CN101996218A - 一种实现数据访问权限控制的方法 - Google Patents

Abstract

一种对用户访问数据的权限进行控制的方法，通过对数据记录设置控制字段，可以导出相关节点以得到其数据记录，由此只需要对有限的数据记录进行处理，从而提高效率。

Description

一种实现数据访问权限控制的方法

技术领域

本发明涉及信息系统的访问控制，特别是提供一种对用户访问数据的权限进行控制的方法。

背景技术

企业信息化系统后台一般都是采用关系型数据库存储数据，通过结构化查询语句(SQL，Structure Query Language)对信息系统系统中数据库进行操作。

随着企业信息化程度的提高，系统的整合性也逐步提高，在很多情况下，操作员只能看到部分数据。比如说，在一个销售部门，每个销售员只能看到自己的客户，区域销售经理只能看到特定区域的数据，生产部门只能看到本部门的生产计划，等等。在这些例子中，数据访问权限的控制实质上是对字典数据的控制，字典数据通常指的是基础资料信息。还有一些情况，比如根据单据金额控制数据访问权限，或根据折扣比例控制数据访问权限，这些都可以通过对金额或折扣分段建立字典数据，从而将数据访问权限的控制转化为字典数据的控制。

对字典数据控制的具体方式就是在访问数据时构造数据筛选条件，然后根据数据筛选条件组成SQL语句中的WHERE条件子句，达到对数据过滤的目的，从而实现对字典数据的控制，也实现了对数据访问权限的控制。

传统技术中，字典数据表的数据结构通常是这样的：ID(数值类型)、Code(字符类型)、Name(字符类型)…，其中ID是主键，CODE和NAME是业务字段，当然不同的字典，还会有不同的业务字段。如有下面这么一张如表1所示的字典表和数据：

表1

ID	Code	Name	…
				Pn	nantong	南通	…
Pn+1	nanjing	南京	…
				Pn+2	suzhou	苏州	…
…	…	…	…
				Pn+100	wuxi	无锡	…
Pn+101	…	…	…

…	…	…	…
				Pn+m	changzhou	常州	…

其中有一操作员对ID值为Pn+2到Pn+100的数据没有访问权限，传统技术构造数据筛选条件的做法是根据主键的值ID进行筛选，如下面几种任一：

ID in(Pn，Pn+1，Pn+101，…，Pn+m)；

或者是ID＝Pn or ID＝Pn+1or ID＝Pn+101…or ID＝Pn+m；

或者是ID not in(Pn+2，…，Pn+100)；

或者是ID<>Pn+2and…and ID<>Pn+100。

这样需要对所有数据按ID值逐一列出条件进行筛选。这种做法需要大量的数据处理，在数据量比较大的情况下会导致性能较差，效率降低，且极端情况下会使得最终的SQL语句超出DBMS(数据库管理系统)的允许范围，导致程序出错。

发明目的

因此，本发明的目的是在信息系统中提供一种便捷、高效的数据访问权限控制方法，只需进行较少的数据处理，从而提高效率；

本发明的进一步目的在于在信息系统中提供一种便捷高效的数据访问权限控制方法，其只需要对有限的数据进行处理。

发明内容

在本发明中，用户需要访问的数据信息存储于某种信息系统中，例如计算机及其存储设备，这些数据信息被以一定形式组织和管理，以便进行各种处理。例如，字典数据被存放在字典数据表中，字典数据表中的每一条数据可以认为是一个存放数据记录的节点，根据节点中的某个字段的值来确定节点之间的关系，通过这种关联关系来组织成树形结构。数据访问权限可以是，包括但不限于，允许或禁止对任意节点的数据的读取、复制、修改或删除等的一种、多种或全部。用户对数据“具有”访问权限意味着用户被设置了允许或禁止数据的读取、复制、修改或删除等的一种、多种或全部，从而“具有”访问权限可以是用户被禁止读取数据。在这里，用户“不具有”访问权限的意思是尚未被设置或不适用于任何一种上述权限。这样，可以方便地对不限于读取、复制、修改或删除等权限一并讨论，并且，本发明的内容也同样地适用于不同种类的权限控制。

按照本发明的数据访问权限控制方法，仅对按用户需要选择的字典数据表中任意数据节点上的数据，即第一类数据节点上的数据，进行访问权限控制的处理，即可得到用户具有同样访问权限的节点的全部相关数据。因此，这样只需要进行较少的数据处理，通过下列步骤来实现：

