CN105404826A - 一种动态产生业务对象的权限管理方法 - Google Patents

Abstract

本发明提供一种动态产生业务对象的权限管理方法。包括以下步骤：步骤S1：选定对象并编号；对所选定的对象生成唯一的业务编号；步骤S2：根据用户角色查询；查询在步骤S1中选定并编号对象的权限状态；步骤S3：权限配置；依据在步骤S2根据用户角色查询中得到的权限状态以及用户角色所要赋予的权限进行授权。步骤S4：权限解释；步骤S4具体为：将前述步骤S3权限配置中设置好的权限规则进行解释；步骤S5：权限实现。本发明具有以下优点：能够在几乎不消耗编码成本的条件下实现完整的细化的权限管理；权限的管理与升级时，同时保证了升级过程中应用程序能正常使用；可实时可扩展、成本低、维护时间短，同时满足应用服务的连续性。

Description

一种动态产生业务对象的权限管理方法

技术领域

本发明涉及计算机应用程序领域，特别地涉及一种动态产生业务对象的权限管理方法。

背景技术

随着互联网及移动设备的发展，越来越多的服务依赖于分布式应用程序。分布式应用的升级与维护，消耗大量的时间成本，人力成本，同时使得应用的连续性服务得不到保障。

现有技术中，在应用程序权限管理的实践中，权限管理的粒度较粗。很多需要细化权限管理的地方，由于编码成本的因素往往被忽略。例如只有少数企业级应用支持字段级权限，即对每一个企业用户类型，对应数据表中的每一列，进行单独授权。

权限管理的完整范围很广。仅对于终端用户来讲，细分下来的情况也比较复杂，至少包含：模块权限，页面权限，数据行权限，数据列权限。每个单独的权限又分为可读权限，可写权限。模块权限类似指：公司层面上财务管理模块，订单销售模块等；页面权限例如：在订单销售模块下，编辑订单信息页面，编辑物流信息页面；数据行权限例如：销售人员A只能看到自己的销售订单列表A，销售人员B只能看到自己的销售订单列表B。而销售组长能够同时看到A、B的订单列表：数据列权限例如：销售人员无需看到产品的采购价格C，那么数据列C对销售人员应该屏蔽。工厂方面无需看到订单的具体客户信息，那么订单相关的客户名D列，客户地址E列，客户联系电话F列，都应该对工厂屏蔽。

如上所述，应用程序特别需要一种实时可扩展的方法，来降低成本，缩短维护时间，同时满足应用服务的连续性。应用服务扩展功能的权限管理成为了应用程序实时可扩展性的基础。

现有实现数据行权限管理，大部分应用程序中，并未明确提出数据行权限的概念。当用户角色获得模块权限后，如果要对用户查询的结果进行限制，只能在动态产生业务对象层面上进行代码限定。如图1现有技术中低效碎片式数据库查询示意图所示，用户根据不同(动态产生)业务对象及其相应的权限代码对数据库进行管理操作。

这样做的缺点有：

1、必须为每个方法设置权限限定代码，编码成本高；

2、如果出现大量调整权限的情况，必须调整每个方法，重复编码的消耗也非常大，时间周期长。

3、如果出现新的数据访问模块，需要与老的数据模块进行交互，那么新的模块中还是要实现老数据模块的行权限控制。

针对上述缺点部分优秀的软件架构师，可能会设计出，代码内，可继承的权限管理模块。如图2为现有技术中优化的低效碎片式数据库查询示意图所示。

每个(动态产生)业务对象继承统一的行权限管理模块，虽然能很好解决重复编码的问题，但是权限管理内置于代码中可调整性、扩展性都不理想；权限升级时需要可继承的权限管理模块；而且模块化的设计，会产生零碎的数据库查询语句，系统的性能大大降低。

