CN103139296A

CN103139296A - 基于xml的安全标记与数据客体的绑定方法

Info

Publication number: CN103139296A
Application number: CN2013100387240A
Authority: CN
Inventors: 陈性元; 杜学绘; 曹利峰; 张红旗; 孙奕; 夏春涛; 王超; 张东巍; 冯瑜
Original assignee: PLA Information Engineering University
Current assignee: PLA Information Engineering University
Priority date: 2013-01-31
Filing date: 2013-01-31
Publication date: 2013-06-05

Abstract

本发明公开了一种基于XML的安全标记与数据客体的绑定方法。本发明的方法利用XML树形层次结构可以表示不同敏感级的信息，实现到元素甚至属性的高级别粒度的保护和访问控制这一特性，首先将数据客体甚至异构数据客体用XML树形结构统一化表示，并在此基础上，根据数据源即数据客体中数据内容的敏感程度的不同，为XML数据文件描述的数据客体添加相应的安全标记，具体通过将XML安全标记关联、绑定至XML数据文档中的元素和属性实现了对XML数据文档描述的数据客体的高级别力度的保护和访问控制，从而本发明解决了现有标记绑定技术存在的保护粒度较粗、不能实现高粒度访问控制的缺点。

Description

基于XML的安全标记与数据客体的绑定方法

技术领域

本发明属于基于安全标记的等级保护领域，尤其涉及一种基于XML（Extensible Markup Language，可扩展标记语言）的安全标记与数据客体的绑定方法。

背景技术

信息等级安全保护制度是一项关乎国民经济建设及信息化发展的重要制度，2003年，我国27号文件将等级保护工作列为我国信息化建设的首要内容。等级保护来源于多级安全，而安全标记是多级安全的技术基础，其为被标记的客体提供密级和范畴知识，且相应的访问控制策略依据安全标记的内容，来决定主体对客体的操作行为，进而实现对客体的机密性、完整性等保护。

目前安全标记通过采用标记绑定技术实现其对客体的安全保护功能。但是现有的标记绑定技术以整个文档或资源为标记和控制对象，对整个文档或资源进行安全标记绑定，并没有将安全标记作为文档或资源中数据的内在属性与数据绑定，从而不能实现对对象中某一元素或字段进行标记绑定，同时也不能实现对对象中某一元素或字段进行高粒度的访问控制，从而现有的标记绑定技术存在保护力度较粗、不能实现高粒度访问控制的缺点。

发明内容

有鉴于此，本发明的目的在于提供一种基于XML的安全标记与数据客体的绑定方法，以解决上述问题，在对数据客体进行XML统一化表示的基础上，通过对XML统一化表示的数据客体中节点信息绑定安全标记，实现到数据客体中元素甚至属性的高级别粒度的保护和访问控制。

为此，本发明采用如下技术方案：

一种基于XML的安全标记与数据客体的绑定方法，包括：

对数据客体进行XML统一化表示，获得XML数据文档；

获取所述XML数据文档中各个节点的节点信息；

依据每个节点信息的敏感程度及所述每个节点信息的作用范围，为所述每个节点信息分配XML安全标记；

将所述XML安全标记关联至对应的各个节点信息，以生成XML安全标记文档。

优选的，所述数据客体具体为文本数据、word数据、excel数据、图像和视频中的任意一种或多种。

优选的，所述对数据客体进行XML统一化表示，获得XML数据文档具体包括：

对数据客体进行分析，获取所述数据客体的逻辑树形结构；

按照所述逻辑树形结构的树节点和XML节点一对一的映射关系，用XML节点描述数据客体，获得XML数据文档。

优选的，所述XML数据文档中节点的节点信息包括XML数据文档中的元素和属性；

所述依据每个节点信息的敏感程度及所述每个节点信息的作用范围，为所述每个节点信息分配XML安全标记包括：

依据每个元素的敏感程度及所述每个元素的作用范围，为所述每个元素分配XML安全标记；

依据每个属性的敏感程度及所述每个属性所作用的范围，为所述每个属性分配XML安全标记。

优选的，所述将所述XML安全标记关联至对应的各个节点信息，以生成XML安全标记文档具体为：将所述XML安全标记按照预设的安全标记约束规则关联至对应的各个节点信息，以生成预设格式的XML安全标记文档，其中，所述预设的安全标记约束规则包括：

