CN102081710B - 权限设置方法和权限控制方法 - Google Patents

Abstract

本发明提供一种权限设置方法和权限控制方法。在Linux或Unix操作系统的软件平台中设置项目的操作权限的方法包括：接收创建项目的命令、项目名称以及基于操作系统文件权限的文件权限，所述项目用于管理相互关联的数据、目录和文件；提取当前用户在操作系统中的用户标识、包括一个或多个其所属群组的群组名称列表以及相应的群组标识列表，所述群组名称列表中的群组名称与所述群组标识列表中的群组标识逐个对应；生成用于唯一地标识项目的项目标识符；和在项目数据库中创建包括项目名称、项目标识符、创建用户标识、授权群组名称列表、授权群组标识列表和项目文件权限的项目记录。

Description

权限设置方法和权限控制方法

技术领域

本发明涉及一种在Unix/Linux操作系统的软件平台中设置和控制项目的操作权限的方法，尤其涉及一种基于Unix/Linux操作系统用户群组的项目授权方法和Unix/Linux文件系统的文件权限设置方法。

背景技术

Unix操作系统和Linux操作系统都是多任务、多用户类型的操作系统，并且还可以将用户划分为不同的群组。这样，对属于同一个群组的成员在操作系统中可以赋予相同的权限。在Linux/Unix操作系统中，根据三种用户等级对文件/目录的权限进行控制和管理：文件/目录的所有者、同组用户以及其他用户。具体的权限包括：读(r)、写(w)和执行(x)。对于任一文件/目录，以9个二进制位来表示该三种用户等级的权限。例如，文件A的“111101100”的权限(以“rwxr-xr--”字符表达)，表示文件所有者(前三位，“111”)对该文件有可读、可写、可执行的权限，同组用户(中间三位，“101”)对该文件有可读、不可写，可执行的权限，而其他用户(后三位，“100”)对该文件有可读、不可写、不可执行的权限。

由于root(根)用户的权限最高(也被称为超级用户)，普通用户无法执行的操作，root用户都有权限完成。系统中的每个文件、目录和进程都归属于某一个用户。没有该用户的许可，其它普通用户无法对所述每个文件、目录或进程进行操作，但是root用户除外。root用户的这种超级权限在某种程度上破坏了权限管理的一致性。

常规软件创建或保存的目录及文件一般具有默认的权限，这种权限对Linux/Unix系统的硬盘数据的保护不利，硬盘上的机密数据容易被他人非法访问。因此，在Linux/Unix操作系统中，当在软件中对相互关联的目录和文件进行操作时，有必要进行统一的权限设置和管理。

发明内容

本发明的目的在于提供一种基于Unix/Linux操作系统的用户群组的权限设置方法和权限控制方法，所述方法在软件平台中对项目进行授权设置，并且根据设置的授权群组对项目的访问进行相应的控制，以防止未授权的用户(包括root用户)访问项目并对项目相关的文件进行操作。

本发明的另一目的在于提供一种基于Unix/Linux操作系统的文件权限的权限设置方法和权限控制方法，所述方法在软件平台中对项目进行文件权限设置，并且根据设置的文件权限对与项目相关的目录和文件的权限进行一致性的设置，防止未授权的用户在操作系统中对相关目录和文件进行不当操作。

为了实现上述目的，提供一种在Linux或Unix操作系统的软件平台中设置项目的操作权限的方法，所述方法包括：接收创建项目的命令、项目名称以及基于操作系统文件权限的文件权限，所述项目用于管理相互关联的数据、目录和文件；提取当前用户在操作系统中的用户标识、包括一个或多个其所属群组的群组名称列表以及相应的群组标识列表，所述群组名称列表中的群组名称与所述群组标识列表中的群组标识逐个对应；生成用于唯一地标识项目的项目标识符；和在项目数据库中创建包括项目名称、项目标识符、创建用户标识、授权群组名称列表、授权群组标识列表和项目文件权限的项目记录，所述项目名称是接收的项目名称，所述项目标识符是生成的项目标识符，所述创建用户标识是提取的用户标识，所述授权群组名称列表是提取的群组名称列表，所述授权群组标识是提取的群组标识列表，并且所述项目文件权限是接收的文件权限。

