CN107480540A - 数据访问控制系统及方法 - Google Patents

Abstract

本发明公开一种数据访问控制系统及方法，数据访问控制系统分别连接多个用户系统，用于对多个用户系统之间的数据交互进行访问控制；数据访问控制系统包括：角色管理模块，用于提取用户系统上送报文的用户信息，根据用户信息识别报文的用户角色；数据分级及封装模块，用于提取报文的数据信息，根据数据信息识别报文的数据安全等级；动态授权模块，用于提取报文的交易代码，根据用户角色、数据安全等级和交易代码，确定报文的动态授权规则；任务流控制访问模块，用于根据用户角色和交易代码，确定报文是否有设定的例外权限，若有，则根据例外权限和动态授权规则确定报文的数据访问控制策略；否则，根据动态授权规则确定报文的数据访问控制策略。

Description

数据访问控制系统及方法

技术领域

本发明涉及计算机网络信息处理技术领域，尤其涉及数据访问控制系统及方法。

背景技术

在网络互联必然趋势下，数据安全一直是网络互联最为关注的问题。防火墙、SSL(Secure Sockets Layer，安全套接层)/HTTPS(Hyper Text Transfer Protocol overSecure Socket Layer，HTTP安全版)等网络协议、RSA(公钥加密算法)/DES(DataEncryption Standard，数据加密标准)等加密算法、客户身份认证机制(u盾、短信认证)等这些成熟的软硬件技术已在系统层、网络层面及防暴力破解方面实现了数据安全传输及防篡改。

目前存量房交易模式主要分为三种，私人模式、第三方即中介模式、银行监管模式(如现已推出的中信直通车)，这三种交易模式均存在以下问题：

1、房产交易链条上各个角色目前都采取单方线下互通的模式，信息链条上各角色信息互通困难，但随着房地产热度的增强，角色割裂且线下互通这种不规范模式增加了交易的风险系数。

2、房产金融服务交易过程中用户权限及数据访问控制手段过于落后，存量房产交易成本过高。

3、房产信息泄露严重，存在严重的个人信息安全隐患。

发明内容

为了解决目前银企互联系统技术中存在单方线下互通，用户权限及数据访问控制技术落后，存在信息泄露的安全隐患的技术问题，本发明实施例提出如下解决方案，以实现多方异构用户系统的信息安全保护，提高多用户系统数据访问的安全性：

本发明实施例提供一种数据访问控制系统，所述数据访问控制系统分别连接多个用户系统，用于对多个用户系统之间的数据交互进行访问控制；所述数据访问控制系统包括：

角色管理模块，用于提取用户系统上送报文的用户信息，根据所述用户信息识别所述报文的用户角色；

数据分级及封装模块，用于提取所述报文的数据信息，根据所述数据信息识别所述报文的数据安全等级；

动态授权模块，用于提取所述报文的交易代码，根据所述用户角色、数据安全等级和交易代码，确定所述报文的动态授权规则；

任务流控制访问模块，用于根据所述用户角色和交易代码，确定所述报文是否有设定的例外权限，若有，则根据所述例外权限和所述动态授权规则确定所述报文的数据访问控制策略；否则，根据所述动态授权规则确定所述报文的数据访问控制策略。

一个实施例中，所述多个用户系统包括：个人客户系统、第三方中介企业系统、第三方互联实体系统和银行系统；所述第三方互联实体系统包括：公积金管理中心平台、房管所平台和地税平台。

本发明实施例还提供一种数据访问控制方法，该方法包括：

接收用户系统上送报文，所述报文在多个用户系统之间进行数据交互；

提取所述报文的用户信息，根据所述用户信息识别所述报文的用户角色；

提取所述报文的数据信息，根据所述数据信息识别所述报文的数据安全等级；

提取所述报文的交易代码，根据所述用户角色、数据安全等级和交易代码，确定所述报文的动态授权规则；

根据所述用户角色和交易代码，确定所述报文是否有设定的例外权限，若有，则根据所述例外权限和所述动态授权规则确定所述报文的数据访问控制策略；否则，根据所述动态授权规则确定所述报文的数据访问控制策略。

一个实施例中，所述多个用户系统包括：个人客户系统、第三方中介企业系统、第三方互联实体系统和银行系统；所述第三方互联实体系统包括：公积金管理中心平台、房管所平台和地税平台。

