CN103701801A

CN103701801A - 一种资源访问控制方法

Info

Publication number: CN103701801A
Application number: CN201310728871.0A
Authority: CN
Inventors: 许军; 刘念林; 王德鹏; 李汶隆
Original assignee: Sichuan Jiuzhou Electric Group Co Ltd
Current assignee: Sichuan Jiuzhou Investment Holding Group Co.,Ltd.
Priority date: 2013-12-26
Filing date: 2013-12-26
Publication date: 2014-04-02
Anticipated expiration: 2033-12-26
Also published as: CN103701801B

Abstract

本发明公开了一种资源访问控制方法，包括如下步骤：用户基本信息输入；用户合法性验证；获取通过验证的合法用户在角色列表中的ID；根据用户在角色列表中的ID并结合角色-权限指派结果信息，查找资源-权限结构表的控制域，如果用户具有资源访问权限，则提取权限字符串与相对应资源权限列表，动态生成权限树并初始化窗口。本发明能更好地对角色进行动态分配权限，使得软件系统用户能够直观、方便、快捷地与系统进行交互；降低数据库查询时间，减轻空间消耗，消除应用系统对超级用户的依赖，有效保障系统的安全性。

Description

一种资源访问控制方法

技术领域

本发明涉及一种资源访问控制方法，尤其是涉及一种基于FLEX与.NET的B/S应用中实现资源访问的控制方法。

背景技术

一般而言，信息资源传递过程中，最为关心的三个问题是“哪些资源需要得到保护”，“哪些主体可以访问被保护的资源”，“这些被授权的主体对受保护资源可以进行哪些操作”，三类问题分别对应了三类资源，即主体、客体和权限，实质上访问控制是通过主体、客体以及控制策略实现对系统资源管理与访问限制，防止非法用户进入系统对信息资源的破坏、非法使用以及利用资源信息进行违法活动。要想解决上述问题，有三类访问控制技术可以应用，包括访问控制列表（Access Control Lists, ACL）模型、强制访问控制（Mandatory Access Control, MAC）以及基于角色的访问控制（Role-Based Access Control, RBAC）安全访问控制模型。ACL访问控制模型是通过列表进行管理，一个简单的ACL是一个由一行实体与一列系统资源信息构成的数组，如果数据量庞大时，系统安全方面得不到保障，因此，ACL访问控制在网络系统中不能实现统一全局的安全控制；强制访问控制模型（MAC）系统一旦建立，那么系统独立于用户行为强制执行访问控制，用户不能改变它的安全级别或者对象的安全属性，在强制访问控制系统中以“秘密”的安全级别操作，主体与客体被分配到权限的同时，也被分配了安全级别，若用户在目标系统中以“秘密”的安全级别操作，它将不能访问系统中安全级别为“机密”的系统服务。使得应用领域比较狭窄，完整性方面不够。为此，在1992年，Sandhu针对信息管理与信息安全完整性的基础上提出了基于角色的访问控制（Role-based Access Control, RBAC）模型， RBAC是一种基于用户所在组织的责任进行系统资源访问的控制策略；其核心是设定用户与角色之间的授权讨论，以角色-权限指派作为基点，利用信息资源管理模块独立于用户-角色，根据用户操作与资源信息无关特性，不仅明确了用户性质，同时也满足了资源权限不会随着用户变化而变化，使得系统在应用方面具备了高效管理，灵活授权等特点。对于网络系统而言，RBAC通过分布式技术能够实现区域之间角色分配与授权管理，进一步加强系统管理的稳定性与灵活性，是目前解决大中型企业的信息资源的集中管理与分布式访问的重要方法之一。

实际应用中利用现有的RBAC模型在一定程度上减轻了授权管理负担，但是还存在如下缺点：

1）在授权过程中，为用户分配角色，为角色授予权限的工作量仍然很大；

2）在大型系统中存在权限粒度与角色数量的矛盾。权限数量越少，角色数量越多，角色数量的增长与权限粒度的细化成指数增长；

3）RBAC本质上是一个被动安全控制模型，缺乏灵活的动态授权机制。

发明内容

为了克服现有技术的上述缺点，本发明提供了一种资源访问控制方法，以RBAC访问控制模型为基础，引入动态权限树与Linux内核进程控制中“能力”概念，结合XML数据格式与数据库权限表协作实现资源权限的访问控制。引入动态权限树是为了更好地对角色进行动态分配权限，使得软件系统用户能够直观、方便、快捷地与系统进行交互，而引入Linux内核进程控制中“能力”概念是为了降低数据库查询时间，减轻空间消耗，消除应用系统对超级用户的依赖，有效保障系统的安全性。

