所示，包括：

步骤41，系统在系统资源发生变化时，更新独立于权限类别集合的资源集合中的资源，并利用更新后的资源集合更新权限集合；

步骤42，系统确定用户访问更新后的所述权限集合的访问权限；

步骤43，系统基于确定的所述用户的访问权限，对用户发送的访问请求进行权限管理控制。

下面结合附图，对本发明提供的用户权限管理方法的一个具体实施例的实现过程进行详细的描述。

需要说明的是，本发明实施例提供的用户权限管理方法在实现之初，需要对基本元素进行定义。

定义配置部分具体可以包括：

1)对象定义：对象是指系统中各种功能模块、界面元素(包括菜单、按钮等各种界面上能控制的控件)等，它们是用户能访问的各种对象。系统也只能控制这些事先已定义好的对象，因此，对象定义是整个系统的核心步骤直接影响后面的各个安全控制环节。对象定义的包括如下几步：

1、功能模块定义：系统中除部分公用的界面、公用功能模块外，其它均为业务功能模块，是用户完成各自不同的业务功能的主要操作途径。有定义的功能模块对象就有可能组织权限根据用户需要完成的工作配置用户业务功能菜单，这也符合“最少特权策略”。

2、界面元素控制：除了功能菜单要受到控制外，如要控制功能模块的界面元素其功能模块界面元素也需定义，大部分界面元素均包含有相关的业务功能操作，所以对相应操作的界面元素是进行定义是有必要的。

2)权限定义：在定义好对象的前提下，定义对象在不同情况的访问类型，希望对象在不同情况下具有不同的访问类型，这就需要定义对象的权限。定义权限就是定义对象访问控制和数据访问控制。为了表述方便我们对权限用一个三元组符号来表示P(o，t，p)，其中o表示访问对象；t表示访问类型；p表示谓词。表示在谓词p为真时对于对象o可进行t类型的访问。权限定义系统安全管理基础步骤之一，只有给各种对象定义好访问的权限，才能给角色配置权限，基于角色管理才能成为可能。

3)角色定义：基于角色的访问控制方法的思想就是把对用户的授权分成两部份，用角色来充当用户行使权限的中介。这样，用户与角色之间以及角色与权限之间就形成了两个多对多的关系。系统提供角色定义工具允许用户根据自己的需要(职权、职位以及分担的权利和责任)定义相应的角色。角色之间有相应继承的关系，当一个角色r1继承另一个角色r2时，r1就自动拥有了r2的访问权限(表示r1-＞r2)。角色继承关系自然的反映了一个组织内部权利和责任的关系，为方便权限管理提供了帮助。

4)用户定义：系统的最终使用者是用户，因此必须建立用户的鉴别机构，登记用户的身份信息。在系统中定义可登录的用户操作系统是系统安全管理所必须步骤，也是人与系统的接口。

另外，在本发明实施例实施之前，还可以存在用户权限的生成过程，具体可如附图5所示，包括：

步骤51，生成系统权限集合。

首先建立系统的资源集合Sf，即明确系统中的哪些页面(甚至页面元素)和模块作为系统资源参与权限控制，为其指定唯一的编码Fcode和其他必要属性。然后利用资源集合Sf与权限类别集合Spt进行关联，得到一个对照表(Sf-Spt)，即系统权限集合Sp。

步骤52，为角色分配权限。

首先根据系统要求，按照部门或级别等划分原则，确定系统的角色集合Sr。然后针对角色集合Sr中的每个元素Ri，在权限集合Sp中为其寻找应有的权限子集P’(P₁，P₂，……P_n)，建立角色集合与权限集合之间的对应关系，形成角色一权限对照表(Sr-Sp)。

步骤53，为用户指定角色。

新建用户，加入系统用户集合Su中，然后在角色集合Sr中根据需要为其寻找应有的角色子集R’(R₁，R₂，……R_n)，建立用户与角色集合之间的对应关系，形成用户一角色对照表(Su-Sr)。