发明内容

为解决上述问题，本发明提出了一种动态产生业务对象的权限管理方法。本发明的动态产生业务对象的权限管理方法主要包括以下步骤：

步骤S1：选定对象并编号；

具体为：所述对象为动态产生业务对象，选定所要进行管理的动态产生业务对象，对所选定的对象进行编号，生成唯一的业务编号；

步骤S2：根据用户角色查询；

具体为：查询在步骤S1中选定并编号对象的权限状态；

步骤S3：权限配置；

具体为：依据在步骤S2根据用户角色查询中得到的权限状态以及用户角色所要赋予的权限进行授权；

步骤S4：权限解释；

具体为：将前述步骤S3权限配置中设置好的权限规则进行解释；

步骤S5：权限实现。

具体为：将步骤S4权限解释好的规则运用到动态产生业务对象中，并将上述设置好相应权限的动态产生业务对象的相关数据存放在数据库中。

优选的，步骤S1中，动态产生业务对象是原应用程序中不存在对应的业务对象或原来应用程序内部对象的扩展和衍生。

进一步优选的，原应用程序中不存在对应的业务对象或原来应用程序内部对象的扩展和衍生的动态产生业务对象为应用模块、可访问页面、数据表或工作流程。

进一步优选的，步骤S1选定对象并编号、步骤S2根据用户角色查询以及步骤S4权限解释通过解释器实现。

为了使权限管理可实时修改：

优选的，步骤S2根据用户角色查询是在分布式网络缓存中查询。

优选的，步骤S3权限配置中的权限规则存储在分布式缓存中。

进一步优选的，权限改变时只需改变分布式缓存中权限规则模块中的权限规则。

进一步优选的，数据表包括数据行和数据列。

进一步优选的，数据行的权限设置包括可继承分组管理；用户可继承分组主要指：一用户组可继承其它至少一个用户组的数据表某一行的管理权限。

为了使权限管理更便捷，效力更高：

更进一步优选的，可继承分组管理可通过条件表达式实现。

本发明具有以下优点：

能够在几乎不消耗编码成本的条件下实现完整的细化的权限管理；通过使用条件表达式来实现权限管理几乎不需要专业的技术人员就能实现；权限的管理与升级时，同时保证了升级过程中应用程序能正常使用；可实时可扩展、成本低、维护时间短，同时满足应用服务的连续性。

附图说明

图1所示为现有技术中低效碎片式数据库查询示意图。

图2所示为现有技术中优化的低效碎片式数据库查询示意图。

图3所示为本发明的动态产生业务对象权限管理方法的权限设置流程图。

图4所示为本发明的动态产生业务对象权限管理方法的权限设置具体示例图。

图5所示为本发明的动态产生业务对象权限管理方法的优化合并的数据库查询示意图。

图6所示为本发明的动态产生业务对象权限管理方法的用户可继承分组示意图。

具体实施方式

下面结合实施例及附图对本发明作进一步详细、完整地说明。

通用概念说明：用户角色指系统用于向用户和应用程序提供授权管理服务与实际应用出来模式相应的、与具体应用系统开发管理无关的授权和访问控制机制，有效地简化具体应用系统的开发与维护，提供系统整体安全级别。

如图3本发明的动态产生业务对象权限管理方法的权限设置流程图所示。本发明的动态产生业务对象权限管理方法主要包括以下步骤：

步骤S1：选定对象并编号；

步骤S2：根据用户角色查询；

步骤S3：权限配置；

步骤S4：权限解释；

步骤S5：权限实现。

下面对上述步骤进行详细的介绍和说明。

对于步骤S1选定对象并编号：

随着分布式应用程序的发展，越来越多的应用程序支持动态产生业务对象。动态产生业务对象通常包括应用模块、可访问页面(即：可供用户直接访问页面)、数据表以及工作流程等。本发明是对上述动态产生业务对象的权限进行管理。在步骤S1选定对象并编号中，选定所要进行管理的动态产生业务对象。对所选定的对象进行编号，生成唯一的业务编号。动态产生业务对象是原应用程序中不存在对应的业务对象或原来应用程序内部对象的扩展和衍生。