所述方法可以还包括：提供提取的群组名称列表供用户选择；接收用户选择的一个或多个群组名称；并且使用用户选择的群组名称以及提取的群组名称列表和群组标识列表构建所述授权群组名称列表和相应的授权群组标识列表。

所述方法可以还包括：为创建的项目创建相应的文件和/或目录，并且使用所述项目文件权限对创建的文件和/或目录进行权限设置。

可以调用包含操作系统命令的程序语言内建函数提取所述用户标识、群组名称列表以及群组标识列表，并且调用包含另一操作系统命令的程序语言内建函数来对创建的文件和/或目录进行权限设置。

可以以系统内存、配置文件或数据库方式存储所述项目数据库。

为了实现本发明的目的，一种在Linux或Unix操作系统的软件平台中控制项目的操作权限的方法，所述方法包括：提取当前用户的操作系统用户标识以及包括至少一个其所属群组的群组标识的群组标识列表；从存储有多个用于管理相互关联的文件和/或目录的项目记录的项目数据库提取项目记录列表，所述项目记录包括项目名称、项目标识符、创建用户的用户标识、授权群组名称列表、授权群组标识列表以及基于操作系统文件权限的项目文件权限；将所述项目记录列表当中，满足以下条件的项目记录插入授权项目记录列表中：所述项目记录中的用户标识与当前用户的用户标识相同，或者当前用户的群组标识列表与项目记录中的群组标识列表至少存在一个相同的群组标识；以及显示授权项目记录列表中全部项目记录的项目名称。其中，当为任一项目记录指示的项目进行目录或文件操作时，使用所述项目记录中的项目文件权限对被操作的文件和/或目录进行权限设置。

可以调用包含操作系统命令的程序语言内建函数提取所述当前用户的用户标识、所述群组标识列表，并且可以调用包含另一操作系统命令的程序语言内建函数对所述目录或文件进行权限设置。

所述项目数据库可以以系统内存、配置文件或数据库方式被存储。

所述软件平台可以是运行通过应用程序接口接入的插件的插件平台。

附图说明

通过下面结合附图进行的描述，本发明的上述和其他目的和特点将会变得更加清楚，其中：

图1是示出根据本发明的示例性实施例的权限设置方法的处理的流程图；和

图2是示出根据本发明的示例性实施例的权限控制方法的处理的流程图。

具体实施方式

以下，参照附图来详细说明本发明的实施例。

一般的管理软件管理多个逻辑对象，在本发明中将这些逻辑对象称为“项目”，每个项目管理用于实现预定功能的相互关联的数据、文件、目录等。例如，用于管理涉及地震资料处理、地震资料解释等的地震工程项目就可以是一种本发明所述的项目。对于每个具体的项目，仅为预定级别的用户授予预定级别的权限。本发明在软件平台中为创建的项目设置基于Unix/Linux操作系统的群组的授权群组以及与项目相关的文件和目录的文件操作权限，阻止未经授权的用户访问所述项目，并且根据设置的文件权限对与项目相关的文件和目录进行权限设置。

因此，为了实现本发明的权限设置方法和权限控制方法，需要考虑各项目的授权群组在Unix/Linux操作系统中创建和设置用户群组，或者说，本发明的权限设置方法和权限控制方法基于操作系统的用户群组对项目进行权限管理。也就是说，如果意图仅给予用户A、B和C操作项目1的权限，则在操作系统中需要将用户A、B和C划分到一个用户群组。然后，根据本发明的权限设置方法和权限控制方法，当用户A、B或C在软件平台中创建项目1时，统一地为该项目设置操作权限。自此，用户A、B和C能够在软件平台中根据设置的操作权限对与项目相关的文件、目录等进行操作。由于在Unix/Linux系统中，用户和群组之间是多对多的关系，所以可以为一个项目授权多个群组的用户，而从属于多个群组的特定用户也可以被授权对多个项目进行操作。

