CN104349370A - 访问控制方法、装置以及系统 - Google Patents

Abstract

本发明公开了一种访问控制方法、装置以及系统，该方法包括：接收来自用户的用于访问资源的请求消息，其中，请求消息中携带有所述用户的信息；根据用户的信息获取控制策略，其中，控制策略是与用户相关联的主控用户预先制定的。通过本发明解决了监护人无法主动针对未成年人访问网络资源进行监控的问题，实现了对主动对相关用户进行监控。

Description

访问控制方法、装置以及系统

技术领域

本发明涉及通信领域，具体而言，涉及访问控制方法、装置以及系统。

背景技术

目前，随着通信技术的发展，越来愈多的终端（例如，手机、平板电脑、个人电脑等）均可以通过无线或者有线网络来访问网络上的资源。并且，随着终端的不断普及，越来越多的未成年人也开始使用这些终端来访问网络资源。

网络上的资源存在多样性，有些资源是未成年人的监护人不希望该未成年人访问的，因此，监护人希望对未成年人访问的网络资源进行控制。但是，在相关技术中，移动运营商并没有提供这样的业务。

针对相关技术中，监护人无法主动针对未成年人访问网络资源进行监控的问题，目前尚未提出的解决方案。

发明内容

本发明提供了一种访问控制方法、装置以及系统，以至少解决监护人无法主动针对未成年人访问网络资源进行监控的问题。

根据本发明的一个方面，提供了一种访问控制方法，包括：接收来自用户的用于访问资源的请求消息，其中，所述请求消息中携带有所述用户的信息；根据所述用户的信息获取控制策略，其中，所述控制策略是与所述用户相关联的主控用户预先制定的；根据所述控制策略对所述用户访问所述资源进行控制。

优选地，在接收所述请求消息之前，所述方法还包括：接收所述主控用户开通业务的请求，其中，所述业务用于控制所述用户对资源的访问；在开通所述业务成功的情况下，接收所述主控用户为所述用户配置的控制策略。

优选地，接收所述主控用户为所述用户配置的所述控制策略包括：向所述主控用户推送控制策略的配置方式，其中，所述配置方式包括以下至少之一：短消息配置、网页页面配置；接收所述主控用户通过所述配置方式配置的控制策略。

优选地，根据所述用户的信息获取所述控制策略包括：从本地缓存中获取所述控制策略；在本地缓存中获取所述控制策略失败的情况下，获取本地存储中保存的所述控制策略，并将获取到的所述控制策略保存到本地缓存中。

优选地，所述控制策略包括：所述用户的信息、资源信息、以及控制访问的模式。

根据本发明的另一方面，还提供了一种访问控制装置，包括：接收模块，用于接收来自用户的用于访问资源的请求消息，其中，所述请求消息中携带有所述用户的信息；获取模块，用于根据所述用户的信息获取控制策略，其中，所述控制策略是与所述用户相关联的主控用户预先制定的；控制模块，用于根据所述控制策略对所述用户访问所述资源进行控制。

优选地，所述装置还包括：数据存储模块，用于存储控制策略；所述获取模块，用于从本地缓存中获取所述控制策略，以及在本地缓存中获取所述控制策略失败的情况下，获取本地存储中保存的所述控制策略，并将获取到的所述控制策略保存到本地缓存中。

根据本发明的一个方面，还提供了一种访问控制系统，包括：无线应用通信协议WAP网关，所述WAP网关包括上述的访问控制装置。

优选地，所述系统还包括：业务运营支撑BOSS系统，用于接收所述主控用户开通业务的请求或者退订所述业务的请求，其中，所述业务用于控制所述用户对资源的访问；业务分发平台，用于在所述BOSS系统开通所述业务成功的情况下，接收所述主控用户为所述用户配置的控制策略，并将所述控制策略提供给所述访问控制装置。