本发明实施例还提供一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述的数据访问控制方法。

本发明实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有执行上述数据访问控制方法的计算机程序。

与现有技术中单方线下互通方式所不同的是，在本发明实施例中，通过数据访问控制实现了对多个用户系统之间的数据交互进行访问控制；其中通过提取用户系统上送报文的用户角色、数据安全等级和交易代码，进而确定报文的动态授权规则，以及确定报文是否有设定的例外权限，从而最终确定出报文的数据访问控制策略，相对于现有技术而言，实现了精准的用户权限及数据访问控制，并杜绝了信息泄露的安全隐患，实现了对多个用户系统之间数据交互的信息安全保护，提高了数据访问的安全性。

本发明实施例可以应用于房产交易，通过对房产交易各方数据交互的访问控制，降低交易的风险和成本，并避免房产交易信息的泄露；本发明实施例不仅可以应用于房产交易，还可以推广至其它的多个用户系统间交互数据的场景。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1为本发明实施例中数据访问控制系统的结构示意图；

图2为本发明实施例中数据访问控制系统连接多个用户系统的示例图；

图3为本发明实施例中角色管理模块的示例图；

图4为本发明实施例中数据分级及封装模块的示例图；

图5为本发明实施例中动态授权模块的示例图；

图6为本发明实施例中任务流控制访问模块的示例图；

图7为本发明实施例中数据访问控制系统的一个示例图；

图8为本发明实施例中数据访问控制方法的示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚明白，下面结合附图对本发明实施例做进一步详细说明。在此，本发明的示意性实施例及其说明用于解释本发明，但并不作为对本发明的限定。

如前所述，出于企业信息与银行互联系统平台访问安全性考虑，如何解决角色、信息访问控制问题，在应用层、表示层提高系统安全性一直是人们在不断研究的问题。在本发明实施例中，为克服目前银企互联系统技术中存在单方线下互通，用户权限及数据访问控制技术落后，存在信息泄露的安全隐患的技术问题，提出一种数据访问控制系统，实现多方异构用户系统的信息安全保护，提高多用户系统数据访问的安全性。

在本发明实施例中，数据访问控制系统分别连接多个用户系统，用于对多个用户系统之间的数据交互进行访问控制。图1为本发明实施例中数据访问控制系统的结构示意图，如图1所示，该数据访问控制系统可以包括：

角色管理模块1，用于提取用户系统上送报文的用户信息，根据提取的用户信息识别报文的用户角色；

数据分级及封装模块2，用于提取报文的数据信息，根据提取的数据信息识别报文的数据安全等级；

动态授权模块3，用于提取报文的交易代码，根据报文的用户角色、数据安全等级和交易代码，确定报文的动态授权规则；

任务流控制访问模块4，用于根据报文的用户角色和交易代码，确定报文是否有设定的例外权限，若有，则根据报文的例外权限和动态授权规则确定报文的数据访问控制策略；否则，根据报文的动态授权规则确定报文的数据访问控制策略。

在具体的实施例中，角色管理模块1提取用户系统上送报文的用户信息，根据提取的用户信息识别报文的用户角色。角色管理模块1可以实现报文信息中用户信息的提取，用户角色的定义、识别和存储等功能。任何与数据访问控制系统相连的用户系统，例如个人、企业、第三方机构系统，只需通过角色管理模块1的授权即可实现所有业务的加入。作为数据访问控制系统的基础模块，角色管理模块1可以实现多个用户系统如个人、企业、第三方机构系统等各类用户的角色分类及存储。

图2中给出了数据访问控制系统连接有多个用户系统的例子，在本例中，多个用户系统可以包括：个人客户系统、第三方中介企业系统、第三方互联实体系统和银行系统；第三方互联实体系统可以包括：公积金管理中心平台、房管所平台和地税平台等。将本发明实施例的数据访问控制系统应用于房产交易，可以通过对房产交易各方数据交互的访问控制，降低交易的风险和成本，并避免房产交易信息的泄露。

图3为本发明实施例中角色管理模块1的一个示例图。如图3所示，在一个实施例中，角色管理模块1可以包括：

报文信息解析单元11，用于对上送报文进行信息解析；

角色信息提取单元12，用于在解析所得报文的信息中，提取报文的用户信息；

角色识别单元13，用于将报文的用户信息与设定的角色库进行比对，识别出报文的用户角色；

角色分类存储单元14，用于对报文的用户角色进行分类存储；

角色信息返回单元15，用于输出报文的用户角色。

在实施例中，报文信息解析单元11可以通过已制定的报文规范化定义，实现对上送报文各要素业务含义的识别及临时存储到缓存中。角色信息提取单元12可以根据报文解析结果，对业务含义中涉及到“用户”业务含义的上送要素进行提取，获得报文的用户信息。角色识别单元13可以将角色信息提取单元12提取的用户信息与角色库进行比对，实现用户所属角色的确定。举个例子，角色识别单元13的识别及处理逻辑可以如下：

