CN103020497A - 基于rbac模型的临时授权系统 - Google Patents

Abstract

本发明涉及临时授权系统，尤其是基于RBAC模型的临时授权系统。本发明属于网络通信领域。本发明的特征在于有控制用户增、删、改的用户管理模块，控制角色增、删、改、查的角色管理模块，控制权限列表的权限管理模块，完成临时授权与当前权限合并的权限合并模块，完成登录认证与角色读取认证的认证模块，以及用于记录上述信息的数据库。本发明对RBAC的角色匹配计算权限环节进行改进，将临时授权与当前角色权限合并后生成临时角色，将通过认证的用户赋以临时角色的权限来实现临时授权系统。通过本发明实现的临时授权系统可以作为公共程序，对现有的RBAC系统进行临时授权改进而不需要进行重新编码，因此其适用性更高。

Description

基于RBAC模型的临时授权系统

技术领域

本发明涉及临时授权系统，尤其是基于RBAC模型的临时授权系统。本发明属于网络通信领域。

背景技术

目前针对业务系统中权限控制基本都通过RBAC模型来完成，在RBAC中，RBAC的基本思想是：授权给用户的访问权限，通常由用户在一个组织中担当的角色来确定。RBAC中许可被授权给角色，角色被授权给用户，用户不直接与许可关联。RBAC对访问权限的授权由管理员统一管理，RBAC根据用户在组织内所处的角色作出访问授权与控制，授权规定是强加给用户的，用户不能自主地将访问权限传给他人，这是一种非自主型集中式访问控制方式。

目前对于业务系统内实现的权限控制基本基于此模型完成，即通过用户匹配角色，通过角色关联权限。在进行临时授权的过程中，需要重新建立角色或修改角色权限完成。

但上述技术存在以下弊端：一是在临时授权的过程中，如果通过修改角色来完成授权，那拥有此角色的所有用户都会具有相同的权限，而事实上用户可能只需要针对一人进行特殊授权；二是如果通过单独建立角色来完成临时授权则需要讲原有角色的权限进行识别，在现有角色权限基础上进行添加授权，如当前用户具有多重角色则操作更加复杂，增加了系统的复杂度；三是通过新建角色，并重新赋权的操作会使得系统的权限管理变得混乱，使系统的后台管理难度增加；四是无法实现临机授权。

本发明通过基于RBAC的权限控制模型，对RBAC的角色匹配计算权限环节进行改进，实现临时授权系统。通过本发明实现的临时授权系统可以作为公共程序，对现有的RBAC系统进行临时授权改进而不需要进行重新编码，因此其适用性更高。

发明内容

本发明的目的在于：针对现有技术的不足，通过基于RBAC模式的临时授权系统，简化了临时授权的操作复杂难度，同时增加了RBAC模式下权限管理的灵活性。

为实现上述目的，本发明包括如下功能模块：

用户管理：完成系统用户的增加、删除、修改、查询。

--所述用户管理模块主要完成了业务系统用户的增、删、改、查，同时记录所拥有的角色，产生的数据主要记录于数据中的User表中，主要键值为uid(标识用户信息的唯一ID值)、uname(用户名)、upw(用户密码)、rid1(用户所属角色的标识ID)、ridn(用户所属第N个角色的标识ID，N根据业务系统的需要为大于1的自然数集合)、trid(用户拥有的临时角色标识ID)。

角色管理：完成角色的增加、删除、修改、查询。

--所述角色管理模块可以完成角色的增、删、改、查，新增角色时，可以为角色赋予不同的权限，完成角色管理的功能，产生的数据主要记录于Role表中，主要键值为rid(标识角色的唯一ID值)、rname(角色名)、pid1(该角色的第一个操作权限ID值)、pidn(该角色的第N个操作权限的ID值，N根据业务系统的需要为大于1的自然数集合)。

权限管理：完成业务系统的权限提取。

--所述权限管理模块将业务系统的各种操作权限进行提取，形成业务系统权限资源池，其信息主要记录于PowerRight表中，主要键值为pid(标识操作权限的唯一ID值)、pname(权限名称)。

权限合并：完成临时授权的权限合并管理。

--所述权限合并模块为用户建立临时角色，将用户现有角色的权限进行合并，并经临时角色记录到TempRole中，主要键值为trid(标识临时角色的唯一ID值)、pid1(该临时角色的第一个操作权限ID值)、pidn(该临时角色的第N个操作权限的ID值，N根据业务系统的需要为大于1的自然数集合)；