优选地，所述业务分发平台包括：推送模块，用于向所述主控用户推送控制策略的配置方式，其中，所述配置方式包括以下至少之一：短消息配置、网页页面配置；策略接收模块，用于接收所述主控用户通过所述配置方式配置的控制策略。

通过本发明，采用接收来自用户的用于访问资源的请求消息，其中，该请求消息中携带有所述用户的信息；根据所述用户的信息获取控制策略，其中，所述控制策略是与所述用户相关联的主控用户预先制定的；根据所述控制策略对终端访问所述资源进行控制。解决了监护人无法主动针对未成年人访问网络资源进行监控的问题，实现了对主动对相关用户进行监控。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的访问控制方法的流程图；

图2是根据本发明实施例的访问控制装置的结构框图；

图3是根据本发明实施例的优选访问控制装置的结构框图；

图4是根据本发明实施例的访问控制系统的结构框图；

图5是根据本发明实施例的优选访问控制系统的结构框图；

图6是根据本发明实施例的另一优选访问控制系统的结构框图；

图7是根据本发明实施例的WAP网关父母控制系统处理的流程图；

图8是根据本发明实施例的WAP网关父母控制业务订购、退订的开发流程图；

图9是根据本发明实施例的WAP网关父母控制的用户属性配置的流程图；

图10是根据本发明实施例的互联网访问的父母控制功能的系统结构图；

图11是根据本发明实施例的基于WAP网关控制功能的实现方法流程图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

在以下实施例中，终端可以是移动终端（例如，手机、平板电脑等），也可以是其他类型的终端。终端上运行的操作系统也而已是各种类型的系统，例如，目前被广泛使用的安卓系统，或者是Windows操作系统、iOS系统等，但是并不限于此。

在本实施例中，提供了一种访问控制方法，图1是根据本发明实施例的访问控制方法流程图，如图1所示，该流程包括如下步骤：

步骤S102，接收来自用户的用于访问资源的请求消息，其中，该请求消息中携带有该用户的信息；

步骤S104，根据该用户的信息获取控制策略，其中，该控制策略是与该用户相关联的主控用户预先制定的；

步骤S106，根据该控制策略对该用户访问该资源进行控制。

通过上述步骤，主控用户可以对相关联的用户制定控制策略，这里的主控用户就是一般的用户，主控一词并没有特殊的含义，仅仅是为了区别“用户”和“与该用户相关联的用户”而起的一个称谓。该主控用户可以是未成年人的监护人（例如，父母，下文中以父母为例进行说明，与主控用户相关联的用户可以是该未成年人（为了描述方便，也可以将该用户成为被控用户）。主控用户和被控用户的关系可以是通过移动运营商来预先绑定的，无论怎样确立主控用户和被控用户的关联关系，通过上述步骤均可以实现主动用户主动来为被控用户设置控制策略，然后根据该控制策略来对该用户的资源访问进行控制，从而可以解决相关技术中监护人无法主动针对未成年人访问网络资源进行监控的问题，实现了对主动对相关用户进行监控。

只要是能够对资源访问进行控制的策略都可以称之为控制策略，在一个优选实施例方式中，该控制策略可以包括：用户的信息、需要进行访问控制的资源的信息、以及控制访问的模式。其中控制访问的模式可以是白名单，也可以是黑名单，可以根据实际情况来选择使用什么样的控制访问的模式。

在一个优选的实施方式中，这种主控用户主动设置控制策略可以作为一项业务来提供给用户，这项业务可以是收费业务，从而提高运营商的利润。该业务可以需要主控用户的主动开通。即可以在接收请求消息之前，首先请求开通业务，在这种情况下，本实施例中提供的方法还可以优选包括如下步骤：接收主控用户开通业务的请求，其中，该业务用于控制被控用户对资源的访问；在开通该业务成功的情况下，接收主控用户为被控用户配置的控制策略。

