CN102104607A - 访问业务的安全控制方法、装置及系统 - Google Patents

Abstract

本发明公开了一种访问业务的安全控制方法、装置及系统。该方法包括：获取用户发起的业务请求信息中的用户会话标识；根据所述用户会话标识，从缓存容器中读取与所述用户会话标识对应的用户权限信息，所述缓存容器中缓存有用户权限信息；根据所述用户权限信息，对所述用户的业务请求进行授权。本发明技术方案通过缓存技术，可以有效提高用户访问业务的安全性，提高业务访问效率。

Description

访问业务的安全控制方法、装置及系统

技术领域

本发明涉及信息安全技术，尤其涉及一种访问业务的安全控制方法、装置及系统。

背景技术

随着计算机和网络技术的发展，信息化已成为各行业发展的重要方向，例如金融、交通、电力、电信、保险及政务等行业，均已进行了信息化建设。信息化建设为各行业发展带来了便利，提高了行业的管理和工作效率，其中，信息化系统的安全性非常重要，例如在金融、电力、交通等行业，信息化系统的安全性是确保信息化系统应用的关键。

信息化系统是一个复杂的系统，包括多种业务的应用，其中每项业务通常是相对独立设置，且每项业务一般是通过设置相应的业务访问接口，提供给用户，供用户访问。目前，信息化系统一般是通过对用户进行授权的方式，对用户访问业务的权限进行控制，以提高系统的安全性，其中，系统一般是将用户访问系统的权限信息、访问各种业务的权限信息存储在系统数据库中，这样，用户登录系统，或者访问业务时，就会通过读取系统数据库内存储的用户的权限信息，确认用户是否有相应的权限，以实现对用户的授权。现有技术中对用户的授权方式一般是通过以下方式进行，当用户登录系统后，会通过调取系统数据库中的权限信息，对用户的登录权限进行验证；用户登录系统后，访问业务时，业务模块接收到用户的访问请求后，会访问系统数据库的权限信息，以对用户的访问业务的权限进行验证，当用户满足要求后，才可实现对用户访问业务的授权，用户即可访问业务，实现对业务的处理。但是，现有用户访问业务的控制方式中，用户每次访问业务，均需要对系统数据库进行访问，而这些数据库通常是存储于特定的存储设备上，使得访问系统数据库耗费时间较长，影响用户访问业务效率；而且，由于系统数据库中存储的用户的权限信息一般是固定的，使得系统无法动态改变用户授权，或者动态改变用户授权非常困难，这也影响着访问业务的安全性，例如，对于一些正在使用系统的可疑用户，系统需要限制其业务的访问权限时，必须修改系统数据库中的数据；此外，现有信息化系统一般根据用户的权限，控制用户界面(User Interface，UI)操作按钮、表格、内容等展现，缺少对系统中业务权限的精细化控制，无法精细控制用户权限。例如，Java EE应用服务器应用平台是一种重要的开发工具，Java EE中间件已广泛应用于信息化系统建设中，而Java EE应用服务器中标准的EJB 3.0安全模型设计是给予元数据和可扩展标记语言(Extensible Markup Language，XML)配置文件方式，而系统实际运行过程中其安全控制是会发生变化的，而采用元数据和XML数据就缺乏灵活性，在系统运行过程中无法动态改变对用户的授权。

综上，现有信息化系统的用户访问业务的权限控制时，需要频繁的访问系统数据库以对用户进行授权，导致用户访问业务的效率较低，资源消耗较多；而且，由于系统数据库信息一般固定，系统运行中无法对用户的授权进行动态改变，导致系统运行存在安全隐患。

