CN108509807A - 一种基于角色的列表数据权限控制系统和方法 - Google Patents

Abstract

本发明公开了一种基于角色的列表数据权限控制系统，用于连接目标系统，其特征在于：包括列表数据权限分配模块、列表数据权限控制模块、数据源(DataSource)模块和数据库，所述列表数据权限分配模块用于匹配角色和列表数据权限控制规则，所述数据源(DataSource)模块与数据库相连，所述列表数据权限控制模块中设有过滤器模块、SQL语句解析引擎和数据源(DataSource)代理模块。达到权限信息集中管理，独立于目标系统，和目标系统的具体功能和逻辑无关，权限控制相当于目标系统的切面，不侵入目标系统，可以灵活的控制权限。在目标系统开发和维护过程中，不需要考虑数据权限控制的工作的效果。

Description

一种基于角色的列表数据权限控制系统和方法

技术领域

本发明涉及计算机应用技术领域，特别是涉及一种基于角色的列表数据权限控制系统和方法。

背景技术

在许多web系统开发中，经常需要给不同的使用者以不同的权限，权限分两部分，即功能权限和数据权限。功能权限指的是允许或拒绝用户使用目标系统提供的某个功能。数据权限是指允许或拒绝用户进行某个数据的增删改查操作。功能权限在很多开源框架中都提供了较为完善和通用的解决方案，但是关于数据权限的控制，大多是在代码开发时通过硬编码的方式，对访问数据库的SQL语句添加各种涉及数据权限控制的过滤条件来实现。这样做有很多的弊端，一是涉及到数据权限的调整时，都需要开发人员介入，需要调整代码，甚至重新发布，成本和效率都很差；而是数据权限的控制代码侵入到系统中的各个方面，违反了软件设计原则，增加了维护难度和成本.

针对以上问题，进行了以下思考，数据访问控制实质就是对SQL语句添加数据过滤条件(这里的数据控制讨论范围仅限于数据库，不包含其他形式的数据存储方式)，我们把控制数据访问的规则独立到应用之外，在开发过程中不需要关注数据权限的问题，在之后，通过对要控制的数据表设定权限控制规则，然后把这些列表数据权限控制规则分配到指定的角色上，再把角色和用户绑定，就可以通过用户身份来进行数据权限控制。数据访问权限需要调整时，无需修改代码，只需要修改定义的列表数据权限控制规则即可。

发明内容

本发明所要解决的技术问题是克服现有技术的不足，提供一种基于角色的列表数据权限控制系统和方法。

为解决上述技术问题，本发明提供一种基于角色的列表数据权限控制系统，用于连接目标系统，其特征在于：包括列表数据权限分配模块、列表数据权限控制模块、数据源(DataSource)模块和数据库，所述列表数据权限分配模块用于匹配角色和列表数据权限控制规则，所述数据源(DataSource)模块与数据库相连，所述列表数据权限控制模块中设有过滤器模块、SQL语句解析引擎和数据源(DataSource)代理模块，所述数据源(DataSource)模块与数据源(DataSource)代理模块相连，以使数据源(DataSource)代理模块可获取数据源(DataSource)模块提交给数据库执行的SQL语句，所述过滤器模块用于获取身份信息，列表数据权限信息以及请求url，所述SQL语句解析引擎对数据源(DataSource)模块提交给数据库执行的SQL语句进行分析并根据列表数据权限分配模块中的列表数据权限控制规则添加列表数据权限控制信息，所述SQL语句解析引擎将添加了列表数据权限控制信息的SQL语句交回给数据源(DataSource)代理模块，所述数据源(DataSource)代理模块将添加了列表数据权限控制信息的SQL语句交回给数据源(DataSource)模块进行执行。

所述过滤器模块为filter过滤器模块，在进行数据权限控制时，第一步需要确认访问者的身份信息，使用filter过滤器模块，filter过滤器在Java Servlet规范中定义，filter过滤器模块在处理每次请求时，会从请求中获取登录用户信息，取出列表数据权限分配模块分配给该用户的角色和角色拥有的权限数据，提供给SQL语句解析引擎使用。