例如，运营商主动推送增值业务的网页页面配置链接或短消息配置提示方式通知给用户终端，进行业务推广，经短信和网络系统推送消息至用户终端，用户终端通过访问的网页页面配置链接或短消息配置回复的方式，增值业务订购、退订操作。

主控用户可以通过多种方式来配置控制策略，例如，作为一个优选的方式，可以向主控用户推送控制策略的配置方式，其中，该配置方式可以包括以下至少之一：短消息配置、网页页面配置；然后，主控用户选择一种配置方式，并通过该配置方式配置控制策略。

图1中所示出的步骤可以在网络侧的网元中实现，例如可以在无线应用协议（WirelessApplication Protocol，简称为WAP）网关中实现。在某个网元实现时，可以将该控制策略保存在网元的本地，在一个优选的实施方式中，为了是网元更快的读取该控制策略，减少与本地存储装置的交互，可以将控制策略放在网元的缓存中。此时，可以首先尝试从本地缓存中获取控制策略；在本地缓存中获取控制策略失败的情况下，再获取本地存储中保存的所述控制策略，并将获取到的控制策略保存到本地缓存中。

通过该优选方式，可以根据其生效的控制策略对访问资源进行控制，WAP网关对业务的本地缓存机制，减少了与本地存储的交互次数，降低了时延和链路的负担，完善的数据更新机制，保证了控制策略的实时性。

在本实施例中，还提供了一种访问控制装置，该访问控制装置用于实现上述的方法，在上述实施例及优选实施方式中已经进行过说明的，在此不再赘述。需要说明的是，下述装置中的模块的名称并不构成对该模块的实际限定，例如，接收模块可以表述为“用于接收来自用户的用户访问资源的请求消息的模块”，以下的模块均可以在处理器中实现，例如，接收模块可以表述为“一种处理器，用于接收来自用户的用户访问资源的请求消息”，或者，“一种处理器，包括接收模块”等。图2是根据本发明实施例的访问控制装置的结构框图，如图2所示，该装置20包括：接收模块22、获取模块24和控制模块26，下面对该结构进行说明。

接收模块22，用于接收来自用户的用于访问资源的请求消息，其中，该请求消息中携带有该用户的信息。

获取模块24，与接收模块22用于根据该用户的信息获取控制策略，其中，该控制策略是与该用户相关联的主控用户预先制定的。

控制模块26，用于根据所述控制策略对所述终端访问所述资源进行控制。

图3是根据本发明实施例的优选访问控制装置的结构框图，如图3所示，所述装置还包括：数据存储模块30，用于存储控制策略；所述获取模块24，用于从本地缓存中获取所述控制策略，以及在本地缓存中获取所述控制策略失败的情况下，获取本地存储中保存的所述控制策略，并将获取到的该控制策略保存到本地缓存中。

在本实施例中，还提供了一种访问控制系统，图4是根据本发明实施例的访问控制系统的结构框图，如图4所示，该访问控制系统包括：无线应用通信协议WAP网关42，该网关42中包括上述访问控制装置20。

图5是根据本发明实施例的优选访问控制系统的结构框图，如图5所示，该系统还可以包括：业务运营支撑（Business Operation Support System，简称为BOSS）系统50，该BOSS系统50用于接收该主控用户开通业务的请求或者退订该业务的请求，其中，该业务用于控制该用户对资源的访问；业务分发平台52，用于在该BOSS系统开通该业务成功的情况下，接收该主控用户为该用户配置的控制策略，并将该控制策略提供给该访问控制装置。

图6是根据本发明实施例的另一优选访问控制系统的结构框图，如图6所示，该系统还可以包括：该业务分发平台（Service Delivery Platform，简称为SDP）52包括：推送模块522，用于向该主控用户推送控制策略的配置方式，其中，该配置方式包括以下至少之一：短消息配置、网页页面配置；策略接收模块524，用于接收该主控用户通过该配置方式配置的控制策略。

