CN102843366B - 一种网络资源访问权限控制方法及装置 - Google Patents

Abstract

本发明公开了一种网络资源访问权限控制方法及装置。一种网络资源访问权限控制方法包括：接收对目标资源的访问请求，所述访问请求中包括目标资源的用户访问地址；从所述用户访问地址中解析出该目标资源的原始地址信息和访问权限信息；获取当前访问者的用户标识，根据解析得到的访问权限信息，判断当前访问者是否具备对所述目标资源的访问权限；根据判断结果，确定是否利用所述原始地址信息向当前访问者提供所述目标资源。与现有技术相比，本发明技术方案并不将访问权限信息写入资源数据库中，从而节约了存储成本，并且有效地降低了应用模块与资源存储系统之间的耦合度。

Description

一种网络资源访问权限控制方法及装置

技术领域

本发明涉及互联网应用技术领域，特别是涉及一种网络资源访问权限控制方法及装置。

背景技术

随着互联网的迅速发展，网络上的资源类型和数量也不断丰富。尽管资源共享是互联网的一个重要特征，但是从网站的角度而言，出于对服务器访问压力、系统安全、甚至用户隐私等多方面因素考虑，未必希望自己的资源被毫无限制地共享、传播，因此需要采用一定的策略对自身资源的使用权限进行控制。

以私有图片的访问权限控制为例进行说明，对于拥有图片资源的网站而言，为了保证用户的隐私，对图片的访问权限的控制非常重要。目前最常用的方案之一是从应用的层面进行控制，例如，对于“相册”应用，如果用户没有访问该应用的权限，自然也无法看到相册中的图片，但是这种方案存在的缺陷是：从应用的层面进行权限控制，本质上并不能对图片自身的访问权限进行限制。例如，用户A允许其好友用户B访问自己的相册，后来由于某种原因，用户A将用户B从好友列表中删除，这时用户B应该无法访问用户A的相册了，但事实上如果用户B曾经记录了相册中照片的URL，那么即使没有访问用户A相册的权限，用户B也可以直接通过URL看到用户A相册中的照片。

为解决上述问题，现有技术所采用的另一种方案是，在资源存储系统中，将每份资源的访问权限控制信息分别写入数据库中，从而在根本上对资源的访问权限进行控制。然而这种方案的缺陷在于：增加了存储和维护成本，并且扩展性较差。例如对于拥有海量图片的系统，为每张图片添加访问权限控制信息需要占用大量的存储资源。而且资源存储系统和应用模块之间的耦合性很强，例如应用模块的一条私有规则是“允许好友访问”，则需要将图片拥有者的好友信息也一并存储到数据库，如果应用模块中的好友关系发生变化，则需要对图片系统的数据库进行更新；如果要在应用模块中增加资源访问的私有规则，例如“允许关注者访问”，那么甚至可能需要重新构建图片系统数据库中的数据结构。