对于步骤S2根据用户角色查询：

根据不同的用户角色，在分布式网络缓存中查询是否存在记录。查询这个特定的用户角色对于在步骤S1中选定并编号对象的权限状态。

对于步骤S3权限配置：

依据在步骤S2根据用户角色查询中得到的权限状态以及用户角色所要赋予的权限进行授权，同时在分布式网络缓存中进行记录。例如：对于某特定的用户角色的应用模块，在步骤S2中获知其现有的权限状态。同时根据所要进行的新的权限管理的要求对于某特定的用户角色的应用模块进行相应的权限配置(授予权利或禁止权利)。

上述是业务对象、用户角色、授权操作三者之间的关系。使用数据库技术和分布式网络缓存存储实现这三者的关系。上述的侧重点在于操作对象是动态产生业务对象。

下面举例对上述过程进行说明，如图4为本发明的动态产生业务对象权限管理方法的权限配置具体示例图所示。图中对动态产生的业务对象1进行了唯一的业务编号(例如：应用模块，唯一编号为X、可访问页面，唯一编号为Y、数据表，唯一编号为Z)。图中有两个用户角色，分别为用户角色A(31)和用户角色B(32)。用户角色A(31)对唯一编号为X的应用模块具有相应的权限(这里的权限为：可写)、用户角色B(32)对唯一编号为Y的可访问页面具有相应的权限(这里的权限为：可读)。在分布式网络缓存记录着用户角色A(31)和用户角色B(32)与动态产生业务对象1中相应的对象的权限状态。上述只是一个具体的示例用于说明本发明的一个实现形式，实际中不同的用户角色对于不同的动态产生业务对象可以有更多的权限形式。

对于步骤S4权限解释。

具体为：将前述步骤S3权限配置中设置好的权限规则进行解释以便对动态产生业务对象的权限进行管理。

对于步骤S5：权限实现。

具体为：将步骤S4权限解释好的规则运用到动态产生业务对象中，并将上述设置好相应权限的动态产生业务对象的相关数据存放在数据库中。

下面是的上述步骤的一个具体示例。如图5所示为本发明的动态产生业务对象权限管理方法的优化合并的数据库查询示意图。不同的业务对象在解释器5中通过上述步骤S1选定对象并编号，这里的对象指业务对象4例如业务对象1(41)、业务对象2(42)以及业务对象3(43)。步骤S2根据用户角色查询，根据用户角色查询是解释器5在分布式网络缓存中进行查询的。之后，解释器5通过对权限规则模块6进行步骤S3权限配置操作。

在权限配置S3之后，权限规则模块6将配置好的权限规则发送给解释器模块5进行解释，即进行步骤S4权限解释。最后解释器模块5将动态产生业务对象4以及相应的解释好的权限规则的相关数据发送给数据库7，即步骤S5权限实现。这样就实现了动态产生业务对象权限的管理。这里需要说明的是步骤S3和步骤S4中提到的权限规则模块6中的权限规则是在分布式网络缓存中记录存储的，同时数据库7中的权限规则与分布式网络缓存中的权限规则同步(即步骤S5权限实现)。

图5中不同业务对象通过解释器模块5对数据库进行管理操作，同时解释器模块5受权限规则模块6的制约。权限改变时只需改变权限规则模块6中的权限规则，解释器模块5无需升级。

权限规则模块6中是权限规则，它存储在数据库中可以实时更新，同时可实现权限规则导入导出功能。权限改变时只需改变数据库中权限规则模块中的权限规则即可。企业用户很容易通过excel表格批量导入权限规则。

解释器模块5执行的是目标优化策略而非过程优化策略。现有技术中模块化设计执行的是过程优化策略，对单独的查询可能最优，但是同时产生碎片式的数据查询语句，很大程度限制了数据库性能，只能实现局部最优。这里解释器模块5执行的是目标优化策略。在实现最终的数据库访问之前不会进行数据查询优化，也不会进行权限控制。只在模块化调用执行完成后，即将访问数据库时，进行打包数据库查询，同时植入式修正数据语句，达到权限行控制的目的。实现了数据查询的全局最优，同时内置于解释器的抽象存储过程，保证事务完整性，也免除编码过程。