下面以父母控制子女为例结合优选实施例进行说明。

在本优选实施例提出了一种基于WAP网关父母控制（parent-control）功能的实现方法和系统，该方法和系统实现了开销户系统结合WAP网关系统进行资源访问控制的功能。

在本优选实施例中，父母通过订购运营商提供的parent-control功能这项增值业务，主动配置对其子女访问因特网（internet）资源的控制策略，优选地，该控制策略可以是控制属性列表数据。WAP网关将控制策略和数据解析保存至存储模块，当其子女的终端进行终端访问internet资源时，WAP网关能够根据订购的控制属性列表数据及时有效地控制访问的Internet资源。

本优选实施例在WAP网关上引入了开销户系统、SDP系统，WAP网关内部新增控制处理模块、操作维护台模块、数据存储模块。从而可以实现主动控制、增值业务计费与流量计费并存的模式，方便父母对其子女进行资源访问有效控制，同时增加了运营商的利润收益。

控制处理模块处理parent-control增值业务的订购、退订、控制模式或属性数据的鉴权解析，并将控制策略数据保存至数据存储模块，同时将处理结果通知SDP系统或BOSS系统，便于及时触发计费、停止扣费、用户通知提示等功能。

通过操作维护台模块，能够展示Parent-Control增值业务的订购清单、用户操作历史记录等，便于运营商维护人员能够很清晰查询该增值业务使用的情况，并且特定权限的维护人员，可以操作开销户数据的记录，避免异常情况下能及时变更某些用户的属性，控制计费遗漏、错误计费等情况。

WAP网关控制处理模块（或者也可以称为主控模块）获取已订购parent-control业务的用户信息（例如，手机号码），根据其生效的控制列表对访问资源进行控制，WAP网关主控模块对parent-control业务的本地（Local）缓存机制，减少了与数据存储模块的交互次数，降低了时延和链路的负担，完善的parent-control数据更新机制，保证了控制策略的实时性。

本优选实施例的基于WAP网关父母控制功能的系统，包括：开销户系统、SDP系统（或称为SDP模块）、WAP网关、互联网业务提供商（Service Provider，简称为SP）系统、用户终端。该WAP网关包括：WAP网关主控模块、WAP网关父母控制接口模块、数据存储模块、操作维护台模块。该开销户系统包括：开销户BOSS系统。该用户终端、WAP网关、互联网SP系统顺序通讯连接；该开销户BOSS系统与WAP网关通讯连接；该SDP系统与WAP网关通讯连接；该WAP网关、互联网SP系统通讯连接；该操作维护台模块与数据存储模块通讯连接。

下面对这些网元和模块进行说明。

WAP网关主控模块，解析获取用户终端携带的手机号码，到数据存储模块查询该用户手机号码采取了何种父母控制策略，根据对应的策略对用户通过WAP网关访问SP资源行为进行控制。

WAP网关父母控制接口模块，开启对外服务，处理开销户系统、SDP系统的消息，消息以SOAP协议封装，并将对应的数据保存至开销户数据存储模块等。

开销户BOSS系统，用于提供父母控制（Parent Control）增值业务的订购、退订处理，并主动将订购、退订消息转发至WAP网关。

SDP系统模块，用于提供父母控制（Parent Control）增值业务功能中对子女号码（被控方）访问网站行为的策略控制，包括增、删、改子女号码数据，包括增、删、改子女访问的Internet资源、包括对子女访问Internet资源的控制方式、以及对增值业务资费管理、对用户进行业务提醒等。

数据存储模块，用于保存Parent Control业务订购、策略控制的数据，以及详细的开销户历史操作信息等。

操作维护台模块，用于展示parent-control增值业务订购、策略控制信息、开销户历史操作信息展示、特定权限的管理员下对parent-control业务数据的变更。