所述数据源(DataSource)模块与数据源(DataSource)代理模块相连所用的接口模块有DataSourceProxy implements DataSource数据源代理模块，用来接管JDBC数据源，ConnectionProxy implements Connection数据库连接代理模块，StatementProxyimplements Statement模块，PreparedStatementProxy extends StatementProxyimplements PreparedStatement、CallableStatementProxy extendsPreparedStatementProxy implements CallableStatement数据库sql执行代理模块，用来接管DataSource创建的对象，从而获取正在执行的sql。

一种基于角色的列表数据权限控制方法，其特征在于：包括如下步骤：

对列表数据权限控制规则进行设置，把列表数据权限控制规则转化为定义要访问的库表的where条件，这些定义的列表数据权限控制规则需要保存到数据库中，库表的数据结构定义为permissionkey、actionBinding、dataList三个字段，permissionkey：需要控制的表名，actionBinding：添加到这个表上的where条件，dataList：针对哪些列表进行控制；

将设置好的列表数据权限控制规则分配到角色上；

拦截数据源(DataSource)模块要提交给数据库执行的SQL语句，分析SQL语句以从中获取身份信息、列表数据权限信息以及请求url，根据身份信息获取对应角色，并根据所属角色的列表数据权限控制规则对SQL语句进行改写，再将改写后的SQL语句提交给数据库执行。

所述分析SQL语句通过正则表达式完成。

本发明所达到的有益效果:

1、权限信息集中管理，独立于目标系统，和目标系统的具体功能和逻辑无关，权限控制相当于目标系统的切面，不侵入目标系统，可以灵活的控制权限。

2、在目标系统开发和维护过程中，不需要考虑数据权限控制的工作。

附图说明

图1为本发明的示例性实施例的数据权限控制系统结构简图；

图2为本发明的示例性实施例的数据源代理模块接口实现类图；

图3为本发明的示例性实施例的数据权限控制规则库表设计核心库表简图；

图4为本发明的示例性实施例的SQL改写方案示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明进一步详细说明。

本发明是通过开发一个列表数据权限控制模块，在目标系统前端进行访问控制的拦截，获取用户身份信息、列表数据权限信息以及请求信息，在ORM层获取用户的SQL语句并对SQL语句进行解析，改写注入数据范围的信息，进而达到控制用户的数据权限的目的。列表数据权限控制模块以jar包的形式提供给目标系统使用。下面介绍下列表数据权限控制模块的具体实施方法：

如图1所示，对于列表数据权限控制模块，它包括了SQL语句解析引擎和DataSource代理。DataSource代理负责代理业务系统中的DataSource，获取原生的SQL语句并交给SQL语句解析引擎。SQL语句解析引擎负责改写SQL语句，注入权限配置信息，最后交回DataSource代理，DataSource代理交给实际的DataSource进行SQL语句的执行。

(1)列表数据权限控制模块内提供一个filter过滤器，用来获取用户身份信息，用户列表数据权限信息以及请求url；不依赖于各种技术框架，具有更普遍的适用性和通用性。相比直接调用对象的方法通过参数传递，对代码的侵入度和改动更小。在进行数据权限控制时，第一步需要确认访问者的身份信息，使用filter过滤器模块，filter过滤器在JavaServlet规范中定义，filter过滤器模块在处理每次请求时，会从请求中获取登录用户信息，取出列表数据权限分配模块分配给该用户的角色和角色拥有的权限数据，提供给SQL语句解析引擎使用。具体做法，为了获取用户身份信息，可以让目标系统把用户身份信息设置到当前请求中，使用request.setAttribute("primaryPrincipal",userId),为了获取用户列表数据权限信息，可以开放一个获取权限数据的对象DBAuthzInfoRealmImpl，预留一个获取用户数据权限的变量给目标系统，这个变量可以是一个SQL语句，可以是一个对象集合或者数据，只要返回的数据权限数据符合列表数据权限控制模块定义的数据结果即可。数据结构可以定义为：permissionkey，actionBinding，dataList三个字段，分别代表，需要控制的表名，添加到这个表上的where条件，需要控制的列表范围。列表范围目前支持url形式，可以由目标系统自己去扩展其他形式。在fitler中通过DBAuthzInfoRealmImpl对象根据目标系统的配置，去获取用户的列表数据权限信息。

