CN103198141A - 层级关系下数据记录访问控制方法和装置 - Google Patents

Abstract

本发明公开了一种层级关系下数据记录访问控制方法和装置，涉及数据库技术领域。该方法包括：根据数据记录的所属机构、所属人员和可见范围属性预先生成数据记录的可见范围值；根据访问用户及其所属机构参数计算访问用户的访问权限条件参数；根据访问权限条件参数生成SQL语句并查询数据库中的数据记录。本公开基于机构、人员和可见范围属性进行可见范围值计算（预处理），基于该预处理进行数据记录访问控制方法和装置，查询结果不需要二次筛选，查询效率较高；该方法查询出来的记录，均符合权限要求，不存在浪费情况，数据库精确查询，提高数据库效率。

Description

层级关系下数据记录访问控制方法和装置

技术领域

本发明涉及数据库技术领域，特别涉及一种层级关系下数据记录访问控制方法和装置。

背景技术

目前，各种信息系统中常常通过用户及其角色、所属机构以及相应信息的可见范围，来对数据库相关信息进行访问权限控制，严格控制受众范围，有效实现信息共享。

例如，某系统的账号密码，仅对某个人可见，其他任何人不可见。某项目组内项目的开发文档可在该项目组内可见，其上级领导也可见，其他项目组人员不可见。而对于项目介绍的文档，则所有人均可查看。如下表1所示，当用户U3访问系统时，要判定U3是否有权限访问ID01、ID02、ID03，则需要通过各记录的R_ORG（所属机构）、R_USR（所属人员）、R_RANGE（可见范围），以及U3的角色（U_ROLE，如员工、经理等）、所属机构（U_ORG）来进行综合判定。

表1

信息系统中根据不同的角色、机构、用户来判定系统中资料的访问权限，一般的方法如图1所示，用户发出请求（步骤11）并由应用系统查询数据库（步骤12）后，数据库向应用系统返回查询结果（步骤13），应用系统将对查询结果进行二次筛选（步骤14），判断其是否满足权限要求。如满足，则展示给用户（步骤15），否则，不进行展示。

上述查询方案的缺点包括：

（1）查询结果需要进行二次筛选，降低应用系统访问效率。

（2）数据库查询范围扩大，降低数据库效率。二次筛选要舍弃一部分已从数据库查询的记录，极端情况下存在二次筛选后全部记录均不符合权限要求，对数据库性能、I/O（输入/输出）等方面均存在浪费。

（3）存在前台展示上的不足。结果往往需分页展示（如满足条件的结果有1000条，每页显示100条，则分为10页显示），若数据库查询获取到的记录集总数为1000条、满足条件的仅10条，则前台显示分为为1000条、10页，而前台展示的记录仅10条。

对于上述问题，需要提供更好的解决方案。

发明内容

本发明的发明人发现上述现有技术中存在问题，并因此针对所述问题中的至少一个问题提出了一种新的技术方案。

本发明的一个目的是提供一种用于数据记录访问控制的技术方案。

根据本发明的第一方面，提供了一种层级关系下数据记录访问控制方法，数据记录包括所属机构、所属人员和可见范围属性，所属机构按照层级进行编码，可见范围属性按照所属机构和所属人员的层级进行设置；访问控制方法包括：

根据数据记录的所属机构、所属人员和可见范围属性预先生成数据记录的可见范围值；

根据访问用户及其所属机构参数计算访问用户的访问权限条件参数；

根据访问权限条件参数生成SQL语句并查询数据库中的数据记录。

可选地，所属机构根据上下级关系形成层级结构，每一层级占用预定比特或字节数表示。

可选地，可见范围属性按照所属机构和所属人员的层级进行设置包括：仅本人可见、预定层级可见、全部可见。

可选地，根据数据记录的所属机构、所属人员和可见范围属性预先生成数据记录的可见范围值包括：

将仅本人可见和全部可见分别设置特定值；

将预定层可见设置为所属机构层级表示中相关部分为零。

可选地，根据访问用户及其所属机构参数计算访问用户的访问权限条件参数包括：

根据访问用户、用户角色和所属机构参数计算访问用户的访问权限条件参数，访问权限条件参数包括访问条件上限值和访问条件下限值。

根据本发明的另一方面，提供一种层级关系下数据记录访问控制装置，数据记录包括所属机构、所属人员和可见范围属性，所属机构按照层级进行编码，可见范围属性按照所属机构和所属人员的层级进行设置；访问控制装置包括：