发明内容

为解决上述技术问题，本发明实施例提供一种网络资源访问权限控制方法及装置，技术方案如下：

本发明实施例提供一种网络资源访问权限控制方法，该方法包括：

接收对目标资源的访问请求，所述访问请求中包括目标资源的用户访问地址；

从所述用户访问地址中解析出该目标资源的原始地址信息和访问权限信息；

获取当前访问者的用户标识，根据解析得到的访问权限信息，判断当前访问者是否具备对所述目标资源的访问权限；

根据判断结果，确定是否利用所述原始地址信息向当前访问者提供所述目标资源。

根据本发明的一种具体实施方式，该方法还包括：

预先生成目标资源的用户访问地址，所述用户访问地址用于公开发布；所述用户访问地址中，至少携带有所述目标资源的原始地址信息和访问权限信息。

根据本发明的一种具体实施方式，所述生成目标资源的用户访问地址，包括：

对目标资源的访问权限信息进行加密，将加密后的访问权限信息携带于所述用户访问地址中。

根据本发明的一种具体实施方式，

所述用户访问地址中，还携带有所述目标资源的标识信息。

根据本发明的一种具体实施方式，所述生成目标资源的用户访问地址，还包括：

对目标资源的标识信息进行加密，将加密后的标识信息携带于所述用户访问地址中。

根据本发明的一种具体实施方式，在确定是否向当前访问者提供目标资源之前，还包括：

从所述用户访问地址中解析出该目标资源的标识信息；

判断解析得到的标识信息是否与所述目标资源的真实标识信息一致。

根据本发明的一种具体实施方式，所述根据判断结果，确定是否利用所述原始地址信息向当前访问者提供所述目标资源，具体为：

如果判断结果为：

当前访问者具备对所述目标资源的访问权限，并且解析得到的标识信息与所述目标资源的真实标识信息一致，则

利用所述原始地址信息向当前访问者提供所述目标资源。

根据本发明的一种具体实施方式，

所述用户访问地址中，还携带有所述用户访问地址的有效时间信息。

根据本发明的一种具体实施方式，所述生成目标资源的用户访问地址，还包括：

对用户访问地址的有效时间信息进行加密，将加密后的有效时间信息携带于所述用户访问地址中。

根据本发明的一种具体实施方式，在确定是否向当前访问者提供目标资源之前，还包括：

从所述用户访问地址中解析出该用户访问地址的有效时间信息，判断所述用户访问地址是否超时。

根据本发明的一种具体实施方式，所述根据判断结果，确定是否利用所述原始地址信息向当前访问者提供所述目标资源，具体为：

如果判断结果为：

当前访问者具备对所述目标资源的访问权限，并且判断所述用户访问地址未超时，则

利用所述原始地址信息向当前访问者提供所述目标资源。

本发明实施例还提供一种网络资源访问权限控制装置，该装置包括：

访问请求接收单元，用于接收对目标资源的访问请求，所述访问请求中包括目标资源的用户访问地址；

信息解析单元，用于从所述用户访问地址中解析出该目标资源的原始地址信息和访问权限信息；

判断单元，用于获取当前访问者的用户标识，根据解析得到的访问权限信息，判断当前访问者是否具备对所述目标资源的访问权限；

访问请求响应单元，用于根据所述判断单元判断结果，确定是否利用所述原始地址信息向当前访问者提供所述目标资源。

根据本发明的一种具体实施方式，该装置还包括：

用户访问地址生成单元，用于预先生成目标资源的用户访问地址，所述用户访问地址用于公开发布；所述用户访问地址中，至少携带有所述目标资源的原始地址信息和访问权限信息。

根据本发明的一种具体实施方式，所述用户访问地址生成单元，具体用于：

对目标资源的访问权限信息进行加密，将加密后的访问权限信息携带于所述用户访问地址中。

根据本发明的一种具体实施方式，

所述用户访问地址中，还携带有所述目标资源的标识信息。

根据本发明的一种具体实施方式，所述用户访问地址生成单元，还用于：

对目标资源的标识信息进行加密，将加密后的标识信息携带于所述用户访问地址中。

根据本发明的一种具体实施方式，

所述信息解析单元，还用于从所述用户访问地址中解析出该目标资源的标识信息；

所述判断单元，还用于判断解析得到的标识信息是否与所述目标资源的真实标识信息一致。

根据本发明的一种具体实施方式，所述访问请求响应单元，具体用于：

如果所述判断单元的判断结果为：

当前访问者具备对所述目标资源的访问权限，并且解析得到的标识信息与所述目标资源的真实标识信息一致，则

利用所述原始地址信息向当前访问者提供所述目标资源。

根据本发明的一种具体实施方式，

所述用户访问地址中，还携带有所述用户访问地址的有效时间信息。

根据本发明的一种具体实施方式，所述用户访问地址生成单元，还用于：

对用户访问地址的有效时间信息进行加密，将加密后的有效时间信息携带于所述用户访问地址中。

根据本发明的一种具体实施方式，

所述信息解析单元，还用于从所述用户访问地址中解析出该用户访问地址的有效时间信息；

所述判断单元，还用于判断所述用户访问地址是否超时。

根据本发明的一种具体实施方式，所述访问请求响应单元，具体用于：

如果所述判断单元的判断结果为：

当前访问者具备对所述目标资源的访问权限，并且判断所述用户访问地址未超时，则

利用所述原始地址信息向当前访问者提供所述目标资源。

与现有技术相比，本发明并不将访问权限信息写入资源数据库中，从而节约了存储成本。此外，用户访问地址可以由应用模块根据实际功能需求生成，一旦应用功能需求发生变化，应用模块可以自行重新生成用户访问地址，而不需要通知资源存储系统，有效地降低了应用模块与资源存储系统之间的耦合度，即便对于存在多个应用模块、多种权限控制需求的应用场景，也不需要对资源存储系统进行大幅度改动。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1为本发明实施例的网站应用架构示意图；