1、4类角色：包括个人用户、企业用户、银行、政府机构。用户ID包括1位数字+6位数据及字母字符串，其中第1位为角色标识位，0、1、2、3分别表示个人用户、企业用户、银行、第三方机构；后6位可以自定义。

2、角色识别单元13根据报头用户ID第1位信息判断用户角色类别。

在实施例中，角色分类存储单元14可以维护一张角色定义表和用户信息表，两表通过用户ID字段实现关联。角色分类存储单元14根据用户ID确认用户角色，若先前没有记录则进行登记；若先前有记录则返回用户信息，存入当前用户session(会话控制)中，便于后续交易流程对用户角色及用户信息的直接获取。

在实施例中，角色信息返回单元15可以根据上送报文，通过上述报文信息解析单元11、角色信息提取单元12、角色识别单元13和角色分类存储单元14的逐一调用，返回最终识别出的角色信息。

在实施例中，数据分级及封装模块2提取上送报文的数据信息，根据数据信息识别报文的数据安全等级。数据分级及封装模块2可以实现数据分级定义、存储及识别功能，以数据安全性为维度，实现静态数据的分级及存储，例如，安全性越低数据安全等级越高：第一级主要是用户信息、资产信息、房产信息，因涉及用户隐私，安全等级高；第二级主要是银行服务信息、第三方机构信息、互联实体信息等，因不涉及客户隐私，安全等级略低。在实施例中例如可以采用数据库技术，增加数据分级定义表，主要用于分级说明；增加数据分级信息表，主要用于实际各类数据分级后的存储。

图4为本发明实施例中数据分级及封装模块2的一个示例图，如图4所示，在一个实施例中，数据分级及封装模块2可以包括：

报文信息解析单元21，用于对上送报文进行信息解析；

数据信息提取单元22，用于在解析所得报文的信息中，提取报文的数据信息；

数据分级定义单元23，用于预定义数据信息与数据安全等级的对应关系；

数据级别识别及存储单元24，用于调用数据分级定义单元23，根据报文的数据信息，识别出报文的数据安全等级；

数据级别信息返回单元25，用于输出报文的数据安全等级。

在实施例中，报文信息解析单元21可以通过已制定的报文规范化定义，实现对上送报文各要素业务含义的识别及临时存储到缓存中。数据信息提取单元22可以根据报文解析结果，对业务含义中涉及“需返回各类详细信息上送”报文字段逐一进行提取，获得报文的数据信息。数据分级定义单元23可以预定义数据信息与数据安全等级的对应关系，例如，可以把数据主要分为两级，安全性越低数据安全等级越高：第一级“数据类型”主要包括用户身份信息、用户资产信息、房产信息，因涉及用户隐私，安全等级高；第二级“数据类型”主要包括银行金融服务信息、用户基本信息、银行及第三方机构信息、互联实体信息等。在实施例中数据分级定义单元23可以采用数据库技术，增加数据分级定义表，通过“数据类型”字段实现各类数据的定级，例如此表可以包括数据安全等级、数据类型、级别说明三个字段。

在实施例中，数据级别识别及存储单元24可以调用数据分级定义单元23，根据报文的数据信息，识别出报文的数据安全等级。数据级别识别及存储单元24输入数据信息提取单元22提取的字段，调用数据分级定义单元23对数据安全等级实现识别。例如可以通过解析出的“数据类型”与数据分级定义表进行比对匹配，最后根据匹配成功字段对应的“数据类型”与数据分级定义表“数据类型”进行关联最终得到报文的“数据安全等级”。

在实施例中，数据级别信息返回单元25根据上送报文，通过报文信息解析单元21、数据信息提取单元22、数据分级定义单元23和数据级别识别及存储单元24的逐一调用，返回最终识别出的数据安全等级。

