CN103412766A

CN103412766A - 基于用户权限的数据访问方法和装置

Info

Publication number: CN103412766A
Application number: CN2013104002317A
Authority: CN
Inventors: 孙国忠; 韩曦; 柳国治; 曾兵
Original assignee: SHUGUANG CLOUD COMPUTING TECHNOLOGY Co Ltd
Current assignee: SHUGUANG CLOUD COMPUTING TECHNOLOGY Co Ltd
Priority date: 2013-09-05
Filing date: 2013-09-05
Publication date: 2013-11-27

Abstract

本发明公开了一种基于用户权限的数据访问方法和装置，其中，该数据访问方法包括：在用户向数据库发出访问指令的情况下，接收预先封装的用户的信息参数，其中，信息参数包括权限参数和操作目标参数；将参数信息与访问指令进行整合；传输整合后的访问指令。本发明通过将权限参数和操作目标参数整合至访问指令中，能够使每个用户访问与其权限对应的数据，从而针对不同用户的权限实现数据权限控制，并且该方法可推广至不同的领域中。

Description

基于用户权限的数据访问方法和装置

技术领域

本发明涉及计算机领域，并且特别地，涉及一种基于用户权限的数据访问方法和装置。

背景技术

权限控制是应用系统中普遍使用的模块，功能权限和数据权限是权限控制中的重要内容。其中，功能权限主要是以RBAC（Role-Based Access Control，即基于角色的访问控制）模型来设计，而数据权限要在功能权限的基础上根据外部条件动态地对数据进行过滤，使拥有不同数据权限的用户分别看到各自有权操作的数据。虽然现有技术中一般是由SQL（Structured Query Language，即结构化查询语言）来最终控制数据权限的控制，但是需要生成动态SQL才能很好地实现数据权限控制，而目前用于生成动态SQL的方式以及其主要缺点在于：

由数据库存储过程拼写生成动态SQL的方式，缺点在于由数据库后台拼写SQL效率比较高，但是可移植性不好，跟固定的数据库产品绑定较密切，通用性较差；

完全由程序代码拼写生成动态SQL的方式，缺点在于根据外部条件用程序动态拼写SQL效率比较低，并且程序代码比较分散，难以控制。

针对相关技术中难以在较大的应用范围中实现数据权限控制的问题，目前尚未提出有效的解决方案。

发明内容

针对相关技术中难以在较大的应用范围中实现数据权限控制的问题，本发明提出一种基于用户权限的数据访问方法和装置，能够在不同领域中针对不同用户的权限实现数据权限控制。

本发明的技术方案是这样实现的：

根据本发明的一个方面，提供了一种基于用户权限的数据访问方法。

该数据访问方法包括：

在用户向数据库发出访问指令的情况下，接收预先封装的用户的信息参数，其中，信息参数包括权限参数和操作目标参数；

将参数信息与访问指令进行整合；

传输整合后的访问指令。

其中，接收预先封装的信息参数包括：

面向切面编程AOP模块接收预先封装的信息参数；

并且，将参数信息与访问指令进行整合包括：

AOP模块将参数信息插入到访问指令中。

可选地，传输整合后的访问指令包括以下至少之一：

将访问指令通过数据访问对象直接传输至数据访问层；

将访问指令与传输载体进行整合后传输至数据访问层。

并且，在将访问指令与传输载体进行整合后传输至数据访问层的情况下，在数据访问层中从整合后的结果中提取信息参数，并根据提取的信息参数生成动态结构化查询语言SQL。

此外，该数据访问方法进一步包括：

数据访问层根据信息参数生成动态结构化查询语言SQL；

数据访问层在访问数据库时执行动态SQL；

显示执行动态SQL后的结果。

可选地，生成动态SQL包括：

数据访问层根据信息参数通过代码生成工具生成动态SQL；和/或

数据访问层根据信息参数和预先配置的SQL模版生成动态SQL。

优选地，上述数据访问层基于持久层框架IBatis配置。

根据本发明的另一个方面，提供了一种基于用户权限的数据访问装置。

该数据访问装置包括：

接收模块，用于在用户向数据库发出访问指令的情况下，接收预先封装的用户的信息参数，其中，信息参数包括权限参数和操作目标参数；

整合模块，用于将参数信息与访问指令进行整合；

传输模块，用于传输整合后的访问指令。

其中，接收模块用于使面向切面编程AOP模块接收预先封装的信息参数；

并且，整合模块用于使AOP模块将参数信息插入到访问指令中。

可选地，传输模块用于将访问指令通过数据访问对象直接传输至数据访问层；和/或将访问指令与传输载体进行整合后传输至数据访问层。

本发明通过将权限参数和操作目标参数整合至访问指令中，能够使每个用户访问与其权限对应的数据，从而针对不同用户的权限实现数据权限控制，并且该方法可推广至不同的领域中。