本发明解决其技术问题所采用的技术方案是：一种资源访问控制方法，包括如下步骤：

步骤一、用户基本信息输入；

步骤二、用户合法性验证；

步骤三、获取通过验证的合法用户在角色列表中的ID；

步骤四、根据用户在角色列表中的ID并结合角色-权限指派结果信息，查找资源-权限结构表的控制域，判断该用户是否具有资源访问权限：如果无，则返回步骤一；如果有，则提取权限字符串与相对应资源权限列表，进入步骤五；

步骤五、动态生成权限树并初始化窗口。

与现有技术相比，本发明的积极效果是：

1）通过FLEX的HttpService通讯方式读取服务器端CONFIG.XML配置文件与数据库协作方法，对RBAC权限模型描述更准确方便，当系统的需求发生变化时，只需要修改配置文件CONFIG.XML，不需要修改代码，减轻了软件开发人员的开发负担；

2）在RBAC访问控制模型基础上，引入Linux内核进程控制中“能力”概念：包含一种资源控制域中二进制标识符，每一个能力用一位二进制来标识，其中：“1”表示拥有访问权限的能力，“0”表示没有访问资源的能力；根据角色-权限-资源关联关系，其关系数据表的控制域中的二进制值判别用户权限。有益之处在于：采用二进制位设计权限访问可以使每一个角色Role在数据库中只对应一个唯一二进制字符串，当根据用户ID查找匹配的资源权限时，只需检查数据库角色-权限关系表的资源控制标志位，就可以查找到相应的活动资源，充分地降低数据库查询时间，减轻空间消耗，消除应用系统对超级用户的依赖，有效保障系统的安全性。

3）在RBAC访问控制基础上，引入动态权限树对角色进行动态分配权限，动态权限树的存储结构使用了一种先进先出的队列（Queue）与一种散列哈希表（Hash table）。有益之处在于：a）. 系统资源与菜单关联，在存储资源过程中利用队列存储方式；先将资源权限树的叶子节点入队，然后将这些叶子节点的父节点递推入队，既没有遗漏有效的资源节点，亦没有将无效的资源节点和它的父节点入队，提高了资源搜索效率；b）. 在通过上述队列算法生成的每一颗资源权限树的叶子节点的同时，并临时存储在哈希表中，当队列算法结束后，遍历整个哈希表，将每颗子树插入到根节点，拼成完整的权限树，哈希表的高效查找效率，使得软件系统用户能够直观、方便、快捷地与系统进行交互。

附图说明

本发明将通过例子并参照附图的方式说明，其中：

图1为本发明方法的步骤流程图。

具体实施方式

本发明通过在RBAC模型上引入动态权限生成树与Linux内核基于二进制能力的概念实现对资源的集中管理、资源授权更加方便快捷。

为了更好地理解本发明，下面将权限管理的设计思想做一个基本的介绍。

RBAC(Role-based Access Control，角色访问控制模型)模型是当前应用最为广泛的一种权限管理模型。该模型具有权限管理工作量小，灵活简单和伸缩力强等特点，并以角色为核心，使用角色解耦权限和用户关系。管理员将权限分配给角色，然后再为用户分配适当的角色，这样用户通过角色媒介拥有了资源的权限。本发明引入动态权限树与Linux内核基于二进制能力的概念进行了权限分配管理，在设置权限时，管理员只需要勾选CheckBox即可实现权限赋予角色，当该角色下的用户访问系统资源时，首先访问数据库权限表，通过动态权限生成树算法从叶节点搜索遍历父节点以及所做的祖先节点，读入权限配置文件Config.xml文件，通过XML配置文件的分层结构完成不同用户、不同角色登陆系统后根据其权限不同在用户页面上生成各自的权限树。具体包括以下步骤：