动态授权模块3提取报文的交易代码，根据报文的用户角色、数据安全等级和交易代码，确定报文的动态授权规则。在实施例中，动态授权模块3可以实现报文的动态授权规则的定义、存储及识别。例如，动态授权模块3可以通过基于角色访问(RBAC)及基于任务访问(TBAC)的控制模型，对工作流中的任务角色进行建模，实现用户系统在不同访问策略之间的切换，从而在多个用户系统中实现“用户角色+数据安全等级+任务流”的用户权限管理、全业务场景的信息原子性管理。角色执行者可以根据最新规则，实现数据流层次的动态授权，进而对隐私数据实现访问控制。

图5为本发明实施例中动态授权模块3的一个示例图，如图5所示，在一个实施例中，动态授权模块3可以包括：

报文信息解析单元31，用于对上送报文进行信息解析；

动态授权规则申请单元32，用于在解析所得报文的信息中，提取报文的交易代码，对报文的动态授权规则提出获取申请；

动态授权规则定义单元33，用于预定义用户角色、数据安全等级和交易代码与动态授权规则的对应关系；

动态授权规则提取单元34，用于调用动态授权规则定义单元33，根据报文的用户角色、数据安全等级和交易代码，确定并输出报文的动态授权规则。

在实施例中，报文信息解析单元31可以通过已制定的报文规范化定义，实现对上送报文各要素业务含义的识别及临时存储到缓存中。动态授权规则申请单元32可以对报文的动态授权规则提出获取申请。动态授权规则定义单元33可以预定义用户角色、数据安全等级和交易代码与动态授权规则的对应关系。在具体的实施例中，动态授权规则定义单元33可以建立基于角色访问(RBAC)及基于任务访问(TBAC)的控制模型，使动态授权规则由“用户角色”、“数据安全等级”、“交易代码”三重因子唯一确定。授权状态分为：可访问、不可访问。实施例中可以新增动态授权规则表，表中包括字段：申请方角色、提供方角色、数据安全等级、交易代码、授权状态，其中前四个字段为此表联合主键，此表可实现动态授权规则的系统固化。

在实施例中，动态授权规则提取单元34输入“用户角色”及“数据安全等级”、交易代码，通过调用动态授权规则定义单元33，实现报文的动态授权规则的识别和输出。

任务流控制访问模块4根据报文的用户角色和交易代码，确定报文是否有设定的例外权限，若有，则根据报文的例外权限和动态授权规则确定报文的数据访问控制策略；否则，根据报文的动态授权规则确定报文的数据访问控制策略。在实施例中，任务流控制访问模块4在实现各用户系统之间的交易信息交互时，在应用层甚至是表示层通过用户角色+数据安全等级+交易代码确定的动态授权规则，实现用户信息、交易信息、账户信息等各类信息的安全调用和展现控制；并能通过例外控制技术，可实现个别用户或者角色之间共享信息的例外控制。通过作为基础规则的动态授权规则+例外控制既实现了信息保护也实现了信息互访安全控制的灵活性。例外控制是在普遍规则基础上的一种特例处理，业务概念上可以理解为白名单模式，即不受普遍规则的限制。例外控制将作为独立的构件存在。

图6为本发明实施例中任务流控制访问模块4的一个示例图，如图6所示，在一个实施例中，任务流控制访问模块4可以包括：

报文信息解析单元41，用于对上送报文进行信息解析；

任务流控制规则申请单元42，用于在解析所得报文的信息中，提取报文的交易代码，对报文的数据访问控制策略提出获取申请；

例外控制单元43，用于预定义用户角色和交易代码与例外权限的对应关系；

数据访问单元44，用于调用例外控制单元43，根据报文的用户角色和交易代码，确定报文是否有设定的例外权限；若有，则根据报文的例外权限和动态授权规则确定报文的数据访问控制策略；否则，根据报文的动态授权规则确定报文的数据访问控制策略。

在实施例中，任务流控制访问模块4可以通过对角色管理模块1、数据分级及封装模块2、动态授权模块3和例外控制单元43的调用，得到针对此次报文申请的最终数据访问控制策略。在实施例中，报文信息解析单元41可以通过已制定的报文规范化定义，实现对上送报文各要素业务含义的识别及临时存储到缓存中。任务流控制规则申请单元42可以对报文的数据访问控制策略提出获取申请。例外控制单元43预定义用户角色和交易代码与例外权限的对应关系时，可以在按照用户角色维度实现信息安全互访的基础上，通过基于否定规则的访问控制技术，对已达成协议的双方开通例外控制。实施例中可以增加例外权限表，此表可以通过“发起方用户ID”、“受理方用户ID”、“交易代码”唯一确定返回报文是否可展现。在实际应用中可根据实际业务场景对例外权限进行设置。以存量房交易系统为例，通过日常监控，发现某中介机构的用户存在伪造房屋信息的情况，那么此类用户可通过例外权限设置，降低或者剥夺其访问权限，起到黑名单的作用；对于高VIP用户，可通过例外权限的设定，提升其访问系统信息的级别。