发明内容

本发明提供一种访问业务的安全控制方法、装置及系统，可有效实现对用户访问业务的安全控制，提高用户访问业务的效率。

本发明提供一种访问业务的安全控制方法，包括：

获取用户发起的业务请求信息中的用户会话标识；

根据所述用户会话标识，从缓存容器中读取与所述用户会话标识对应的用户权限信息，所述缓存容器中缓存有用户权限信息；

根据所述用户权限信息，对所述用户的业务请求进行授权。

上述的访问业务的安全控制方法中，所述用户权限信息包括用户调用业务功能权限信息，以及用户使用数据权限信息；

所述根据所述用户权限信息，对所述用户的业务请求进行授权包括：

根据所述用户调用业务功能权限信息和用户使用数据权限信息，确定所述用户有权调用请求的业务，以及有权使用数据时，授权所述用户使用请求的业务。

上述的访问业务的安全控制方法中，所述获取用户发起的业务请求信息中的用户会话标识之前还包括：

为用户创建会话标识，并生成用户会话信息，将所述用户会话信息及用户权限信息加载到所述缓存容器中。

上述的访问业务的安全控制方法中，所述缓存容器内还缓存有用户会话信息；

所述访问业务的安全控制方法还包括：

根据所述用户会话标识，从所述缓存容器中读取与所述用户会话标识对应的用户会话信息；

所述根据所述用户权限信息，对所述用户的业务请求进行授权之前还包括：

根据所述用户会话信息，判断所述用户的会话是否有效，是则根据所述用户权限信息，对所述用户的业务请求进行授权。

上述的访问业务的安全控制方法中，所述缓存容器位于缓存服务器或者本地内存中。且所述用户权限信息以对象的方式缓存于所述缓存容器中。

本发明提供一种访问业务的安全控制装置，包括：

会话标识获取模块，用于获取用户发起的业务请求信息中的用户会话标识；

权限信息获取模块，用于根据所述用户会话标识，从缓存容器中读取与所述用户会话标识对应的用户权限信息，所述缓存容器中缓存有用户权限信息；

业务授权模块，用于根据所述用户权限信息，对所述用户的业务请求进行授权。

上述的访问业务的安全控制装置中，所述用户权限信息包括用户调用业务功能权限信息，以及用户使用数据权限信息；

所述业务授权模块包括：

第一判断单元，用于根据所述用户调用业务功能权限信息，判断所述用户是否有权限调用请求的业务；

第二判断单元，用于根据所述用户使用数据权限信息，判断所述用户是否有权限使用数据；

业务授权单元，用于确定所述用户有权调用请求的业务，以及有权使用数据时，授权所述用户使用请求的业务。

上述的访问业务的安全控制装置，还可包括：

会话信息获取模块，用于根据所述用户会话标识，从缓存容器中读取与所述用户会话标识对应的用户会话信息，所述缓存容器中存储有用户会话信息；

会话有效判断模块，用于根据所述用户会话信息，判断所述用户的会话是否有效；

所述业务授权模块，具体用于所述用户的会话有效时，根据所述用户权限信息，对所述用户的业务请求进行授权。

上述的访问业务的安全控制装置还可包括：

会话标识创建模块，用于为用户创建会话标识，并生成用户会话信息，将所述用户会话信息及用户权限信息加载到所述缓存容器中。

上述的访问业务的安全控制装置中，所述缓存容器位于缓存服务器或者本体内存中。

本发明提供一种访问业务的安全控制系统，包括：

客户端，用于用户发起业务请求；

安全控制装置，用于获取用户发起的业务请求信息中的用户会话标识，并根据所述用户会话标识，从缓存容器中读取与所述用户会话标识对应的用户权限信息，对所述用户的业务请求进行授权；

业务提供模块，用于在用户的业务请求被授权后，为所述用户提供业务

本发明提供的访问业务的安全控制方法、装置及系统，通过直接从缓存在缓存容器中获取用户的用户权限信息对用户进行授权，可有效提高用户授权的效率，提高用户访问业务的效率；同时，通过采用缓存用户权限信息的方式，可便于对用户权限信息进行动态修改，可进一步地提高访问业务控制的安全性和可靠性。