附图说明

图1是根据本发明实施例的基于用户权限的数据访问方法的流程图；

图2是根据本发明实施例的基于用户权限的数据访问装置的框图；

图3是根据本发明的一个实施例的数据访问方法的流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员所获得的所有其他实施例，都属于本发明保护的范围。

根据本发明的实施例，提供了一种基于用户权限的数据访问方法。

如图1所示，根据本发明实施例的数据访问方法包括：

步骤S101，在用户向数据库发出访问指令的情况下，接收预先封装的用户的信息参数，其中，信息参数包括权限参数和操作目标参数；

步骤S103，将参数信息与访问指令进行整合；

步骤S105，传输整合后的访问指令，可以将访问指令通过数据访问对象直接传输至数据访问层，和/或将访问指令与传输载体进行整合后传输至数据访问层，并且可以基于持久层框架IBatis配置数据访问层。

在另一个实施例中，在接收预先封装的信息参数时，可以调用面向切面编程AOP（Aspect Oriented Programming）模块接收预先封装的信息参数；并且，在将参数信息与访问指令进行整合时，可以调用AOP模块将参数信息插入到访问指令中。本发明的技术方案结合了AOP面向切面编程的特点，将判断角色信息提供参数的功能统一使用切点表达式定义好，代码集中、好管理。

此外，在将访问指令与传输载体进行整合后传输至数据访问层的情况下，在数据访问层中从整合后的结果中提取信息参数，并根据提取的信息参数生成动态结构化查询语言SQL。

此外，根据本发明实施例的数据访问方法进一步包括：数据访问层根据信息参数生成动态结构化查询语言SQL；数据访问层在访问数据库时执行动态SQL；显示执行动态SQL后的结果。其中，数据访问层可以基于持久层框架IBatis配置，本发明的技术方案基于IBatis框架对拼写动态SQL做了原始优化，解决了单纯使用程序拼写SQL而导致效率低的问题。

可选地，生成动态SQL可以是数据访问层根据信息参数通过代码生成工具生成动态SQL；也可以是数据访问层根据信息参数和预先配置的SQL模版生成动态SQL。

优选地，文中提及的数据访问层可以基于持久层框架IBatis配置。

根据本发明的另一个实施例，提供了一种基于用户权限的数据访问装置。

如图2所示，根据本发明实施例的数据访问装置包括：

整合模块，用于将参数信息与访问指令进行整合；

传输模块，用于传输整合后的访问指令。

根据本发明的一个实施例，提供了一种以AOP技术和IBatis技术为基础的数据访问方法。

使用IBatis架构的数据库访问层，可以利用IBatis架构提供的动态SQL，将数据权限传入MappedSQLStatement中。优选地，可以利用基于实例的查询，即SelectByExample，不但改动较小，而且查询方案更简洁。通过IBatis工具Abator（用于IBatis的代码生成器），可以生成in条件的动态SQL。也可以在配置文件中写好SQL模板，由外部参数来控制最终生成的SQL内容。

具体的数据权限由AOP拦截器实现，在运行时动态织入，以期解除耦合。比如对查询来说，AOP拦截器，拦截BO（Business Object，业务对象层）或者DAO（Data Access Objects，数据访问对象是第一个面向对象的接口）方法，判断方法中的参数是否为被控制对象，该对象是否受到限制，如果是，则通过反射机制，根据数据权限配置，修改该对象的相应参数。该方案能够根据用户的角色信息（包括数据权限信息）动态获取该用户的数据权限内的数据。