根据本发明的示例性实施例，由于主要依据操作系统的用户群组设置来设置和管理项目的操作权限，从而只有创建用户授权的同组用户才能对项目进行操作，所以为了保持项目的操作权限和在软件平台中为所述项目创建的文件和目录的权限一致，设置的项目的操作权限中同组用户的权限不应为0(不可读、不可写且不可执行)。如果设为0，则可假设创建用户以外的用户都不可访问该项目。当然，本发明不限于在此描述的实施方式，也可以为同组用户以外的其他用户设置项目的操作权限，从而所述其他用户也能够对项目进行规定的操作，这时设置的项目的操作权限中其他用户的权限也不应为0。

当从属于项目的授权群组的用户在软件平台中对与该项目相关的文件和目录进行操作时，可以将已设置的文件权限作为操作系统命令(如chmod命令)的参数，调用以该操作系统命令为参数的程序语言内建函数对所述文件和目录进行权限设置。例如，使用C++语言编写的程序可调用以包括完整的chmod命令的字符串为参数的system函数；在java程序中，调用Runtime.getRuntime().exec(“chmod rwxrwx---file1.doc”)来进行权限设置。

在运行的软件平台中，以一个或多个软件模块或软件模块与硬件模块的结合实现根据本发明的权限设置方法和权限控制方法。

图1是示出根据本发明的示例性实施例的权限设置方法的处理的流程图。通过如图1所示的处理，在Unix/Linux操作系统上运行的软件平台中根据用户创建项目的命令，在项目数据库中创建用于管理所述项目的操作权限的项目记录，所述操作权限包括授权群组和文件权限。可以以系统内存、配置文件或数据库方式存储本发明中的项目数据库。

参照图1，在步骤S110，软件平台接收来自用户的创建项目的命令、项目名称以及要设置的项目的文件权限。这里所说的文件权限基于Unix/Linux操作系统的文件权限，也就是分别为文件所有者、同组用户以及其他用户定义的读、写或执行的权限。

在步骤S120，软件平台通过调用包含操作系统命令(如id命令)的程序语言内建函数(如C++语言中的system函数和Java中的Runtime.getRuntime().exec()方法)提取当前用户的用户标识(UID)、包括一个或多个群组标识(GID)的GID列表以及相应的群组名称列表。

根据本发明的示例性实施例，在步骤S130，软件平台将在步骤S120提取的群组名称列表通过用户界面提供给用户，以便用户选择授权群组。在步骤S140，接收用户选择的一个或多个群组的名称，并且使用所述选择的群组名称和在步骤S120提取的群组名称列表和GID列表构建授权群组名称列表和相应的授权GID列表。

然后，在步骤S150，软件平台生成用于唯一地标识项目的项目标识符。

在步骤S160，软件平台使用在步骤S110、S120、S140和S150中取得的数据，在项目数据库中创建包括项目名称、项目标识符、创建用户标识、授权群组名称列表、授权群组标识列表和项目文件权限的项目记录所述项目名称是接收的项目名称，所述项目标识符是生成的项目标识符，所述创建用户标识是提取的用户标识，所述授权群组名称列表是提取的群组名称列表，所述授权群组标识是提取的群组标识列表，并且所述项目文件权限是接收的文件权限。

根据本发明的另一示例性实施例，软件平台不执行步骤S130和S140，并且在步骤S160，软件平台创建项目记录时，以步骤S120提取的群组名称列表和GID列表分别作为项目记录中的授权群组名称列表和授权GID列表。在这种情况下，软件平台授权当前用户所属的全部群组的用户成员对创建的项目进行操作的权限。