XML安全标记文档中，子元素的XML安全标记必须支配父元素的XML安全标记；

XML安全标记文档中，元素对应的属性的XML安全标记必须支配该属性所属元素的XML安全标记；

XML安全标记文档中，元素的XML安全标记符合级联递推关系；

XML安全标记文档中，属性和元素的XML安全标记符合级联递推关系；

XML安全标记文档的根元素的XML安全标记必须被其他元素和属性的XML安全标记所支配。

优选的，所述预设格式具体表示为：

XLabDoc=(r,V_e,V_a,SubElem,Attrs,Name,Lab)，其中：

XLabDoc表示所述XML安全标记文档；

r表示所述XML安全标记文档的根元素，是所述数据客体的标识；

V_e表示所述XML安全标记文档中所有元素的集合；

V_e表示所述XML安全标记文档中所有属性的集合；

SubElem表示所述XML安全标记文档中元素到元素的二元关系，(e₁,e₂)∈SubElem表示e₁是e₂的子元素；

Attrs表示所述XML安全标记文档中属性到元素的二元关系，(a₁,e_a)∈Attrs表示a₁是e_a的属性；

Name表示所述XML安全标记文档中名称到属性或元素的二元关系，(n₁,v₁)∈Name表示n₁是v₁的名称，其中v₁表示属性或元素；

Lab表示所述XML安全标记文档中XML安全标记到属性或元素的二元关系，(l₁,v₁)∈Lab表示v₁的安全标记为l₁，其中，v₁表示属性或元素。

优选的，所述基于XML的安全标记与数据客体的绑定方法，还包括对所述XML安全标记文档进行访问，所述访问具体包括提取、插入、更新、删除中的至少一种。

一种基于XML的安全标记与数据客体的绑定系统，包括统一化表示模块、获取模块、分配模块和绑定模块，其中：

所述统一化表示模块，用于对数据客体进行XML统一化表示，获得XML数据文档；

所述获取模块，用于获取所述XML数据文档中各个节点的节点信息；

所述分配模块，用于依据每个节点信息的敏感程度及所述每个节点信息的作用范围，为所述每个节点信息分配XML安全标记；

所述绑定模块，用于将所述XML安全标记关联至对应的各个节点，以生成XML安全标记文档。

一种基于XML安全标记的访问控制方法，包括：

在主体请求访问数据客体时，接收主体请求信息及主体信息，依据主体信息对主体进行身份认证；

在所述身份认证成功后，依据所述主体请求信息获取主体请求访问的数据客体的XML安全标记，并依据所述主体信息获取主体的安全标记；

比较所述数据客体的XML安全标记与所述主体的安全标记，对主体请求做出决策处理，并获得决策结果；

依据所述决策结果，对数据客体进行相应访问，生成主体可访问的数据客体视图；

将所述数据客体视图返回至主体。

一种基于XML安全标记的访问控制系统，包括访问服务代理模块、访问控制决策中心模块、主体标记管理模块、XML安全标记管理模块以及客体视图生成模块，其中：

所述访问服务代理模块，用于在主体请求访问数据客体时，接收主体请求信息及主体信息，依据主体信息对主体进行身份认证；

所述访问控制决策中心模块，用于在所述身份认证成功后，依据所述主体请求信息从所述XML安全标记管理模块获取主体请求访问的数据客体的XML安全标记，依据所述主体信息从所述主体标记管理模块获取主体的安全标记，并通过比较所述数据客体的XML安全标记与所述主体的安全标记，对主体请求做出决策处理，并获得决策结果；

所述客体视图生成模块，用于依据所述决策结果，对数据客体进行相应访问，生成主体可访问的数据客体视图，并将所述数据客体视图通过所述访问服务代理模块返回至主体。

优选的，所述XML安全标记管理模块，还用于负责维护XML安全标记文档，对XML安全标记文档实施提取、插入、更新及删除操作。

优选的，所述基于XML安全标记的强制访问控制模型，还包括XML数据文档管理模块，所述XML数据文档管理模块用于存放并管理XML数据文档。

本发明实施例提供的基于XML的安全标记与数据客体的绑定方法，提出了将数据客体甚至异构数据客体用XML树形结构统一化表示，生成XML数据文档，在此基础上，根据数据源即以XML数据文件中节点形式描述的数据客体的敏感程度的不同，为XML数据文件描述的数据客体添加相应的安全标记，生成XML安全标记文档。

具体可通过将XML安全标记关联、绑定至XML数据文档中的节点信息，例如将XML安全标记绑定至节点信息所包括的元素和属性实现对XML数据文档描述的数据客体的高级别力度的保护和访问控制，更具体地，在实施本发明的方法时，可通过将XML安全标记作为XML数据文档中节点和属性所描述的数据的内在属性，实现更好的安全性和可控性，从而本发明解决了现有标记绑定技术存在的保护粒度较粗、不能实现高粒度访问控制的缺点。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例一提供的基于XML的安全标记与数据客体的绑定方法流程图；

图2是本发明实施例一提供的对文本文档数据进行XML统一化表示的流程图；

图3是本发明实施例一提供的文本文档的XML统一化表示的具体实例示意图；

图4是本发明实施例一提供的对具有逻辑树形目录结构的word文档进行XML统一化表示的流程图；

图5是本发明实施例一提供的具有逻辑树形目录结构的word文档的XML统一化表示的具体实例示意图；

图6是本发明实施例一提供的对excel文档数据进行XML统一化表示的流程图；

图7是本发明实施例一提供的Excel的XML统一化表示的具体实例示意图；

图8是本发明实施例一提供的对图像进行XML统一化表示的流程图；

图9是本发明实施例一提供的图像的XML统一化表示的具体实例示意图；

图10是本发明实施例一提供的对视频进行XML统一化表示的流程图；

图11是本发明实施例一提供的视频的XML统一化表示的具体实例示意图；

图12是本发明实施例一提供的实现数据客体与XML安全标记绑定的过程流程图；

图13是本发明实施例二提供的提取操作的过程流程图；

图14a是本发明实施例二提供的unclassify密级的主体对XML安全标记文档进行读请求访问获得的结果视图；

图14b是本发明实施例二提供的classify密级的主体对XML安全标记文档进行读请求访问获得的结果视图；

图14c是本发明实施例二提供的security密级的主体对XML安全标记文档进行读请求访问获得的结果视图；

图14d是本发明实施例二提供的top security密级的主体对XML安全标记文档进行读请求访问获得的结果视图；

图15是本发明实施例二提供的插入操作的过程流程图；

图16是本发明实施例二提供的更新操作的过程流程图；

图17a是本发明实施例二提供的XML安全标记文档删除节点前的树形结构和删除操作后带有visibles属性的树形结构；

图17b是本发明实施例二提供的删除操作后带有visibles属性的树形结构对unclassify密级的主体可见的文档树形视图；

图17c表示删除操作后带有visibles属性的树形结构对classify/security/top security密级的主体可见的文档树形视图；

图18是本发明实施例二提供的删除操作的过程流程图；

图19是本发明实施例三提供的基于XML安全标记的访问控制方法流程图；

图20是本发明实施例三提供的基于XML安全标记的访问控制系统结构示意图；

图21是本发明实施例三提供的基于XML安全标记的强制访问控制模型示意图；

图22是本发明实施例三提供的基于XML安全标记的强制访问控制模型的工作过程流程图。

具体实施方式

为了引用和清楚起见，下文中使用的技术名词、简写或缩写总结解释如下：

数据客体：指携带信息的以电子形式存储的数据信息，是被主体访问的资源。比如结构化数据、文本文档、数据库记录、图像、视频和XML文档中的元素、属性等。

主体：指对某类数据客体发起访问的请求者或者是双方通信的发起者。比如用户、主机、子网、地址范围、用户组、子网组以及地址组等，均可定义为主体。

XML安全标记：是与特定数据客体相关的，包含数据客体的密级、范畴等与访问控制相关的安全属性的标识。XML安全标记面向XML格式的文档，符合XML语法规则。XML安全标记描述的数据客体可以是整个XML文档、文档中的元素和属性，可以嵌入至XML文档中，实现XML安全标记绑定。