互联网SP系统，用于提供终端用户访问的文件、图片、视频等资源。

下面结合上述系统，对本优选实施例中提供的基于WAP网关主控模块的处理方法进行说明，该方法包括如下步骤：

步骤S10，WAP网关主控模块接收BOSS系统的parent-control增值业务订购或退订请求；

步骤S12，WAP网关主控模块对parent-control增值业务订购和退订请求处理后，将信息保存至数据存储模块，并将结果通知SDP模块，便于后续SDP模块触发资费管理等功能；

步骤S14，WAP网关主控模块将SDP模块对业务订购、退订的处理结果返回给BOSS系统模块；

步骤S16，WAP网关主控模块与SDP模块交互SOAP消息，保存Parent-Control功能的Parent对子女（Children）号码的控制信息；

步骤S18，WAP网关主控模块接收终端访问SP资源的请求；

步骤S20，WAP网关主控模块解析获取用户手机号码；

步骤S22，WAP网关主控模块在Local缓存查询该号码的parent-control数据，若Local缓存无该号码的parent-control数据，则到开销户数据存储模块（DataBase）查询；

步骤S24，WAP网关主控模块根据数据存储模块返回的结果，解析该号码对应的parent-control策略（全允许、全禁止、URL白名单生效、URL黑名单生效），同时并保存或更新Local缓存的parent-control数据；

步骤S26，WAP网关主控模块根据parent-control策略，对该号码访问SP资源进行策略控制；

步骤S28，WAP网关主控模块根据parent-control策略，若允许该用户访问所有或部分SP资源，则连接SP获取内容，否则若禁止该用户访问所有或部分SP资源，则返回用户终端Forbidden403内容；

步骤S210，WAP网关主控模块将响应数据转发至用户终端。

作为一个优选的实施方式，上述的步骤S12之后还可以包括：

步骤S121，WAP网关主控模块，对BOSS系统的业务订购、退订请求进行鉴权，鉴权失败直接返回信息提示BOSS系统，SOAP接口数据非法；

步骤S122，鉴权成功，对于parent-control业务订购，WAP父母控制处理模块则先保存Parent订购签约信息至存储模块，同时主动通知SDP模块该号码的订购签约，便于后续SDP触发对该号码的计费、通知等。而对于parent-control业务退订请求，WAP父母控制模块则先通知SDP模块该用户进行了业务退订行为；

步骤S123，WAP父母控制模块根据SDP模块返回的对parent-control业务订购、退订的处理状态进行不同的操作，业务订购流程下若返回失败状态才清除存储模块已保存的订购签约数据，业务退订流程下若返回成功状态才清除订购签约数据，并且将处理状态通知BOSS开销户系统。

作为一个优选的实施方式，上述步骤S16后还可以包括：

步骤S161，SDP模块会将用户的parent-control控制信息与WAP父母控制模块交互，比如Parent要求控制其一个Child只能访问某一个或多个外部SP资源，另外一个Child则完全不能访问SP资源；

步骤S162，WAP父母控制模块将控制信息解析后保存或更新至存储模块，并将操作结果通知SDP模块，SDP模块会根据返回的状态通知用户。

作为一个优选的实施方式，上述的步骤S24后还可以包括：

步骤S241，WAP网关主控模块解析出parent-control控制信息，包括用户号码能够允许访问所有SP资源、禁止访问SP资源、禁止访问某个或多个SP资源、允许访问某个或多个SP资源以及对未订购parent-control增值业务的用户不进行策略控制。

步骤S242，WAP主控模块同步更新或保存该号码的parent-control策略至Local缓存，减少了主控模块与存储模块的消息交互，降低了时延。

下面结合附图对上述步骤进行详细的说明。

图7是根据本发明实施例的WAP网关父母控制系统处理的流程图。如图7所示，其具体的步骤如下：

步骤S702，用户终端浏览器发起访问请求（例如，门户、图片或视频源等）；

步骤S704，WAP网关收到请求后，解析出相关参数，根据用户的手机号码，查询Local缓存是否有该号码对应的parent-control控制信息；

步骤S706，WAP网关未能获取到Local parent-control缓存的控制信息，则发送请求至数据存储模块，查询该用户的控制信息；

步骤S708，WAP网关解析和保存数据存储模块返回的parent-control控制属性；

步骤S710，WAP网关根据该号码对应的parent-control控制信息对本次进行控制，若允许访问，则到SP获取资源，否则构造禁止的Forbidden403响应；