在实施例中，数据访问单元44可以获取到动态授权模块输出的报文的动态授权规则；数据访问单元44还可以通过调用角色管理模块1输出指定交易申请方及信息提供方的用户角色，将用户角色及上送报文中的交易代码作为输入项调用例外控制单元43，确定报文是否有设定的例外权限，据此结合报文的动态授权规则获取最终的报文数据访问控制策略。在获得报文的动态授权规则的基础上，如果报文有设定的例外权限，则根据报文的例外权限和动态授权规则确定报文的数据访问控制策略，实施例中可以将动态授权规则作为数据访问的基础规则，将例外权限作为个别用户或者角色之间共享信息的例外控制；如果报文没有设定的例外权限，则根据报文的动态授权规则确定报文的数据访问控制策略，实施例中可以直接将报文的动态授权规则确定为报文的数据访问控制策略。

在实施例中，若最终的报文数据访问控制策略为“可访问”，则数据报文正常返回并在页面展现；若最终的报文数据访问控制策略为“不可访问”，则给出提示“您无权查看此信息”；若最终的报文数据访问控制策略为“部分可访问”，即返回报文多个字段中部分字段为“可访问”，部分字段为“不可访问”，则“可访问”字段正常展现，“不可访问”字段加以隐藏，并给出“您无权查看此信息”的页面提示。

下表为经过基本处理后的标准交易报文格式示例(其中交易类别、交易属性、受理方ID可以通过交易序列号在本地表的匹配直接获取，无需客户上送)：

本发明实施例的数据访问控制系统在实际应用中，可根据实际业务场景通过角色分类存储单元14及数据分级定义单元23对用户角色和“数据安全等级进行初始定义，根据实际业务的交易特征通过动态授权规则定义单元33及例外控制单元43对角色+数据安全等级+任务流设定出报文最终的数据访问控制策略。以存量房交易系统为例，此系统主要涉及个人、中介机构、银行、第三方机构四类用户角色；数据信息主要包括用户信息、资产信息、房产信息、银行服务信息、第三方机构信息等各类信息；交易类型主要包括房屋信息查看、房产购买、房屋抵押贷款及放款、客户信息及企业信息认证等交易类型。针对存量房业务交易本身的特征，应用本发明实施例，可实现如资质可信度高的用户角色可对安全等级高的数据进行访问，对于资质低的用户只能允许其对安全等级低的数据进行访问。同时也可以交易代码为第三因子，对高风险交易(如账务类交易)严格限制只有银行角色及实名认证过的用户开放访问权限。

图7为本发明实施例中数据访问控制系统的一个示例图，如图7所示，在一个实施例中，数据访问控制系统还可以包括：数据安全传输模块5，用于根据报文的数据访问控制策略，对报文在多个用户系统之间的数据交互进行访问控制。在实施例中，数据安全传输模块5可以采取电子银行已普遍使用的密钥加密及网络安全加密协议等技术手段，实现原始信息的篡改识别及安全传输，进而确保对银行、企业、个人等用户信息的安全保护。

由上述实施例可知，本发明实施例采用了互联网金融设计思路，与多个用户系统建立连接，通过互联各方角色设定、数据分层封装管理及例外控制等多个技术方法的套嵌使用，实现了一种基于用户角色+数据安全等级+任务流的动态授权及数据安全调用的数据访问控制系统。

基于同一发明构思，本发明实施例中还提供了一种数据访问控制方法，如下面的实施例所述。由于该方法解决问题的原理与数据访问控制系统相似，因此该方法的实施可以参见数据访问控制方法的实施，重复之处不再赘述。