附图说明

图1为本发明访问业务的安全控制方法实施例一的流程示意图；

图2为本发明访问业务的安全控制方法实施例二的流程示意图；

图3为本发明访问业务的安全控制方法实施例三的流程示意图；

图4为本发明访问业务的安全控制装置实施例一的结构示意图；

图5为本发明访问业务的安全控制装置实施例二的结构示意图；

图6为本发明实施例中业务授权模块的结构示意图；

图7为本发明访问业务的安全控制系统实施例的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明访问业务的安全控制方法实施例一的流程示意图。如图1所示，本实施例安全控制方法包括：

步骤101、获取用户发起的业务请求信息中的用户会话标识；

步骤102、根据用户会话标识，从缓存容器中读取与用户会话标识对应的用户权限信息，其中，缓存容器中缓存有用户权限信息；

步骤103、根据用户权限信息，对用户的业务请求进行授权。

本实施例可应用于信息化系统中用户访问业务的安全控制中，实现对业务访问的安全控制，提高信息化系统的安全性。具体地，用户登录系统后，会将用户的用户权限信息缓存在缓存容器中，且每一个用户的用户权限信息是与用户的会话标识相对应的，当用户在访问某一业务时，可直接从缓存在缓存容器中读取用户权限信息，对用户访问业务的权限进行验证，以实现对用户的业务请求进行授权。

本实施例中，当用户访问业务对用户进行授权时，避免了现有技术中需要从系统数据库中读取用户权限信息而产生的效率低下问题；同时，由于采用缓存容器对用户权限信息进行缓存，当系统需要临时调整当前使用系统的用户的权限时，可直接更换缓存容器中的用户权限信息即可，便于对用户的授权的动态实时调整，提高系统的安全性和可靠性。

综上，本发明实施例访问业务的安全控制方法，通过直接从缓存在缓存容器中获取用户的用户权限信息对用户进行授权，可有效提高用户授权的效率，提高用户访问业务的效率；同时，通过采用缓存用户权限信息的方式，可便于对用户权限信息进行动态修改，可进一步地提高访问业务控制的安全性和可靠性。

图2为本发明访问业务的安全控制方法实施例二的流程示意图。如图2所示，本实施例访问业务的安全控制方法包括以下步骤：

步骤201、接收用户的发起的业务请求；

步骤202、从用户发起的业务请求信息中，获取用户会话标识；

步骤203、根据用户会话标识，从缓存容器中读取与用户会话标识对应的用户权限信息和用户会话信息；

步骤204、根据用户会话信息，判断用户的会话是否有效，是则执行步骤205，否则，结束业务请求；

步骤205、根据用户权限信息，判断用户是否有权限调用所请求的业务，是则执行步骤206，否则，结束业务请求，通知用户无权限调用请求的业务；

步骤206、将业务提供给用户使用。

本实施例中，缓存容器中缓存有与用户标识对应的用户权限信息，以及用户会话信息，这样，在用户请求业务时，即可根据该缓存的用户权限信息及用户会话信息，对用户是否有权限访问业务进行控制。其中，用户会话标识可以是用户登录系统时，系统为用户创建的标识，且在为用户创建用户会话标识时，可生成用户会话信息，并将用户会话信息与用户权限信息一起载入缓存容器中进行缓存。

本领域技术人员可以理解的是，上述的用户会话信息具体可包括用户的登录时间、最后操作时间以及身份信息等，这样，在用户请求业务时，可根据该会话信息确定用户的会话是否有效，例如，若用户登录后，长时间无任何操作，则默认用户已经退出系统，用户的会话无效，以防止用户忘记关闭登录而导致其它非法用户盗用系统。

可以看出，在上述本发明方法实施例一技术方案的基础上，本实施例通过获取用户会话信息，在对用户进行业务授权前，首先根据用户会话信息判断用户的会话是否有效，进一步地提高了业务控制的安全性。