图2为本发明实施例网络资源访问权限控制方法的第一种流程图；

图3为本发明实施例网络资源访问权限控制方法的第二种流程图；

图4为本发明实施例网络资源访问权限控制方法的第三种流程图；

图5为本发明实施例网络资源访问权限控制方法的第四种流程图；

图6为本发明实施例网络资源访问权限控制装置的第一种结构示意图；

图7为本发明实施例网络资源访问权限控制装置的第二种结构示意图。

具体实施方式

首先对本发明实施例所提供的一种网络资源访问权限控制方法进行说明，该方法可以包括以下步骤：

接收对目标资源的访问请求，所述访问请求中包括目标资源的用户访问地址；

从所述用户访问地址中解析出该目标资源的原始地址信息和访问权限信息；

获取当前访问者的用户标识，根据解析得到的访问权限信息，判断当前访问者是否具备对所述目标资源的访问权限；

根据判断结果，确定是否利用所述原始地址信息向当前访问者提供所述目标资源。

本发明所提供的技术方案，可以适用于多种类型网络资源的访问权限控制，例如图片、视频、音频、文档等等。如图1所示，在典型的网站应用架构中，网站的资源统一存储于存储系统中，这些资源可以供一个或多个具体的应用模块调用。例如在百度网站中，大量的图片数据统一存储与图片数据库中，这些图片可以供百度相册、百度文库、百度贴吧等多个模块调用。

从网站本身来看，一般要对自己资源的访问权限进行限制，但是具体到某些应用模块，又可能有选择性开放访问权限的需求，例如，在社交网络中，允许具有好友关系的用户相互浏览对方的相册，这就要求“百度相册”应用模块能够根据用户好友关系开放访问权限，以保证好友之间可以互相浏览相册。

针对上述需求，本发明实施例所提供的技术方案，利用访问权限信息，能够实现对网络资源访问权限的灵活控制。上述方案中，首先利用资源在数据库中的原始地址信息和访问权限信息生成资源的用户访问地址，然后仅将资源的用户访问地址公开。当其他用户利用用户访问地址请求访问资源时，首先从用户访问地址中解析出访问权限信息，然后根据解析出的访问权限信息，判断是否允许当前的访问者对资源进行访问。

与现有技术相比，本发明所提供的方案并不将访问权限信息写入资源数据库中，从而节约了存储成本。此外，用户访问地址可以由应用模块根据实际功能需求生成，一旦应用功能需求发生变化，应用模块可以自行重新生成用户访问地址，而不需要通知资源存储系统，有效地降低了应用模块与资源存储系统之间的耦合度，即便对于存在多个应用模块、多种权限控制需求的应用场景，也不需要对资源存储系统进行大幅度改动。

本发明实施所提供的网络资源访问权限控制方法，其执行主体可以是一个网络资源访问权限控制装置，一般而言，该装置可以位于应用模块中，例如位于各种应用服务器中，当然该装置或者该装置的部分功能单元可以与应用模块相对独立，甚至可以位于资源存储系统中，但并不会在资源数据库中写入访问权限控制信息。

为了使本领域技术人员更好地理解本发明中的技术方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行详细地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员所获得的所有其他实施例，都应当属于本发明保护的范围。

对于网络上的资源存储系统，其中的每个资源单位（例如一张图片、一段音频等等）具有一个原始地址，该原始地址对应于资源在网络中的位置，对于互联网而言，资源地址通常表现为URL（Universal Resource Locator，统一资源定位符）的形式。网络中的任何用户都可以通过URL直接定位到相应的资源，当然，定位资源并不意味着对该资源有进一步使用权限。例如，目前大部分网站都是禁止匿名用户任意访问自身资源的，而这个权限一般由资源存储系统统一控制。

根据本发明实施例所提供的技术方案，如果网站的应用模块需要对某些用户开放一部分自身资源的访问权限，则需要预先生成这部分目标资源的用户访问地址，对于互联网而言，用户访问地址通常也表现为URL形式。这个用户访问地址是从原始地址变化而来，与原始地址的主要区别在于：在用户访问地址中，除了包含原始地址的内容之外，还增加了访问权限信息的内容。相应地，应用模块在对外发布资源时，并不发布资源的原始地址，而是将用户访问地址对外发布。也就是说，用户只能通过用户访问地址进行访问请求，这样，当接收到对用户对目标资源的访问请求时，就可以根据用户访问地址中的访问权限信息，判断是否允许该用户对资源进行访问。

其中，携带于用户访问地址中的访问权限信息，可以是直接信息的形式，例如用户黑名单、用户白名单、或者以上二者的结合，通过读取直接形式的访问权限信息，可以直接获知允许/不允许哪些用户对资源进行访问。例如，对于用户A的私有资源，可以将用户A的好友列表作为访问权限信息携带于用户访问地址中。