图8为本发明实施例中数据访问控制方法的示意图，如图8所示，该方法可以包括：

步骤801、接收用户系统上送报文，该报文在多个用户系统之间进行数据交互；

步骤802、提取报文的用户信息，根据用户信息识别报文的用户角色；

步骤803、提取报文的数据信息，根据数据信息识别报文的数据安全等级；

步骤804、提取报文的交易代码，根据用户角色、数据安全等级和交易代码，确定报文的动态授权规则；

步骤805、根据用户角色和交易代码，确定报文是否有设定的例外权限，若有，则根据报文的例外权限和动态授权规则确定报文的数据访问控制策略；否则，根据报文的动态授权规则确定报文的数据访问控制策略。

一个实施例中，根据用户信息识别报文的用户角色，可以包括：

将用户信息与设定的角色库进行比对，识别出报文的用户角色。

一个实施例中，根据数据信息识别报文的数据安全等级，可以包括：

根据报文的数据信息，以及预定义的数据信息与数据安全等级的对应关系，识别出报文的数据安全等级。

一个实施例中，根据用户角色、数据安全等级和交易代码，确定报文的动态授权规则，可以包括：

根据报文的用户角色、数据安全等级和交易代码，以及预定义的用户角色、数据安全等级和交易代码与动态授权规则的对应关系，确定报文的动态授权规则。

一个实施例中，根据用户角色和交易代码，确定报文是否有设定的例外权限，包括：

根据报文的用户角色和交易代码，以及预定义的用户角色和交易代码与例外权限的对应关系，确定报文是否有设定的例外权限。

一个实施例中，上述的数据访问控制方法还可以包括：

根据报文的数据访问控制策略，对报文在多个用户系统之间的数据交互进行访问控制。

一个实施例中，上述的多个用户系统可以包括：个人客户系统、第三方中介企业系统、第三方互联实体系统和银行系统；第三方互联实体系统可以包括：公积金管理中心平台、房管所平台和地税平台。

本发明实施例还提供一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述的数据访问控制方法。

本发明实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有执行上述数据访问控制方法的计算机程序。

综上所述，与现有技术中单方线下互通方式所不同的是，在本发明实施例中，通过数据访问控制实现了对多个用户系统之间的数据交互进行访问控制，同时通过对多个用户系统的统一标准化数据访问控制，可以降低开发成本；其中通过提取用户系统上送报文的用户角色、数据安全等级和交易代码，进而确定报文的动态授权规则，以及确定报文是否有设定的例外权限，从而最终确定出报文的数据访问控制策略，规范性和灵活性并存，相对于现有技术而言，实现了精准的用户权限及数据访问控制，并杜绝了信息泄露的安全隐患，实现了对多个用户系统之间数据交互的信息安全保护，提高了数据访问的安全性。

本发明实施例可以应用于房产交易，通过对房产交易各方数据交互的访问控制，降低交易的风险和成本，并避免房产交易信息的泄露；本发明实施例不仅可以应用于房产交易，还可以推广至其它的多个用户系统间交互数据的场景。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (16)

1.一种数据访问控制系统，其特征在于，所述数据访问控制系统分别连接多个用户系统，用于对多个用户系统之间的数据交互进行访问控制；所述数据访问控制系统包括：

角色管理模块，用于提取用户系统上送报文的用户信息，根据所述用户信息识别所述报文的用户角色；

数据分级及封装模块，用于提取所述报文的数据信息，根据所述数据信息识别所述报文的数据安全等级；

动态授权模块，用于提取所述报文的交易代码，根据所述用户角色、数据安全等级和交易代码，确定所述报文的动态授权规则；

任务流控制访问模块，用于根据所述用户角色和交易代码，确定所述报文是否有设定的例外权限，若有，则根据所述例外权限和所述动态授权规则确定所述报文的数据访问控制策略；否则，根据所述动态授权规则确定所述报文的数据访问控制策略。