在执行步骤S160后，软件平台还可以为创建的项目创建相应的文件和/或目录，并且使用设置的文件权限对创建的文件和/或目录进行权限设置。具体地讲，软件平台调用包含例如chmod命令作为参数的程序语言内建函数((如C++语言中的system函数和Java中的Runtime.getRuntime().exec()方法))，所述chmod命令的权限参数是在步骤S160设置的文件权限。

由此可见，根据本发明的示例性实施例的权限设置方法，可以在软件平台中选择性地设置对项目进行操作的用户群组，并且规定与所述项目相关的文件和目录的权限。这样，root用户并不理所应当地被授予对项目的操作权限。

图2是示出根据本发明的示例性实施例的权限控制方法的处理的流程图。通过如图2所示的处理，在Unix/Linux操作系统上运行的软件平台中根据预先存储在项目数据库中的多个项目的项目记录，仅允许授权的用户访问所述项目并对与项目相关的数据、文件、目录等进行操作，并且为所述文件及目录设置预定的文件权限。

参照图2，在步骤S210，软件平台启动，在启动过程中，进行初始化处理。

在步骤S220，软件平台通过调用包含操作系统命令(如id命令)的程序语言内建函数(如C++语言中的system函数和Java中的Runtime.getRuntime().exec()方法)提取当前用户的UID、包括一个或多个群组GID的GID列表以及相应的群组名称列表。

在步骤S230，软件平台从项目数据库提取包括全部项目记录的项目记录列表。

在步骤S240，软件平台将项目记录列表的首个项目记录作为当前项目记录进行处理。

在步骤S250，软件平台确定项目记录中的UID与当前用户的UID是否相同，也就是说，当前用户是不是项目的创建用户。如果当前项目记录中的UID与当前用户的UID不同，则在步骤S260，进一步确定在步骤S220提取的GID列表与当前项目记录中的GID列表是否有至少一个相同的GID。

如果步骤S250，确定项目记录中的UID与当前用户的UID相同或者在步骤S260确定提取的GID列表与当前项目记录中的GID列表有至少一个相同的GID，则在步骤S270，软件平台将当前项目记录插入到授权项目记录列表。

另一方面，如果在步骤S250，确定项目记录中的UID与当前用户的UID不同，并且在步骤S260确定在步骤S220提取的GID列表与当前项目记录中的GID列表没有相同的GID，则在步骤S280，确定当前项目记录是不是项目记录列表中的最后一个项目记录。如果确定当前项目记录不是项目记录列表中的最后一个项目记录，则在步骤S285，软件平台将项目记录列表的下一个项目记录作为当前项目记录，然后返回到步骤S250继续进行处理。

如果在步骤S280，确定当前项目记录是项目记录列表中的最后一个项目记录，则在步骤S290，软件平台显示授权项目记录列表中的全部项目名称。

此后，当按照用户的命令对选择的任意项目进行文件和目录操作时(未显示)，例如创建文件和目录时，软件平台提取所述项目的项目记录中的文件权限，并且调用包含例如chmod命令作为参数的程序语言内建函数(如C++语言中的system函数和Java中的Runtime.getRuntime().exec()方法)，所述chmod命令的权限参数是项目记录中的文件权限。

本发明所述的软件平台可以是配有插件的插件平台。在程序的链接过程中通过预先定义的应用程序接口(API)将实现特定功能的插件代码链接到插件平台中，其后在插件平台的运行中所述插件被调用。由于插件和作为其运行平台的插件平台在同一个程序空间中被运行，其所有权同属一个运行的用户，所以本发明的权限设置方法和权限控制方法也适用于插件平台。