可见范围值生成模块，用于根据数据记录的所属机构、所属人员和可见范围属性预先生成数据记录的可见范围值；

访问权限计算模块，用于根据访问用户及其所属机构参数计算访问用户的访问权限条件参数；

数据库查询模块，用于根据访问权限条件参数生成SQL语句并查询数据库中的数据记录。

可选地，所属机构根据上下级关系形成层级结构，每一层级占用预定比特或字节数表示。

可选地，可见范围属性按照所属机构和所属人员的层级进行设置包括：仅本人可见、预定层级可见、全部可见。

可选地，可见范围值生成模块用于将仅本人可见和全部可见分别设置特定值，将预定层可见设置为所属机构层级表示中相关部分为零。

可选地，访问权限计算模块用于根据访问用户、用户角色和所属机构参数计算访问用户的访问权限条件参数，访问权限条件参数包括访问条件上限值和访问条件下限值。

本发明的一个优点在于，预先生成数据记录的可见范围值，根据访问用户的相关信息生成相应的访问权限条件参数，从而生成SQL查询语句，充分利用了相关信息的层级特性，查询结果不需要二次筛选，查询效率较高。

通过以下参照附图对本发明的示例性实施例的详细描述，本发明的其它特征及其优点将会变得清楚。

附图说明

构成说明书的一部分的附图描述了本发明的实施例，并且连同说明书一起用于解释本发明的原理。

参照附图，根据下面的详细描述，可以更加清楚地理解本发明，其中：

图1示出现有数据库查询方法示意图。

图2示出根据本发明数据库查询的思路性示意图。

图3示出根据本发明的层级关系下数据记录访问控制方法的一个实施例的流程图。

图4示出机构层级编码一个例子的示意图。

图5示出所属机构一个例子的示意图。

图6示出访问用户、角色、机构一个例子的示意图。

图7示出根据本发明的层级关系下数据记录访问控制装置的一个实施例的结构图。

具体实施方式

现在将参照附图来详细描述本发明的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。

同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为授权说明书的一部分。

在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

图2示出根据本发明数据库查询的思路性示意图。如图2所示，在对所属机构（R_ORG，U_ORG）按层级进行编码基础上，首先进行预处理，通过数据记录的机构（R_ORG）、所属人员（R_USR）和可见范围（R_RANGE）计算出可见范围值（R_RANGE_NO）（步骤20）；应用系统接收到用户发起请求（步骤21）；应用系统根据访问用户（U_USR）、角色（U_ROLE）、机构（U_ORG）计算出用户的访问权限条件（步骤25）；应用系统根据用户访问权限条件构造SQL查询条件，向数据库发起查询（步骤22）；数据库根据SQL查询条件和预先计算出的可见范围值，返回查询结果（步骤23）；应用系统将接收的查询结果向用户进行结果展示（步骤24）。该方法确保在一次访问数据库情况下，高效、准确获取到相关数据库记录，提高查询效率。

图3示出根据本发明的层级关系下数据记录访问控制方法的一个实施例的流程图。数据记录包括所属机构、所属人员和可见范围属性，所属机构按照层级进行编码，可见范围属性按照所属机构和所属人员的层级进行设置。

如图3所示，步骤302，根据数据记录的所属机构、所属人员和可见范围属性预先生成数据记录的可见范围值。例如，所属机构根据上下级关系形成层级结构，每一层级占用预定比特或字节数表示；可见范围属性按照所属机构和所属人员的层级进行设置包括：仅本人可见、预定层级可见、全部可见。

步骤304，根据访问用户及其所属机构参数计算访问用户的访问权限条件参数。例如，根据访问用户、用户角色和所属机构参数计算所述访问用户的访问权限条件参数，所述访问权限条件参数包括访问条件上限值和访问条件下限值。

步骤306，根据访问权限条件参数生成SQL查询语句并查询数据库中的数据记录。将访问权限条件放在SQL查询语句中，在数据库查询时进行访问权限的筛选。

数据库根据包含访问权限条件参数的SQL查询语句利用预先生成的数据记录的可见范围值，向用户返回满足访问权限的查询结果。

上述实施例中，预先生成数据记录的可见范围值，根据访问用户的相关信息生成相应的访问权限条件参数，从而生成SQL查询语句，充分利用了相关信息的层级特性，查询结果不需要二次筛选，查询效率较高。