步骤54，为用户指定会话进程。

由系统为用户指定其对应的会话进程Ss，建立会话一用户对照表(Ss-Su)，其中每个会话都存有登录用户的相应信息和会话的上下文环境。

如附图6所示，本发明实施例的实现过程具体可以包括：

步骤61，在系统资源发生变化时，更新权限集合。

本发明实施例中，由于权限类别集合与资源集合各自独立设置，并且两者结合构成系统的权限集合，因此，当系统新增资源时，则系统可以将新增加的资源添加至资源集合中，更新独立设置的资源集合中的资源。并且，系统还可以将独立设置的权限类别集合中，与新增加的资源对应的操作权限类别，如增加、删除、修改等操作加载至该资源上，即增加对该资源的增加、删除、修改等操作权限。由于资源集合是独立于权限类别集合设置的，因此，资源集合的变动，并不会影响权限类别集合，这样，由更新后的资源集合与权限类别集合组合，构成更新后的系统权限集合，即利用更新后的资源集合，更新权限集合。

由于权限类别集合中的操作权限类别存在唯一的编码，所以可根据资源的前缀编码来判断新增加的资源需要加载哪些权限类别集合中的操作权限类别。比如权限类比集合中的增加、删除、修改的操作权限类别分别对应1、2、3的编码，而系统新增加的资源的前缀编码为1、2、3，则系统为新增加的资源加载增加、删除、修改操作权限类别。

而在系统资源减少时，系统将减少的资源从资源集合中删除，更新独立设置的资源集合中的资源，然后由更新后的资源集合与权限类别集合组合，构成更新后的系统权限集合。

在本发明的另一个具体实施例中，如果系统资源并没有发生变化，则无需执行步骤61。

步骤62，确认用户身份。

具体的，系统可以通过会话进程与用户交互，即可以根据已经建立的会话一用户对照表(Ss-Su)，确定用户身份。

步骤63，确认用户角色。

具体的，系统可以根据已经确定的用户身份，并根据事先建立的该用户身份与用户所属角色之间的对应关系，即可以通过查找用户一角色对照表(Su-Sr)，确定该用户身份对应的用户所属角色。

步骤64，确认用户访问权限。

具体的，系统可以根据已经确定的用户所属角色，并根据事先建立的该用户所属角色身份与权限集合(可以为更新后的权限集合，也可以为没有发生变化的权限集合)之间的对应关系，即可以通过查找角色一权限对照表(Sr-Sp)，确定该用户所属角色访问权限集合的访问权限。

如果该用户所属角色具有访问权限集合的访问权限，则后续执行步骤68，如果改用户所属角色不具有访问权限集合的访问权限，则后续可以执行步骤65。

步骤65，提示用户。

具体的，系统可以将用户所属角色不具有访问所述权限集合的访问权限的确定结果反馈至用户。

步骤66，用户发送特别授权请求。

具体的，在系统提示用户其所属角色不具有访问权限集合的访问权限情况下，如果用户需要访问其所属角色不具有访问权限的权限集合，则用户向系统发送特别授权请求，希望系统授予其访问该权限集合的特别访问权限。

