CN102546530A - 一种用户身份及权限验证的方法、装置及erp系统 - Google Patents

Abstract

本发明适用于计算机软件领域，提供了一种用户身份及权限验证的方法、装置及ERP系统，该方法包括下述步骤：接收用户输入的身份验证信息；当所述身份验证信息与预存于用户表中相应的用户信息相匹配时，发放一个声明，所述声明中包括权限验证信息，所述权限验证信息包括用户标识、用户所属角色的一种或多种组合；获取权限验证请求，所述权限验证请求包括权限对象；读取所述权限验证信息，将所述权限验证信息和权限对象共同与相应表中的信息相比较进行权限验证。本发明将角色权限模型引入到声明中，由于声明在ERP系统中传递且随时能获取到，因此ERP中需要相关的角色和权限信息时不再需要另外调用认证的方法，提高了系统的性能和效率。

Description

一种用户身份及权限验证的方法、装置及ERP系统

技术领域

本发明属于计算机软件领域，尤其涉及一种用户身份及权限验证的方法、装置及ERP系统。

背景技术

随着软件WEB化、服务化的趋势进一步明显，软件身份认证与权限管理的安全性、易用性都对目前的身份认证和权限管理提出了更高的要求。如何保证登录用户的机密信息不丢失？如何在不同应用系统间单点登录，并且在一个系统中修改用户信息后即实现全局生效？

针对这一问题，微软等厂商推出了联合认证方案。其中，WIF(Windows身份验证基础框架)能够帮助开发者构建具有声明意识的应用程序，改善开发者生产力，增强应用程序安全性且提供协同合作性。WIF以及基于声明的身份验证模式，可以使得在云端或非云端的ASP.NET与WCF的应用程序实现单点登陆、个性化、联合化、强验证、身份验证委托以及其他验证功能。

但是，WIF中对于角色安全性管理方案比较简化，没有提供一个角色化的实现，只是利用了Windows的内置角色模型并通过配置文件进行角色限制规则的加载来控制权限。

对于一个ERP系统而言，这种权限管理模型显然过分简单且难以实用。对于ERP软件而言，目前普通存在三种权限，即功能权限、字段权限和数据权限。同时，系统中的角色也是动态增加与随机分配的。因此WIF的角色管理模型无法满足ERP系统的需求。

发明内容

本发明实施例的目的在于提供一种用户身份及权限验证的方法、装置及ERP系统，旨在解决WIF没有为ERP系统提供角色化实现且不能实现ERP系统与外部系统互相登录而无法满足ERP软件的应用的问题。

本发明实施例是这样实现的，一种用户身份及权限验证的方法，所述方法包括下述步骤：

接收用户输入的身份验证信息；

当所述身份验证信息与预存于用户表中相应的用户信息相匹配时，发放一个声明，所述声明中包括权限验证信息，所述权限验证信息包括用户标识、用户所属角色的一种或多种组合；

获取权限验证请求，所述权限验证请求包括权限对象；

读取所述权限验证信息，将所述权限验证信息和权限对象共同与相应表中的信息相比较进行权限验证。

本发明实施例的另一目的在于提供一种用户身份及权限验证装置，所述装置包括：

验证信息接收模块，用于接收用户输入的身份验证信息；

声明发放模块，当身份验证信息接收模块接收到的身份验证信息与预存于用户表中相应的用户信息相匹配时，发放一个声明，所述声明中包括权限验证信息，所述权限验证信息包括用户标识、用户所属角色的一种或多种组合；

请求获取模块，获取权限验证请求，所述权限验证请求包括权限对象；

权限验证模块，读取声明发放模块发放的声明中的权限验证信息，将所述权限验证信息和权限对象共同与相应表中的信息相比较进行权限验证。

本发明实施例的另一目的在于提供一种包括所述用户身份及权限验证装置的ERP系统。

在本发明实施例中，将角色权限模型引入到声明中，由于声明是在ERP系统中传递且随时能获取到的，因此ERP中需要相关的角色和权限信息时就不再需要另外调用认证的方法，提高了系统的性能和效率。且将用户标识、角色集等写入声明中，外部系统也可参照使用相关的角色和权限信息，实现了ERP系统与外部系统间的交互验证。

附图说明

图1是本发明第一实施例提供的用户身份及权限验证的方法的流程图；

图2是本发明第一实施例提供的声明格式的示意图；

图3是本发明第二实施例提供的功能权限验证或字段权限验证的方法的流程图；

图4是本发明第二实施例提供的数据权限验证的方法的流程图；

图5是本发明实施例提供的用户身份及权限验证装置的示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

在本发明实施例中，将角色权限模型引入到声明中，由于声明是在ERP系统中传递且随时能获取到的，因此ERP中需要相关的角色和权限信息时就不再需要另外调用认证的方法，仅需通过读取声明中的验证信息来实现各业务系统及ERP系统与外部系统间的交互登录。