在一个实施例中，将仅本人可见和全部可见分别设置特定值；将预定层可见设置为所属机构层级表示中相关部分为零。

下面通过一个具体的例子来说明根据本发明的数据记录访问控制方法的具体实现。

所属机构（R_ORG，U_ORG）按层级进行编码：以某银行科技部门为例，如图4所示，其机构层级为[总行/部门/处室/职能组]，对每个层级按2位数字进行编码，如“总行软件开发中心（部门）技术保障部（处室）支持服务组（职能组）”可编码为“01010106”，其中各层级代码意义为“01（总行代码）01（部门代码）01（处室代码）06（职能组代码）”。

数据记录的可见范围（R_RANGE）：数据库中的数据记录设置有可以访问的范围，例如，包括“0-仅本人可见”、“1-本组可见”、“2-本处可见”、“3-本部门可见”、“4-总行可见”、“9-全部可见”等。比如，将某条数据库记录设置为“9-全部可见”，则任何访问系统的用户均可查看该记录；将某条记录设置为“0-仅本人可见”，则只有拥有该记录的用户才能查看该记录。

数据记录的所属机构（R_ORG）：数据库中某数据记录所代表信息的所属机构，比如该条记录代表某份技术资料，该技术资料由某机构所拥有。如图5所示，本系统的数据结构所在记录，其所属机构为“支持服务组”。

访问用户（U_USR）、角色（U_ROLE）、所属机构（U_ORG）：指访问数据库的用户的名称、该用户的角色和用户的所属机构。图6示出访问用户、角色、机构一个例子的示意图，如用户“张三”访问数据库，“张三”是职能组负责人，他所在的机构是“总行软件开发中心技术保障部支持服务组”，此时U_USR=“张三”，U_ROLE=“职能组负责人”，U_ORG=“01010106”。

数据记录的可见范围值（R_RANGE_NO）：根据所属机构（R_ORG）、所属人员（R_USR）和可见范围（R_RANGE）三个参数计算出来的值。其计算规则的一个例子如表2所示：

表1可见范围值计算规则

（1）预处理：计算可见范围值。对表1增加可见范围值字段（R_RANGE_NO），按照表2所示的计算规则计算该字段的值，计算后对该字段创建索引。计算结果如表3。

表2可见范围值计算结果

（2）计算用户权限访问条件。根据访问用户（U_USR）、角色（U_ROLE）、机构（U_ORG）三个参数计算出来的访问权限条件参数。假设U_ORG(机构)=AABBCCDD，访问用户（U_USR）=UX。则访问条件生成规则如下表4所示：

表3访问条件生成规则

（3）生成SQL语句并查询数据库：按照表4的生成规则，根据不同的角色生成SQL条件语句，如表5所示：

图7示出根据本发明的层级关系下数据记录访问控制装置的一个实施例的结构图。其中，数据记录包括所属机构、所属人员和可见范围属性，所属机构按照层级进行编码，可见范围属性按照所属机构和所属人员的层级进行设置。如图7所示，该实施例中访问控制装置包括：可见范围值生成模块71，用于根据数据记录的所属机构、所属人员和可见范围属性预先生成数据记录的可见范围值；访问权限计算模块72，用于根据访问用户及其所属机构参数计算访问用户的访问权限条件参数；数据库查询模块，用于根据访问权限条件参数生成SQL语句并查询数据库中的数据记录。所属机构根据上下级关系形成层级结构，每一层级占用预定比特或字节数表示。

在一个实施例中，可见范围属性按照所属机构和所属人员的层级进行设置包括：仅本人可见、预定层级可见、全部可见。可见范围值生成模块用于将仅本人可见和全部可见分别设置特定值，将预定层可见设置为所属机构层级表示中相关部分为零。访问权限计算模块用于根据访问用户、用户角色和所属机构参数计算所述访问用户的访问权限条件参数，所述访问权限条件参数包括访问条件上限值和访问条件下限值。