步骤1：用户基本信息输入（包括ID与密码）。

（1）本方法采用单点登陆技术作为所有应用的网关，用户只登录一次，使用一个用户ID和密码，登陆多个应用、系统或者Web网站；

（2）在使用单点登录之前，用户必须输入用户ID和密码，通常每个都不相同，每次登录到同一个Session的不同的应用的时候也不相同。

步骤2：用户合法性验证。

调用权限系统中的用户验证服务模块，验证输入的用户基本信息，如果为非法用户，则拒绝该用户进入系统；如果为系统中的合法用户，则进入下一步。

步骤3：获取通过验证的合法用户在角色列表中的ID。

（1）用户登陆成功后，创建用户ID的session，提取用户标识符和角色权限的信息存入到创建的session中；

（2） Session会话将用户基本信息存储在.NET应用服务器上，通过Session中保持的用户基本信息，获取该用户拥有的角色，提取角色ID，并保持该用户在会话过程中的活动状态。

步骤4、根据用户在角色列表中的ID并结合角色-权限指派结果信息，查找资源-权限结构表的控制域，以确定该用户是否具有资源访问权限，如果有，则提取权限字符串与相对应资源权限列表；如果无，则返回步骤1。

（1）权限结构设计应用了Linux内核的进程控制域“能力”概念，本思想最初引入Linux中保护系统进程运行的安全。一个进程能力被保存在进程控制域（cap-effective）中，每一个能力用一个二进制来标识，“1”表示拥有该位对应的能力，“0”表示没有拥有该位所对应的能力，当一个进程进行某一种资源操作时，操作系统检查进程是否具有执行相应特权能力，即判断进程控制域标识是否为“1”；

（2）根据（1）所述本发明的资源-权限结构定义包括：资源集合、权限特征码、权限特征值以及权限计算方法；

（3）根据（2）所述为每一项资源定义一个权限特征码；采用权限特征码来标识资源，并构成权限集合，假设资源集合为S={s₀,s₁,s₂,…s_n}，资源权限集合A={a₀,a₁,a₂,a₃,…a_n}

（4）根据（3）所述为权限特征码中每个权限对应一个基本的权限特征值，对于资源集合S，对应的权限特征码为A，则二进制表示对应的基本权限特征值2⁰，2¹，2²，…2ⁿ；

（5）根据（4）所述根据权限特征值计算用户对资源的访问权限，权限特征值是数值类型，我们采用了二进制位与运算来实现访问权限计算，（用户权限特征值）&（资源基本权限特征值）=（控制域字符串）；

（6）根据（3）（4）（5）所述当一个用户要进行某一资源操作时，权限系统会检查权限控制域中的资源-权限特征值是否为1，若域中的值为1，该用户具有相应的资源的操作能力，否则没有。譬如，对于资源S={s₀,s₁,s₂}，对应的权限特征码集合A={ a₀,a₁,a₂}，其构成权限的集合有2³种，假如设这个集合为P(A),则P(A)={Ф,{a₀},{a₁},{a₂},{a₀,a₁},{a₀,a₂},{a₁,a₂},{a₀,a₁,a₂}}中的每个元素（即集合A的每个子集）构成了对资源的访问权限。特征码对应控制域中的特征值λ={000,001,010,011,100,101,110,111},根据上述特征码和特征值访问资源。例如子集{a₁,a₂}表示可以访问资源s₀,s₁，而不能访问资源s₂，控制域中产生的二进制字符串为011；

步骤5、动态生成权限树并初始化窗口；

（1）基于权限管理继承关系，用户资源访问窗口通过动态权限树生成，动态生成树技术需要定义数据结构包括：当前节点、父节点、队列以及哈希表；

（2）根据（1）所述将当前活动用户的所有权限节点按照树形结构从小到大顺序深度遍历入队，从队列头部开始，每个节点入队，对每次出队的节点的父节点进行判断，如果有父节点，则将其入队；

（3）根据（2）所述将当前出队的节点插入到哈希表对应的子树中，调整当前子树的关键值（key）使其始终指向当前子树的根节点，循环整个过程，直到队列中的所有节点都已经出队；

（4）根据（2）（3）所述遍历整个哈希表，将每一颗子树插入到权限树的根节点，形成最后的用户权限树。

（5）根据（4）所述权限树的结构采用XML技术，生成权限配置文件CONFIG.XML；记录系统所有与功能模块以及各种操作相关的权限信息；

（6）利用FLEX的HttpService通讯方式动态读取服务器端权限配置文件CONFIG.XML的权限信息、样式表信息和初始化信息。

（7）根据（6）所述的权限配置文件信息读取以及数据库表读取，在用户窗口生成树形操作功能，由于使用同一页面标签控制不同的用户登录显示，根据登录用户的不同权限，其同一页面显示的内容完全不同。