如图3所示，该实施例的具体实现步骤可以包括：

步骤S301，根据AOP切点表达式拦截符合条件的访问请求，其中，访问请求中包括用户的权限参数和操作目标参数；

步骤S303，判断访问请求是否满足AOP切点表达式，在满足的情况下，执行步骤S305，在满足的情况下，执行步骤S307；

步骤S305，以正常SQL的情况处理该访问请求，即将SQL中用于添加用户的权限参数的位置置零处理，表示该用户的权限最大，可以访问数据库中的所有数据；

步骤S307，判断是否为控制对象，即判断是否为BO或者DAO，在满足的情况下，执行步骤S305，在满足的情况下，执行步骤S309；

步骤S309，将外部参数（即用户的权限参数和操作目标参数）设置到控制对象中，即将外部参数设置到BO或者DAO中；

步骤S311，将控制对象传到数据库操作层；

步骤S313，IBatis根据配置依据控制对象生成动态SQL。

步骤S315，执行SQL，即执行生成的动态SQL或正常SQL，可以实现在用户访问数据库时，访问到该用户对应的数据权限的数据的功能。

综上所述，借助于本发明的上述技术方案，本发明通过将权限参数和操作目标参数整合至访问指令中，能够使每个用户访问与其权限对应的数据，从而针对不同用户的权限实现数据权限控制，并且该方法可推广至不同的领域中，进一步地，以AOP技术和IBatis技术为基础能够根据用户信息动态获取数据的方法，并且该技术方案结合了AOP面向切面编程的特点和IBatis能够生成动态SQL的能力，将判断角色信息提供参数的功能统一使用切点表达式定义好，代码集中、好管理；同时，IBatis框架在对动态SQL的拼写方面做了原始优化，解决了使用程序拼写SQL效率低的问题。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种基于用户权限的数据访问方法，其特征在于，包括：

在用户向数据库发出访问指令的情况下，接收预先封装的所述用户的信息参数，其中，所述信息参数包括权限参数和操作目标参数；

将所述参数信息与所述访问指令进行整合；

传输整合后的所述访问指令。

2.根据权利要求1所述的数据访问方法，其特征在于，接收预先封装的所述信息参数包括：

面向切面编程AOP模块接收预先封装的所述信息参数；

并且，将所述参数信息与所述访问指令进行整合包括：

所述AOP模块将所述参数信息插入到所述访问指令中。

3.根据权利要求1所述的数据访问方法，其特征在于，传输整合后的所述访问指令包括以下至少之一：

将所述访问指令通过数据访问对象直接传输至数据访问层；

将所述访问指令与传输载体进行整合后传输至数据访问层。

4.根据权利要求3所述的数据访问方法，其特征在于，在将所述访问指令与传输载体进行整合后传输至所述数据访问层的情况下，在所述数据访问层中从所述整合后的结果中提取所述信息参数，并根据提取的所述信息参数生成动态结构化查询语言SQL。

5.根据权利要求1所述的数据访问方法，其特征在于，进一步包括：

所述数据访问层根据所述信息参数生成动态结构化查询语言SQL；

所述数据访问层在访问所述数据库时执行所述动态SQL；

显示执行所述动态SQL后的结果。

6.根据权利要求5所述的数据访问方法，其特征在于，生成动态SQL包括：

所述数据访问层根据所述信息参数通过代码生成工具生成动态SQL；和/或

所述数据访问层根据所述信息参数和预先配置的SQL模版生成动态SQL。

7.根据权利要求3-6中任一项所述的数据访问方法，其特征在于，所述数据访问层基于持久层框架IBatis配置。

8.一种基于用户权限的数据访问装置，其特征在于，包括：

接收模块，用于在用户向数据库发出访问指令的情况下，接收预先封装的所述用户的信息参数，其中，所述信息参数包括权限参数和操作目标参数；

整合模块，用于将所述参数信息与所述访问指令进行整合；

传输模块，用于传输整合后的所述访问指令。

9.根据权利要求8所述的数据访问装置，其特征在于，所述接收模块用于使面向切面编程AOP模块接收预先封装的所述信息参数；

并且，所述整合模块用于使所述AOP模块将所述参数信息插入到所述访问指令中。

10.根据权利要求8所述的数据访问装置，其特征在于，所述传输模块用于将所述访问指令通过数据访问对象直接传输至数据访问层；和/或将所述访问指令与传输载体进行整合后传输至数据访问层。