动态产生业务对象中的数据表通常包括数据行和数据列。用户的行权限管理相对复杂，这里我们引入用户可继承分组的概念。

用户可继承分组主要指：终端用户是否有权限访问动态数据表(需要说明的是：这里动态数据集，可能是单纯的数据表，也可能是新数据表与老数据表交叉查询的view形式)产生的某一行记录。即数据表行记录的权限控制体系，是对应用程序用户角色权限功能的细化补充。用户可继承分组也可理解为即某用户组可继承其它用户组的数据表某一行的管理权限。

用户可继承分组举例如下，如图6本发明的动态产生业务对象权限管理方法的用户可继承分组示意图所示：某贸易公司，有amazon业务主管a、ebay业务主管b、淘宝业务主管c和外贸主管d(同时管理amazon,ebay)。a属于A组、b属于B组、c属于C组、d属于D组。新业务模块数据表8。对于数据表8存在相应的条件表达式，条件表达式管理记录管理着数据表8的相应权限(这里的条件表达式图中并未显示，实际中可以通过条件表达式赋值给予相应的权限，例如：currentGroup＝N，可以表示数据行中N列与当前用户所在组一致，则有权查看。条件表达式的介绍见下文)。

本发明通过条件表达式控制行权限。则A组用户(a)能看到数据行(1、3、5)却不能看见2、4、6，因为这些都不属于他业务范围的数据。B组用户(b)能看到数据(2、6)，C组用户(c)只能看到数据(4)。可继承分组D(5)因为继承了A组和B组的权限，所以D组能同时看到A和B组的数据(1、2、3、5、6)。条件表达式是实时同步到分布式网络缓存中的，最后通过应用程序解释后来完成权限控制。本示例是简化的形式，实际的时候，新业务模块数据表可能是和原有数据表有交叉(tablejoin)。可继承的概念也可以理解为类似公司组织架构的情况，即：上一级领导拥有他下面所有组的权限。

可继承分组通过条件表达式来实现行权限管理，举例如下：

表格一为某公司根据所拥有产品订单号、产品编号、产品分类以及售价的不同而生成的数据表。

表格一

订单号c1	产品编号c2	产品分类c3	售价c4
				1	D1	F1	60
2	D2	F2	70
				3	D3	F1	80
4	D4	F2	180
				5	D5	F2	120

表格二为某公司根据所拥有产品的前述表格一所述情况而生成的不同操作人权限分类数据表。

表格二

对前述要实现如下要求：产品分类F1的订单由A组负责，产品分类F2的订单由B组负责，可由下述条件表达式实现：

(c3＝F1andcurrrentGroup＝A)or(c3＝F2andcurrentGroup＝B)

对前述实现如下要求：单价低于100的订单由A组负责，高于100(含100)的订单由B组负责，可由下述条件表达式实现：

(c4<100andcurrentGroup＝A)or(c4>＝100andcurrentGroup＝B)

同时，对于更高级别的组别C可继承B组和A组的权限，可由下述条件表达式实现：

C＝AandB

其中and、or、()都是逻辑运算符currentUser、currentRole、currentGroup是保留字分别代表当前用户、当前用户角色、当前用户分组。上述举例中只引用了当前用户分组currentGroup。

最终，条件表达式被解释成为对应的数据库语句来执行。上述只是最简单条件表达式举例，具体实践过程条件表达式会很复杂且有所不同，同时对于不同的数据库版本，解释语句略有不同。

对于更高级别的组别C可继承B组和A组的权限的管理，现有技术只能依靠技术人力来编写新的业务模块来实现这样的要求。而本发明只需调整几处条件表达式，就能为组别C开启新的权限功能。这样的好处是权限管理更便捷，效力更高。