由于采用了Linux内核进程控制原理，菜单动态显示是通过数据库功能中标志域的二进制差异实现菜单功能的显示与屏蔽，在某一用户下，若标志域设置为0，该功能被屏蔽，否则显示在窗口上。

本发明的工作原理是：在整个访问控制过程中，用户应用系统的唯一标识符是ID，用户获取资源对象时，访问控制将根据用户标识符与权限结构表的资源标识符计算权限匹配字符串，并通过匹配字符串访问数据库，激活权限树，获取用户动态页面；本发明采用了单点登陆技术，一次认证，多点通行；角色不但定义了用户可访问的资源权限，而且也定义了权限的大小，通过访问方式和资源对象之间的关联关系，实现权限最小原则。

本发明的资源权限分配是根据动态权限树的节点（显示或者隐藏）来确定的，包括：

A）权限节点的物理结构存储在权限表，除了存储一个页面基本信息（例如：URL，页面名称等），只需要存储一个字段记录它的父节点页面。

B）角色值的定义，它是一个由“0”和“1”组成二进制字符串，通过访问方式与资源对象的关联关系赋予角色权限。

C）所述的动态权限树存储在一种先进先出的队列（Queue）与一种散列哈希表（Hash table）数据结构中。

D）用户、角色、权限以及权限树的数据表之间是多对多关系，同一用户可以拥有不同角色，同一颗权限树可以被不同的用户同时访问。

在设置权限时，应用CheckBox复选框即可实现权限赋予角色，当该角色下的用户访问系统资源时，首先访问数据库权限表，通过动态权限生成树算法从叶节点搜索遍历父节点以及所做的祖先节点，读入权限配置文件CONFIG.XML，通过XML配置文件的分层结构完成不同用户、不同角色登陆系统后，根据其权限不同在用户页面上生成各自的权限树。

Claims

1.一种资源访问控制方法，其特征在于：包括如下步骤：

步骤一、用户基本信息输入；

步骤二、用户合法性验证；

步骤三、获取通过验证的合法用户在角色列表中的ID；

步骤四、根据用户在角色列表中的ID并结合角色-权限指派结果信息，查找资源-权限结构表的权限控制域，判断该用户是否具有资源访问权限：如果无，则返回步骤一；如果有，则提取权限字符串与相对应资源权限列表，进入步骤五；

步骤五、动态生成权限树并初始化窗口。

2.根据权利要求1所述的一种资源访问控制方法，其特征在于：步骤三所述获取通过验证的合法用户在角色列表中的ID的方法如下：

（2）Session会话将用户基本信息存储在.NET应用服务器上，通过Session中保持的用户基本信息，获取该用户拥有的角色，提取角色ID，并保持该用户在会话过程中的活动状态。

3.根据权利要求1所述的一种资源访问控制方法，其特征在于：步骤四所述资源-权限结构表包括：资源集合、权限特征码、权限特征值以及权限计算方法。

4.根据权利要求1所述的一种资源访问控制方法，其特征在于：步骤四所述权限控制域用于保存进程能力，每一进程能力用一个二进制来标识，其中：“1”表示拥有该位对应的能力，“0”表示不具有该位对应的能力。

5.根据权利要求1所述的一种资源访问控制方法，其特征在于：步骤五所述动态生成权限树的方法为：

（1）定义权限树的数据结构，包括：当前节点、父节点、队列以及哈希表；

（2）将当前活动用户的所有权限节点按照树形结构从小到大顺序深度遍历入队，从队列头部开始，每个节点入队，对每次出队的节点的父节点进行判断，如果有父节点，则将其入队；

（3）将当前出队的节点插入到哈希表对应的子树中，调整当前子树的关键值使其始终指向当前子树的根节点，循环整个过程，直到队列中的所有节点都已经出队；

（4）遍历整个哈希表，将每一颗子树插入到权限树的根节点，形成最后的用户权限树；

（5）生成权限配置文件CONFIG.XML，记录系统所有与功能模块以及各种操作相关的权限信息；

（6）利用FLEX的HttpService通讯方式动态读取服务器端权限配置文件CONFIG.XML的权限信息、样式表信息和初始化信息；

（7）进行权限配置文件信息读取和数据库表读取，在用户窗口生成树形操作功能。