XML数据文档：是对异构数据客体进行统一化表示的文件，是将数据客体用XML表示后，生成统一的以XML格式存储的文件，也可以是系统中已有的XML文档。

XML安全标记文档：与XML数据文档一一对应，是在XML数据文档树形层次框架之上，为其元素节点和属性添加XML安全标记后生成的以XML格式存储的文件。

BLP：是安全访问控制的一种模型，是基于自主访问控制和强制访问控制两种方式实现，处理基于此之上的权利继承转让等等关系，为大型系统的访问控制提供一个安全保证。

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

XML是W3C(World Wide Web Consortium，万维网联盟)的一个规范，自提出起，就以其极大的灵活性、平台无关性和结构化特点得到了广泛的应用，XML树形层次结构可以表示不同敏感级的信息，实现到元素甚至属性的高级别粒度的保护和访问控制；同时，W3C和IETF（Internet Engineering TaskForce，互联网工程任务组）等机构相继制定了一系列XML安全标准和规范，其中最主要的有XML加密、XML签名和XML密钥管理规范，为标记绑定提供了安全技术保障。本发明提出了一种基于XML的安全标记与数据客体的绑定方法，以下将通过实施例对该方法进行详细描述。

实施例一

本发明实施例一公开了一种基于XML的安全标记与数据客体的绑定方法，请参见图1，该方法包括如下步骤：

S1：对数据客体进行XML统一化表示，获得XML数据文档。

其中，数据客体具体可为多类型的数据客体，如文本文档数据、word文档数据、excel文档数据、图像和视频等。

S2：获取所述XML数据文档中各个节点的节点信息。

S3：依据每个节点信息的敏感程度及所述每个节点信息的作用范围，为所述每个节点信息分配XML安全标记。

S4：将所述XML安全标记关联至对应的各个节点信息，以生成XML安全标记文档。

步骤S1中，由于XML具有结构化树形结构的特点，在对数据客体进行XML统一化表示时，具体通过分析数据客体的逻辑树形结构，按照数据客体的逻辑树形结构中的树节点到XML树形结构中的节点的一对一的映射关系，实现用XML节点描述数据客体，最终实现对数据客体进行XML统一化表示。以下对XML统一化表示不同类型的数据客体的详细过程进行介绍。

（一）XML表示文本文档数据

文本文档数据按行和段排列，结构性较差，其数据如文字间的分隔符只有段落标志，基于这一特点，用XML表示文本文档数据生成XML数据文档时，将文本文档数据内容以段落标识符为依据，每个段落形成一个新的元素节点，节点标识符为段落所在的段落序号，节点内容为段落所涵盖的文本数据，从而分析出文本文档的逻辑树形结构，进而在分析的文本文档逻辑树形结构的基础上，实现对文本文档数据的XML统一化表示，请参见图2，实现文本文档数据的XML统一化表示，生成XML数据文档的具体步骤为：

S21：打开文本文档，为XML数据文档创建根节点root，并读取文本文档的名称作为根节点root的属性。

S22：在根节点root下添加name元素，元素name的内容为文本数据中的标题。

S23：在根节点root下相应于文本数据中的文本内容添加text元素，继续读取文本数据，并按段落标识符（回车符）将文本数据分割，每读取一段文本数据，即向text下添加一个下级节点paragraph，节点paragraph的内容为该段文本数据，标识属性值为段落序号。

S24：保存XML数据文档。

请参见图3，基于以上介绍的XML表示文本文档数据的过程，图3示出了文本文档的XML统一化表示的具体实例。

（二）XML表示word文档数据

Word是电子办公中最常见的电子文档格式，常见的word文档主要有两种形式：一种是与文本文档类似的形式，其内容未经组织只按段落排列，结构性差；另一种是具有逻辑树形目录结构的word文档形式，即是利用office具有的编辑排版功能，将内容按目录组织成一个逻辑上的树形结构的形式。第一种形式的word的XML表示，可按一般的文本文档到XML表示的方法进行，但需要注意的是，需要将word中的图片和表格等非结构化的数据表示成XML数据文档的根节点下的独立元素，该种形式的word文档的XML统一化过程详见以上对文本文档XML表示的介绍，此处不再详述；第二种形式时，可将word的逻辑树形结构直接用XML的树形层次结构表示出来，形成XML数据文档。

具体地，第二种形式的word文档数据的XML统一化的思想为：word的目录节点对应XML数据文档的元素节点，每个元素节点包含属性、内容及其子元素。其中，属性具体包含word中目录名称、目录编号等；子元素可以是元素节点对应的当前目录节点的下级目录节点，也可以是当前目录节点下所包含的文本数据、图片或表格等。

基于以上介绍，请参见图4，一个具有逻辑树形目录结构的word文档的XML统一化表示生成XML数据文档的具体步骤如下：

S41：打开word文档，为XML数据文档创建根节点root，并读取word文档名称作为根节点root的属性。

S42：开始遍历word文档的目录树。

S43：获取并设置目录树的目录节点为当前目录节点。

S44：在XML数据文档中为当前目录节点生成一个content元素节点。生成的content元素节点要使得目录树某节点的下级节点在XML数据文档中也是其父节点对应的content元素节点的下级content元素节点。

S45：获取当前目录节点的目录名称和目录编号作为该当前目录节点对应的content元素节点的属性。

S46：若当前目录节点下包含文本数据，则依次按段落添加paragraph元素节点作为当前目录节点的content元素节点的子节点，且paragraph元素节点的内容为对应段落的文本数据。

S47：若当前目录节点下包含图片、表格等非结构化数据，则在其对应的content元素节点下添加pic或form子节点。其中，pic节点内容为图片的二进制数据，属性为图片的大小、格式等；form节点下按行添加子节点，每行对应的子节点即行节点下又包括按列添加的子节点，称为列节点，列节点的名称为列名，值为表格内的数据。