在本发明的另一种实施方式中，访问权限信息也可以是间接信息的形式，与直接信息相比，在间接信息中并不记录具体的黑/白名单内容，而是记录黑/白名单的存储位置。因此，通过读取间接形式的访问权限信息，需要进一步定位到实际的黑/白名单，然后进一步获知允许/不允许哪些用户访问资源。与直接形式的访问权限信息相比，间接形式的访问权限信息更便于维护，一旦功能模块开放的整体访问权限发生变化，可以统一进行修改，而不需要逐一重新生成新的用户访问地址。

根据以上实施例提供的方案，无论是直接形式的访问权限信息，还是间接形式的访问权限信息，如果仅是以明文的形式附加在原始地址信息之上，可能会存在被伪造的风险，例如，拥有相关经验的用户在了解用户访问地址的构成原理之后，可能会对访问权限信息进行修改，伪造出新的用户访问地址，从而实现对目标资源的非法访问。为了避免这种情况出现，在本发明的一种实施方式中，可以首先对访问权限信息部分进行加密，将密文部分附加在原始地址信息之上，这样，在不知道加密算法的情况下，就无法伪造出合法的用户访问地址。

除了对访问权限信息进行修改之外，如果将已知的资源a的访问权限信息附加在资源b的原始地址上，也可能伪造出合法形式的用户访问地址，实现对资源b的非法访问，为了避免这种情况出现，在本发明的一种实施方式中，可以对“原始地址信息”和“访问权限信息”两部分内容进行联合加密，得到全密文形式的用户访问地址。

全密文形式用户访问地址尽管安全性较好，但是存在无法在用户访问地址中体现出原始地址的问题。在某些特定应用环境中，如果希望在用户访问地址中体现出原始地址，则可以进一步将目标资源的标识信息（例如图片ID、视频ID、文件名等等）加入到用户访问地址中，由于用户并不清楚资源对应的内部标识信息，因此无法对这部分进行伪造。应用模块在接收到资源访问请求后，通过判断用户访问地址中的标识信息和资源的实际标识信息一致，就可以判断出该用户访问地址是否伪造，从而避免对资源的非法访问。

可以理解的是，与访问权限信息部分类似，标识信息部分既可以以明文的形式附加在原始地址信息之上，也可以以密文的形式附加在原始地址信息之上。当然，也可以对访问权限信息和标识信息进行联合加密后，附加在原始地址信息之上，生成用户访问地址。

对于用户私有资源而言，在某些应用需求中，可能希望所生成的用户访问地址是临时性的，例如用户A想给用户B看自己的照片，但是并不希望用户B能够永远看到自己的照片，为了满足这种需求，可以在生成的用户访问地址中，加入用于表示该地址有效时间的信息，有效时间信息的具体形式可以是绝对有效时间，例如某年某月某日，也可以是相对的有效时间，例如1小时、1天等等。当然在实际应用时，有效时间信息也可以允许设置为例如“永远有效”等形式。

应用模块在接收到资源访问请求后，根据用户访问地址中的有效时间信息，就可以判断该临时性的用户访问地址当前是否已经超时，进而决定是否允许当前用户访问相应的资源。

可以理解的是，与其他部分的信息类似，有效时间信息部分既可以以明文的形式附加在原始地址信息之上，也可以以密文的形式附加在原始地址信息之上。在加密的情况下，也可以与其他信息进行联合加密。

另外需要说明的是，对于以上所涉及的任何加密操作，以及后续涉及的解密操作，本发明对于具体的加密/解密算法均不需要进行限制。

以上提供了预先生成用户访问地址的方法，针对需要开放的访问权限，分别生成用户访问地址并且将用户访问地址公开，后续其就可以根据访问请求中的用户访问地址，对访问者的访问权限进行判断。

图1所示，为本发明实施例所提供的网络资源访问权限控制方法的一种流程图，该方法可以包括以下步骤：

S101，接收对目标资源的访问请求，所述访问请求中包括目标资源的用户访问地址；

假设用户B要访问用户A的资源a，那么用户B可以通过直接输入或者点击链接等方式，向网站服务器发送访问请求。

S102，从所述用户访问地址中解析出该目标资源的原始地址信息和访问权限信息；

根据本发明实施例所提供的方案，在用户访问地址中，至少携带有以下两部分内容：

1）目标资源的原始地址信息

2）目标资源的访问权限信息

根据生成用户访问地址时所用的算法/规则，相应可以从用户访问地址中解析出以上两部分内容。如果在生成用户访问地址的过程中进行了加密处理，则在解析过程中也需要相应的解密处理。在本实施例中，对于具体的解析过程不再进行详细说明。