(2)通过实现数据源DataSource以及相关接口去实现DataSource代理，一共需要实现的接口有：DataSourceProxy implements DataSource，StatementProxy implementsStatement，ConnectionProxy implements Connection，PreparedStatementProxyextends StatementProxy implements PreparedStatement，CallableStatementProxyextends PreparedStatementProxy implements CallableStatement(如图3所示)。这样就可以获取提交给数据库执行的SQL语句,为下一步改造SQL语句做准备。

(3)实现一个SQL语句解析引擎，根据第一步中获取的列表数据权限控制规则，

对第二步已经通过代理数据源获取到用户提交给数据库执行的SQL语句进行分析并添加数据访问控制条件。这个SQL语句解析引擎，主要是从SQL语句中分析出需要访问的表，可以使用正则表达式做到这一点，然后把权限规则中的条件语句添加到对应的表上，这样就完成了对原SQL语句的改写，添加了数据访问控制的语句。

(4)这一步为非必须，如果希望能够方便的管理列表数据权限控制规则，可以开发一个页面，用来查看和设置列表数据权限控制规则，并给指定的角色分配列表数据权限控制规则。

本发明的方法步骤为：

1、定义需要进行权限控制的表的访问规则。

数据访问规则对程序而言是一个抽象和不太容易描述的问题，本发明中把这个问题转化为定义要访问的库表的where条件。这些定义的数据访问规则需要保存到数据库中，库表的数据结构定义为permissionkey、actionBinding、dataList三个字段，permissionkey：需要控制的表名，actionBinding：添加到这个表上的where条件，dataList：针对哪些列表进行控制。

访问规则也就是指定查询该表时需要添加到表的where条件语句，同时该条规则生效的范围，针对具体的某一个或某几个列表数据进行数据权限控制，也需要指定，这就需要访问规则中包含列表数据的信息。比如订单列表，只能查看指定地区的订单，那么定义的访问规则中就要包含订单所属地区的信息和指定生效的订单列表，在查看订单列表时，把数据访问规则添加到订单表的条件中。当然这些定义的列表数据权限控制规则需要储存起来，这里存到数据库中，也可以存到其他地方，这里不做说明。表的设计可以采用单独的库表，需要三个字段，一个PERMISSON_KEY字段，用来存放需要控制的表名，一个条件控制字段ACTION_BINDING，用来存放添加到这个表上的where条件，一个列表范围字段DATA_LIST，用来存放需要控制的列表范围，这个字段可以根据每个系统中定义列表的识别标志来设置，可以是列表的url，也可以是列表的唯一标记。

2、控制数据访问的权限需要分配到角色上，所以会有一个管理权限分配的页面或者功能，方便把第一步设置的列表数据权限控制规则分配到对应的角色上；

3、为了和目标系统进行解耦，并且方便引入使用，需要开发一个独立的列表数据权限控制模块，它负责与目标系统进行交互，获取当前用户身份信息和用户的列表数据权限信息，并在目标系统提交SQL语句去数据库执行前拦截SQL语句，按照列表数据权限控制规则对SQL语句进行调整，最终提交执行改写后的SQL语句。

列表数据权限控制模块为了获取，需要目标系统在每次提交服务端处理请求时，把用户身份信息放入指定的请求参数时，列表数据权限控制模块会从请求中提取用户身份信息，然后根据用户获取对应角色和分配到角色上的列表数据权限控制规则；

获取用户身份信息，需要目标系统在每次提交服务端处理请求时，使用请求参数request.setAttribute("userid",userId)，把用户身份信息放入指定的请求参数时，列表数据权限控制模块会从请求参数中提取用户身份信息，然后根据用户身份信息获取对应角色和分配到角色上的列表数据权限控制规则，所述获取列表数据权限信息，是开放一个获取列表数据权限信息的对象DBAuthzInfoRealmImpl，预留一个获取列表数据权限信息的变量，这个变量可以是一个SQL语句，也可以是一个对象集合或者数据。

列表数据权限控制模块需要在目标系统提交SQL语句时，捕获SQL语句并进行改写，所以需要对DataSource进行代理，这样可以接管DataSource和DataSouce创建的对象，从而获取到目标系统需要执行的SQL语句；