本发明提供了一种用户身份及权限验证的方法及装置：

所述方法包括：

接收用户输入的身份验证信息；

当所述身份验证信息与预存于用户表中相应的用户信息相匹配时，发放一个声明，所述声明中包括权限验证信息，所述权限验证信息包括用户标识、用户所属角色的一种或多种组合；

获取权限验证请求，所述权限验证请求包括权限对象；

读取所述权限验证信息，将所述权限验证信息和权限对象共同与相应表中的信息相比较进行权限验证。

所述装置包括：

验证信息接收模块，用于接收用户输入的身份验证信息；

声明发放模块，当身份验证信息接收模块接收到的身份验证信息与预存于用户表中相应的用户信息相匹配时，发放一个声明，所述声明中包括权限验证信息，所述权限验证信息包括用户标识、用户所属角色的一种或多种组合；

请求获取模块，获取权限验证请求，所述权限验证请求包括权限对象；

权限验证模块，读取声明发放模块发放的声明中的权限验证信息，将所述权限验证信息和权限对象共同与相应表中的信息相比较进行权限验证。

为了说明本发明所述的技术方案，下面通过具体实施例来进行说明。

实施例一：

图1示出了本发明实施例提供的用户身份及权限验证的方法的流程，详述如下：

在步骤S101中，接收用户输入的身份验证信息。

在本发明实施例中，首先接收到由用户输入的身份验证信息，所述身份验证信息包括用户标识、用户名、用户密码等，其中用户标识可以为用户ID，但不限于用户ID。

在步骤S102中，当身份验证信息与预存于用户表中相应的用户信息匹配时，发放一个声明，所述声明中包括权限验证信息。

在本发明实施例中，可以采用用户表存储用户信息。其中用户信息包括但不限于用户的用户名、用户标识(此处以用户ID为例)、用户密码等。

在本发明实施例中，验证模块通过将身份验证信息与用户表中存储的用户信息进行比较来进行用户身份验证，当用户表中存在与身份验证信息匹配的用户信息时，该用户身份认证成功，否则该用户身份认证失败。所述验证模块为ERP系统中用于验证用户身份的模块，负责比较用户输入的身份验证信息与用户表中存储的用户信息后，验证用户身份。当用户身份认证成功时，验证模块会发送一个验证成功的信息给相关系统的一个认证机构，通过认证机构发放一个声明。其中认证机构预先存在于ERP系统中，可能为一个或者多个，这些认证机构之间相互独立且相互信任，ERP系统会预先为各个业务系统分别指定一个认证机构，由于这些认证机构之间互相信任，因此由其中一个认证机构发放的声明能为整个ERP系统所共享。除此之外，声明也能在ERP系统与外部系统间共享，所述外部系统为需要和ERP系统交换信息的其它系统，例如办公系统等。所述声明的格式为预先定义的，将ERP软件的标识、ERP系统当前登录的用户标识(此处以用户ID为例)、ERP系统当前登录的用户角色集等记录在其中，如图2所示。

在本发明实施例中，在ERP系统中，由于不同厂商生产的业务系统之间并不能互相登录，因此将已登录的用户的标识、角色集(即所有已登录用户所属角色的集合)等写入声明的权限验证信息中，当不同厂商的业务系统也需要权限验证时，可直接从声明中读取权限验证信息进行验证，实现了不同厂商生产的业务系统间的交互验证。且若用户已经在外部系统中登录过，则读取声明中的权限验证信息后，更新ERP系统内的权限验证信息，使得用户权限验证信息在ERP系统及外部系统保持一致。

在本发明实施例中，将用户标识、角色集等作为权限验证信息实现了权限验证的角色化，且能够在ERP系统中不同厂商生产的业务系统间及ERP系统与外部系统间交互登录。

在步骤S103中，获取权限验证请求，所述权限验证请求包括权限对象；

在本发明实施例中，用户身份验证成功后，执行用户操作前，需先验证用户是否具有此权限，因此，系统会获取到权限验证请求，所述权限验证请求包括权限对象，根据权限验证的不同类型，权限对象有所不同。权限一共分为三种，分别是功能权限、字段权限和数据权限。若是功能权限或字段权限验证，则权限对象为需要验证的功能权限或字段权限的权限对象的标识，若是数据权限，则权限对象为数据对象类型。

在步骤S104中，读取声明中的权限验证信息，将权限验证信息和权限对象共同与相应表中的信息相比较进行权限验证。

在本发明实施例中，相应表包括但不限于角色表、角色授权关系表、数据授权关系表。其中，角色表用于存储各个用户的不同角色信息，各角色信息包括但不限于用户所属角色、角色分类，其中，角色表中的用户对应于用户表中的用户，针对各个不同的用户设置了不同的角色，且不同的角色有不同的权限。根据权限类型的不同，权限验证信息的存放位置就不相同。角色授权关系表保存了对应角色表中的角色而设置的不同权限，其中包括功能权限和字段权限。数据授权关系表保存了对应角色表中的角色而设置的不同数据权限。