1.对存放数据的字典数据表的每一节点的数据记录设置控制字段，

2.遍历每一节点的数据记录，对其控制字段赋值，

3.按用户需要选择字典数据表中的任意数据节点，以下称为第一类数据节点，设置数据访问权限；

4.对前一步骤中已选择和设置权限的每一个第一类数据节点，由其控制字段的值，导出字典数据表中具有同样的用户访问权限的相关节点的数据记录的主键值ID。

由此，本发明通过对用户选择的有限的第一类数据节点上数据的访问权限的设置和处理，能够得到用户具有该访问权限的全部数据，这一控制方法通过以上步骤实现，大大减少了传统方式中每次需要处理全部数据的工作量。

按照本发明，“遍历”的意思是以合适的指定方法逐一处理各个数据记录，包括处理某个任意数据节点的相关节点，例如其父节点或子孙节点，由此实现对各个数据记录的控制字段赋值，遍历范围为字典数据表的全部数据。这种“遍历”的指定方式可以是适合于树形结构的某种现有算法，如左序深度遍历算法(左序遍历，深度优先)。在这种算法中，各节点数据记录的控制字段的值成为关联的，从而可以由此导出具有同样的用户访问权限的相关节点以得到其数据记录。

按照本发明，由于对每一数据记录设置了控制字段并以指定方法遍历数据记录进行控制字段的赋值，从而可以实现本发明的目的。控制字段可以是两个字段，如第一控制字段TLeft(数值类型)和第二控制字段TRight(数值类型)，并对其编号。字典数据表的每一数据记录的结构可以是例如这样的：ID(数值类型)、Code(字符类型)、Name(字符类型)、TLeft(数值类型)、TRight(数值类型)…，其中ID是主键值，用于标识该数据记录，CODE和NAME是业务字段，即记录用户数据的字段，当然还会有其他的业务字段。为了得到一条数据记录，只要得到其主键值ID就可以了，而在本发明中，主键值ID可以由按左序深度遍历算法确定的控制字段的值来导出。

发明效果

按照本发明，由于设置了控制字段，能够确定仅对有限的相关节点上的数据进行查询，不必每次处理全部数据，从而提高了数据处理效率。

按照本发明，能对数据访问权限进行严格而全面的控制，能极大增强系统数据的安全性。

按照本发明，设置数据权限时方便直观，系统处理数据权限时具有高可靠性和高性能的特点。

本发明的其他优点和细节将在下面结合实施例详细叙述。

附图说明

图1是本发明的一个实施例的实施步骤示意图；

图2是本发明的一个实施例的数据结构示意图；

图3是本发明的一个实施例中增加数据节点的示意图；

图4是本发明的一个实施例中删除数据节点的示意图；

图5是本发明的一个实施例中增加兄弟数据节点的示意图；

图6是本发明的一个实施例中设置用户数据访问权限的步骤示意图；

图7是本发明的一个实施例中典型的人机对话界面的初始屏幕示意图；

图8是本发明的一个实施例中设置用户数据访问权限的界面示意图；

图9是本发明的一个实施例中导出用户数据访问权限的示意图。

具体实施方式

以下结合附图对本发明的实施作进一步详细描述，但实施例并不用于限制本发明，凡是采用本发明的实质方法及其相似变化，均应列入本发明的保护范围。

按照本发明的实现数据访问权限控制的方法的一个例子，如图1所示，通过下列步骤来实现：

首先，建立控制字段，并对控制字段赋值。建立或设置控制字段需要对存放数据的字典数据表的每一节点的数据记录进行，赋值则通过遍历每一节点的数据记录来实现，为方便起见，这一步骤在下面分为两步来叙述。

此后，设置数据访问权限，对按用户需要选择的字典数据表中的任意数据节点进行设置，这些用户选择的节点称为第一类数据节点。

然后，应用数据访问权限，即由控制字段的值开始，导出用户访问权限的数据。

下面对每一步骤进行叙述。

1.对存储数据的字典数据表增加控制字段，控制字段可以是至少两个字段，如第一控制字段TLeft和第二控制字段TRight，并对其赋值。由此，字典表的数据结构可以是例如这样的：主键值ID(数值类型)、Code(字符类型)、Name(字符类型)、第一控制字段TLeft(数值类型)、第二控制字段TRight(数值类型)…等等。其中ID是主键值，用于标识该数据记录，CODE和NAME是业务字段，即用户数据，当然还会有其他的业务字段。