S48：判断是否遍历结束，若是，则执行步骤S49，否则，转入执行步骤S43。

S49：保存XML数据文档。

基于以上介绍的XML表示word文档数据的过程，图5示出了具有逻辑树形目录结构的word文档的XML统一化表示的具体实例。

（三）XML表示excel文档数据

Excel用工作簿和列表的形式存储和记录数据，在分析excel文档数据的逻辑树形结构时，可将excel文档抽象成其逻辑树的根节点，每个工作簿为根节点的孩子节点，工作簿列表内的每一行对应的行节点为孙子节点，每行中的每一列为行节点的孩子节点，则最终可将excel文档抽象成逻辑树形结构，并在此基础上，通过excel的逻辑树形结构的树节点到XML树形层次结构的元素节点的一一映射关系实现excel文档数据的XML统一化表示，请参见图6，excel文档数据的XML统一化表示具体包括如下步骤：

S61：打开excel文档，为XML数据文档创建根节点root，并读取excel文档名称作为根节点root的属性。

S62：开始遍历excel文档中的工作簿。

S63：获取excel中的工作簿，并设置其为当前工作簿。

S64：为当前工作簿创建元素节点sheet，并将sheet节点作为根节点root的下级节点，sheet节点的属性包括当前工作簿名称。

S65：开始遍历当前工作簿中的行。

S66：获取当前工作簿中的行，并将该行作为当前行。

S67：为当前行在当前工作簿节点sheet下创建以当前行行名为名称的子元素节点，记为行节点。

S68：读取当前行的每一列，在当前行节点下为每列创建子节点，记为列节点，列节点的名称为对应的列名，内容为对应的数据记录。

S69：判断当前工作簿中的行是否遍历结束，若是，则执行步骤S610，否则，转入执行步骤S66。

S610：判断excel文档中的工作簿是否遍历结束，若是，则执行步骤S611，否则，转入执行步骤S63。

S611：保存XML数据文档。

相应地，图7基于以上描述的XML表示excel文档数据的过程，示出了Excel的XML统一化表示的具体实例。

（四）XML表示图像

与文本数据不同，图像由像素组成，其所提供的信息是基于视觉感观的，因此，对图像的结构化处理必须考虑到图像内容所展示的视觉效果的实际意义。本发明实施例在对图像进行XML统一化表示时以图像内有意义的图像单位和色块为对象，建立元素节点，具体XML统一化表示的思想为；将图像文件内具有完整意义的实体图形及背景为单位进行初次分割，然后再将分割出的实体图形单位及背景片段根据一定的色度阈值进行二次分割，从而构造出图像的逻辑树形结构，其中，每个分割区域对应一个XML节点，且子区域对应的XML节点为父区域对应XML节点的下级节点。基于该思想，如图8所示，图像的XML统一化表示的过程包括如下步骤：

S81：打开图像文件，为XML数据文档创建根节点root，并获取图像文件的名称、大小及类型信息作为根节点root的属性。

S82：获取图像中有完整意义的实体图形，将其作为一个独立部分，并为其在根节点root下创建entity节点，记录该实体图形元素的信息。

S83：将除步骤S82中的实体图形后的图像中的剩余部分作为整体，全部视为图像的背景，并为背景在根节点root下创建background子节点。

S84：将步骤S82中获取的实体图形按一定的色度阈值继续分割，并在节点entity下，为分割的每个实体图形部分创建region子节点，其属性包括所对应的图形部分的标识和描述信息，region节点又可包括position和coverage两个下级节点，分别记录对应图形部分的位置和范围信息。

S85：将步骤S83中获得的背景按一定的色度阈值继续分割，并在节点background下为分割的每一个背景部分创建region节点，其属性包括所对应的背景部分的标识和描述信息，region节点包括position和coverage两个下级节点，分别记录所对应的背景部分的位置和范围信息。

S86：判断分割的每一部分是否都满足相应的色度阈值要求，若判断结果为否，则执行步骤S87，否则，执行步骤S88。

S87：继续对由entity节点和background节点分割获得的region节点按照相应的色度阈值进行分割，直到每一个分割部分都满足所要求的色度阈值为止。

其中，region节点可嵌套包含region节点。

S88：保存XML数据文档。

基于以上介绍的XML表示图像的过程，请参见图9，图9示出了图像的XML统一化表示的具体实例。

（五）XML表示视频

视频是非结构化的流，其由一组连续的帧图像组成。一般来说，一段视频video由一些描述独立故事的场景scenes构成，而一个场景scene由一些语义相关的镜头shots组成，每个镜头shot由一些连续帧frames构成，连续帧frames可由一个或多个关键帧key frame表示。在视频流数据中，最小的物理数据单元是镜头，所以视频分割的目的是将连续图像帧分割成长短不一的视频镜头，而不是将视频流解码成一个个图像帧。

基于以上所述，将视频用XML统一化表示的思想为：将视频抽象为XML数据文档的根节点，构成视频的每个场景表示为根节点的孩子节点，记为场景节点，依次类推，直至关键帧表示为叶子节点。如图12所示，XML表示过程具体包括如下步骤，

S101：读取视频文件，为XML数据文档创建根节点root，并将视频名称作为根节点root的属性。

S102：使用场景边界检测方法将视频分割成场景组，在根节点root下为每个场景创建下级节点scene，其属性值包括对应场景的场景名称及其起始和结束时间。

S103：使用镜头边界检测方法将每个场景划分为镜头组，在场景节点scene下，为每个镜头创建shot节点，其属性包括对应镜头的镜头名称及其起始和结束时间。

S104：在shot节点下为组成镜头的帧组添加frames节点。

S105：利用关键帧提取技术，提取每个镜头内的关键帧，并在对应的frames节点下为每个关键帧创建frame节点，其属性为对应帧的帧名称，内容为关键帧图片的二进制数据。

S106：保存XML数据文档。

基于以上的XML表示视频的过程，图11示出了视频的XML统一化表示的图例。

在步骤S1的对数据客体进行XML统一化表示，生成XML数据文档的基础之上，步骤S2、S3和S4提出了将XML表示的数据客体与XML安全标记进行绑定，并生成XML安全标记文档的过程：在用XML数据文档表示数据客体之后，依据XML数据文档的树形结构，以其节点为对象，根据对象的不同密级和范畴，即节点信息的不同敏感程度和作用范围，为对象绑定相应XML安全标记，从而生成XML安全标记文档。其中，XML数据文档的节点的节点信息包括元素和属性，具体地，依据元素的敏感程度及元素所作用的范围，为元素分配XML安全标记；依据属性的敏感程度及属性所作用的范围，为属性分配XML安全标记。