列表数据权限控制模块需要对获取到的SQL语句进行分析和根据获取的列表数据权限控制规则对SQL语句改写。这是一个比较复杂的过程，但是考虑到我们仅仅需要对SQL语句中的表名进行筛选，通过正则表达式匹配文本可以很好的解决这个问题，用少量的代码简单的方式来匹配复杂的内容，可以很容易匹配出SQL语句中的select、from等关键字，进而提炼出访问的表。

本发明主要用于提供一种基于角色的列表数据权限控制系统和方法,权限信息集中管理，独立于目标系统，和目标系统的具体功能和逻辑无关，权限控制相当于目标系统的切面，不侵入目标系统，可以灵活的控制权限。在目标系统开发和维护过程中，不需要考虑数据权限控制的工作。

以上实施例不以任何方式限定本发明，凡是对以上实施例以等效变换方式做出的其它改进与应用，都属于本发明的保护范围。

Claims (5)

1.一种基于角色的列表数据权限控制系统，用于连接目标系统，其特征在于：包括列表数据权限分配模块、列表数据权限控制模块、数据源(DataSource)模块和数据库，所述列表数据权限分配模块用于匹配角色和列表数据权限控制规则，所述数据源(DataSource)模块与数据库相连，所述列表数据权限控制模块中设有过滤器模块、SQL语句解析引擎和数据源(DataSource)代理模块，所述数据源(DataSource)模块与数据源(DataSource)代理模块相连，以使数据源(DataSource)代理模块可获取数据源(DataSource)模块提交给数据库执行的SQL语句，所述过滤器模块用于获取身份信息，列表数据权限信息以及请求url，所述SQL语句解析引擎对数据源(DataSource)模块提交给数据库执行的SQL语句进行分析并根据列表数据权限分配模块中的列表数据权限控制规则添加列表数据权限控制信息，所述SQL语句解析引擎将添加了列表数据权限控制信息的SQL语句交回给数据源(DataSource)代理模块，所述数据源(DataSource)代理模块将添加了列表数据权限控制信息的SQL语句交回给数据源(DataSource)模块进行执行。

2.如权利要求1所述的一种基于角色的列表数据权限控制系统，其特征在于：所述过滤器模块为filter过滤器模块，在进行数据权限控制时，第一步需要确认访问者的身份信息，使用filter过滤器模块，filter过滤器在Java Servlet规范中定义，filter过滤器模块在处理每次请求时，会从请求中获取登录用户信息，取出列表数据权限分配模块分配给该用户的角色和角色拥有的权限数据，提供给SQL语句解析引擎使用。

3.如权利要求2所述的一种基于角色的列表数据权限控制系统，其特征在于：所述数据源(DataSource)模块与数据源(DataSource)代理模块相连所用的接口模块有DataSourceProxy implements DataSource数据源代理模块，用来接管JDBC数据源，ConnectionProxy implements Connection数据库连接代理模块，StatementProxyimplements Statement模块，PreparedStatementProxy extends StatementProxyimplements PreparedStatement、CallableStatementProxy extendsPreparedStatementProxy implements CallableStatement数据库sql执行代理模块，用来接管DataSource创建的对象，从而获取正在执行的sql。

4.一种根据权利要求1-3之一所述系统进行的基于角色的列表数据权限控制方法，其特征在于：包括如下步骤：

对列表数据权限控制规则进行设置，把列表数据权限控制规则转化为定义要访问的库表的where条件，这些定义的列表数据权限控制规则需要保存到数据库中，库表的数据结构定义为permissionkey、actionBinding、dataList三个字段，permissionkey：需要控制的表名，actionBinding：添加到这个表上的where条件，dataList：针对哪些列表进行控制；

将设置好的列表数据权限控制规则分配到角色上；

拦截数据源(DataSource)模块要提交给数据库执行的SQL语句，分析SQL语句以从中获取身份信息、列表数据权限信息以及请求url，根据身份信息获取对应角色，并根据所属角色的列表数据权限控制规则对SQL语句进行改写，再将改写后的SQL语句提交给数据库执行。

5.如权利要求4所述的一种基于角色的列表数据权限控制方法，其特征在于：所述分析SQL语句通过正则表达式完成。