2.对每一控制字段赋值。按照本发明，对控制字段赋值可以通过一定的算法来实现，这样，各节点的控制字段的值成为关联的，以后能够由控制字段TLeft、TRight的值按照该算法的规律来导出主键值ID以得到用户具有同样访问权限的相关节点的数据记录。例如，可以采用左序深度遍历算法来计算每一数据节点的控制字段的值，这样，这些节点上的控制字段都是关联的，对任一节点都可以由其主键值ID的值按照该算法赋予其控制字段的值。当需要得到相关节点的数据时，又可以由该节点控制字段的值方便地导出具有同样的用户访问权限的相关节点的主键值ID以得到这些节点的数据。

如有下面这么一张字典数据表和数据，如表2所示：

表2

ID	Code	Name	TLeft	TRight	…
						Pn	Nantong	南通	1	2	…
Pn+1	Nanjing	南京	3	4	…
						Pn+2	Suzhou	苏州	5	6	…
…	…	…	…	…	…
						Pn+100	Wuxi	无锡	201	202	…

Pn+101	…	…	203	204	…
						…	…	…	…	…	…
Pn+m	Changzhou	常州	m*2+1	m*2+2	…

其中有一操作员对ID值为Pn+2到Pn+100的数据具有某种访问权限。如前所述，在本发明中由于已经按左序深度遍历算法设置了控制字段的值，在得到数据时就可以按控制字段TLeft、TRight的值来进行查询，而不是传统的按ID字段进行查询。如，查询条件可以设置为例如：

(TLeft＞0 and TLeft＜5)or(TLeft＞202 and TLeft＜m*2+2)。

这种做法能很好解决数据查询时的性能问题，因为其大大优化了数据筛选条件。

这样，首先要设定字典数据表的第一和第二控制字段TLeft、TRight的值。可以用例如左序深度遍历算法来实现。下面结合数据结构具体描述对控制字段赋值的过程。

字典数据表的结构通常是树状或列表状，列表状可以看成树状的一种特殊情况。本发明按左序深度遍历算法对字典数据表的节点进行编号，每一个节点都有唯一的主键值，另外还有第一控制字段TLeft和第二控制字段TRight两个值。下面以左序深度遍历算法为例进行说明。

如有这么一张字典数据表和数据，如表3所示：

表3

ID	Code	Name	TLeft	TRight	…
						1001	0	生产部	1	12	…
1002	01	车间1	2	7	…
						1003	0101	生产线1(车间1)	3	4	…
1004	0102	生产线2(车间1)	5	6	…
						1005	02	车间2	8	11
1006	0201	生产线1(车间2)	9	10	…

ID是主键字段，用Code字段的值来确定上下级关系(也可以用其他字段的值和其他方式)，0的下级是01和02，01的下级是0101和0102，02的下级是0201。可以用树状图表示，参见图2。

在图2中，A到F表示主键(A对应的主键值是1001，B对应的主键值是1002，C对应的主键值是1003，D对应的主键值是1004，E对应的主键值是1005，F对应的主键值是1006)，L表示节点的TLeft值，R表示节点的TRight值。第一控制字段TLeft和第二控制字段TRight的值用左序深度遍历算法来确定。这样计算出来的值如图2所示。

由于采用左序深度遍历算法的计算是技术人员熟知的，因此无需详述。

使用左序深度遍历算法对于字典数据表结构调整比较容易，例如，增加节点时，如图3所示，在节点D(TLeft图示为L，TRight图示为R)下面增加一个节点G，先将所有节点的TLeft＞＝R的TLeft值都加2，所有节点的TRight＞＝R的TRight值都加2，然后G的TLeft为R，TRight为R+1；上述的过程可以用三句SQL语句实现：

update数据库表名set TLeft＝TLeft+2where TLeft＞＝R；

update数据库表名set TRight＝TRight+2where TRight＞＝R；

insert to数据库表名(主键，TLeft，TRight…)values(G，R，R+1…)。

删除节点时，以删除节点D(TLeft图示为L，TRight图示为R)为例，见图4，先将所有节点的TLeft＞R的TLeft值都减2，所有节点的TRight＞R的TRight值都减2，再将节点D删除掉。上述的过程也可以用三句SQL语句实现：