在实施XML安全标记绑定，生成XML安全标记文档之前，本发明实施例先对XML安全标记、XML安全标记文档的相关语法、规则作出相应定义或规定。

定义1：XML安全标记文档，可以用一个七元组表示XLabDoc=(r,V_e,V_a,SubElem,Attrs,Name,Lab)，其中：

XLabDoc表示XML安全标记文档；

r表示XML安全标记文档的根元素，是数据客体的标识；

V_e表示XML安全标记文档中所有元素的集合；

V_a表示XML安全标记文档中所有属性的集合；

SubElem表示XML安全标记文档中元素到元素的二元关系，(e₁,e₂)∈SubElem表示e₁是e₂的子元素；

Attrs表示XML安全标记文档中属性到元素的二元关系，(a₁,e_a)∈Attrs表示a₁是e_a的属性；

Name表示XML安全标记文档中名称到属性或元素的二元关系，(n₁,v₁)∈Name表示n₁是v₁的名称，其中v₁表示属性或元素；

Lab表示所述XML安全标记文档中XML安全标记到属性或元素的二元关系，(l₁,v₁)∈Lab表示v₁的XML安全标记为l₁，其中，v₁表示属性或元素。

在以上的XML安全标记文档定义的基础上，本实施例给出XML安全标记文档模式的定义，即XLabDoc的XML Schema模式定义，具体如下。

定义2：XLabDoc的XML Schema模式(XML安全标记文档模式)定义如下：

XML安全标记文档模式中，XML安全标记要包括客体密级C（class）和范畴G（category）等属性描述，绑定安全标记到元素、属性须符合以下标记语法：

1）XML安全标记文档的根元素SecLabDoc

SecLabDoc作为XML安全标记文档的树形层次结构的根节点，其下级节点包含一个描述其自身即SecLabDoc的安全标记节点SecLabel及其签名值SecLabelSig，零个或多个属性对象节点AttrObject，以及零个或多个下级元素对象节点ElemObject。

2）安全标记节点SecLabel

SecLabel是描述数据客体（元素或属性）的安全属性的主要元素节点，该节点的属性id为所标记的数据客体的标识符，其下级节点包括安全级别Class和范畴集Categorys节点，范畴集Categorys节点下可有一个或多个范畴Category元素。其中：

安全级别Class，是指所标记内容的敏感级别，即所标记内容的密级，具体可根据应用环境进行合理的定义，例如可为绝密、机密、私密、内文、公开等，也可以为局长、处长、科长、科员等。

范畴Category，用于说明数据客体所作用的范围。

3）属性对象节点AttrObject

AttrObject描述上级元素所包含的属性的标记信息及其签名值SecLabelSig，该节点属性包括其所标记的属性的名称和属性值。

4）元素对象节点ElemObject

ElemObject描述XML数据文档中元素节点的安全标记并包含其签名值SecLabelSig。若该元素节点包含下级节点，则该元素节点对应的ElemObject还可以嵌套包含元素ElemObject，用以描述该元素节点的下级元素的标记信息。每个ElemObject节点必须包含一个SecLabel节点，还可包含若干属性对象节点AttrObject，以及嵌套包含ElemObject节点，直到ElemObject节点无可描述的属性和下级元素为止。

综上，XML安全标记文档是在XML数据文档的基础之上，依据XML数据文档的树形结构，以其节点为对象，根据节点的不同密级和范畴对其绑定XML安全标记而生成的文档，其根节点SecLabDoc与XML数据文档的根节点对应，根节点SecLabDoc下的SecLabel节点描述的为整个XML数据文档的安全信息，当根节点SecLabDoc下包含零个ElemObject元素时，则该XML标记文档只包含一个XML安全标记，即整个文档的标记，此时访问控制的对象为整个文档。

XML安全标记包含客体密级C（class）和范畴G（category）描述，即XML安全标记可描述为二元组（C，G）。安全标记之间的关系有两种：支配关系和不可比关系。其中，一个安全标记（C₁，G₁）支配另一个安全标记（C₂，G₂），当且仅当C₁≥C₂且

如果两个安全标记不存在支配关系，则它们不可比。

由上可知，在XML数据文档绑定XML安全标记的基础上形成的XML安全标记文档，同样具有树状层次结构，根元素是最外层节点，当要访问XML安全标记文档中某个元素或属性时，必须获取目标元素或属性节点的路径，而该路径由从根节点到达目标节点所经过的所有外层节点组成，路径终点是目标元素或属性节点，从而要访问目标节点则必须先访问外层节点，因此XML安全标记文档中，内层元素或属性的安全级别应比外层元素或属性的安全级别高。不难得出，XML安全标记文档中，节点的安全标记从树根至树叶可形成一个由低至高偏序的格结构，内部节点依赖于外部节点而存在。

据此，本发明实施例规定，在对XML表示的数据客体进行XML安全标记绑定时，XML安全标记须遵循如下约束规则：

规则1：XML安全标记文档中，子元素的XML安全标记必须支配父元素的XML安全标记。

规则2：XML安全标记文档中，若某元素具有某属性，则该属性的XML安全标记必须支配该属性所属元素的XML安全标记。

规则3：XML安全标记文档中，元素的XML安全标记符合级联递推关系。即若元素e₁是e₃的子元素，e₃是e₄的子元素…e_n是e₂的子元素，则元素e₁的XML安全标记支配元素e₂的XML安全标记。

规则4：XML安全标记文档中，属性与元素的XML安全标记的支配关系符合级联递推关系。即若属性a₁是e₂的子元素，e₂是e₃的子元素…e_n是e₁的子元素，则属性a₁的XML安全标记支配元素e₁的XML安全标记。

规则5：XML安全标记文档的根元素的XML安全标记必须被其他元素和属性的XML安全标记所支配，且根元素的XML安全标记即XML安全标记文档的XML安全标记，也是主体能访问XML安全标记文档的最小标记。

在依据元素或属性的敏感程度及其作用范围为相应元素或属性分配了XML安全标记，并将分配的XML安全标记绑定至相应的元素或属性后，可依据以上约束规则来检验所绑定的XML安全标记是否存在问题，例如分配过程中因失误而造成的XML安全标记密级过高或过低等，若经检验绑定后不符合以上约束规则，则证明分配的XML安全标记存在问题，应重新分配和绑定。