在本发明实施例中，对用户进行权限验证时，权限验证模块根据用户的权限验证信息和权限对象查找相应表中的相应信息，找到用户所属的角色及此角色对应的权限信息，并将用户的权限验证信息与权限信息进行比较来验证用户权限，此权限验证模块预先存在于ERP系统中。所述权限验证信息包括用户标识、用户所属角色的一种或多种组合，所述权限对象存在于权限验证请求中。若是字段权限或功能权限验证，则通过查找角色授权关系表中的相信进行验证信息的匹配，若是数据权限验证，则通过查找数据授权关系表中的相信进行验证信息的匹配。其详细描述请见图3和图4，在此就不再赘述了。

在本发明实施例中，将角色权限模型引入到ERP系统的用户身份及权限认证中的方法，对不同的角色设定了不同的权限，为ERP系统提供了角色化的实现。当系统中动态增加或随机分配角色时，也仅需向表中添加相应的记录即可。

在本发明实施例中，将角色权限模型引入到声明中，由于声明是在ERP系统中传递且随时能获取到的，因此ERP中需要相关的角色和权限信息时就不再需要另外调用认证的方法，提高了系统的性能和效率。且将用户标识、角色集等写入声明中，外部系统也可参照使用相关的角色和权限信息，实现了ERP系统与外部系统间的交互验证。。

实施例二：

在本发明实施例中，权限验证一共分为三种，分别是功能权限验证、字段权限验证和数据权限验证。根据不同的权限验证类型。权限验证信息和权限对象就不相同。以下将分别详细描述。

1、功能权限验证和字段权限验证。

在本发明实施例中，功能权限验证和字段权限验证的方法基本是一致的。图3示出了功能权限验证和字段权限验证的详细流程。

在步骤S301中，读取声明中的权限验证信息，所述权限验证信息包括用户标识和用户所属角色。

在本发明实施例中，功能权限验证和字段验证所需的权限验证信息都是用户标识和用户所属角色。

在步骤S302中，将权限验证信息和需要验证的权限对象标识，共同与角色授权关系表中的相应信息进行比较，若相匹配则执行步骤S303，否则执行步骤S304。

在本发明实施例中，将权限验证信息和需要验证的权限对象标识，分别与角色授权关系表中的相应信息进行比较便可知用户是否具有权限。所述角色授权表中的相应信息为角色授权关系表中存储的所有具有权限的用户的权限验证信息和权限对象标识。

在步骤S303中，功能权限验证或字段权限验证成功。

在本发明实施例中，若权限验证信息与需要验证的权限对象标识都与角色授权关系表中的相应信息相匹配，则用户功能权限验证或字段权限验证成功。

在步骤S304中，功能权限验证或字段权限验证失败。

在本发明实施例中，若权限验证信息与需要验证的权限对象标识与角色授权关系表中的相应信息有一项或一项以上不匹配，则用户功能权限验证或字段权限验证失败。

2、数据权限验证。

图4示出了数据权限验证的详细流程。

在步骤S401中，读取声明中的权限验证信息，所述权限验证信息包括用户标识。

在本发明实施例中，数据权限验证所需的权限验证信息是用户标识。

在步骤S402中，将权限验证信息和数据对象类型，分别与数据授权关系表中的相应信息进行比较，若相匹配则执行步骤S403，否则执行步骤S404。

在本发明实施例中，将权限验证信息和数据对象类型，分别与数据授权关系表中的相应信息进行比较便可知用户是否具有权限。所述数据授权关系表中的相应信息包括数据授权关系表中存储的所有具有权限的用户的标识与对应的数据对象类型。

在步骤S403中，数据权限验证成功。

在本发明实施例中，若权限验证信息和数据对象类型，都与数据授权关系表中的相应信息相匹配，则用户数据权限验证成功。

在步骤S404中，数据权限验证失败。

在本发明实施例中，若权限验证信息和数据对象类型，与数据授权关系表中的相应信息有一项或一项以上不匹配，则用户数据权限验证失败。

实施例三：

图5示出了本发明实施例提供的用户身份及权限验证装置的结构，为了便于说明，仅示出了与本发明实施例相关的部份。该装置可以是内置于ERP系统中的软件单元、硬件单元或者软硬件相结合的单元，或者作为独立的挂件集成到ERP系统或ERP系统的应用系统中。其中：