update数据库表名set TLeft＝TLeft-2where TLeft＞R；

update数据库表名set TRight＝TRight-2where TRight＞R；

delete from数据库表名where主键＝D。

再如，在根节点下增加节点A(TLeft图示为L，TRight图示为R)的兄弟节点H，如图5所示，H节点的TLeft为R+1，TRight为R+2；SQL语句为：

insert to数据库表名(主键，TLeft，TRight…)values(H，R+1，R+2…)。

如果要修改节点在树中的位置，相当于删除一个节点，再增加一个节点。

3.设定和用户访问权限，可以对字典数据表选定任意的节点，即第一类数据节点，按用户需要设置该节点的用户数据访问权限。

这种设置可以在信息系统提供的典型的人机对话界面上进行，例如在计算机的屏幕上通过键盘、鼠标等输入设备来实现，典型步骤如图6所示。相应地，一种典型的人机对话界面的初始屏幕如图7所示。

如图6所示，有管理员权限的操作员首先登录系统，其典型的登录界面如图7，然后进入系统，可以在信息系统中设定数据访问权限，以修改默认的权限值，此时的典型对话界面如图8所示，表现为在任选的“部门”中，通过勾选来选择允许或禁止每一具体单位的权限，如“厂务”中的“经理室”、“财务室”、“审计科”等等，以此类推。完毕后保存设置并退出，如图6的其余步骤所示。这样就形成了用户设置的数据访问权限。

按照本发明，可以由例如具有管理权限的操作员设置用户数据访问权限。在本例中，可以例如只记录用户访问权限为禁止的项目，对只记录用户访问权限为允许的情形，技术人员不难按照本发明的方法同样实现。

在本实施例中，未设置权限时默认用户有所有的允许数据访问权限。这样，只需要在选定的任意节点，即第一类数据节点，修改不符合用户需要的权限值，即可完成用户的数据设置工作。

在树形结构的字典数据表中，若一个节点被标示为用户具有某种权限，则这个汇总节点以上或以下的所有节点的权限与其有联系。例如，用户只要对某个节点具有“允许”的权限，那对这个节点的所有父节点都具有“允许”权限，反之，若用户只要对某个节点具有“禁止”的权限，那对这个节点的所有子孙节点都具有“禁止”权限。

因此，本实施例中，需要进行权限设置的这些第一类数据节点的数量也是有限的。例如任意节点被设置为“禁止”的权限时，在数据库中可以只储存这个节点的权限，下面的子孙节点不记录，节省存储空间和减少数据处理。

当用户数据权限设置完成后，只需要记录有关第一类节点的主键值(即ID字段的值)，而不需要记录控制字段TLeft和TRight的值。仅仅记录主键的值的好处是，避免了树结构发生变化需要更新控制字段TLeft和TRight。

4.对前一步骤中已选择的每一个第一类数据节点，由其控制字段的值，导出字典数据表中具有同样访问权限的所有相关节点的主键值ID，从而得到该节点的数据记录。这一过程的步骤如图9所示。

按照本发明的实施例，为达到减少数据处理量、提高数据处理效率的目的，首先要取得所需的用户数据，即在前一步骤中用户设置的数据访问权限，并对这些上述第一类节点确定有数据访问权限的数据范围，通过查询和过滤处理，例如，由一个上述第一类节点上的数据记录的第一控制字段TLeft的值开始处理，得到相关节点上的数据记录。

例如，对各第一类数据节点上的数据按第一控制字段TLeft的值升序排序，以第一类数据节点的用户访问权限设置为禁止为例，用户对该节点(TLeft为L，TRight为R)具有禁止的数据访问权限，那对其相关的子孙节点也具有同样的数据访问权限，由此可确定此时有同样访问权限的相关节点的查询范围，由数据查询的条件语句表示为：

(TLeft＞＝L and TLeft＜R)。

即，在确定和取得有数据访问权限的数据范围时，对某一第一类数据节点而言，如果数据中记录了用户对某个节点(TLeft为L，TRight为R)上的数据的访问权限为禁止，按左序深度遍历算法对第一控制字段的编号，可以导出符合条件的相关节点。例如，由于各节点的控制字段是按左序深度遍历算法赋值的，显然应当确定该节点(TLeft为L，TRight为R)对有同样访问权限的相关节点的查询范围为(TLeft＞＝L and TLeft＜R)，这样可方便地由此过滤出这个节点(TLeft为L，TRight为R)符合该条件的所有子孙节点和自己。