在本发明的另一个具体实施例中，如果用户事先已经知道其自身所属角色不具有访问某个预定权限集合时，则用户可以无需系统提示，自身主动向系统发送特别授权请求。

步骤67，系统为用户特别授权。

系统在接收到用户发送的特别授权请求时，可以为该用户授予不基于用户所属角色访问权限集合的特别访问权限。即用户可以不基于用户所属角色，向权限集合发送访问请求。

另外，本发明实施例中也可以在用户完成访问操作或者根据需要，撤销为用户授予的特别访问权限。

步骤68，系统基于确定的用户访问权限，对用户发送的访问请求进行权限管理控制。

具体的，系统可以基于步骤64确定的用户访问权限，也可以基于步骤67中授权用户的特别访问权限，对用户发送的访问请求进行权限管理控制。

基于本发明实施例提供的扩展RBAC，本发明实施例还提供一种用户权限管理装置70，如附图7所示，包括

更新模块71，用于在系统资源发生变化时，更新独立于权限类别集合的资源集合中的资源，并利用更新后的资源集合更新权限集合；

确定模块72，用于确定用户访问更新模块71更新后的权限集合的访问权限；

权限管理控制模块73，用于基于确定模块72确定的用户访问权限，对用户发送的访问请求进行权限管理控制。

本发明实施例中，由于权限类别集合与资源集合各自独立设置，并且两者结合构成系统的权限集合，因此，当系统新增资源时，则更新模块71可以将新增加的资源添加至资源集合中，更新独立设置的资源集合中的资源。并且，更新模块71还可以将独立设置的权限类别集合中，与新增加的资源对应的操作权限类别，如增加、删除、修改等操作加载至该资源上，即增加对该资源的增加、删除、修改等操作权限。由于资源集合是独立于权限类别集合设置的，因此，资源集合的变动，并不会影响权限类别集合，这样，由更新后的资源集合与权限类别集合组合，构成更新后的系统权限集合，即利用更新后的资源集合，更新权限集合。

由于权限类别集合中的操作权限类别存在唯一的编码，所以更新模块71可根据资源的前缀编码来判断新增加的资源需要加载哪些权限类别集合中的操作权限类别。比如权限类比集合中的增加、删除、修改的操作权限类别分别对应1、2、3的编码，而新增加的资源的前缀编码为1、2、3，则更新模块71为新增加的资源加载增加、删除、修改操作权限类别。

而在系统资源减少时，更新模块71将减少的资源从资源集合中删除，更新独立设置的资源集合中的资源，然后由更新后的资源集合与权限类别集合组合，构成更新后的系统权限集合。

在一个优选的实施例中，本发明实施例所涉及的更新模块71，还可以包括：

加载单元711，用于在系统资源增加时，根据增加的系统资源对应的权限类别集合编码，将对应的权限类别集合加载至所述增加的系统资源。

在一个优选的实施例中，如附图8所示，本发明实施例提供的确定模块72具体可以包括：

身份确定单元721，用于通过会话进程与用户交互，确定用户身份。

具体的，身份确定单元721可以通过会话进程与用户交互，即可以根据已经建立的会话一用户对照表(Ss-Su)，确定用户身份。

需要说明的是，本发明实施例中所涉及的各种对应关系，以及对照表均可以事先建立。具体建立过程可如上所述，在此不再赘述。

角色确定单元722，用于根据身份确定单元721确定的用户身份与用户所属角色之间的对应关系，确定所述用户所属角色。

具体的，角色确定单元722可以根据已经确定的用户身份，并根据事先建立的该用户身份与用户所属角色之间的对应关系，即可以通过查找用户一角色对照表(Su-Sr)，确定该用户身份对应的用户所属角色。

访问权限确定单元723，用于根据角色确定单元722确定的用户所属角色与权限集合之间的对应关系，确定用户所属角色对应的访问权限。

具体的，访问权限确定单元723可以根据已经确定的用户所属角色，并根据事先建立的该用户所属角色身份与权限集合(可以为更新模块71更新后的权限集合，也可以为其他权限集合)之间的对应关系，即可以通过查找角色一权限对照表(Sr-Sp)，确定该用户所属角色访问权限集合的访问权限。

在本发明实施例提供的确定模块72另一个具体实施例中，确定模块72还可以包括：

提示单元724，用于在访问权限确定单元723确定用户所属角色不具有访问权限集合的访问权限时，将访问权限确定单元723的确定结果反馈至用户。

在本发明实施例提供的确定模块72另一个具体实施例中，确定模块72还可以包括：

特别授权单元725，用于根据接收的用户发送的特别授权请求，为用户授予不基于用户所属角色访问权限集合的特别访问权限。

需要说明的是，本发明实施例中，用户发送的特别授权请求可以是在接收到提示单元724反馈的信息情况下发送，也可以是用户自身主动发送。

另外，特别授权单元725也可以在用户完成访问操作或者根据需要，撤销为用户授予的特别访问权限。

在一个优选的实施例中，本发明实施例所涉及的权限管理控制模块73，具体的可以基于访问权限确定单元723基于用户所属角色确定的用户访问权限，也可以基于特比授权单元725授权用户的特别访问权限，对用户发送的访问请求进行权限管理控制。