步骤S712，WAP网关将SP资源或403Forbidden响应转发至手机终端。

图8是根据本发明实施例的WAP网关父母控制业务订购、退订的开发流程图，如图8所示，该流程步骤如下：

步骤S802，用户（主控用户）通过BOSS开销户系统订购或退订Parent-Control增值业务；

步骤S804，WAP网关（父母控制接口模块）对开销户信息鉴权校验，鉴权失败则直接回复BOSS系统；

步骤S806，WAP网关（父母控制接口模块）将BOSS系统的订购或退订请求通知SDP模块；

步骤S808，SDP模块处理该用户的订购或退订请求，同时将处理结果通知WAP网关父母控制模块；

步骤S810，WAP网关父母控制模块根据SDP的处理状态码，保存或清除该用户的订购或退订数据；

步骤S812，WAP网关将Parent-Control业务的订购或退订处理结果通知BOSS开销户系统。

图9是根据本发明实施例的WAP网关父母控制的用户属性配置的流程图，如图9所述，该流程包括如下步骤：

步骤S902，用户（主控用户，或者称为责任方）订购或退订Parent-Control增值业务后，SDP模块会推送消息至用户手机上，以短信、WEB页面的方式，提示用户进行父母控制策略的配置，内容包含责任方的手机号码、被控方的手机号码、控制策略、控制资源，例如，sohu门户，SDP模块将配置好的数据以soap协议，以HTTP请求方式转发给WAP网关；

步骤S904，WAP网关对消息进行鉴权，鉴权失败直接回复SDP模块；

步骤S906，WAP网关解析数据后，将Parent-Control控制策略信息保存至数据存储模块；

步骤S908，WAP网关将处理结果通知SDP模块，便于SDP模块进行用户通知等。

在上述步骤中，WAP网关主控模块采用本地缓存Parent-Control控制信息机制，能减少与数据存储模块的交互次数，减少消息通讯损耗。WAP网关主控模块采用定时缓存更新机制，能够保证了Parent-Control数据的实时性。

在上述步骤中，BOSS开销户系统触发的Parent-Control增值业务订购、退订采用标准SOAP协议接口。WAP网关SDP模块与父母控制模块间Parent-Control控制策略消息的交互，采用标准SOAP协议接口。

下面以一个具体应用场景为例进行说明，在该应用场景中提供了有一种系统架构，图10是根据本发明实施例的互联网访问的父母控制功能的系统结构图。如图10所示，其包括：用户终端、WAP网关、SDP系统、开销户系统模块、互联网系统SP、SMSC短信系统。在该应用场景中，将Device设备简写为D，例如，Device1简写为D1。

运营商主动推送Parent-Control增值业务的URL链接或短信提示方式通知给用户终端（即上述用户），进行业务推广，方向流为开销户系统D1经短信系统D3推送消息至用户终端D1。该用户终端D1通过访问URL链接或短信回复的方式，接入到开销户系统D2，进行Parent-Control增值业务订购、退订操作。

开销户系统D2将用户的订购或退订请求，以SOAP协议封装消息内容，采用HTTP协议进行传输，消息包括责任方（Parent）的号码信息，业务操作类型（订购、退订）以及鉴权的数据信息等，以HTTP协议方式转发给WAP网关；该WAP网关系统D4对开销户系统D2提供service服务，以便接受开销户系统D2转发的HTTP请求；WAP网关D4鉴权和解析开销户系统D2的SOAP消息。