在对XML安全标记、XML安全标记文档做了相关定义及规定之后，以下对步骤S2、S3和S4中实现XML安全标记绑定，生成XML安全标记文档的过程进行详述。

本实施例具体通过对XML数据文档进行遍历，获取XML数据文档中的节点信息，例如元素和属性，并根据所获取的节点信息的敏感程度和作用的范围，人工为其规定安全级别和范畴，进而为节点信息中的元素和属性分配安全标记，实现绑定，生成XML安全标记文档，即绑定操作实质概括为：

输入：XML数据文档、安全级别和范畴集合

输出：XML安全标记文档。

本实施例提供了XML数据文档表示的数据客体与XML安全标记绑定，生成XML安全标记文档的详细步骤，如图12所示，具体包括：

S121：打开XML数据文档，并为其新建一个XML安全标记文档。

S122：获取XML数据文档的根节点，将其作为XML数据文档的当前节点，并为其在XML安全标记文档中创建相应的根节点SecLabDoc，添加XML数据文档根节点的唯一标识作为SecLabDoc的属性。

S123：创建安全标记节点SecLabel为SecLabDoc的子元素，根据XML数据文档的敏感程度，分配SecLabel所包含的密级和范畴属性。

S124：获取XML数据文档的属性信息，为该属性信息在SecLabDoc下添加属性对象元素AttrObject，并为其分配安全标记、计算签名值。

S125：继续读取XML数据文档，获取当前节点的下级节点。

S126：判断该下级节点是否为空，若是，则执行步骤S1210；若否，则执行步骤S127。

S127：设置该下级节点为当前节点，在其父节点所对应的XML安全标记文档中的节点下为其创建ElemObject元素。

S128：根据当前ElemObject所描述的元素数据客体的敏感程度，分配密级和范畴属性，记录在该ElemObject下的SecLabel元素内，并计算签名值。

S129：若当前ElemObject所描述的元素数据客体含有属性信息，则在该ElemObject节点下添加属性对象元素AttrObject，并为其添加SecLabel子元素，填写安全标记信息，计算签名值。之后，转入步骤S125。

S1210：保存XML安全标记文档。

此处，需要说明的是，在为XML数据文档表示的数据客体绑定XML安全标记时需遵循以上的XML安全标记约束规则，使得所生成的XML安全标记文档的XML安全标记符合从从根节点至叶子节点的由低到高的偏序关系。

本发明实施例提供的基于XML的安全标记与数据客体的绑定方法，即是利用XML的特性，提出了将数据客体甚至异构数据客体用XML树形结构统一化表示，生成XML数据文档，在此基础上，根据数据源即数据客体中数据内容的敏感程度的不同，为XML数据文件描述的数据客体添加相应的安全标记，生成XML安全标记文档，具体可通过将XML安全标记关联、绑定至XML数据文档中的元素和属性实现对XML数据文档描述的数据客体的高级别力度的保护和访问控制，更具体地，在实施本发明的方法时，可通过将XML安全标记作为XML数据文档中节点和属性所描述的数据的内在属性，实现更好的安全性和可控性，从而本发明解决了现有标记绑定技术存在的保护粒度较粗、不能实现高粒度访问控制、数据不能统一化表示等缺点。

相应地，本实施例还公开一种基于XML的安全标记与数据客体的绑定系统，包括统一化表示模块、获取模块、分配模块和绑定模块，其中：

由于本发明实施例公开的基于XML的安全标记与数据客体的绑定系统与上述基于XML的安全标记与数据客体的绑定方法相对应，所以描述的比较简单，相关指出请参阅方法部分的说明，此处不再详述。

实施例二

本发明实施例二在实施例一的基础上，提出了基于XML安全标记的数据访问行为规则集，并在该数据访问行为规则集的基础上公开了主体对XML安全标记文挡实施访问的访问操作算法，从而实现对数据客体的访问。

本发明将主体对XML安全标记文档的访问行为分为提取（或读）、插入（或写）、更新和删除四类，其中，提取具体指获取元素或属性信息及其XML安全标记；插入指插入新节点及节点的XML安全标记至XML安全标记文档；更新指更新XML安全标记文档中元素或属性的XML安全标记；删除指删除XML安全标记文档中元素或属性及其XML安全标记。

BLP是高安全等级系统中最常用的强制访问控制模型，其模型规则可以概括为“不向上读”和“不向下写”，本发明考虑到高安全等级的完整性，除了执行BLP的上述简单安全特性外，还遵守严格的*特性，*特性即主体能够写客体当且仅当两者安全标记相等。从而，本发明的基于XML安全标记的数据访问的基本规则如下：

简单安全特性：主体s能够读客体o必须满足λ(o)≤λ(s)。

严格*特性：主体s能够写客体o必须满足λ(o)=λ(s)。

其中，λ(o)、λ(s)分别表示客体和主体的安全标记等级。在基本规则的基础上，本发明规定了以上四类访问操作的具体操作规则：

提取规则：主体的安全标记支配数据节点的安全标记时，主体能够读取该数据节点所标记的数据客体信息。

插入规则：主体的安全标记等于要插入的节点的安全标记时，可以执行写操作。

更新规则：对XML安全标记文档更新信息时，新信息的密级必须支配当前标记密级。

删除规则：主体能删除XML安全标记文档中元素或属性的条件是主体的安全标记等于要删除元素或属性的安全标记。

以下分别对基于上述操作规则的四类访问操作进行详述介绍。

（1）提取操作

根据以上介绍的提取规则，主体能够获取数据客体信息，其安全标记必须支配数据客体的安全标记。从而，在主体对数据客体进行提取操作时，首先必须满足主体安全标记能支配数据客体相应的XML安全标记文档的安全标记，然后，因为文档中元素、属性的安全标记是偏序升高的，主体的安全标记能支配某元素的安全标记但不一定能支配该元素的属性的安全标记，因此主体只能读取XML标记文档中主体安全标记可支配的那部分信息。