图3为本发明访问业务的安全控制方法实施例三的流程示意图。如图3所示，本实施例安全控制方法包括以下步骤：

步骤301、用户调用业务，发起业务调用请求；

步骤302、判断业务请求信息中是否有用户会话标识，是则执行步骤305，否则执行步骤303；

步骤303、提示用户需要登录系统，并在用户登录系统时，创建用户会话标识，并生成用户会话信息；

步骤304、将用户会话信息，以及用户权限信息加载到缓存容器中；

步骤305、根据用户会话标识，从缓存容器中获取用户会话信息及用户权限信息；

步骤306、根据用户会话信息中用户最后一次操作时间是否超过预设时间范围，是则说明用户的会话无效，调用业务请求失败，结束，否则，说明用户的会话有效，执行步骤307；

步骤307、根据用户会话信息中用户的身份信息，判断用户是否被禁用，是则说明用户不合法或无效，调用业务请求失败，结束，否则，说明用户为合法用户，执行步骤308；

步骤308、根据用户权限信息中用户调用业务功能权限信息，判定用户是否有权限调用请求的业务，是则，执行步骤309，否则，调用业务请求失败，结束；

步骤309、根据用户权限信息中用户使用数据权限信息，判定用户是否有权限使用数据，是则，执行步骤310，否则，调用业务请求失败，结束；

步骤310、授权用户使用请求的业务，允许用户调用业务。

本实施例中，缓存容器中缓存的用户的用户会话信息具体可包括登录时间、最后一次操作时间、身份信息等，以便系统可根据用户会话信息判断用户是否有效。具体地，当用户登录时间过长，且长时间无任何操作时，即可默认用户已经离开系统，此时即可认定用户的会话无效；或者，伪造其它身份登陆的用户，因身份信息不符合也可以认定用户无效。

本实施例中，缓存容器中缓存的用户的用户权限信息具体可包括用户调用业务功能权限信息以及用户使用数据权限信息，根据用户调用业务功能权限信息及用户使用数据权限信息，即可判断用户是否可以有权使用相应的业务，并是否有权使用系统中的数据，以提高控制用户使用业务的安全性。本领域技术人员可以理解的是，用户的权限信息也可以是业务功能定义、用户操作数据范围以及其它权限信息等，根据这些信息可有效判断用户是否可以有权使用业务，并对业务进行处理。

上述本发明方法各实施例中，用于缓存信息的缓存容器可设置与缓存服务器或本地内存中，且用户权限信息以及用户会话信息可以对象的方式缓存于缓存容器中。其中，本实施例缓存架构可采用插件化架构设计方法，支持缓存类型的可插拔，且缓存容器可支持文件、内存等，即可存储于本地内存，也可以存储于某一缓存服务器中。

本领域技术人员可以理解的，本发明通过采用缓存技术来保存用户权限信息以及用户会话信息，可有效提高业务安全控制的便利性，提高业务安全控制的效率。

上述本发明方法各实施例具体可应用于基于Java EE平台实现的信息化系统中，以在用户调用系统中的EJB业务组件对外接口时，对调用业务的安全性进行控制。具体地，本发明可集成在业务层的EJB业务组件中，实现对系统业务层权限的控制。

实际应用中，本发明可通过业务层缓存技术和面向切面编程(Aspect Oriented Programming，AOP)设计模式来实现，可在改善信息化系统运行性能的同时，提高系统的安全性，通过本发明实现的访问业务的安全控制装置可作为拦截器，在不改变现有信息化系统代码的情况下，实现对现有系统代码功能增加，例如安全控制、日志处理、事务处理等；同时，利用本发明实现的拦截器，可以监听程序的一个或所有方法，可对方法调用提供细粒度控制，可在无状态会话组件、有状态会话组件和消息驱动组件使用，且该拦截器可以是同一组件类中的方法或一个外部类；此外，通过本发明实现的该拦截器，对于开发者而言是透明的，开发者在对具体业务模块开发时，可不用考虑该拦截器，可有效提高整个信息化系统开发的有效性，提高信息化系统开发效率。