身份验证信息接收模块51，用于接收用户输入的身份验证信息。

在本发明实施例中，所述身份验证信息包括用户标识(此处以用户ID为例，但并不限于用户ID)、用户名、用户密码等。

声明发放模块52，当身份验证信息接收模块接收到的身份验证信息与预存于用户表中相应的用户信息相匹配时，发放一个声明，所述声明中包括权限验证信息。

在本发明实施例中，声明由认证机构发放，所述声明中包括权限验证信息，所述权限验证信息为用户标识、用户所属角色的一种或多种组合。

权限验证请求获取模块53，获取权限验证请求，所述权限验证请求包括权限对象。

权限验证模块54，读取声明发放模块发放的声明中的权限验证信息，将权限验证信息和权限对象共同与相应表中的信息相比较进行权限验证。

在本发明实施例中，权限验证模块分为功能或字段权限验证单元541及数据权限验证542。其中：

功能或字段权限验证单元541，在读取声明中的权限验证信息后，将权限验证信息和需要验证的权限对象标识，共同与角色授权关系表中的相应信息进行比较，若相匹配则验证成功，若有一项或一项以上不匹配则验证失败。所述权限验证信息包括用户标识和用户所属角色。

数据权限验证单元542，读取声明中的权限验证信息后，将权限验证信息和数据对象类型，分别与数据授权关系表中的相应信息进行比较，若相匹配则验证成功，若有一项或一项以上不匹配则验证失败。所述权限验证信息包括用户标识。

在本发明实施例中，将角色权限模型引入到声明中，由于声明是在ERP系统中传递且随时能获取到的，因此ERP中需要相关的角色和权限信息时就不再需要另外调用认证的方法，提高了系统的性能和效率。且将用户标识、角色集等写入声明中，外部系统也可参照使用相关的角色和权限信息，实现了ERP系统与外部系统间的交互验证。。

本领域普通技术人员可以理解，实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以在存储于一计算机可读取存储介质中，所述的存储介质，如ROM/RAM、磁盘、光盘等。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种用户身份及权限验证的方法，其特征在于，所述方法包括下述步骤：

接收用户输入的身份验证信息；

当所述身份验证信息与预存于用户表中相应的用户信息相匹配时，发放一个声明，所述声明中包括权限验证信息，所述权限验证信息包括用户标识、用户所属角色的一种或多种组合；

获取权限验证请求，所述权限验证请求包括权限对象；

读取所述权限验证信息，将所述权限验证信息和权限对象共同与相应表中的信息相比较进行权限验证。

2.如权利要求1所述的方法，其特征在于，所述身份验证信息包括用户标识、用户名、用户密码。

3.如权利要求1所述的方法，其特征在于，所述相应表包括角色表、角色授权关系表、数据授权关系表。

4.如权利要求1所述的方法，其特征在于，所述读取所述权限验证信息，将所述权限验证信息和权限对象共同与相应表中的信息相比较进行权限验证的步骤详细为：

读取声明中的权限验证信息，所述权限验证信息包括用户标识和用户所属角色；

当所述权限验证信息和需要验证的权限对象标识，都与角色授权关系表中的相应信息匹配时，功能权限验证或字段权限验证成功。

5.如权利要求1所述的方法，其特征在于，所述读取所述权限验证信息，将所述权限验证信息和权限对象共同与相应表中的信息相比较进行权限验证的步骤详细为：

读取声明中的权限验证信息，所述权限验证信息包括用户标识。

当所述权限验证信息和数据对象类型，都与数据授权关系表中的相应信息匹配时，数据权限验证成功。

6.一种用户身份及权限验证的装置，其特征在于，所述装置包括：

验证信息接收模块，用于接收用户输入的身份验证信息；

声明发放模块，当身份验证信息接收模块接收到的身份验证信息与预存于用户表中相应的用户信息相匹配时，发放一个声明，所述声明中包括权限验证信息，所述权限验证信息包括用户标识、用户所属角色的一种或多种组合；

请求获取模块，获取权限验证请求，所述权限验证请求包括权限对象；

权限验证模块，读取声明发放模块发放的声明中的权限验证信息，将所述权限验证信息和权限对象共同与相应表中的信息相比较进行权限验证。

7.如权利要求6所述的装置，其特征在于，所述权限验证模块包括：

功能或字段权限验证单元，在读取声明中的权限验证信息后，将权限验证信息和需要验证的权限对象标识，共同与角色授权关系表中的相应信息进行比较，若匹配则验证成功，若有一项或一项以上不匹配则验证失败，所述权限验证信息包括用户标识和用户所属角色；

数据权限验证单元，读取声明中的权限验证信息后，将权限验证信息和数据对象类型，分别与数据授权关系表中的相应信息进行比较，若匹配则验证成功，若有一项或一项以上不匹配则验证失败，所述权限验证信息包括用户标识。

8.一种ERP系统，其特征在于，所述系统包括权利要求6或7所述的用户身份及权限验证装置。

Images