提取操作的实质可概括为：

输入:主体的安全标记、要访问的数据客体的名称或目标元素、属性。

输出：主体可读的数据文档。

请参见图13，提取XML安全标记文档节点的操作步骤如下：

S1301：根据主体所要访问的数据客体名称，查找数据客体所对应的XML安全标记文档。

S1302：读取XML安全标记文档根节点下的SecLabel元素，比较SecLabel元素表示的根节点安全标记与请求访问主体的安全标记，若主体安全标记支配根节点安全标记，则转入步骤S1303，否则转入步骤S1307。

S1303：若访问的目标是数据客体中的某元素或属性，则转入步骤S1604；若访问目标是整个数据客体文档，则转入S1305；

S1304：根据查找路径，获取目标节点的安全标记，与主体安全标记比较，若主体安全标记支配目标节点安全标记，则返回目标节点所标记的数据客体信息。

S1305：遍历XML安全标记文档，比较当前元素或属性节点的安全标记与主体的安全标记，若主体安全标记不能支配当前节点安全标记，则删除该节点及其子孙节点，最终得主体可读取的安全标记文档节点结构。

S1306：根据所得的安全标记文档节点结构，返回该节点结构所对应的数据客体信息，即得主体可提取的数据客体信息。

S1307：返回目标不可访问。

请参见图14，图14示出了一个只包含密级信息的XML安全标记文档的树形结构及不同密级主体对其进行读请求访问获得的结果视图。其中XML安全标记文档的节点共分四个密级，从低至高依次分别为unclassify、classify、security和top security，在图中4个密级分别以u、c、s和t表示，则图14a为unclassify密级的主体对XML安全标记文档进行读请求访问获得的结果视图；图14b为classify密级的主体对XML安全标记文档进行读请求访问获得的结果视图；图14c为security密级的主体对XML安全标记文档进行读请求访问获得的结果视图；图14d为top security密级的主体对XML安全标记文档进行读请求访问获得的结果视图。

（2）插入操作

向XML安全标记文档插入新节点及其XML安全标记，往往是因为主体对数据客体文档进行了添加操作，而添加的新内容可以视为一个独立节点进行处理。根据以上介绍的插入规则，主体能够向数据客体插入节点信息，必须满足主体安全标记等于新插入节点的安全标记，且新节点的安全标记的安全等级必须符合安全标记约束规则，而根据XML安全标记约束规则，新插入的节点的安全标记必须支配其父节点的安全标记，因此，主体能够在某节点下插入安全标记，必须满足主体的安全标记可支配该节点的安全标记。

相应的，插入操作的实质可概括为：

输入:主体安全标记、待插入的目标节点及目标节点对应的安全标记。

输出：新的XML安全标记文档。

请参见图15，向XML安全标记文档插入新节点的操作步骤如下：

S1501：根据主体在数据客体中添加信息的位置，在数据客体对应的XML数据文档中获取上述添加信息所属的父节点信息。

S1502：查找对应的XML安全标记文档，获取父节点的安全标记信息，将其与主体的安全标记比较，若主体安全标记可支配父节点的安全标记，则转入S1504，否则转入S1503。

S1503：返回结果写入失败。

S1504：为父节点插入一个新的子节点ElemObject，并为该子节点创建安全标记SecLabel节点，计算签名值。

S1505：若添加内容包含属性信息，则在新添加的ElemObject下创建属性对象节点AttrObject，添加SecLabel信息，计算签名值。

S1506：保存并返回新的XML安全标记文档。

（3）更新操作

依据以上的更新规则可知，更新操作的实质为：

输入:主体安全标记、待更新目标节点及更新的安全标记。

输出：新的XML安全标记文档

请参见图16，对XML安全标记文档进行更新操作的操作步骤如下：

S1601：根据数据客体中更新信息的位置，在对应的XML数据文档中获取更新的信息对应的节点信息。

S1602：查找对应的XML安全标记文档，并提取该节点的安全标记信息，将其与主体的安全标记比较，若与主体安全标记相等，则转入S1604，否则转入S1603。

S1603：返回结果更新失败。

S1604：更新该节点下SecLabel节点内元素信息，且更新后新的密级必须支配当前的安全标记。

S1605：比较更新后的安全标记是否能够支配该节点的子节点的安全标记，若能，则转入S1606，否则转入S1607。

S1606：修改其子节点的安全标记，使其升至被更新节点的安全级别。

S1607：保存并返回新的XML安全标记文档。

（4）删除操作

当数据客体中与XML数据文档节点对应的全部信息被删除时，需要删除对应的XML安全标记文档中的安全标记信息。删除规则规定主体能删除客体必须满足二者安全标记相等的条件，但主体删除一个相应级别的节点时，其高安全级别的子元素和属性节点若一同删除，则破坏违背了删除规则，若不删除，则破坏了XML安全标记文档的结构完整性。为此，本发明采用删除后不可见策略。

删除后不可见策略具体为：为数据客体节点引入visibles属性，当待删除节点包含子孙节点时，只删除主体安全标记能够支配且不在更高密级子孙节点路径上的子孙节点，而不删除那些更高密级的子孙节点，并且将未被删除的上述待删除节点及其同密级子孙节点设置为对同密级主体不可见（visibles＝false），只有更高密级的子孙节点被删除后，才真正将该待删除节点删除。请参见图17，图17a表示XML安全标记文档删除节点前的树形结构和删除操作后带有visibles属性的树形结构；图17b表示删除操作后带有visibles属性的树形结构对unclassify密级的主体可见的文档树形视图；图17c表示删除操作后带有visibles属性的树形结构对classify/security/topsecurity密级的主体可见的文档树形视图。

删除操作的实质为：

输入:目标节点及主体安全标记。

输出：新的XML安全标记文档。

请参见图18对XML安全标记文档进行删除操作的操作步骤如下：

S1801：根据数据客体中被删除信息的位置，在XML数据文档中获取其对应的节点信息。

S1802：查找相应的XML安全标记文档，获取该节点的安全标记信息，并将其与主体的安全标记比较，若与主体安全标记相等，则转入S1804；否则转入S1803。

S1803：返回结果删除失败。

S1804：先序遍历以该节点为根的子树，设置遍历的当前节点为当前节点。

S1805：获取当前节点的安全标记，若其与主体全标记相等，则继续遍历；若其支配主体安全标记，则将其父节的属性visibles值设置为false，并继续遍历。

S1806：遍历结束，保存并返回新的XML安全标记文档。

实施例三

在实施例一和实施例二的基础上，本发明实施例三公开了一种基于XML安全标记的访问控制方法及系统，用于在主体对数据客体进行访问时，基于XML安全标记对主体的访问操作进行控制。请参见图19，上述基于XML安全标记的访问控制方法包括：