图4为本发明访问业务的安全控制装置实施例一的结构示意图。如图4所示，本实施例控制装置包括会话标识获取模块1、权限信息获取模块2和业务授权模块3，其中：

会话标识获取模块1，用于获取用户发起的业务请求信息中的用户会话标识；

权限信息获取模块2，用于根据用户会话标识，从缓存容器中读取与用户会话标识对应的用户权限信息，缓存容器中缓存有用户权限信息；

业务授权模块3，用于根据用户权限信息，对用户的业务请求进行授权。

本实施例可应用于信息化系统中用户访问业务的安全控制中，提高信息化系统的安全性，提高业务访问效率，其具体实现过程可参考上述本发明方法实施例的说明，在此不再赘述。

图5为本发明访问业务的安全控制装置实施例二的结构示意图。在上述图4所示实施例技术方案的基础上，如图5所示，本实施例安全控制装置还包括会话信息获取模块4和会话有效判断模块5，其中：

会话信息获取模块4，用于根据用户会话标识，从缓存容器中读取与用户会话标识对应的用户会话信息，缓存容器中存储有用户会话信息；

会话有效判断模块5，用于根据用户会话信息，判断用户的会话是否有效；

业务授权模块3具体可用于在用户的会话有效时，根据用户权限信息，对用户的业务请求进行授权。

本实施例通过设置会话信息获取模块和会话有效判断模块，在对业务进行授权前，可对用户的会话的有效性进行判断，可进一步地提高用户访问业务控制的安全性。

图6为本发明实施例中业务授权模块的结构示意图。本实施例中，用户权限信息具体可包括用户调用业务功能权限信息，以及用户使用数据权限信息，上述的业务授权模块3具体可包括第一判断单元31、第二判断单元32和业务授权单元33，其中：

第一判断单元31，用于根据用户调用业务功能权限信息，判断用户是否有权限调用请求的业务；

第二判断单元32，用于根据用户使用数据权限信息，判断用户是否有权限使用数据；

业务授权单元33，用于确定用户有权调用请求的业务，以及有权使用数据时，授权用户使用请求的业务。

如图5所示，本实施例安全控制装置还可包括：会话标识创建模块6，用于为用户创建会话标识，并生成用户会话信息，将用户会话信息及用户权限信息加载到所述缓存容器中。

本发明访问业务的安全控制装置可通过上述本发明方法实施例所述的步骤实现对用户访问业务的控制，提高系统的安全性，其具体实现过程可参考上述本发明方法实施例的说明，在此不在赘述。

图7为本发明访问业务的安全控制系统实施例的结构示意图。如图7所示，本实施例安全控制系统可包括客户端10、安全控制装置20和业务提供模块30，其中：

客户端10，用于用户发起业务请求；

安全控制装置20，用于获取用户发起的业务请求信息中的用户会话标识，并根据用户会话标识，从缓存容器中读取与用户会话标识对应的用户权限信息，对用户的业务请求进行授权；

业务提供模块30，用于在用户的业务请求被授权后，为用户提供业务。

本实施例系统中，安全控制装置20可以对用户通过客户端10发送的业务请求进行处理，以获取业务请求中的用户会话标识，并根据用户会话标识从缓存在缓存容器中的用户权限信息，以对用户使用请求的业务进行授权，以便业务提供模块30对用户授权后，将业务提供给用户使用。其中，所述的安全控制装置20具体可以为上述本发明访问业务的安全控制装置实施例，具体结构可参见上述本发明实施例的说明，在此不再赘述。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (12)