根据如图2所示的权限控制方法的处理，软件平台通过检查当前用户是否属于项目的授权群组，可以允许具有项目操作权限的用户访问软件平台中的项目，并且在对与项目相关的文件和目录进行操作时，可以统一地设置相关文件和目录的权限。由于在本发明的权限控制方法中，将root用户与普通用户做相同的处理，所以在软件平台中root用户不能够超越一般的用户权限对所有项目以及相关的文件和目录进行操作。

本发明不限于上述实施例，在不脱离本发明范围的情况下，可以进行各种变形和修改。

Claims (9)

1.一种在Linux或Unix操作系统的软件平台中设置项目的操作权限的方法，所述方法包括：

接收创建项目的命令、项目名称以及文件权限，所述项目用于管理相互关联的数据、目录和文件，所述文件权限是基于操作系统的文件操作权限；

通过调用包含操作系统命令的程序语言内建函数提取当前用户在操作系统中的用户标识、包括一个或多个其所属群组的群组名称列表以及相应的群组标识列表，所述群组名称列表中的群组名称与所述群组标识列表中的群组标识逐个对应；

生成用于唯一地标识项目的项目标识符；和

在项目数据库中创建包括项目名称、项目标识符、创建用户标识、授权群组名称列表、授权群组标识列表和项目文件权限的项目记录，所述项目名称是接收的项目名称，所述项目标识符是生成的项目标识符，所述创建用户标识是提取的用户标识，所述授权群组名称列表是提取的群组名称列表，所述授权群组标识是提取的群组标识列表，并且所述项目文件权限是接收的文件权限，

其中，当为创建的项目创建文件和/或目录时，根据所述项目文件权限设置创建的文件和/或目录的文件权限。

2.如权利要求1所述的方法，还包括：

提供在所述提取步骤提取的群组名称列表供用户选择；

接收用户选择的一个或多个群组名称；并且

使用用户选择的群组名称以及提取的群组名称列表和群组标识列表构建所述授权群组名称列表和相应的授权群组标识列表。

3.如权利要求1或2所述的方法，还包括：在创建所述项目记录后，为创建的项目创建相应的文件和/或目录，并且使用所述项目文件权限对创建的文件和/或目录进行权限设置。

4.如权利要求3所述的方法，其中，调用包含操作系统命令的程序语言内建函数提取所述用户标识、群组名称列表以及群组标识列表，并且调用包含另一操作系统命令的程序语言内建函数来对创建的文件和/或目录进行权限设置。

5.如权利要求4所述的方法，其中，以系统内存、配置文件或数据库方式存储所述项目数据库。

6.一种在Linux或Unix操作系统的软件平台中控制项目的操作权限的方法，所述方法包括：

提取当前用户的操作系统用户标识以及包括至少一个其所属群组的群组标识的群组标识列表；

从存储有多个用于管理相互关联的文件和/或目录的项目记录的项目数据库提取项目记录列表，所述项目记录包括项目名称、项目标识符、创建用户的用户标识、授权群组名称列表、授权群组标识列表以及基于操作系统文件权限的项目文件权限；

将所述项目记录列表当中，满足以下条件的项目记录插入授权项目记录列表中：所述项目记录中的用户标识与当前用户的用户标识相同，或者当前用户的群组标识列表与项目记录中的群组标识列表至少存在一个相同的群组标识；以及

显示授权项目记录列表中全部项目记录的项目名称，

其中，当为任一项目记录指示的项目进行目录或文件操作时，使用所述项目记录中的项目文件权限对被操作的文件和/或目录进行权限设置。

7.如权利要求6所述的方法，其中，调用包含操作系统命令的程序语言内建函数提取所述当前用户的用户标识、所述群组标识列表，并且调用包含另一操作系统命令的程序语言内建函数对所述目录或文件进行权限设置。

8.如权利要求6所述的方法，其中，所述项目数据库以系统内存、配置文件或数据库方式被存储。

9.如权利要求6所述的方法，其中，所述软件平台是运行通过应用程序接口接入的插件的插件平台。

Images