2.如权利要求1所述的数据访问控制系统，其特征在于，所述角色管理模块包括：

报文信息解析单元，用于对所述报文进行信息解析；

角色信息提取单元，用于在解析所得所述报文的信息中，提取所述报文的用户信息；

角色识别单元，用于将所述用户信息与设定的角色库进行比对，识别出所述报文的用户角色；

角色分类存储单元，用于对所述报文的用户角色进行分类存储；

角色信息返回单元，用于输出所述报文的用户角色。

3.如权利要求1所述的数据访问控制系统，其特征在于，所述数据分级及封装模块包括：

报文信息解析单元，用于对所述报文进行信息解析；

数据信息提取单元，用于在解析所得所述报文的信息中，提取所述报文的数据信息；

数据分级定义单元，用于预定义数据信息与数据安全等级的对应关系；

数据级别识别及存储单元，用于调用数据分级定义单元，根据所述报文的数据信息，识别出所述报文的数据安全等级；

数据级别信息返回单元，用于输出所述报文的数据安全等级。

4.如权利要求1所述的数据访问控制系统，其特征在于，所述动态授权模块包括：

报文信息解析单元，用于对所述报文进行信息解析；

动态授权规则申请单元，用于在解析所得所述报文的信息中，提取所述报文的交易代码，对所述报文的动态授权规则提出获取申请；

动态授权规则定义单元，用于预定义用户角色、数据安全等级和交易代码与动态授权规则的对应关系；

动态授权规则提取单元，用于调用动态授权规则定义单元，根据所述报文的用户角色、数据安全等级和交易代码，确定并输出所述报文的动态授权规则。

5.如权利要求1所述的数据访问控制系统，其特征在于，所述任务流控制访问模块包括：

报文信息解析单元，用于对所述报文进行信息解析；

任务流控制规则申请单元，用于在解析所得所述报文的信息中，提取所述报文的交易代码，对所述报文的数据访问控制策略提出获取申请；

例外控制单元，用于预定义用户角色和交易代码与例外权限的对应关系；

数据访问单元，用于调用例外控制单元，根据所述报文的用户角色和交易代码，确定所述报文是否有设定的例外权限；若有，则根据所述报文的例外权限和所述动态授权规则确定所述报文的数据访问控制策略；否则，根据所述动态授权规则确定所述报文的数据访问控制策略。

6.如权利要求1至5任一项所述的数据访问控制系统，其特征在于，还包括：

数据安全传输模块，用于根据所述报文的数据访问控制策略，对所述报文在多个用户系统之间的数据交互进行访问控制。

7.如权利要求1至5任一项所述的数据访问控制系统，其特征在于，所述多个用户系统包括：个人客户系统、第三方中介企业系统、第三方互联实体系统和银行系统；所述第三方互联实体系统包括：公积金管理中心平台、房管所平台和地税平台。

8.一种数据访问控制方法，其特征在于，包括：

接收用户系统上送报文，所述报文在多个用户系统之间进行数据交互；

提取所述报文的用户信息，根据所述用户信息识别所述报文的用户角色；

提取所述报文的数据信息，根据所述数据信息识别所述报文的数据安全等级；

提取所述报文的交易代码，根据所述用户角色、数据安全等级和交易代码，确定所述报文的动态授权规则；

根据所述用户角色和交易代码，确定所述报文是否有设定的例外权限，若有，则根据所述例外权限和所述动态授权规则确定所述报文的数据访问控制策略；否则，根据所述动态授权规则确定所述报文的数据访问控制策略。

9.如权利要求8所述的数据访问控制方法，其特征在于，根据所述用户信息识别所述报文的用户角色，包括：

将所述用户信息与设定的角色库进行比对，识别出所述报文的用户角色。

10.如权利要求8所述的数据访问控制方法，其特征在于，根据所述数据信息识别所述报文的数据安全等级，包括：

根据所述报文的数据信息，以及预定义的数据信息与数据安全等级的对应关系，识别出所述报文的数据安全等级。

11.如权利要求8所述的数据访问控制方法，其特征在于，根据所述用户角色、数据安全等级和交易代码，确定所述报文的动态授权规则，包括：

根据所述报文的用户角色、数据安全等级和交易代码，以及预定义的用户角色、数据安全等级和交易代码与动态授权规则的对应关系，确定所述报文的动态授权规则。

12.如权利要求8所述的数据访问控制方法，其特征在于，根据所述用户角色和交易代码，确定所述报文是否有设定的例外权限，包括：

根据所述报文的用户角色和交易代码，以及预定义的用户角色和交易代码与例外权限的对应关系，确定所述报文是否有设定的例外权限。

13.如权利要求8至12任一项所述的数据访问控制方法，其特征在于，还包括：

根据所述报文的数据访问控制策略，对所述报文在多个用户系统之间的数据交互进行访问控制。

14.如权利要求8至12任一项所述的数据访问控制方法，其特征在于，所述多个用户系统包括：个人客户系统、第三方中介企业系统、第三方互联实体系统和银行系统；所述第三方互联实体系统包括：公积金管理中心平台、房管所平台和地税平台。

15.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至7任一所述方法。

16.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有执行权利要求1至7任一所述方法的计算机程序。