需要指出，图7中装置的各个模块的功能和作用，可以参见上文中关于方法的对应描述和举例。

本公开基于机构、人员和可见范围进行可见范围值计算（预处理），基于该预处理进行数据记录访问控制方法和装置，查询结果不需要二次筛选，查询效率较高；该方法查询出来的记录，均符合权限要求，不存在浪费情况，数据库精确查询，提高数据库效率；不存在前台分页问题，对SQL条件执行count(*)操作，即可获得满足条件的总数。

至此，已经详细描述了根据本发明的数据记录访问控制方法和装置。为了避免遮蔽本发明的构思，没有描述本领域所公知的一些细节。本领域技术人员根据上面的描述，完全可以明白如何实施这里公开的技术方案。

可能以许多方式来实现本发明的方法和系统。例如，可通过软件、硬件、固件或者软件、硬件、固件的任何组合来实现本发明的方法和系统。用于所述方法的步骤的上述顺序仅是为了进行说明，本发明的方法的步骤不限于以上具体描述的顺序，除非以其它方式特别说明。此外，在一些实施例中，还可将本发明实施为记录在记录介质中的程序，这些程序包括用于实现根据本发明的方法的机器可读指令。因而，本发明还覆盖存储用于执行根据本发明的方法的程序的记录介质。

虽然已经通过示例对本发明的一些特定实施例进行了详细说明，但是本领域的技术人员应该理解，以上示例仅是为了进行说明，而不是为了限制本发明的范围。本领域的技术人员应该理解，可在不脱离本发明的范围和精神的情况下，对以上实施例进行修改。本发明的范围由所附权利要求来限定。

Claims (10)

1.一种层级关系下数据记录访问控制方法，其特征在于，所述数据记录包括所属机构、所属人员和可见范围属性，所述所属机构按照层级进行编码，所述可见范围属性按照所属机构和所属人员的层级进行设置；

所述访问控制方法包括：

根据所述数据记录的所属机构、所属人员和可见范围属性预先生成所述数据记录的可见范围值；

根据访问用户及其所属机构参数计算所述访问用户的访问权限条件参数；

根据所述访问权限条件参数生成SQL语句并查询数据库中的数据记录。

2.根据权利要求1所述的方法，其特征在于，所述所属机构根据上下级关系形成层级结构，每一层级占用预定比特或字节数表示。

3.根据权利要求1所述的方法，其特征在于，所述可见范围属性按照所属机构和所属人员的层级进行设置包括：仅本人可见、预定层级可见、全部可见。

4.根据权利要求3所述的方法，其特征在于，根据所述数据记录的所属机构、所属人员和可见范围属性预先生成所述数据记录的可见范围值包括：

将仅本人可见和全部可见分别设置特定值；

将预定层可见设置为所属机构层级表示中相关部分为零。

5.根据权利要求1所述的方法，其特征在于，根据访问用户及其所属机构参数计算所述访问用户的访问权限条件参数包括：

根据访问用户、用户角色和所属机构参数计算所述访问用户的访问权限条件参数，所述访问权限条件参数包括访问条件上限值和访问条件下限值。

6.一种层级关系下数据记录访问控制装置，其特征在于，所述数据记录包括所属机构、所属人员和可见范围属性，所述所属机构按照层级进行编码，所述可见范围属性按照所属机构和所属人员的层级进行设置；

所述访问控制装置包括：

可见范围值生成模块，用于根据所述数据记录的所属机构、所属人员和可见范围属性预先生成所述数据记录的可见范围值；

访问权限计算模块，用于根据访问用户及其所属机构参数计算所述访问用户的访问权限条件参数；

数据库查询模块，用于根据所述访问权限条件参数生成SQL语句并查询数据库中的数据记录。

7.根据权利要求6所述的装置，其特征在于，所述所属机构根据上下级关系形成层级结构，每一层级占用预定比特或字节数表示。

8.根据权利要求6所述的装置，其特征在于，所述可见范围属性按照所属机构和所属人员的层级进行设置包括：仅本人可见、预定层级可见、全部可见。

9.根据权利要求8所述的装置，其特征在于，所述可见范围值生成模块用于将仅本人可见和全部可见分别设置特定值，将预定层可见设置为所属机构层级表示中相关部分为零。

10.根据权利要求6所述的装置，其特征在于，所述访问权限计算模块用于根据访问用户、用户角色和所属机构参数计算所述访问用户的访问权限条件参数，所述访问权限条件参数包括访问条件上限值和访问条件下限值。

Images