因为图4中的权限规则以及图6相关联的条件表达式是存放于分布式缓存中，并且实时同步于数据库。由于分布式缓存中的数据是实时可更新修改的，所以这个权限管理体系是实时可修改的。现有技术下，很多权限管理功能，保存于代码中，与编译的二级制代码一起分发，所以更新权限，需要重新发布程序版本。

与现有技术相比：

本发明能够在几乎不消耗编码成本的条件下，实现完整的细化的权限管理。例如：列权限管理的实施过程，在管理后台选中需要授权的数据列；选中需要授权的用户、用户角色、用户分组；选择权限可读、可写，完成授权。操作完全由界面来完成，并且是对任意数据列、任意用户、任意角色、任意分组可实施的。相比于现有技术只针对特定的数据列，一次性完成授权。本发明是细化实施的权限管理。对于动态产生的数据表、页面、数据行实施过程一样。

本发明使用条件表达式来实现权限管理几乎不需要专业的技术人员就能实现。权限的管理与升级时，同时保证了升级过程中应用程序能正常使用。本发明可实时可扩展、成本低、维护时间短，同时满足应用服务的连续性。

本发明的数据行权限管理方法规则完全存储于分布式缓存中，同步于数据库。行权限管理与实际数据业务完全分离。只用逻辑意义上的条件表达式，表达完整数据行权限，信息量最小，需求实现也最为明确；可继承分组的概念，无需编码，就实现了优秀软件架构师的代码内继承权限管理的优点；权限控制全局有效，对所有方法自动实现。新模块中自动生效，新模块如果引用老数据模块，老数据模块权限自动生效。

Claims (10)

1.一种动态产生业务对象的权限管理方法，包括以下步骤：

步骤S1：选定对象并编号；

步骤S1具体为：对象为动态产生业务对象；选定所要进行管理的动态产生业务对象生成唯一的业务编号；

步骤S2：根据用户角色查询；

步骤S2具体为：查询在步骤S1中选定并编号对象的权限状态；

步骤S3：权限配置；

步骤S3具体为：依据在步骤S2根据用户角色查询中得到的权限状态以及用户角色所要赋予的权限进行授权；

步骤S4：权限解释；

步骤S4具体为：将前述步骤S3权限配置中设置好的权限规则进行解释；

步骤S5：权限实现；

步骤S5具体为：将步骤S4权限解释好的规则运用到动态产生业务对象中，并将上述设置好相应权限的动态产生业务对象的相关数据存放在数据库中。

2.如权利要求1所述的动态产生业务对象的权限管理方法，其特征在于：步骤S1中，动态产生业务对象是原应用程序中不存在对应的业务对象或原来应用程序内部对象的扩展和衍生。

3.如权利要求2所述的动态产生业务对象的权限管理方法，其特征在于：原应用程序中不存在对应的业务对象或原来应用程序内部对象的扩展和衍生的动态产生业务对象为应用模块、可访问页面、数据表或工作流程。

4.如权利要求1所述的动态产生业务对象的权限管理方法，其特征在于：步骤S1选定对象并编号、步骤S2根据用户角色查询以及步骤S4权限解释通过解释器实现。

5.如权利要求1所述的动态产生业务对象的权限管理方法，其特征在于：步骤S2根据用户角色查询是在分布式网络缓存中查询。

6.如权利要求1所述的动态产生业务对象的权限管理方法，其特征在于：步骤S3权限配置中的权限规则存储在分布式缓存中。

7.如权利要求6所述的动态产生业务对象的权限管理方法，其特征在于：权限改变时只需改变分布式缓存中权限规则模块中的权限规则。

8.如权利要求3所述的动态产生业务对象的权限管理方法，其特征在于：数据表包括数据行和数据列。

9.如权利要求8所述的动态产生业务对象的权限管理方法，其特征在于：数据行的权限设置包括可继承分组管理；用户可继承分组主要指：一用户组可继承其它至少一个用户组的数据表某一行的管理权限。

10.如权利要求9所述的动态产生业务对象的权限管理方法，其特征在于：可继承分组管理可通过条件表达式实现。