S103，获取当前访问者的用户标识，根据解析得到的访问权限信息，判断当前访问者是否具备对所述目标资源的访问权限；

根据前面实施例的说明，利用解析得到的访问权限信息，可以直接或间接获知允许/不允许哪些用户对用户A的资源a进行访问。

另一方面，根据S101中的访问请求，能够得知当前提交访问请求的用户身份，例如通过cookie等方式，得到用户B的用户标识。

根据解析得到的资源a的访问权限信息，就可以判断出是否允许用户B访问资源a。一般而言，数据库的资源在默认情况下是禁止任意访问的，因此访问权限信息可以以白名单的形式提供，例如好友列表。在本实施例中，如果发现用户B在用户A的好友列表中，则说明用户B具有对资源a的访问权限，否则判断用户B不具有对资源a的访问权限。

本领域技术人员可以理解的是，在有些情况下，用户A的私有资源也可能是在默认情况下是允许任意用户访问的，但是不允许个别人（例如拉入黑名单的好友）访问，那么也可以通过访问权限黑名单的方式，对特定的访问者限定访问权限。此外，利用通配符，还可以采用黑名单与白名单结合的方式实现更为灵活的访问权限规则，本发明实施例不再详细进行说明。

S104，根据判断结果，确定是否利用所述原始地址信息向当前访问者提供所述目标资源。

通过S103，如果判断当前访问者具备对目标资源的访问权限，则根据原始地址信息定位到相应资源，返回至当前访问者。否则，可以向当前访问者返回错误信息。

图2所示，为本发明实施例所提供的网络资源访问权限控制方法的另一种流程图，与上一实施例相比，在该实施例中进一步利用资源标识判断用户访问地址是否伪造，从而增加安全性。

S201，接收对目标资源的访问请求，所述访问请求中包括目标资源的用户访问地址；

本步骤与S101相同，这里不再重复说明。

S202，从所述用户访问地址中解析出该目标资源的原始地址信息、访问权限信息以及资源标识信息；

根据本发明的一种实施方式，在用户访问地址中，可以携带有以下三部分内容：

1）目标资源的原始地址信息

2）目标资源的访问权限信息

3）目标资源的标识信息

根据生成用户访问地址时所用的算法/规则，相应可以从用户访问地址中解析出以上三部分内容。如果在生成用户访问地址的过程中进行了加密处理，则在解析过程中也需要相应的解密处理。在本实施例中，对于具体的解析过程不再进行详细说明。

S203a，获取当前访问者的用户标识，根据解析得到的访问权限信息，判断当前访问者是否具备对所述目标资源的访问权限；

本步骤与S103相同，这里不再重复说明。

S203b，判断解析得到的标识信息是否与所述目标资源的真实标识信息一致；

对于任意目标资源，在数据库应该具有某种标识，例如图片ID、视频ID，当然在某些情况下，资源的文件名称本身也可以成为标识。如果在生成用户访问地址的过程中，采用了将资源标识也携带于用户访问地址的方式，那么在本步骤中，通过对比解析到的标识信息与目标资源的真实标识信息是否一致，就可以判断出当前访问请求中的用户访问地址是否存在伪造的情况。

S204，根据判断结果，确定是否利用所述原始地址信息向当前访问者提供所述目标资源。

在本实施例中，如果S203a和S203b都满足判断条件，则根据原始地址信息定位到相应资源，将资源返回至当前访问者。如果有任一个条件不满足，则说明当前的访问请求存在问题，可以向当前访问者返回错误信息。

图3所示，为本发明实施例所提供的网络资源访问权限控制方法的另一种流程图，与前面实施例相比，在该实施例中进一步增加了超时判断的步骤，以判断临时的用户访问地址是否有效。

S301，接收对目标资源的访问请求，所述访问请求中包括目标资源的用户访问地址；

本步骤与S101相同，这里不再重复说明。

S302，从所述用户访问地址中解析出该目标资源的原始地址信息、访问权限信息以及资源标识信息；

根据本发明的一种实施方式，在用户访问地址中，可以携带有以下三部分内容：

1）目标资源的原始地址信息

2）目标资源的访问权限信息

4）用户访问地址的有效时间信息

根据生成用户访问地址时所用的算法/规则，相应可以从用户访问地址中解析出以上三部分内容。如果在生成用户访问地址的过程中进行了加密处理，则在解析过程中也需要相应的解密处理。在本实施例中，对于具体的解析过程不再进行详细说明。