SDP系统D5对WAP网关D4提供service服务，WAP网关D4将订购、退订消息以SOAP协议封装，HTTP方式转发给SDP系统D5，消息包括责任方的号码、操作方式（订购或退订）、相关鉴权信息等。SDP系统D5鉴权解析WAP网关D4转发的SOAP消息，具体操作可以包括如下内容：

1)对增值业务触发资费管理，订购业务则触发计费，退订业务则停止扣费。

2)SDP系统D5将订购、退订的操作结果返回给WAP网关D4，网关D4将结果反馈给开销户系统D2，D2经短信系统D3将结果反馈给用户D1。

3)SDP系统D5经短信系统D3推送Parent-Control配置方式给用户，包含短信回复、WEB页面的方式进行控制信息的配置。

用户终端D1订购parent-control业务成功，根据SDP系统D5推送的提示消息，进行被控方的控制数据的配置。该控制数据的配置包括如下但不仅限制如下内容：

1)增加、删除、修改被控方的号码信息

2)增加、删除、修改被控方的访问资源信息

3)增加、删除、修改被控方的控制模式

例如，用户A号码为13900001，要求其控制的用户B，号码为13900002，仅允许访问google网站，则用户A首先进行业务订购，订购成功后增加用户B的号码，列入被控方号码列表，然后设置google资源为白名单，设置控制模式为白名单生效。

WAP网关D4开启service服务，处理SDP系统D5的SOAP协议封装的消息，鉴权解析后会将策略信息保存至网关的内部数据库。

WAP网关D4会返回所有操作的结果给SDP系统D5或开销户系统D2，方便提示引导用户D1进行操作。

用户终端D1经WAP网关D4访问互联网SP资源D6时（如图中红色虚线所示），WAP网关D4会根据控制数据对用户终端D1进行有效控制。

在另一个优选实施例中，还提供了一种WAP网关控制功能的实现方法，图11是根据本发明实施例的基于WAP网关控制功能的实现方法流程图，如图11所示，涉及4个逻辑实体：用户终端11、WAP网关、互联网SP14、SDP系统16，BOSS系统17，WAP网关模块中还包括：AP网关主控模块12、数据存储模块13、父母控制模块15，如图8所示，该流程包括如下步骤：

终端浏览器模块11进行PDP在线激活，radius鉴权通过后，WAP网关主控模块12允许用户终端进行互联网访问，终端发起访问请求101至WAP网关主控模块；

WAP网关主控模块根据用户手机号码在Local缓存查询Parent-Control策略控制属性，未查询到则到数据存储模块查询102，否则进行策略控制104；

WAP网关主控模块收到数据存储模块的响应，进行解析并保存或更新parent-control控制信息至Local缓存103，减少后续与数据存储模块的交互，降低消息交互频率、链路负担；

WAP网关主控模块根据parent-control策略控制信息，若策略允许本次请求，则到SP获取资源105，否则若策略禁止本次请求的访问，构造403Forbidden响应107；

WAP主控模块将SP响应的资源106或构造的403Forbidden响应107转发至用户终端模块108，结束流程。

除了上述控制流程，图11中还示出了如下parent-control信息交互流程。

BOSS系统17触发Parent-Control增值业务的订购或退订201消息至WAP网关父母控制模块；

WAP网关对订购或退订消息鉴权，鉴权失败则直接回复错误状态码给BOSS模块207，结束流程；鉴权成功，若BOSS触发订购业务则进入流程202，WAP网关将订购数据保存至数据存储模块13；若BOSS触发退订业务则进入流程204；

WAP网关在流程202执行保存业务订购的数据后，收到存储模块返回的保存订购数据结果203，若保存成功则继续流程204，否则执行流程207，返回保存失败的操作结果状态码给BOSS系统，结束流程；