1.一种访问业务的安全控制方法，其特征在于，包括：

获取用户发起的业务请求信息中的用户会话标识；

根据所述用户会话标识，从缓存容器中读取与所述用户会话标识对应的用户权限信息，所述缓存容器中缓存有用户权限信息；

根据所述用户权限信息，对所述用户的业务请求进行授权。

2.根据权利要求1所述的访问业务的安全控制方法，其特征在于，所述用户权限信息包括用户调用业务功能权限信息，以及用户使用数据权限信息；

所述根据所述用户权限信息，对所述用户的业务请求进行授权包括：

根据所述用户调用业务功能权限信息和用户使用数据权限信息，确定所述用户有权调用请求的业务，以及有权使用数据时，授权所述用户使用请求的业务。

3.根据权利要求1所述的访问业务的安全控制方法，其特征在于，所述获取用户发起的业务请求信息中的用户会话标识之前还包括：

为用户创建会话标识，并生成用户会话信息，将所述用户会话信息及用户权限信息加载到所述缓存容器中。

4.根据权利要求1所述的访问业务的安全控制方法，其特征在于，所述缓存容器内还缓存有用户会话信息；

所述访问业务的安全控制方法还包括：

根据所述用户会话标识，从所述缓存容器中读取与所述用户会话标识对应的用户会话信息；

所述根据所述用户权限信息，对所述用户的业务请求进行授权之前还包括：

根据所述用户会话信息，判断所述用户的会话是否有效，是则根据所述用户权限信息，对所述用户的业务请求进行授权。

5.根据权利要求1所述的访问业务的安全控制方法，其特征在于，所述缓存容器位于缓存服务器或者本地内存中。

6.根据权利要求1所述的访问业务的安全控制方法，其特征在于，所述用户权限信息以对象的方式缓存于所述缓存容器中。

7.一种访问业务的安全控制装置，其特征在于，包括：

会话标识获取模块，用于获取用户发起的业务请求信息中的用户会话标识；

权限信息获取模块，用于根据所述用户会话标识，从缓存容器中读取与所述用户会话标识对应的用户权限信息，所述缓存容器中缓存有用户权限信息；

业务授权模块，用于根据所述用户权限信息，对所述用户的业务请求进行授权。

8.根据权利要求7所述的访问业务的安全控制装置，其特征在于，所述用户权限信息包括用户调用业务功能权限信息，以及用户使用数据权限信息；

所述业务授权模块包括：

第一判断单元，用于根据所述用户调用业务功能权限信息，判断所述用户是否有权限调用请求的业务；

第二判断单元，用于根据所述用户使用数据权限信息，判断所述用户是否有权限使用数据；

业务授权单元，用于确定所述用户有权调用请求的业务，以及有权使用数据时，授权所述用户使用请求的业务。

9.根据权利要求7所述的访问业务的安全控制装置，其特征在于，还包括：

会话信息获取模块，用于根据所述用户会话标识，从缓存容器中读取与所述用户会话标识对应的用户会话信息，所述缓存容器中存储有用户会话信息；

会话有效判断模块，用于根据所述用户会话信息，判断所述用户的会话是否有效；

所述业务授权模块，具体用于所述用户的会话有效时，根据所述用户权限信息，对所述用户的业务请求进行授权。

10.根据权利要求7所述的访问业务的安全控制装置，其特征在于，还包括：

会话标识创建模块，用于为用户创建会话标识，并生成用户会话信息，将所述用户会话信息及用户权限信息加载到所述缓存容器中。

11.根据权利要求7所述的访问业务的安全控制装置，其特征在于，所述缓存容器位于缓存服务器或者本体内存中。

12.一种访问业务的安全控制系统，其特征在于，包括：

客户端，用于用户发起业务请求；

安全控制装置，用于获取用户发起的业务请求信息中的用户会话标识，并根据所述用户会话标识，从缓存容器中读取与所述用户会话标识对应的用户权限信息，对所述用户的业务请求进行授权；

业务提供模块，用于在用户的业务请求被授权后，为所述用户提供业务。

Images