S303a，获取当前访问者的用户标识，根据解析得到的访问权限信息，判断当前访问者是否具备对所述目标资源的访问权限；

本步骤与S103相同，这里不再重复说明。

S303b，根据有效时间信息，判断所述用户访问地址是否超时。

对于临时性的用户访问地址，通过对比解析到的有效时间信息与当前时间，就可以判断用户访问地址是否超时，从而确定该用户访问地址是否依然有效。

S304，根据判断结果，确定是否利用所述原始地址信息向当前访问者提供所述目标资源。

在本实施例中，如果S303a和S303b都满足判断条件，则根据原始地址信息定位到相应资源，将资源返回至当前访问者。如果有任一个条件不满足，则说明当前的访问请求存在问题，可以向当前访问者返回错误信息。

可以理解的是，也可以将上面两个实施例结合，即同时利用资源标识判断用户访问地址是否伪造、以及判断用户访问地址是否超时，得到如图4所示述的方法，其中，在S404中，根据三方面的判断结果共同确定是否响应访问请求。其他步骤的具体说明均可参见前面的实施例中的相应步骤，这里不再重复描述。

S401，接收对目标资源的访问请求，所述访问请求中包括目标资源的用户访问地址；

S402，从所述用户访问地址中解析出该目标资源的原始地址信息、访问权限信息以及资源标识信息；

根据生成用户访问地址时所用的算法/规则，相应可以从用户访问地址中解析出以上三部分内容。如果在生成用户访问地址的过程中进行了加密处理，则在解析过程中也需要相应的解密处理。在本实施例中，对于具体的解析过程不再进行详细说明。

S403a，获取当前访问者的用户标识，根据解析得到的访问权限信息，判断当前访问者是否具备对所述目标资源的访问权限；

S403b，判断解析得到的标识信息是否与所述目标资源的真实标识信息一致；

S403c，根据有效时间信息，判断所述用户访问地址是否超时。

S404，根据判断结果，确定是否利用所述原始地址信息向当前访问者提供所述目标资源。

如果S403a、S403b、S403c都满足判断条件，则根据原始地址信息定位到相应资源，将资源返回至当前访问者。如果有任一个条件不满足，则说明当前的访问请求存在问题，可以向当前访问者返回错误信息

下面结合一个具体应用实例，对本发明的方案进行说明：

例如，对于用户A的某图片资源，默认情况是禁止其他用户访问，现在希望开放该图片对用户B的访问权限。

图片的原始URL为：http://priv.hiphotos.baidu.com/product_name/pic/item/b21bb051f8198618c3b7cd384aed2e738ad4e69e.jpg；

图片ID为：2350370293；

允许访问用户（用户B）的UID为：332832348；

超时时间戳：1233233434；

将以上三部分内容加密到原始URL中，得到用户访问地址为：

http://priv.hiphotos.baidu.com/product_name/pic/item/b21bb051f8198618c3b7cd384aed2e738ad4e69e.jpg?psign=74062e57b6fd52668c88df37b1be1662d40735fae4cd1607。

可见，该用户访问地址的前半部分就是原始地址，后半部分的“psign=74062e57b6fd52668c88df37b1be1662d40735fae4cd1607”，则是对图片ID、允许访问的用户、有效时间进行加密后得到的密文。

假设用户B要访问上述图片，通过直接输入或者点击用户访问地址的方式，向应用服务器发送访问请求，应用服务器接收到访问请求后，从用户访问地址的“psign=74062e57b6fd52668c88df37b1be1662d40735fae4cd1607”字段中解析出以下内容：

资源标识：2350370293；

允许访问用户：332832348；

超时时间戳：1233233434；

一方面，根据用户B的访问请求，可以知道用户B的用户名等信息，进一步定位该用户的UID为：332832348，与解析出的白名单内容相符；

另一方面，利用文件名b21bb051f8198618c3b7cd384aed2e738ad4e69e.jpg可以得知图片的原始ID为2350370293，与解析出的资源标识相同。

再一方面，通过超时时间戳，判断该用户引用地址未超时。

由于上述三个条件均满足，因此根据原始地址http://priv.hiphotos.baidu.com/product_name/pic/item/b21bb051f8198618c3b7cd384aed2e738ad4e69e.jpg，将相应的图片资源提供给用户B，从而实现用户B对用户A私有资源的访问。如果任一个条件不满足，则向用户B返回错误信息。