WAP网关执行流程204，将订购或退订的消息通知SDP系统；

WAP网关收到SDP系统返回的业务订购或退订的处理状态205；

WAP网关根据流程205，SDP返回的处理状态，若订购业务失败或退订业务成功状态，则执行流程206，清除该号码的开户数据，否则执行流程207，将SDP对业务订购、退订的处理结果通知BOSS系统。

SDP系统，在用户订购了Parent-Control增值业务之后，用户会通过短信、WEB界面等方式配置parent-control策略控制数据，此时SDP系统收到该类请求后转发至WAP网关父母控制模块15，WAP父母控制模块对消息进行鉴权，鉴权成功则执行流程209，否则流程211。

父母控制模块将parent-control策略控制数据入库操作，数据保存到数据存储模块13，执行流程209；

父母控制模块收到数据存储模块返回的数据库操作状态结果210；

父母控制模块将数据存储结果状态210或鉴权失败状态通知SDP系统，便于SDP系统与用户间消息通知其配置错误等提示功能，执行流程211，流程结束。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种访问控制方法，其特征在于包括：

接收来自用户的用于访问资源的请求消息，其中，所述请求消息中携带有所述用户的信息；

根据所述用户的信息获取控制策略，其中，所述控制策略是与所述用户相关联的主控用户预先制定的；

根据所述控制策略对所述用户访问所述资源进行控制。

2.根据权利要求1所述的方法，其特征在于，在接收所述请求消息之前，所述方法还包括：

接收所述主控用户开通业务的请求，其中，所述业务用于控制所述用户对资源的访问；

在开通所述业务成功的情况下，接收所述主控用户为所述用户配置的控制策略。

3.根据权利要求2所述的方法，其特征在于，接收所述主控用户为所述用户配置的所述控制策略包括：

向所述主控用户推送控制策略的配置方式，其中，所述配置方式包括以下至少之一：短消息配置、网页页面配置；

接收所述主控用户通过所述配置方式配置的控制策略。

4.根据权利要求1至3中任一项所述的方法，其特征在于，根据所述用户的信息获取所述控制策略包括：

从本地缓存中获取所述控制策略；

在本地缓存中获取所述控制策略失败的情况下，获取本地存储中保存的所述控制策略，并将获取到的所述控制策略保存到本地缓存中。

5.根据权利要求1至3中任一项所述的方法，其特征在于，所述控制策略包括：所述用户的信息、资源信息、以及控制访问的模式。

6.一种访问控制装置，其特征在于包括：

接收模块，用于接收来自用户的用于访问资源的请求消息，其中，所述请求消息中携带有所述用户的信息；

获取模块，用于根据所述用户的信息获取控制策略，其中，所述控制策略是与所述用户相关联的主控用户预先制定的；

控制模块，用于根据所述控制策略对所述用户访问所述资源进行控制。

7.根据权利要求6所述的装置，其特征在于，

所述装置还包括：数据存储模块，用于存储控制策略；

所述获取模块，用于从本地缓存中获取所述控制策略，以及在本地缓存中获取所述控制策略失败的情况下，获取本地存储中保存的所述控制策略，并将获取到的所述控制策略保存到本地缓存中。

8.一种访问控制系统，其特征在于包括：无线应用通信协议WAP网关，所述WAP网关包括权利要求6或7中所述访问控制装置。

9.根据权利要求8所述的系统，其特征在于，还包括：

业务运营支撑BOSS系统，用于接收所述主控用户开通业务的请求或者退订所述业务的请求，其中，所述业务用于控制所述用户对资源的访问；

业务分发平台，用于在所述BOSS系统开通所述业务成功的情况下，接收所述主控用户为所述用户配置的控制策略，并将所述控制策略提供给所述访问控制装置。

10.根据权利要求9所述的系统，其特征在于，所述业务分发平台包括：

推送模块，用于向所述主控用户推送控制策略的配置方式，其中，所述配置方式包括以下至少之一：短消息配置、网页页面配置；

策略接收模块，用于接收所述主控用户通过所述配置方式配置的控制策略。