综上所述，本发明实施例提供的用户权限管理方法及装置，通过在系统资源发生变化时，更新扩展RBAC模型中，独立于权限类别集合的资源集合中的资源，并利用更新后的资源集合更新权限集合；确定用户访问更新后的所述权限集合的访问权限；基于确定的所述用户的访问权限，对所述用户发送的访问请求进行权限管理控制。从而使系统的权限集合可以适应系统资源集合的动态调整，而且还可以使系统为用户授权更加灵活。

以上所述仅是本发明的实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (10)

1.一种用户权限管理方法，其特征在于，包括：

在系统资源发生变化时，更新扩展后的基于角色的访问控制RBAC模型中，独立于权限类别集合的资源集合中的资源，并利用更新后的资源集合更新权限集合；

确定用户访问更新后的所述权限集合的访问权限；

基于确定的所述用户的访问权限，对所述用户发送的访问请求进行权限管理控制。

2.如权利请求1所述的方法，其特征在于，所述在系统资源发生变化时，更新扩展后的基于角色的访问控制RBAC模型中，独立于权限类别集合的资源集合中的资源，并利用更新后的资源集合更新权限集合的过程中，包括增加系统资源流程和删减系统资源流程，其中，所述增加系统资源流程包括：

将增加的系统资源添加至资源集合中，更新所述资源集合中的资源；

根据所述增加的系统资源对应的操作权限类别编码，将权限类别集合中对应的操作权限类别加载至所述增加的系统资源；

将所述更新后的资源集合与权限类别集合组合，构成更新后的权限集合；

所述删减系统资源流程包括：

将减少的系统资源从资源集合中删除，更新所述资源集合中的资源；

将所述更新后的资源集合与权限类别集合组合，构成更新后的权限集合。

3.如权利请求1所述的方法，其特征在于，所述确定用户访问更新后的所述权限集合的访问权限包括：

通过会话进程与用户交互，确定用户身份；

根据确定的所述用户身份与所述用户所属角色之间的对应关系，确定所述用户所属角色；

根据确定的所述用户所属角色与所述权限集合之间的对应关系，确定所述用户所属角色对应的访问权限。

4.如权利要求3所述的方法，其特征在于，若根据确定的所述用户所属角色与所述权限集合之间的对应关系，确定所述用户所属角色不具有访问所述权限集合的访问权限，则所述方法还包括：

将用户所属角色不具有访问所述权限集合的访问权限的确定结果反馈至用户。

5.如权利要求1或4所述的方法，其特征在于，所述确定用户访问更新后的所述权限集合的访问权限包括：

根据接收的所述用户发送的特别授权请求，为所述用户授予不基于用户所属角色访问所述权限集合的访问权限。

6.一种用户权限管理装置，其特征在于，包括：

更新模块，用于在系统资源发生变化时，更新扩展后的基于角色的访问控制RBAC模型，独立于权限类别集合的资源集合中的资源，并利用更新后的资源集合更新权限集合；

确定模块，用于确定用户访问所述更新模块更新后的权限集合的访问权限；

权限管理控制模块，用于基于所述确定模块确定的所述用户的访问权限，对所述用户发送的访问请求进行权限管理控制。

7.如权利要求6所述的装置，其特征在于，所述更新模块包括：

加载单元，用于在系统资源增加时，根据增加的系统资源对应的权限类别集合编码，将权限类别集合中对应的操作权限类别加载至所述增加的系统资源。

8.如权利要求6所述的装置，其特征在于，所述确定模块包括：

身份确定单元，用于通过会话进程与用户交互，确定用户身份；

角色确定单元，用于根据所述身份确定单元确定的用户身份与所述用户所属角色之间的对应关系，确定所述用户所属角色；

访问权限确定单元，用于根据所述角色确定单元确定的用户所属角色与所述权限集合之间的对应关系，确定所述用户所属角色对应的访问权限。

9.如权利要求8所述的装置，其特征在于，所述确定模块还包括：

提示单元，用于在所述访问权限确定单元确定所述用户所属角色不具有访问所述权限集合的访问权限时，将访问权限确定单元的确定结果反馈至用户。

10.如权利要求6或8所述的装置，其特征在于，所述确定模块还包括：

特别授权单元，用于根据接收的所述用户发送的特别授权请求，为所述用户授予不基于用户所属角色访问所述权限集合的访问权限。

Images