--所属权限合并模块拥有角色解析功能，根据当前用户所拥有的角色，读取角色所拥有的操作权限，并将操作权限的pid写入到TempRole表中。

认证模块：完成用户的权限认证。

--所述认证模块完成用户登录时的相关认证，验证用户是否拥有合法的uname和upw；

--所述认证模块完成用户登录后的角色的优先级判断，确认用户登录后使用的角色。

数据库：记录临时授权系统所需的数据信息。

--所述数据库主要包括User表、Role表、PowerRight表、TempRole表。

用户使用步骤为：

步骤一：通过角色管理新建角色，并为该角色进行授权。

步骤二：将该角色通过用户管理赋予给当前用户。

步骤三：通过权限合并模块将用户原有角色与新分配角色进行权限合并，并为用户建立临时角色。

步骤四：通过认证模块进行用户登录验证后，将临时角色所拥有的权限赋予用户，完成临时授权。

具体实施方式

本发明公布的特征和使用步骤均可被类似的功能进行等效替换，除非特别声明，本具体实施方式中的任意步骤均为一系列等效或类似特征的一个例子。

实施例一

使用Microsoft VisualStudio.Net开发工具开发客户端运行软件，使用市场上专用的数据库管理工具SqlServer2005建立系统所需要的数据库，用户使用步骤为：

步骤一：通过角色管理新建角色，并为该角色进行授权，将角色信息记录到Role表中，为角色创建rid、rname，并将该角色拥有的权限从PowerRight表中读取pid值，写入到Role表的pid中。

步骤二：将该角色通过用户管理赋予给当前用户，将rid值更新至User表的Ridn中。

步骤三：通过权限合并模块将用户原有角色与新分配角色进行权限合并，并为用户建立临时角色，生成trid写入到TempRole表中，将Role表中的rid1所拥有的权限pid1与ridn所拥有的权限pidn进行合并，并将pid1与pidn进行去重后写入到TempRole表的pidn(n为自然数集合)中。

步骤四：通过认证模块进行uname与upw认证，通过登录认证后，从当前用户信息行数据中读取trid，并从TempRole表中读取pidn(n为自然数集合)，将pidn的权限赋予该用户，完成临时授权。

除上述实施例外，本发明还可以有其他实施方式。凡采用等同替换或等效变换形成的技术方案，均落在本发明要求的保护范围。

Claims (2)

1.一种基于OTA技术的移动报表查询系统，其特征在于：完成移动报表查询需要OTA菜单管理模块、OTA解析模块、OTA管理模块、业务查询模块、报表生成模块、业务系统、通讯管理模块：

所述OTA菜单管理模块将业务系统的可查询列表生成OTA菜单，每种查询对应唯一的报文头标识，并将OTA菜单进行JAR格式转换，用于终端手机的OTA移动查询的初始化；

所述OTA解析模块将短信网关接收的OTA信息进行解析，识别出需要进行更新的内容与类别，将识别后的信息发送至OTA管理模块；

所述OTA管理模块根据解析模块解析的短信类型，根据不同的信息的报文头将信息转发至业务查询模块；及从报表生成模块获取该报文头的数据查询结果，然后将所获取的结果通过短信网关发送至发出请求的终端手机；

所述业务查询模块将从OTA管理模块获取报文头信息，根据报文头信息生成相应的查询条件，将查询条件发送至业务系统；

所述报表生成模块将业务系统反馈的查询报表，转换成OTA可识别的文件格式，并将该报表内容发还至OTA管理模块；

所述业务系统将可查询的列表发送至OTA菜单管理模块进行加工生成OTA菜单，将从业务查询模块获取的查询条件完成查询工作，并将查询结果反馈给报表生成模块；

所述通讯管理模块建立基于SMPP协议通讯连接。

2.根据权利要求1所述一种基于XML的数据修改痕迹记录系统，其特征还在于：完成数据修改痕迹记录与显示还需要如下步骤：

步骤一：通过OTA菜单管理模块生成OTA移动报表查询初始菜单；

步骤二：通过终端手机安装JAR格式的OTA菜单；

步骤三：通过OTA菜单选择查询项，并将查询项发送至短信中心；

步骤四：通过OTA解析模块，将解析后的OTA请求信息发送至OTA管理模块；

步骤五：通过OTA管理模块分辨OTA请求类型，进行消息定制查询；

步骤六：通过业务查询模块完成OTA请求的查询条件生成；

步骤七：在业务系统内完成最终的查询工作，并将查询结果发送至报表生成模块；

步骤八：报表生成模块将查询结果转换成OTA可接收的信息模式，将报表内容传递会OTA管理模块；

步骤九：OTA管理模块将查询结果通过短信中心发送至终端手机，完成本次OTA模式下的移动报表查询。