相应于上面的方法实施例，本发明实施例还提供一种网络资源访问权限控制装置，参见图6所示，该装置可以包括：

访问请求接收单元110，用于接收对目标资源的访问请求，所述访问请求中包括目标资源的用户访问地址；

信息解析单元120，用于从所述用户访问地址中解析出该目标资源的原始地址信息和访问权限信息；

判断单元130，用于获取当前访问者的用户标识，根据解析得到的访问权限信息，判断当前访问者是否具备对所述目标资源的访问权限；

访问请求响应单元140，用于根据所述判断单元判断结果，确定是否利用所述原始地址信息向当前访问者提供所述目标资源。

参见图7所示，根据本发明的一种具体实施方式，该装置还可以包括：

用户访问地址生成单元150，用于预先生成目标资源的用户访问地址，所述用户访问地址用于公开发布；所述用户访问地址中，至少携带有所述目标资源的原始地址信息和访问权限信息。

根据本发明的一种具体实施方式，所述用户访问地址生成单元，具体用于：

对目标资源的访问权限信息进行加密，将加密后的访问权限信息携带于所述用户访问地址中。

根据本发明的一种具体实施方式，

所述用户访问地址中，还携带有所述目标资源的标识信息。

根据本发明的一种具体实施方式，所述用户访问地址生成单元，还用于：

对目标资源的标识信息进行加密，将加密后的标识信息携带于所述用户访问地址中。

根据本发明的一种具体实施方式，

所述信息解析单元，还用于从所述用户访问地址中解析出该目标资源的标识信息；

所述判断单元，还用于判断解析得到的标识信息是否与所述目标资源的真实标识信息一致。

根据本发明的一种具体实施方式，所述访问请求响应单元，具体用于：

如果所述判断单元的判断结果为：

当前访问者具备对所述目标资源的访问权限，并且解析得到的标识信息与所述目标资源的真实标识信息一致，则

利用所述原始地址信息向当前访问者提供所述目标资源。

根据本发明的一种具体实施方式，

所述用户访问地址中，还携带有所述用户访问地址的有效时间信息。

根据本发明的一种具体实施方式，所述用户访问地址生成单元，还用于：

对用户访问地址的有效时间信息进行加密，将加密后的有效时间信息携带于所述用户访问地址中。

根据本发明的一种具体实施方式，

所述信息解析单元，还用于从所述用户访问地址中解析出该用户访问地址的有效时间信息；

所述判断单元，还用于判断所述用户访问地址是否超时。

根据本发明的一种具体实施方式，所述访问请求响应单元，具体用于：

如果所述判断单元的判断结果为：

当前访问者具备对所述目标资源的访问权限，并且判断所述用户访问地址未超时，则

利用所述原始地址信息向当前访问者提供所述目标资源。

本发明实施例所提供的访问权限控制装置，利用访问权限信息，能够实现对网络资源访问权限的灵活控制。上述方案中，首先利用资源在数据库中的原始地址信息和访问权限信息生成资源的用户访问地址，然后仅将资源的用户访问地址公开。当其他用户利用用户访问地址请求访问资源时，首先从用户访问地址中解析出访问权限信息，然后根据解析出的访问权限信息，判断是否允许当前的访问者对资源进行访问。

与现有技术相比，本发明所提供的方案并不将访问权限信息写入资源数据库中，从而节约了存储成本。此外，用户访问地址可以由应用模块根据实际功能需求生成，一旦应用功能需求发生变化，应用模块可以自行重新生成用户访问地址，而不需要通知资源存储系统，有效地降低了应用模块与资源存储系统之间的耦合度，即便对于存在多个应用模块、多种权限控制需求的应用场景，也不需要对资源存储系统进行大幅度改动。

本发明实施所提供的网络资源访问权限控制装置，可以位于应用模块中，例如位于各种应用服务器中，当然该装置或者该装置的部分功能单元也可以与应用模块相对独立，甚至可以位于资源存储系统中，但并不会在资源数据库中写入访问权限控制信息。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本发明时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本发明各个实施例或者实施例的某些部分所述的方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅是本发明的具体实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (20)