S1901：在主体请求访问数据客体时，接收主体请求信息及主体信息，依据主体信息对主体进行身份认证。

S1902：在身份认证成功后，依据主体请求信息获取主体请求访问的数据客体的XML安全标记，并依据主体信息获取主体的安全标记。

S1903：比较数据客体的XML安全标记与主体的安全标记，对主体请求做出决策处理，并获得决策结果。

S1904：依据决策结果，对数据客体进行相应访问，生成主体可访问的数据客体视图。

S1905：将数据客体视图返回至主体。

相应地，请参见图20，上述基于XML安全标记的访问控制系统包括访问服务代理模块100、访问控制决策中心模块200、主体标记管理模块300、XML安全标记管理模块400以及客体视图生成模块500，其中：

访问服务代理模块100，用于在主体请求访问数据客体时，接收主体请求信息及主体信息，依据主体信息对主体进行身份认证。

访问控制决策中心模块200，用于在所述身份认证成功后，依据所述主体请求信息从所述XML安全标记管理模块获取主体请求访问的数据客体的XML安全标记，依据所述主体信息从所述主体标记管理模块获取主体的安全标记，并通过比较所述数据客体的XML安全标记与所述主体的安全标记，对主体请求做出决策处理，并获得决策结果；

客体视图生成模块500，用于依据所述决策结果，对数据客体进行相应访问，生成主体可访问的数据客体视图，并将所述数据客体视图通过所述访问服务代理模块返回至主体。

其中，XML安全标记管理模块400，还用于负责维护XML安全标记文档，对XML安全标记文档实施提取、插入、更新及删除操作。

在本发明其他实施例中，上述基于XML安全标记的强制访问控制模型还可包括XML数据文档管理模块，XML数据文档管理模块用于存放并管理XML数据文档。

请参见图21，图21示出了一种基于XML安全标记的强制访问控制模型，该模型基于以上的访问控制方法及系统，如图22所示，该模型的工作过程具体包括如下步骤：

S2201：访问服务代理模块接收主体的请求信息以及主体信息，并对主体进行身份认证。

S2202：认证成功后，访问服务代理模块将主体请求信息及主体信息发送至访问控制决策中心模块。

S2203：访问控制决策中心模块依据主体请求信息从XML安全标记管理模块获取主体请求访问的数据客体的XML安全标记，依据主体信息从主体标记管理模块获取主体的安全标记。

S2204：访问控制决策中心模块根据访问控制策略，通过比较主体和数据客体的安全标记、判断请求操作类型，对主体请求做出相应决策处理，并将决策结果发送到客体视图生成模块。

S2205：客体视图生成模块依据决策结果，对数据客体进行相应访问，生成主体可访问的数据客体视图，并将数据客体视图发送至访问服务代理模块。

S2206：访问服务代理模块将数据客体视图返回至主体。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims

1.一种基于XML的安全标记与数据客体的绑定方法，其特征在于，包括：

对数据客体进行XML统一化表示，获得XML数据文档；

获取所述XML数据文档中各个节点的节点信息；

2.根据权利要求1所述的基于XML的安全标记与数据客体的绑定方法，其特征在于，所述数据客体具体为文本数据、word数据、excel数据、图像和视频中的任意一种或多种。

3.根据权利要求1所述的基于XML的安全标记与数据客体的绑定方法，其特征在于，所述对数据客体进行XML统一化表示，获得XML数据文档具体包括：

对数据客体进行分析，获取所述数据客体的逻辑树形结构；

4.根据权利要求1所述的基于XML的安全标记与数据客体的绑定方法，其特征在于，所述XML数据文档中节点的节点信息包括XML数据文档中的元素和属性；

5.根据权利要求1所述的基于XML的安全标记与数据客体的绑定方法，其特征在于，所述将所述XML安全标记关联至对应的各个节点信息，以生成XML安全标记文档具体为：将所述XML安全标记按照预设的安全标记约束规则关联至对应的各个节点信息，以生成预设格式的XML安全标记文档，其中，所述预设的安全标记约束规则包括：

XML安全标记文档中，子元素的XML安全标记支配父元素的XML安全标记；

XML安全标记文档中，元素对应的属性的XML安全标记支配该属性所属元素的XML安全标记；

XML安全标记文档中，元素的XML安全标记符合级联递推关系；

XML安全标记文档的根元素的XML安全标记被其他元素和属性的XML安全标记所支配。

6.根据权利要求5所述的基于XML的安全标记与数据客体的绑定方法，其特征在于，所述预设格式具体表示为：

XLabDoc=(r,V_e,V_a,SubElem,Attrs,Name,Lab)，其中：

XLabDoc表示所述XML安全标记文档；

V_e表示所述XML安全标记文档中所有元素的集合；

V_a表示所述XML安全标记文档中所有属性的集合；

7.根据权利要求1所述的基于XML的安全标记与数据客体的绑定方法，其特征在于，还包括对所述XML安全标记文档进行访问，所述访问具体包括提取、插入、更新、删除中的至少一种。

8.一种基于XML的安全标记与数据客体的绑定系统，其特征在于，包括统一化表示模块、获取模块、分配模块和绑定模块，其中：

9.一种基于XML安全标记的访问控制方法，其特征在于，包括：

将所述数据客体视图返回至主体。

10.一种基于XML安全标记的访问控制系统，其特征在于，包括访问服务代理模块、访问控制决策中心模块、主体标记管理模块、XML安全标记管理模块以及客体视图生成模块，其中：

11.根据权利要求10所述的基于XML安全标记的强制访问控制模型，其特征在于，所述XML安全标记管理模块，还用于负责维护XML安全标记文档，对XML安全标记文档实施提取、插入、更新及删除操作。

12.根据权利要求10所述的基于XML安全标记的强制访问控制模型，其特征在于，还包括XML数据文档管理模块，所述XML数据文档管理模块用于存放并管理XML数据文档。