如果要得到数据访问权限为允许的数据，可以在导出符合条件的相关节点时简单地对查询范围(TLeft＞＝L and TLeft＜R)取反，如：

(TLeft＞(上一个权限为禁止的节点的TRight值，如果没有则为0)andTLeft＜L)or(TLeft＞R and TLeft＜(下一个权限为禁止的节点的TLeft值，如果没有则为TRight的最大值))。

对多个第一类数据节点的情形，依次处理所有按控制字段的值升序排列的第一类数据节点，导出所有符合条件的各相关节点的主键值ID以得到其数据记录。这样，就得到了按设置的第一类数据节点的位置，即控制字段的值，及该节点的访问权限确定的查询范围内的相关节点的数据，即所有具有同样访问权限的相关节点的数据，从而实现对用户数据访问权限的控制。如前所述，以第一类数据节点的用户访问权限设置为禁止为例，可以容易地导出所有访问权限为禁止的相关节点，而这些节点(作为子孙节点)原本并没有包括在第一类数据节点中，同时，导出时也不需要对按符合条件确定的查询范围以外的其它数据节点进行处理，由此显著地减少了数据的处理量。

在本发明的另一例子中，还可以进一步包括保存已有处理结果的步骤，用于加快以后的同样处理。包括下列步骤：

1.保存已有的用户、第一类数据节点、权限设置和得到的相应处理结果；

2.当需要设置新的用户数据访问权限控制时，首先核对是否有已保存的同样用户、第一类数据节点和权限设置；

3.当存在以上同样的用户、第一类数据节点和权限设置时，直接得到已保存的处理结果，无需重新处理字典数据表。

4.当不存在以上同样的用户、第一类数据节点和权限设置时，按本发明第一个例子进行处理，并保存用户、第一类数据节点、权限设置和得到的相应处理结果。

由此可见，在本发明的范围内，可以做出在本发明的实质范围里的不同变化。

Claims (10)

1.一种数据访问权限控制方法，对存储于信息系统及其存储设备中的数据进行处理，这些数据被存放在字典数据表中和组织成树形结构，包括以下步骤：

a)对存放数据的字典数据表的每一节点的数据记录设置控制字段；

b)遍历每一节点的数据记录，对其控制字段赋值；

c)按用户需要选择字典数据表中任意的第一类数据节点，设置数据访问权限；

d)对前一步骤中已选择和设置权限的每一个第一类数据节点，由其控制字段的值，导出字典数据表中具有同样访问权限的所有相关节点。

2.如权利要求1的数据访问权限控制方法，其中，在步骤c)中，在信息系统的人机对话界面上选择和设置第一类数据节点的数据访问权限。

3.如权利要求1的数据访问权限控制方法，其中，在步骤b)中，以左序深度遍历算法逐一处理各个数据记录。

4.如权利要求2或3的数据访问权限控制方法，其中，所述控制字段至少包括第一控制字段和第二控制字段。

5.如权利要求2或3的数据访问权限控制方法，其中，在步骤c)中进一步包括首先默认设置用户对所有的数据记录具有允许的数据访问权限的步骤。

6.如权利要求2或3的数据访问权限控制方法，其中，所述字典数据表的数据记录包括标识该数据记录的主键值，在步骤c)中进一步包括记录第一类数据节点的主键值的步骤。

7.如权利要求6的数据访问权限控制方法，其中，在步骤d)中，进一步包括对各第一类数据节点的数据记录按照其第一控制字段的值升序排序的步骤。

8.如权利要求7的数据访问权限控制方法，其中，在步骤d)中，进一步包括对每一第一类数据节点确定其符合条件的相关节点的查询范围的步骤。

9.如权利要求1、2、7或8的数据访问权限控制方法，其中，进一步包括，

保存步骤d)的处理结果，包括用户、第一类数据节点、权限设置和得到的用户数据访问权限控制处理结果。

10.如权利要求9的数据访问权限控制方法，其中，进一步包括下列步骤：

a)当需要处理新的用户数据访问权限控制时，首先核对是否有已保存的同样用户、第一类数据节点和权限设置；

b)当存在所述同样用户、第一类数据节点和权限设置时，直接得到已保存的用户数据访问权限控制处理结果，无需重新处理字典数据表；

c)当不存在已保存的所述同样用户、第一类数据节点和权限设置时，按照权利要求9所述的方法进行处理。

Images