1.一种网络资源访问权限控制方法，其特征在于，该方法包括：

预先生成目标资源的用户访问地址，所述用户访问地址用于公开发布；所述用户访问地址中，至少携带有所述目标资源的原始地址信息和访问权限信息；

接收对目标资源的访问请求，所述访问请求中包括目标资源的用户访问地址；

从所述用户访问地址中解析出该目标资源的原始地址信息和访问权限信息；

获取当前访问者的用户标识，根据解析得到的访问权限信息以及所述用户标识，判断当前访问者是否具备对所述目标资源的访问权限；

根据判断结果，确定是否利用所述原始地址信息向当前访问者提供所述目标资源。

2.根据权利要求1所述的方法，其特征在于，所述生成目标资源的用户访问地址，包括：

对目标资源的访问权限信息进行加密，将加密后的访问权限信息携带于所述用户访问地址中。

3.根据权利要求1所述的方法，其特征在于，

所述用户访问地址中，还携带有所述目标资源的标识信息。

4.根据权利要求3所述的方法，其特征在于，所述生成目标资源的用户访问地址，还包括：

对目标资源的标识信息进行加密，将加密后的标识信息携带于所述用户访问地址中。

5.根据权利要求3或4所述的方法，其特征在于，在确定是否向当前访问者提供目标资源之前，还包括：

从所述用户访问地址中解析出该目标资源的标识信息；

判断解析得到的标识信息是否与所述目标资源的真实标识信息一致。

6.根据权利要求5所述的方法，其特征在于，所述根据判断结果，确定是否利用所述原始地址信息向当前访问者提供所述目标资源，具体为：

如果判断结果为：

当前访问者具备对所述目标资源的访问权限，并且解析得到的标识信息与所述目标资源的真实标识信息一致，则

利用所述原始地址信息向当前访问者提供所述目标资源。

7.根据权利要求1所述的方法，其特征在于，

所述用户访问地址中，还携带有所述用户访问地址的有效时间信息。

8.根据权利要求7所述的方法，其特征在于，所述生成目标资源的用户访问地址，还包括：

对用户访问地址的有效时间信息进行加密，将加密后的有效时间信息携带于所述用户访问地址中。

9.根据权利要求7或8所述的方法，其特征在于，在确定是否向当前访问者提供目标资源之前，还包括：

从所述用户访问地址中解析出该用户访问地址的有效时间信息，判断所述用户访问地址是否超时。

10.根据权利要求9所述的方法，其特征在于，所述根据判断结果，确定是否利用所述原始地址信息向当前访问者提供所述目标资源，具体为：

如果判断结果为：

当前访问者具备对所述目标资源的访问权限，并且判断所述用户访问地址未超时，则

利用所述原始地址信息向当前访问者提供所述目标资源。

11.一种网络资源访问权限控制装置，其特征在于，该装置包括：

访问请求接收单元，用于接收对目标资源的访问请求，所述访问请求中包括目标资源的用户访问地址；

信息解析单元，用于从所述用户访问地址中解析出该目标资源的原始地址信息和访问权限信息；

判断单元，用于获取当前访问者的用户标识，根据解析得到的访问权限信息以及所述用户标识，判断当前访问者是否具备对所述目标资源的访问权限；

访问请求响应单元，用于根据所述判断单元判断结果，确定是否利用所述原始地址信息向当前访问者提供所述目标资源；

该装置还包括：

用户访问地址生成单元，用于预先生成目标资源的用户访问地址，所述用户访问地址用于公开发布；所述用户访问地址中，至少携带有所述目标资源的原始地址信息和访问权限信息。

12.根据权利要求11所述的装置，其特征在于，所述用户访问地址生成单元，具体用于：

对目标资源的访问权限信息进行加密，将加密后的访问权限信息携带于所述用户访问地址中。

13.根据权利要求11所述的装置，其特征在于，

所述用户访问地址中，还携带有所述目标资源的标识信息。

14.根据权利要求13所述的装置，其特征在于，所述用户访问地址生成单元，还用于：

对目标资源的标识信息进行加密，将加密后的标识信息携带于所述用户访问地址中。

15.根据权利要求13或14所述的装置，其特征在于，

所述信息解析单元，还用于从所述用户访问地址中解析出该目标资源的标识信息；

所述判断单元，还用于判断解析得到的标识信息是否与所述目标资源的真实标识信息一致。

16.根据权利要求15所述的装置，其特征在于，所述访问请求响应单元，具体用于：

如果所述判断单元的判断结果为：

当前访问者具备对所述目标资源的访问权限，并且解析得到的标识信息与所述目标资源的真实标识信息一致，则

利用所述原始地址信息向当前访问者提供所述目标资源。

17.根据权利要求11所述的装置，其特征在于，

所述用户访问地址中，还携带有所述用户访问地址的有效时间信息。

18.根据权利要求17所述的装置，其特征在于，所述用户访问地址生成单元，还用于：

对用户访问地址的有效时间信息进行加密，将加密后的有效时间信息携带于所述用户访问地址中。

19.根据权利要求17或18所述的装置，其特征在于，

所述信息解析单元，还用于从所述用户访问地址中解析出该用户访问地址的有效时间信息；

所述判断单元，还用于判断所述用户访问地址是否超时。

20.根据权利要求19所述的装置，其特征在于，所述访问请求响应单元，具体用于：

如果所述判断单元的判断结果为：

当前访问者具备对所述目标资源的访问权限，并且判断所述用户访问地址未超时，则

利用所述原始地址信息向当前访问者提供所述目标资源。